Defend
Multi-Faktor-Authentifizierung
Ein Passwort lässt sich abfischen, erraten oder wiederverwenden. Ein zweiter Faktor ist etwas, das nur diese Person hat. Ein gestohlenes Passwort allein öffnet damit nichts.
Ein gestohlenes Passwort allein öffnet nichts.
Angreifer knacken selten eine Datei. Sie melden sich an, mit einem Passwort aus einer Phishing-Mail oder einem, das anderswo schon einmal benutzt wurde. Multi-Faktor-Authentifizierung verlangt bei der Anmeldung einen zweiten Nachweis: eine Bestätigung auf dem Telefon dieser Person, einen Code, einen Schlüssel, den nur sie hat. Ohne ihn ist das Passwort für den Dieb wertlos. Es ist die Maßnahme, nach der Versicherer zuerst fragen. Entscheidend ist: jedes Konto. Das eine Konto ohne zweiten Faktor ist das, das übernommen wird. Meist ein Sammelpostfach, ein ehemaliger Kollege oder ein Admin.
Was wir einrichten
Jedes Konto, keine Ausnahme, ohne jemanden auszubremsen.
Den zweiten Faktor richten wir in Microsoft Entra ID für jedes Konto Ihres Unternehmens ein, in einer Reihenfolge, bei der alle weiterarbeiten.
-
Jedes Konto, namentlich
Jede Person, jeder Admin, jedes Sammelpostfach und jedes Dienstkonto, das sich anmelden kann. Die Liste der Konten gleichen wir mit der Liste der Menschen ab, damit kein Konto fehlt, weil niemand mehr an es gedacht hat.
-
Die App, nicht die SMS
Der zweite Faktor ist eine Bestätigung in einer Authenticator-App auf dem Telefon der Person oder ein Hardware-Schlüssel, wo eine Rolle das verlangt. Codes per SMS sind das schwächste Verfahren und werden abgeschaltet, wo die Plattform es zulässt.
-
Admins und Führung zuerst
Die Konten, die Angreifer am meisten wollen, bekommen den zweiten Faktor zuerst und die strengsten Einstellungen: Admin-Rollen, die Menschen, die entscheiden, das Postfach der Buchhaltung.
-
In Gruppen ausgerollt, in Ihrem Rhythmus
Zuerst eine Pilotgruppe, dann der Rest in Wellen, nie an einem Fristtag. Jede Person bekommt eine kurze Anleitung, und ein Techniker ist da, wenn ein Telefon nicht mitspielt.
-
Conditional Access entscheidet, wann gefragt wird
Auf einem verwalteten Laptop im Büro verlangt ein normaler Arbeitstag nichts Zusätzliches. Der zweite Faktor greift, wenn etwas nicht passt: ein neues Gerät, ein neues Land, eine ungewöhnliche Uhrzeit. Die Regeln dafür stehen in Conditional Access.
-
Ein verlorenes Telefon, ein neues
Ein verlorenes oder ersetztes Telefon ist der Moment, in dem viele Unternehmen jemanden aussperren oder, schlimmer, den Faktor für diese Person abschalten. Bei uns gibt es dafür einen festen Weg: Identität prüfen, neu einrichten, altes Gerät entfernen. So sucht niemand nach einem Umweg.
Schriftlich festgehalten
In Ihrer Nachweismappe.
- Jedes Konto mit zweitem Faktor und das Verfahren, das es nutzt
- Die Konten ohne zweiten Faktor, jedes mit Grund und Datum, falls es welche gibt
- Wann die Liste zuletzt mit den Menschen in Ihrem Unternehmen abgeglichen wurde
- Der Anmeldebericht für den Tag, an dem ein Versicherer nach der Anmeldung fragt
Die Frage des Versicherers „Ist Multi-Faktor-Authentifizierung für alle Nutzer erzwungen?“ bekommt ein Ja, das Sie belegen können.
Was ohne Multi-Faktor-Authentifizierung schiefgeht.
-
Für die meisten, nicht für alle
Der zweite Faktor gilt für die Leute, die beim Ausrollen da waren. Das Sammelpostfach, das Konto des ehemaligen Kollegen und der Admin „nur für den Moment“ haben ihn nie bekommen, und eines davon ist der Weg hinein.
-
Nach der ersten Beschwerde abgeschaltet
Jemand findet die Abfrage lästig oder verliert an einem Freitag sein Telefon, und der Faktor wird für diese Person abgeschaltet. Eingeschaltet wird er selten wieder.
-
Der Fragebogen aus dem Gedächtnis
„Ja, wir haben MFA“ auf dem Formular des Versicherers, und niemand hat die Liste geprüft. Kommt ein Schaden, prüft sie der Versicherer.
Ebenfalls unter Defend
- E-Mail-Sicherheit Spam, Phishing und Schadsoftware werden gefiltert, bevor eine Mail jemanden erreicht, mit Langzeitarchivierung.
- Conditional Access Wer sich anmeldet, von wo und mit welchem Gerät, bei jeder Anmeldung geprüft.
- Geräteschutz Verwalteter Schutz und Bedrohungserkennung auf jedem Laptop, jeder Workstation und jedem Server, nach einer dokumentierten Baseline.
- Patches und Schwachstellenmanagement Updates zentral ausgerollt, und die Lücken, die bleiben, gefunden und geschlossen.
- Admin-Zugriffe Admin-Rechte für wenige, namentlich; Passwörter im Tresor; jede Nutzung protokolliert. Unsere eigenen Zugänge zuerst.
- Backups und Wiederherstellungstests Gesichert, gezielt wiederhergestellt, bevor Sie es brauchen, mit Datum, so lange aufbewahrt, wie Sie müssen.
- Sicherheitsmonitoring Geräte, Anmeldungen und Systeme zentral überwacht; was das Monitoring gefunden hat, von unseren Technikern ausgewertet, und was wir geändert haben.
- Berechtigungsprüfung Wer was öffnen kann, mit Ihnen geprüft, damit Zugriffe aus dem letzten Jahr nicht still bestehen bleiben.
- Notfall und Sicherheitsvorfall Wenn jemand klickt oder ein Server eine Lösegeldforderung zeigt: jedes Mal dieselbe Reihenfolge, die im Protokoll endet.
- Die Nachweismappe Was Ihr Unternehmen schützt, so aufgeschrieben, wie es ist, bereit an dem Tag, an dem Versicherer, Mandanten oder Prüfer fragen.
- Fragebögen von Versicherern und Mandanten Die Sicherheitsfragebögen Ihres Versicherers und Ihrer Mandanten und Kunden, beantwortet mit dem, was heute stimmt, die Lücken vor der Verlängerung geschlossen.
- Anbieterwechsel ohne Hintertür Software und Zugänge des bisherigen Dienstleisters entfernt, mit schriftlicher Prüfung, dass niemand einen Zugang behält.
Häufige Fragen
Braucht jetzt jede Anmeldung mein Telefon?
Nein. Auf einem verwalteten Gerät an einem Ort, von dem aus Sie arbeiten, verlangt ein normaler Arbeitstag nichts Zusätzliches. Der zweite Faktor wird abgefragt, wenn etwas nicht passt, und wenn sich jemand auf einem neuen Gerät anmeldet.
Was passiert, wenn jemand sein Telefon verliert?
Die Person sagt uns Bescheid, wir prüfen, wer sie ist, und richten den Faktor auf dem neuen Telefon ein. Das alte wird aus dem Konto entfernt. Niemandem wird der Faktor abgeschaltet, um Zeit zu sparen.
Und Konten, die keine Menschen sind: Sammelpostfächer, Scanner, das Buchungssystem?
Auch sie bekommen einen zweiten Faktor, oder sie verlieren die Anmeldung mit Passwort ganz und bekommen einen engeren Weg für ihre Aufgabe. Ein Konto, das sich mit einem Passwort allein anmelden kann, ist genau das, wonach ein Angreifer sucht.
Können Sie unserem Versicherer belegen, dass es für alle gilt?
Ja. Die Liste der Konten mit ihrem zweiten Faktor, die Ausnahmen mit Grund und Datum und das Datum der letzten Prüfung stehen in Ihrer Nachweismappe.
Start
Welche Ihrer Konten ließen sich mit einem Passwort allein öffnen?
Im Erstgespräch gehen wir jede Art von Konto durch, die Ihr Unternehmen hat: welche heute einen zweiten Faktor haben und wie die übrigen einen bekämen, ohne dass jemand aufhört zu arbeiten.
- Kein First Level
- Keine Überraschungen
- Erst testen, dann entscheiden