Sicherheit
Fernzugriff härten
· 7Min. Lesezeit
Was die Plattform bereits erzwingt
Beginnen Sie mit dem, was bereits garantiert ist, denn es hängt nicht von Ihrer Konfiguration ab:
- verpflichtende MFA auf jedem Technikerkonto (TOTP, Passkeys, FIDO2);
- TLS 1.3 auf dem einzigen Port 443;
- Sitzungsverschlüsselung mit AES-256-GCM und ECDH-Schlüsseln je Sitzung;
- verpflichtende Nutzerbestätigung vor jeder Dateiübertragung;
- ein hashverkettetes Auditprotokoll.
Härten heißt, diese Garantien richtig zu nutzen, nicht, sie neu zu erfinden.
Die strengste MFA aktivieren
- Bevorzugen Sie für Administratorkonten Passkeys oder einen FIDO2-Schlüssel statt TOTP: Sie widerstehen Phishing.
- Stellen Sie sicher, dass jeder Techniker ein eigenes Konto hat. Gemeinsame Konten schwächen die Prüfbarkeit: Sie wissen nicht mehr, wer was getan hat.
- Verbinden Sie im Business-Plan SAML- oder OIDC-SSO mit Ihrem Identitätsanbieter.
Sitzungen eingrenzen
- Reservieren Sie den unbeaufsichtigten Zugriff für Rechner, für die Sie verantwortlich sind. Siehe Unbeaufsichtigter Zugriff: Konfiguration.
- Nutzen Sie assistierte Sitzungen, sobald eine Person Aktionen bestätigen kann.
- Erinnern Sie Nutzer daran, dass ein sechsstelliger Code nur an die Person geht, die ihnen hilft. Ubidesk startet nie eine Sitzung zu einem Nutzer hin, außer der Nutzer tritt ihr bei.
Das hashverkettete Protokoll nutzen
- Aktivieren Sie den Export des Auditprotokolls in Ihr SIEM vom ersten Tag an: Syslog, Splunk oder Microsoft Sentinel.
- Richten Sie Alarme für sensible Ereignisse ein: Anmeldungen außerhalb der Arbeitszeiten, neue Technikerkonten, Dateiübertragungen.
- Prüfen Sie das Protokoll nach jedem Vorfall, nicht nur bei jährlichen Audits.
Datenspeicherort wählen und festlegen
Wählen Sie die Region (EU, Kanada oder USA) bei der Erstellung des Arbeitsbereichs, entsprechend Ihren gesetzlichen und vertraglichen Pflichten, etwa nach der DSGVO. Eine spätere Änderung bedeutet eine Datenmigration: Entscheiden Sie vor dem Produktivstart.
Sitzungsaufzeichnung
Ab Pro ergänzt die Sitzungsaufzeichnung eine Beweisschicht. Informieren Sie die Nutzer darüber und legen Sie eine Aufbewahrungsfrist fest, die zu Ihren internen Regeln passt.
Abschließende Checkliste
- Passkey- oder FIDO2-MFA für Administratoren
- SSO eingerichtet (Business-Plan)
- SIEM-Export aktiv und Alarme angelegt
- Datenspeicherort gewählt und dokumentiert
- Aufzeichnungsregel definiert und kommuniziert
- Agent-Bestand geprüft, stillgelegte Maschinen entfernt
- Offboarding-Verfahren für Techniker: sofortige Sperrung von Konto und Token