warum Anwender und strukturelle Schwächen der Benutzerverwaltung zum Sicherheitsrisiko für Unternehmen werden;
wie ein Identity- und Access-Management diese Probleme löst;
wie man in ein Identityund Access-Management einsteigen kann.
Der "Deloitte Global Security Survey 2006", eine von Deloitte Touche Tohmatsu jährlich vorgenommene Befragung der 150 weltweit führenden Unternehmen im Finanzsektor, gibt an, dass 96 Prozent aller kontaktierten Chief Information Officers und Chief Information Security Officers die autorisierten Benutzer innerhalb der firmeneigenen IT-Infrastruktur als Sicherheitsrisiko ansehen.
Dies ist keineswegs unbegründet, denn Firmennetze sind heute in der Regel technisch gut abgesichert und stützen sich auf erprobte Sicherheitsmechanismen, die nur mit großem Aufwand umgangen oder überwunden werden können. Daher suchen Hacker nach alternativen Methoden, unerlaubten Zugriff auf ihr Ziel zu erhalten. Das schwächste Glied in dieser Kette sind bekanntermaßen die eigenen Anwender. Sie sind sich oft weder über die möglichen Gefahren bewusst, noch sind sie auf dem neuesten Stand bezüglich aktueller Sicherheitsbedrohungen. Dennoch verfügen sie aber häufig über weit reichende Rechte für den Zugriff auf Informationen oder diese zu verändern. Identitätsdiebstahl ist daher eine sehr effektive Methode, in Netzwerke einzudringen, ohne technische Sicherheitsmechanismen überwinden zu müssen.
Die Techniken der Angreifer entwickeln sich dabei schneller als Sicherheitsbeauftragte die eigenen Mitarbeiter über neue Gefährdungen aufklären können. Aktuell verursachen Hacker durch so genanntes Spear-Phishing große Schäden. Das sind gezielte Angriffe auf einzelne Unternehmen oder Institutionen mit täuschend echt aussehenden E-Mails, zum Beispiel eines internen Administrators, der dazu auffordert das Passwort zu Wartungszwecken auf einer Website zurückzusetzen.
Der Fokus dieses Angriffs liegt nicht mehr darauf, möglichst viele potentielle Opfer zu erreichen, sondern konzentriert sich auf ein Unternehmen oder eine Institution. Dafür steigt jedoch die Qualität des Angriffs erheblich. Die Global Security Survey 2006 nennt die nackten Zahlen: In den vergangenen zwölf Monaten verzeichneten 78 Prozent aller befragten Unternehmen Sicherheitsvorfälle, die auf externe Ursachen zurückzuführen sind. Phishing- und Social-Engineering-Angriffe konnten in 88 Prozent der Fälle als Ursachen nachgewiesen werden.
