Zum Hauptinhalt springen

Administrative Zugriffskontrolle

Diese Seite beschreibt, wie das interne Sally-Team privilegierten Zugriff auf die Produktivumgebung erhält und wie dieser Zugriff abgesichert ist. Administrative Zugriffe sind das schärfste Werkzeug im Koffer und deshalb am stärksten weggesperrt. Nur eine kleine Gruppe autorisierter Aliru-Mitarbeitender darf zugreifen, ausschließlich von zentral verwalteten Firmengeräten, ausschließlich über authentifizierte und verschlüsselte Kanäle, und jede Aktion wird protokolliert.

Zugriffskanal
VPN + MFA
Endgeräte
Nur verwaltet
Autorisierung
RBAC + Least Privilege
Break-Glass
Entra ID, isoliert

Was „administrativ" umfasst​

Produktive Anwendungskomponenten, Infrastruktur und Cloud-Ressourcen, Verwaltungsoberflächen und Konfigurationsschnittstellen, Monitoring- und Logging-Systeme, Datenbanken und Speicher sowie alle sicherheitsrelevanten Admin-Zugänge.

Schutz privilegierter Zugriffe​

✓
VPN für administrativen Remote-Zugriff
Administrativer Remote-Verkehr läuft über das Firmen-VPN. Eine direkte Exposition administrativer Oberflächen ins öffentliche Internet ist nicht zulässig.
✓
Multi-Faktor-Authentifizierung (MFA)
MFA ist Pflicht für jeden administrativen und systemseitigen Login.
✓
Rollenbasierte Zugriffskontrolle (RBAC)
Rechte werden nach Rolle vergeben und auf das für die Aufgabe erforderliche Minimum begrenzt.
✓
Need-to-know und Least Privilege
Zugriffe auf Produktivsysteme bekommen nur ausdrücklich autorisierte Personen nach dem Least-Privilege-Prinzip.
✓
Verwaltete Endgeräte
Alle Arbeitsplatzrechner sind zentral über Microsoft Intune verwaltet. Nicht verwaltete oder nicht konforme Geräte sind ausgeschlossen.
✓
Microsoft Defender for Endpoint
Erweiterte Bedrohungserkennung und -abwehr ist auf jedem verwalteten Gerät aktiv, ergänzt um Defender Antivirus.
✓
Conditional Access
Administrative Zugriffe sind über Entra Conditional Access auf konforme Geräte und die richtigen Zugriffsbedingungen beschränkt.
✓
Umfassende Protokollierung
Administrative Aktivitäten werden über Entra-ID-Sign-In- und Audit-Logs, Microsoft-365-Unified-Audit-Log, Intune-Audit-Logs, Defender-Security-Logs und plattformspezifische Ereignisprotokolle protokolliert.

Der administrative Einstiegspfad​

Der heutige Weg in produktive Administration: VPN plus MFA plus RBAC auf einem verwalteten, konformen Firmengerät. Diese Kombination authentifiziert die Person, verschlüsselt den Kanal, beschränkt das Endgerät und erzwingt die richtige Posture über Conditional Access.

Wir sind transparent, was heute noch nicht implementiert ist: Ein dedizierter Bastion- oder Jump-Host und ein physisch getrenntes Verwaltungsnetz existieren aktuell nicht. In deren Abwesenheit sind die gestapelten Kontrollen oben (VPN, MFA, RBAC, verwaltete Endgeräte mit Intune und Defender, Conditional Access und vollständige Protokollierung) die Leitplanken um privilegierte Zugriffe.

Break-Glass-Accounts​

Für Notfälle (Ausfall regulärer Admin-Zugänge, MFA-Provider-Ausfall) gibt es dedizierte Break-Glass-Accounts in Microsoft Entra ID. Sie sind gesondert abgesichert, auf einen sehr kleinen berechtigten Personenkreis beschränkt, werden im Regelbetrieb nicht genutzt, und jede Anmeldung und Nutzung wird über Entra-ID-Sign-In- und Audit-Logs protokolliert. Berechtigungen, Zugangsdaten und Funktionsfähigkeit werden regelmäßig überprüft.

Vergabe und Entziehung privilegierter Rechte​

Die technische Leitung genehmigt administrative Rechte und entzieht sie auch wieder, insbesondere bei Austritt, Rollenwechsel oder wegfallender Erforderlichkeit. Da administrative Aktivitäten fortlaufend überwacht und protokolliert werden, läuft aktuell kein separater zyklischer Reviewprozess privilegierter Konten.

Passende Seiten​