Identität ist nicht genug: Moderne Sicherheit hängt vom Kontext des Gerätes ab

Seit Jahren wurde Identität als Eckpfeiler der Sicherheit in Unternehmen angenommen: Wenn das System überprüfen konnte, wer eintritt, wurde angenommen, dass der Zugang ohne weitere Reparatur gewährt werden könnte. Diese Logik funktionierte, als Mitarbeiter von Unternehmensteams an kontrollierten Netzwerken und an vorhersehbaren Zeiten arbeiteten. Heute hat sich das Bild jedoch radikal verändert und die Sicherheit auf Identitätsbasis ist angesichts der Realität der modernen Arbeitskräfte unzureichend.

Die Arbeit geschieht nicht mehr an einem einzigen Ort oder an einem einzigen Gerät. Menschen, die von zu Hause, Kaffee-Shops, Corporate Laptops, persönliche Geräte oder Drittanbieter-Geräte verbinden, machen den Kontext jeder Verbindung viel variabler. Eine erfolgreiche Authentifizierung sagt uns "Wer" zugreift, aber sie informiert uns nicht zuverlässig über "was Risiko", das der Zugriff impliziert..

Dies ist von entscheidender Bedeutung: derselbe Benutzer, der sich aus einem gepatelten und verwalteten Team einloggt, stellt ein ganz anderes Risiko dar, als derjenige, der sich ohne Updates, ohne Sicherheitskontrollen oder direkt kompromittiert von einem Computer einloggt. Viele Zugangsmodelle gewähren jedoch weiterhin Privilegien, die hauptsächlich auf Identität basieren und den Zustand des Geräts als sekundär oder statisch verlassen. Infolgedessen wird das Vertrauen auch erhalten, wenn der Endpunkt Ihr Risikoprofil nach dem Login verschlechtert.

Die Angreifer wissen und nutzen es. Eine starke Authentifizierung oder Verletzung von MFA ist oft teurer als die Wiederverwendung von gültigen Anmeldeinformationen oder Sitzungstoken oder die Ausnutzung nicht geschützter Geräte. Der Vorfallbericht von Verizon zeigt eindeutig die Beharrlichkeit des Problems: Die gestohlenen Anmeldeinformationen sind an einem sehr hohen Prozentsatz der festgestellten Lücken beteiligt ( Verizon DBIR) Dies unterstreicht, dass die Herausforderung nicht nur "den Impostor zu erkennen", sondern auch "den Kontext zu überprüfen, aus dem der Zugriff stattfindet".

Darüber hinaus gibt es Zugriffsstraßen, die historisch aus modernen konditionierten Richtlinien hinterlassen wurden: alte Protokolle, Remote Access Tools oder nicht-Browser-basierte Ströme erhalten oft weniger kontextuelle Überprüfung. Wenn Identitäts- und Endpunktsignale in Silos behandelt werden - verschiedene Werkzeuge, die keinen Kontext teilen - wird die Sicht fragmentiert und Entscheidungen sind unvereinbar.

Die Sicherheitsgemeinschaft hat seit langem Prinzipien von "Zero Trust" gefördert, die von nicht selbstverständlich ausgehen, dass etwas durch Zugehörigkeit zu einem Netzwerk oder durch vorherige Authentifizierung sicher ist. Institutionen wie der NIST dokumentieren diese Ideen und wie sie in modernen Architekturen angewendet werden sollen ( NIST SP 800-207), und Plattformanbieter veröffentlichen Anleitungen, um sie umzusetzen ( Microsoft Zero Trust) Die reale Adoption stolpert jedoch auf die technische Komplexität und Reibung, die Sicherheit in die tägliche Arbeit einführen kann.

Damit Zero Trust am Arbeitsplatz arbeiten kann, reicht es nicht aus, die Nutzer zu authentifizieren: die Bedingungen von Endpoint und Umgebung müssen kontinuierlich überprüft werden. Der Zustand eines Geräts ändert sich oft: Konfigurationen, die nicht mehr sicher sind, Sicherheitskontrollen ausschalten, anhängige Patches. Ist die Überprüfung sofort vom Login begrenzt, bleibt das Vertrauen, da das Risiko des Gerätes viel später steigen kann. Aus diesem Grund sind die Lösungen, die Zugriffsentscheidungen über Identität hinaus ausdehnen und während der gesamten Sitzung aufrecht erhalten, immer häufiger.

Diese kontinuierliche Überprüfung bedeutet nicht, dass die Sicherheit ein Hindernis ist. Im Gegenteil, die besten Ansätze versuchen, Schutz und Usability auszugleichen. Dies ist es, gezielte Abhilfemaßnahmen zu ermöglichen, die der Nutzer selbst implementieren kann, Richtlinien, die die Reaktion nach dem Risiko messen und kontrollieren, die zwischen Unternehmens-, persönlichen oder Drittendpunkten unterscheiden. Dies reduziert die Fähigkeit von Angreifern, gültige Anmeldeinformationen von unzuverlässigen Geräten zu nutzen, ohne die legitime Arbeit von Individuen zu unterbrechen.

Praktische Beweise weisen darauf hin, dass die Widerstandsfähigkeit bei kontinuierlicher Integration und Bewertung der Identitäts- und Endpunktkontrollen verbessert wird. Organisationen und Lieferanten sind Bauwerkzeuge, die den Zustand der Ausrüstung in Echtzeit inspizieren und den Zugang begrenzen oder anpassen können, ohne die Produktivität vollständig zu reduzieren. Zum Beispiel gibt es Plattformen, die die Anwendung von gerätekonformen Einschränkungen erlauben, automatische Abhilfeschritte bereitstellen und die Überprüfung während der gesamten Sitzung unter Windows, macOS, Linux und Handy beibehalten.

Es ist auch wichtig zu verstehen, warum einige Bereiche anfälliger bleiben: veraltete Protokolle oder legalisierte Anwendungen, die nicht mit fortschrittlichen Kontrollen kompatibel sind, stellen weiterhin zugängliche Vektoren für Angreifer dar. In ähnlicher Weise haben Techniken wie Session-Tokens Missbrauch oder "MFA-Ermüdungskampagnen" gezeigt, dass die schwache Verbindung nicht immer im Passwort ist, sondern wie sie angewendet und das Vertrauen erhalten bleibt. Institutionen wie die United States Infrastructure and Cybersecurity Agency (CISA) und Industrieorganisationen geben praktische Empfehlungen aus, um diese Risiken zu mindern und die Verteidigung gegen Sitzungs- und Authentifizierungsmißbrauch zu stärken ( CISA)

Für Unternehmen ist die Frage nicht mehr, ob sie Identität vertrauen sollten und es wird, wie man dieses Vertrauen mit Geräten und Kontextsignalen in Echtzeit artikuliert. Es gibt Handelslösungen, die beide Dimensionen integrieren und dynamische Politiken vorschlagen, die an die Bedingungen angepasst sind. Ein Beispiel für einen Anbieter in diesem Raum ist Spacups, die kontinuierliche Verifikationsfähigkeiten und endpoint state-basierte Kontrollen durch Technologien wie Infinipoint integriert. Diese Vorschläge wollen Zero anwenden Vertraue nicht nur darüber, wer authentisch ist, sondern auch darüber, wo und unter welchen Bedingungen ( Spacups, Infinipoint)

Als Journalist nach der Entwicklung der Cybersicherheit sehe ich, dass die Agenda für die kommenden Jahre klar ist: Organisationen müssen aufhören, Identität als absolute Garantie zu behandeln und Kontrollen zu entwerfen, die die Endpunktgesundheit und den Kontext des Zugangs kontinuierlich berücksichtigen. Diese Transformation erfordert Investitionen in die Integration zwischen Werkzeugen, die Neudefinition von Support-Prozessen, um agile Heilmittel bereitzustellen und vor allem Menschen zu informieren, warum diese Veränderungen notwendig sind. Effektive Sicherheit ist nicht, den legitimen Benutzer zu stoppen, sondern legitimen Zugang auch sicher zu machen.

Wenn Ihr Team die Zugangsstrategie neu überlegt, sollten Sie Referenzressourcen für Zero Trust und Identitätsmanagement überprüfen, technische Optionen kontrastieren und Piloten prüfen, die Auswirkungen auf Sicherheit und Produktivität messen. In einer Umgebung, in der die Anmeldung oft einfacher ist, als eine Lücke zu zwingen, Die relevante Frage ist nicht mehr "Wer ist es?" sondern "von was und mit welchem Grad des Vertrauens?"