Latest / IT ohne Drama – der kjello-Podcast / Zwei-Faktor-Authentifizierung: Einführen ohne Murren

Transcript

Zwei-Faktor-Authentifizierung: Einführen ohne Murren · IT ohne Drama – der kjello-Podcast

• 0:04
  Lena: Bei uns heißt es seit zwei Jahren, der zweite Faktor kommt bald.
• 0:08
  Lena: Und jedes Mal kippt es, weil alle stöhnen.
• 0:11
  Jonas: Genau darum geht es heute: Zwei-Faktor-Authentifizierung einführen, ohne Murren und ohne dass am Montag die halbe Firma ausgesperrt ist.
• 0:19
  Jonas: Gemeint ist eine zweite Bestätigung neben dem Kennwort.
• 0:22
  Jonas: Meist ist das eine App auf dem Telefon, manchmal ein kleiner Schlüssel für den Schlüsselbund.
• 0:27
  Lena: Lohnt sich der Ärger überhaupt?
• 0:29
  Lena: Unsere Kennwörter sind lang genug.
• 0:31
  Jonas: Ein langes Kennwort hilft nicht, wenn es gestohlen wird.
• 0:34
  Jonas: Eine Studie von Microsoft aus zweitausenddreiundzwanzig zeigt: Mit zweitem Faktor sinkt das Risiko einer Kontoübernahme um gut neunundneunzig Prozent.
• 0:42
  Jonas: Und selbst bei Konten, deren Kennwort schon in fremde Hände geraten war, lag der Wert noch bei über achtundneunzig Prozent.
• 0:49
  Lena: Und wer verlangt das von mir?
• 0:50
  Lena: Oder ist das nur eine Empfehlung?
• 0:52
  Jonas: Microsoft verlangt den zweiten Faktor schon für die eigenen Verwaltungsportale, schrittweise seit Oktober zweitausendvierundzwanzig.
• 1:00
  Jonas: Beim Verwaltungsportal von Microsoft 365 folgte das ab Februar zweitausendfünfundzwanzig, und abwählen lässt es sich nicht.
• 1:07
  Lena: Das betrifft dann ja nur die IT.
• 1:09
  Lena: Und der Rest der Firma?
• 1:11
  Jonas: Für alle Konten rät das Bundesamt für Sicherheit in der Informationstechnik: zweiter Faktor überall, wo er angeboten wird.
• 1:18
  Jonas: Und abschalten soll man ihn nie wieder.
• 1:21
  Lena: Und was nehme ich aus dieser Folge mit?
• 1:23
  Jonas: Drei typische Fälle: der Stichtag per Rundmail, die Ausnahmen für Chef und Sammelkonto und die Bestätigung, die keiner angefordert hat.
• 1:30
  Jonas: Am Ende stehen drei Schritte für Ihren Einführungsplan.
• 1:34
  Lena: Fangen wir mit dem an, was ich am liebsten machen würde.
• 1:36
  Lena: Freitag eine Rundmail, ab Montag gilt der zweite Faktor für alle.
• 1:40
  Jonas: Ein typischer Fall: Eine Firma mit fünfzig Leuten schaltet an einem Freitag die Sicherheits-Grundeinstellungen von Microsoft ein.
• 1:46
  Jonas: Die sind kostenlos, aber nur ganz an oder ganz aus.
• 1:49
  Jonas: Eine Schonfrist gibt es dabei seit Juli zweitausendvierundzwanzig nicht mehr.
• 1:53
  Jonas: Wer sich am Montag anmeldet, muss die App sofort einrichten.
• 1:56
  Lena: Und was passiert dann am Montag?
• 1:58
  Jonas: Fünfzig Leute richten gleichzeitig eine App ein, und bei der IT steht das Telefon nicht still.
• 2:03
  Jonas: Wer sein Handy zu Hause hat oder keins für die Firma nutzen will, kommt nicht an seine Mails.
• 2:08
  Lena: Also lieber gar nicht?
• 2:09
  Lena: Das kann es ja auch nicht sein.
• 2:11
  Jonas: Doch, nur in der richtigen Reihenfolge: erst einsammeln, dann einschalten.
• 2:15
  Jonas: Microsoft stellt sogar fertige Vorlagen bereit, mit denen Sie die Umstellung vorher ankündigen.
• 2:20
  Lena: Was heißt einsammeln?
• 2:21
  Lena: Ich gehe ja nicht mit einer Liste durchs Büro.
• 2:24
  Jonas: Jeder richtet die App vorher selbst ein, auf einer Seite von Microsoft unter Sicherheitsinformationen.
• 2:29
  Jonas: Mit Business Premium, einer größeren Microsoft-365-Lizenz, sieht die IT in einem Bericht, wer schon fertig ist und wer nicht.
• 2:36
  Lena: Und wer fängt an?
• 2:38
  Lena: Die IT?
• 2:39
  Jonas: Die Geschäftsführung.
• 2:40
  Jonas: Wer die meisten Rechte hat, braucht den besten Schutz, und es nimmt dem Murren im Haus den Wind aus den Segeln.
• 2:46
  Lena: Und danach alle auf einmal?
• 2:48
  Jonas: Besser Gruppe für Gruppe.
• 2:49
  Jonas: Dafür gibt es Zugriffsregeln, die erst einmal nur beobachten: Sie protokollieren, wen sie getroffen hätten, sperren aber niemanden.
• 2:56
  Jonas: Microsoft zeigt die Wirkung wahlweise für einen Tag, eine Woche oder einen Monat.
• 3:00
  Jonas: Erst wenn dort niemand mehr hängen bleibt, wird die Regel scharf geschaltet.
• 3:04
  Lena: Klingt nach Lizenzkosten.
• 3:06
  Lena: Was brauche ich dafür?
• 3:07
  Jonas: Zugriffsregeln brauchen eine größere Microsoft-Lizenz.
• 3:10
  Jonas: In Business Premium sind sie enthalten.
• 3:13
  Lena: Und ohne Business Premium?
• 3:15
  Jonas: Dafür hat Microsoft die kostenlosen Grundeinstellungen vorgesehen.
• 3:18
  Jonas: Die schützen auch, nur eben alle auf einmal und ohne Probelauf.
• 3:22
  Lena: Meine Leute fragen als Erstes: Muss ich das jetzt bei jeder Anmeldung machen?
• 3:27
  Jonas: Nein, und das ist die wichtigste Botschaft gegen das Murren.
• 3:30
  Jonas: In Office-Programmen fragt Microsoft ab Werk in der Regel erst wieder nach neunzig Tagen ohne Nutzung oder nach einem neuen Kennwort.
• 3:37
  Lena: Wäre öfter fragen nicht sicherer?
• 3:39
  Jonas: Davor warnt Microsoft ausdrücklich.
• 3:41
  Jonas: Wer ständig gefragt wird, gibt seine Anmeldedaten irgendwann ohne Nachdenken ein, auch auf einer gefälschten Seite.
• 3:48
  Lena: Und wenn sich bei der Umstellung die IT selbst aussperrt?
• 3:52
  Lena: Wer kommt dann noch rein?
• 3:54
  Jonas: Dafür empfiehlt Microsoft mindestens zwei Notfallkonten, die keiner einzelnen Person gehören.
• 3:58
  Jonas: Sie werden mit einem Sicherheitsschlüssel geschützt und an getrennten, sicheren Orten verwahrt.
• 4:03
  Lena: Warum ein Schlüssel?
• 4:04
  Lena: Die App hätte doch auch gereicht.
• 4:06
  Jonas: Weil auch Notfallkonten seit Microsofts Pflicht für die Verwaltungsportale einen zweiten Faktor brauchen.
• 4:11
  Jonas: Und der soll nicht am Handy eines einzelnen Mitarbeiters hängen.
• 4:15
  Lena: Das klingt nach einem Generalschlüssel für die ganze Firma.
• 4:18
  Lena: Wer darf da ran?
• 4:19
  Jonas: Das legt die Geschäftsführung schriftlich fest.
• 4:22
  Jonas: Und mindestens alle neunzig Tage wird geprüft, ob die Notfallkonten noch funktionieren.
• 4:27
  Lena: Zweiter Fall: die Ausnahmen.
• 4:29
  Lena: Bei uns hieß es sofort, der Chef braucht das nicht, das Lager hat keine Diensthandys, und ans Info-Postfach müssen drei Leute.
• 4:39
  Jonas: Jede Ausnahme ist eine offene Tür, und Angreifer suchen genau diese eine.
• 4:44
  Jonas: Fangen wir beim Chef an, denn der hat meist die weitesten Rechte.
• 4:47
  Lena: Er sagt, er hat für so etwas keine Zeit.
• 4:50
  Jonas: Der IT-Grundschutz des Bundesamts sagt: Konten mit weitreichenden Rechten sollen mit mehreren Faktoren geschützt werden.
• 4:56
  Jonas: Microsoft fragt Verwaltungskonten in den Grundeinstellungen sogar bei jeder Anmeldung.
• 5:01
  Lena: Und das Lager?
• 5:02
  Lena: Ich kann doch nicht verlangen, dass jemand sein privates Handy dafür hergibt.
• 5:07
  Jonas: Ob Sie das verlangen dürfen, klären Sie mit Personal und, falls vorhanden, dem Betriebsrat.
• 5:12
  Jonas: Oft hilft es, vorher zu erklären, was die App überhaupt sieht.
• 5:16
  Lena: Und was sieht sie?
• 5:17
  Jonas: Laut Microsoft schickt die App von sich aus nur wenige Nutzungsdaten ohne Personenbezug.
• 5:22
  Jonas: Den Standort fragt sie nur ab, wenn die Firma das eigens einstellt, und gemeldet wird ihr dann nur das Land.
• 5:28
  Lena: Und wer trotzdem nicht will?
• 5:30
  Jonas: Der bekommt einen Sicherheitsschlüssel, ein kleines Gerät für den Schlüsselbund.
• 5:34
  Jonas: Bei einem großen Hersteller kostet so ein Schlüssel rund fünfunddreißig Euro.
• 5:37
  Lena: Bei fünfzig Leuten wären das aber gut siebzehnhundert Euro.
• 5:41
  Jonas: Für alle braucht es ihn nicht, die meisten nehmen die App.
• 5:44
  Jonas: Den Schlüssel bekommen die, die nicht wollen oder kein Handy haben, und die Notfallkonten.
• 5:48
  Lena: Hat der Schlüssel einen Haken?
• 5:50
  Jonas: Die IT muss ihn eigens freischalten, mit den kostenlosen Grundeinstellungen geht nur die App.
• 5:55
  Jonas: Dafür gilt er als besonders sicher gegen gefälschte Anmeldeseiten.
• 5:59
  Lena: Und eine SMS?
• 5:59
  Lena: Ein Handy hat doch fast jeder, notfalls ein altes.
• 6:03
  Jonas: Geht, ist aber die schwächste Wahl.
• 6:05
  Jonas: Microsoft baut sogar eigene Erinnerungen, die Nutzer von SMS und Anruf zu sichereren Verfahren bringen sollen.
• 6:11
  Lena: Warum schwächer?
• 6:12
  Lena: Die SMS kommt doch auf mein eigenes Handy.
• 6:14
  Jonas: Auf die Rufnummer, nicht aufs Handy.
• 6:16
  Jonas: Die amerikanische Cyberbehörde beschreibt Angreifer, die sich beim Mobilfunkanbieter die Nummer ihres Opfers auf eine eigene SIM-Karte übertragen ließen.
• 6:25
  Lena: Bleibt das Info-Postfach.
• 6:26
  Lena: Da melden sich drei Leute mit demselben Kennwort an.
• 6:30
  Jonas: Das ist die gefährlichste Ausnahme, denn ein zweiter Faktor gehört zu einer Person, nicht zu dreien.
• 6:36
  Jonas: Microsoft sieht dafür ein freigegebenes Postfach vor, das jeder mit seinem eigenen Konto öffnet.
• 6:41
  Lena: Und was kostet mich das?
• 6:43
  Jonas: Bis fünfzig Gigabyte braucht so ein Postfach keine eigene Lizenz.
• 6:46
  Jonas: Die direkte Anmeldung am Postfach selbst soll laut Microsoft immer gesperrt bleiben.
• 6:51
  Lena: Und unser Scanner, der Mails verschickt?
• 6:53
  Lena: Der kann ja keine App bedienen.
• 6:55
  Jonas: Der meldet sich oft noch auf dem alten Weg an, nur mit Name und Kennwort.
• 7:00
  Jonas: Solche alten Anmeldewege kennen keinen zweiten Faktor, deshalb sperren Microsofts Grundeinstellungen sie.
• 7:06
  Lena: Dann kommt am Montag kein Scan mehr an.
• 7:09
  Jonas: Genau deshalb gehört er vor dem Stichtag auf die Liste.
• 7:12
  Jonas: Microsoft beschreibt für Scanner eigene Wege, die ganz ohne Personenkonto auskommen.
• 7:18
  Lena: Dritter Fall: Abends fragt das Handy einer Mitarbeiterin, ob sie eine Anmeldung bestätigt.
• 7:23
  Lena: Sie hat sich aber gar nicht angemeldet.
• 7:26
  Jonas: Dann kennt jemand ihr Kennwort, und der zweite Faktor hat gerade genau seine Arbeit getan.
• 7:30
  Jonas: Gefährlich wird es erst, wenn sie bestätigt.
• 7:33
  Lena: Warum sollte sie etwas bestätigen, das sie nicht ausgelöst hat?
• 7:37
  Jonas: Weil die Anfragen immer wieder kommen.
• 7:39
  Jonas: Die amerikanische Cyberbehörde beschreibt eine Gruppe, die so lange Anfragen schickte, bis Mitarbeitende auf Annehmen drückten.
• 7:45
  Lena: Lässt sich das technisch verhindern?
• 7:47
  Jonas: Weitgehend.
• 7:48
  Jonas: In Microsofts App muss man inzwischen eine Zahl eintippen, die auf dem Anmeldebildschirm steht, und die sieht nur, wer sich selbst anmeldet.
• 7:55
  Lena: Und wenn jemand noch eine alte Version der App hat?
• 7:58
  Jonas: Dann klappt die Anmeldung gar nicht mehr, denn abschalten lässt sich dieser Zahlenabgleich nicht.
• 8:03
  Jonas: Die App gehört also zu den Programmen, die immer aktuell gehalten werden.
• 8:07
  Lena: Und was macht die Mitarbeiterin jetzt konkret?
• 8:10
  Lena: Einfach ablehnen und schlafen gehen?
• 8:12
  Jonas: Ablehnen und sofort melden, auch spätabends.
• 8:15
  Jonas: Dann wird das Kennwort geändert, denn das kennt ja offensichtlich jemand.
• 8:19
  Lena: Reicht das?
• 8:19
  Lena: Vielleicht ist der Angreifer schon drin.
• 8:21
  Jonas: Ein neues Kennwort beendet laut Microsoft auch laufende Anmeldungen.
• 8:25
  Jonas: Ob vorher schon jemand drin war, prüft die IT in den Anmeldeprotokollen.
• 8:30
  Lena: Und wenn der Angreifer andersherum kommt?
• 8:33
  Lena: Er ruft beim Support an und sagt, er hat ein neues Handy.
• 8:37
  Jonas: Genau so ging eine Gruppe vor, die Microsoft zweitausenddreiundzwanzig beschrieben hat.
• 8:41
  Jonas: Sie gab sich am Telefon als Mitarbeiter aus, teils sogar als neue, und ließ Kennwort und zweiten Faktor zurücksetzen.
• 8:48
  Lena: Woran soll mein Support das denn merken?
• 8:50
  Lena: Die Stimme kennt er vielleicht gar nicht.
• 8:52
  Jonas: An einer festen Regel statt am Bauchgefühl.
• 8:54
  Jonas: Zurückgesetzt wird nur nach Rückruf über die hinterlegte Nummer oder nach Bestätigung durch die Führungskraft.
• 9:00
  Lena: Ist das nicht übervorsichtig?
• 9:01
  Lena: Der Kollege steht ja vielleicht wirklich ohne Zugang da.
• 9:04
  Jonas: Der IT-Grundschutz sieht für das Zurücksetzen von Kennwörtern ein festgelegtes, sicheres Verfahren und geschulte Leute vor.
• 9:11
  Jonas: Und die britische Cyberbehörde rät nach Angriffen auf Händler, zu prüfen, wie der Support Anrufer erkennt, bevor er zurücksetzt.
• 9:18
  Lena: Und wie kommt der echte Mitarbeiter mit neuem Handy wieder rein?
• 9:22
  Jonas: Der Support gibt ihm einen befristeten Zugangscode, ab Werk eine Stunde gültig.
• 9:26
  Jonas: Damit richtet er die App neu ein, und das alte Handy wird aus dem Konto entfernt.
• 9:30
  Lena: Und der Code geht dann einfach per Mail raus?
• 9:33
  Jonas: Nein, auch den Code gibt es erst nach der Rückrufregel, persönlich oder am Telefon über die hinterlegte Nummer.
• 9:38
  Jonas: Sonst hält der Angreifer gleich den neuen Zugang in der Hand.
• 9:42
  Lena: Kann man sich den Anruf nicht ganz sparen?
• 9:44
  Lena: Handys werden ja ständig getauscht.
• 9:46
  Jonas: Nur bei denen, die neben der App einen Schlüssel haben: Die richten das neue Handy selbst unter Sicherheitsinformationen ein.
• 9:53
  Jonas: Für alle anderen bleibt der Rückruf, und den Schlüssel als Reserve bekommen vor allem die, die oft das Handy wechseln.
• 9:59
  Lena: Dann bitte zum Schluss: Welche drei Schritte schreibe ich in meinen Plan?
• 10:05
  Jonas: Erstens: erst einsammeln, dann einschalten.
• 10:07
  Jonas: Ankündigen, die App vorher einrichten lassen, Geschäftsführung zuerst, Regeln erst beobachten lassen und zwei Notfallkonten anlegen.
• 10:16
  Jonas: Zweitens: keine Ausnahmen für Personen.
• 10:18
  Jonas: Wer keine App will, bekommt einen Schlüssel, Sammelkonten werden freigegebene Postfächer, und alte Anmeldewege werden vorher umgestellt.
• 10:27
  Jonas: Drittens: Eine Anfrage, die man nicht selbst ausgelöst hat, wird abgelehnt und gemeldet.
• 10:31
  Jonas: Und der Support setzt den zweiten Faktor nur nach Rückruf über die hinterlegte Nummer zurück.
• 10:37
  Lena: Und wenn ich das nicht selbst steuern will?
• 10:39
  Jonas: Dann achten Sie darauf, dass Regeln erst beobachten und dann greifen, damit niemand ausgesperrt wird.
• 10:44
  Jonas: Genau so arbeitet kjello: Mit Business Premium wird der zweite Faktor je Person erst eingeschaltet, wenn die App eingerichtet ist.