Ein Sicherheitsvorfall wurde zum Wendepunkt für das Identity & Access Management des Kunden. Obwohl das global tätige Unternehmen darauf angewiesen ist, dass externe Partner jeden Tag auf seine Plattform zugreifen, war die Authentifizierung über die Jahre durch immer neue Einzellösungen gewachsen, ohne klares Konzept dahinter. Gemeinsam mit iC Consult hat das Unternehmen dieses Fundament im Rahmen eines Customer Identity and Access Management (CIAM)-Projekts zu einem einheitlichen System umgebaut, das sein Security-Team heute souverän steuern und weiterentwickeln kann.
Inhalt
Steckbrief & Projektüberblick
Kundensteckbrief
Branche: Fertigungsindustrie
Das Unternehmen entwickelt und fertigt seine Produkte für Kunden weltweit. Vertrieb und Support laufen über ein Netzwerk unabhängiger Partner, die dafür eine eigens auf ihre Bedürfnisse zugeschnittene Plattform nutzen.
Nach einem Sicherheitsvorfall musste der Kunde seinen fragmentierten Ansatz für Authentifizierung und Zugriffsmanagement konsolidieren, sein Partnerportal absichern und ein Fundament schaffen, das mit künftigen Anforderungen mitwächst.
Microsoft Entra ID (Azure AD B2C)
Erfolge
Zentrale CIAM-Plattform zum Schutz der täglich genutzten Partneranwendungen
Einheitliches, schlankes Login-Erlebnis für Partner auf der gesamten Plattform
Self-Service Password Reset für Partner und Mitarbeitende: weniger Helpdesk-Aufwand, mehr Sicherheit
Konsolidierte Conditional-Access-Richtlinie als Basis für alle neuen Projekte
Eine Richtlinie für alle Authentifizierungsmethoden: einfachere Administration, skalierbar von Anfang an
Hintergrund
Die Ursache des Vorfalls war schnell gefunden. Die eigentliche Aufgabe kam danach: genau hinzuschauen, wie Identitäten und Zugriffe über die Jahre verwaltet wurden. Dabei zeigte sich, dass das Setup mit dem Unternehmen gewachsen war. Neue Anforderungen waren jeweils mit eigenen Lösungen umgesetzt worden, ein übergreifendes Gesamtkonzept fehlte jedoch.
Einige ältere Security-Tools waren noch im Einsatz, denn ihr Abschalten hätte den Zugang der Partner zur Plattform gefährdet. Auch die Richtlinien in Microsoft Entra ID zum Schutz des Portals passten nicht mehr zu den aktuellen Anforderungen. Hinzu kam eine neue externe Anwendung mit eigenem Schutzbedarf. Conditional-Access-Regeln waren zwar vorhanden, ihr ursprünglicher Zweck aber nicht dokumentiert, was eine fundierte Prüfung erschwerte. Self-Service Password Reset (SSPR) war schon früh eingerichtet worden, wurde aber kaum genutzt. Für das Zurücksetzen von Passwörtern wandten sich Mitarbeitende daher weiterhin an den Helpdesk.
Keiner dieser Punkte hatte den Vorfall allein verursacht. Zusammen zeigten sie aber, dass Authentifizierung und Zugriff nicht länger als Reihe einzelner Entscheidungen behandelt werden konnten. Gefragt war ein stimmiges, gut gesteuertes System. Es sollte die Lücken schließen, die der Vorfall aufgedeckt hatte, und zugleich flexibel genug bleiben, um Partnern einen modernen Login und eine reibungslose Zusammenarbeit zu ermöglichen.
Lösung
Zuerst ein klares Bild
Den Auftakt bildete ein gemeinsames CIAM-Assessment mit iC Consult. Dabei wurde erfasst, wie Identitäten und Zugriffe auf den Partnerplattformen verwaltet wurden. Das Team sah so auf einen Blick, wo sich Altlasten angesammelt hatten und welche Lücken am kritischsten waren. Die nächsten Schritte konnten sich damit gezielt auf die Bereiche mit dem höchsten Risiko konzentrieren.
Sicherer Zugang für Partner
Anschließend baute das Team CIAM-Funktionen auf, die Partnern einen sicheren und benutzerfreundlichen Zugang zum Portal bieten. Dazu gehören die Unterstützung von OpenID Connect sowie ein schlanker Login- und Passwort-Reset-Prozess. Für ein Unternehmen, dessen Geschäft auf einem unabhängigen Partnernetzwerk beruht, ist dieser Zugang kein Komfortmerkmal. Partner nutzen ihn jeden Tag. Ist er sicher und einfach, stärkt er die Partnerschaft, statt ihr im Weg zu stehen.
Die Self-Service-Lücke schließen
Da Self-Service-Tools bisher kaum genutzt wurden, hat das Team SSPR in Microsoft Entra ID reaktiviert und optimiert. Mitarbeitende können ihre Zugangsdaten jetzt selbst verwalten, ohne den Helpdesk einzuschalten. Damit fiel auch ein Engpass weg, der schon die Reaktion auf den ursprünglichen Vorfall verlangsamt hatte. Müssen viele Zugangsdaten schnell zurückgesetzt werden, ist ein Self-Service-Prozess, den die Mitarbeitenden tatsächlich nutzen, schneller und sicherer, als jede Anfrage über die Support-Queue laufen zu lassen.
Eine Richtlinie, volle Transparenz
Mit Unterstützung von iC Consult wurden die fragmentierten Altrichtlinien danach zu einer einzigen Richtlinie für Authentifizierungsmethoden zusammengeführt. Statt vieler Einzelkonfigurationen gibt es jetzt ein einheitliches Framework, das das Security-Team selbst verwalten und erweitern kann. Das vereinfacht nicht nur die Administration, sondern zeigt auch an zentraler Stelle, wie im Unternehmen authentifiziert wird. Damit hat es die Transparenz, die es braucht, um auf künftige Vorfälle schnell zu reagieren. Im letzten Schritt wurden die bestehenden Conditional-Access-Regeln überprüft und die gefundenen Lücken geschlossen. Daraus entstanden außerdem klare Empfehlungen für eine stärkere und transparentere Sicherheitsaufstellung. Das Ergebnis: ein übersichtliches Setup, das das Team jederzeit prüfen und anpassen kann.
Ausblick
Ein Fundament, das trägt
Die neue Authentication Methods Policy gibt dem Sicherheitsteam ein Rahmenwerk, auf dem es aufbauen kann, wenn sich Anforderungen ändern, und erleichtert es, Compliance auch künftig nachzuweisen.
Was als Reaktion auf einen Sicherheitsvorfall begann, wurde zu einer dauerhaften Verbesserung im unternehmensweiten Identitätsmanagement. Das Ergebnis ist ein stärkeres, widerstandsfähigeres Setup, bereit für das, was als Nächstes kommt.