Das Konto, mit dem jemand Mail liest, Anhänge öffnet und im Browser arbeitet, darf nicht dasselbe Konto sein, das die Domäne, die Cloud oder die Sicherung verwaltet. Schadsoftware und erschlichene Anmeldungen treffen zuerst das Konto, das gerade benutzt wird. Liegt die Verwaltung woanders, bleibt ein Vorfall am Arbeitsplatz ein Vorfall am Arbeitsplatz. Die Trennung ist unbequem für genau eine Anmeldung am Tag und entlastend in jedem anderen Fall.
Das eine Konto, das alles darf
In kleinen Betrieben ist das Konto der Geschäftsführung oder der einen technischen Person historisch gewachsen. Es ist Postfach, lokales Verwaltungsrecht und Cloud-Verwaltung zugleich, weil die Ersteinrichtung so am schnellsten ging. Jede spätere Ausnahme dockt dort an. Dienstkonten der Zeiterfassung oder des Backups landen in der Gruppe der Domänenverwaltung, weil ein Recht gefehlt hat und die große Gruppe das Symptom beseitigt hat. Danach kann jedes dieser Konten alles.
Die Trennung bedeutet ein Alltagskonto ohne Verwaltungsrecht und ein zweites Konto, das nur für Verwaltungsaufgaben angemeldet wird. Das Verwaltungskonto hat keine externe Mail oder empfängt zumindest keine gewöhnliche Post. Sein Kennwort ist eigenständig und liegt im Passwortmanager, nicht auf einem Zettel unter der Tastatur. Lokale Verwaltungskennwörter der Geräte sind nicht überall gleich. Für sehr kleine Umgebungen ist das zweite Konto der notwendige Schritt. Ein eigener Verwaltungsarbeitsplatz ist die strengere Form, wenn mehr als eine Person verwaltet.
Alltagsarbeit und Verwaltung auf getrennte Anmeldungen legen
- Liste. Schreiben Sie auf, welche Konten Domäne, Cloud, Firewall, Backup und Geräteverwaltung dürfen.
- Trennen. Legen Sie für Personen, die verwalten, ein Alltagskonto und ein Verwaltungskonto an.
- Mail. Nehmen Sie dem Verwaltungskonto die gewöhnliche externe Post, damit niemand damit Anhänge öffnet.
- Dienste. Holen Sie Dienstkonten aus der Gruppe der Domänenverwaltung und geben Sie nur das Recht, das der Dienst braucht.
- Geräte. Vergeben Sie lokale Verwaltungskennwörter je Gerät und legen Sie sie im Firmentresor ab, nicht als ein gemeinsames Wort.
Die Trennung wirkt erst zusammen mit Mehrfaktor am Verwaltungskonto. Ein zweites Kennwort, das im Browser des Alltagskontos gespeichert ist, zieht die Trennung wieder ein. Deshalb liegt das Verwaltungskennwort im Firmentresor und wird nicht am täglich genutzten Profil zum Automatismus. Wer verwaltet, meldet sich bewusst an und danach wieder ab.
Woran Projekte in der Praxis scheitern
- Das Postfach der Geschäftsführung als einziges Verwaltungskonto der Cloud weiterverwenden.
- Dienstkonten in die Domänenverwaltung aufnehmen, weil eine einzelne Berechtigung gefehlt hat.
- Ein gemeinsames lokales Verwaltungskennwort auf allen Geräten setzen.
- Das Verwaltungskennwort im Browser des Alltagskontos speichern.
Beispiel aus dem Betriebsalltag
Bei einem Dienstleister mit eigenem Büro in Wien las die technische Ansprechperson ihre Mail mit dem Konto, das auch die Domäne verwalten durfte. Ein Dienstkonto der Sicherung war in derselben Gruppe, weil ein Skript einmal gescheitert war. Wir haben ein Verwaltungskonto ohne Alltagsmail angelegt, das Dienstkonto auf die Rechte der Sicherung zurückgeschnitten und die lokalen Gerätekennwörter vereinzelt im Tresor abgelegt. Die Mail der Person blieb auf dem Alltagskonto.
Kurze Entscheidungshilfe
- Gibt es ein Postfach, das zugleich die Cloud oder die Domäne verwaltet?
- Liegen Dienstkonten in der Gruppe mit den weitesten Rechten?
- Sind lokale Verwaltungskennwörter je Gerät verschieden und im Tresor auffindbar?
- Kann die Person, die verwaltet, ihre gewöhnliche Mail ohne das Verwaltungskonto lesen?
Wenn die Trennung von Alltags- und Verwaltungskonten bei Ihnen ansteht, klären wir den Umfang unverbindlich: IT-Sicherheit. Passwortmanager in der Firma Alternativ direkt Kontakt aufnehmen oder die häufigen Fragen lesen.