Lieferanten von Maschinen, Telefonie oder Branchensoftware brauchen gelegentlich Zugriff, und dieser Zugriff ist oft der am schlechtesten beschriebene Weg ins Netz. Ein unbeaufsichtigtes Fernwartungswerkzeug mit gemeinsamem Kennwort, das immer bereitsteht, ist bequem für den Termin und unangenehm in jeder anderen Stunde. Begrenzen heißt: eine benannte Person, ein einzelnes Ziel, ein Zeitraum rund um den Termin und eine Spur, dass der Zugriff stattgefunden hat. VYN IT Solution GmbH richtet solche Wege ein, Heigerleinstraße 23, 1160 Wien, [email protected], Telefon +43 1 996 96 33.
Das dauerhaft angemeldete Wartungswerkzeug
Im Bestand finden wir Kennwörter, die am Gerät kleben, Zugänge, die auf das ganze Büronetz zeigen, und Konten, die mehrere Technikerinnen des Herstellers gemeinsam verwenden. Wenn der Lieferant wechselt oder eine Person dort ausscheidet, bleibt der Weg offen, weil er auf keiner Liste steht. Manche Verträge verlangen ausdrücklich einen dauerhaften Zugang. Das ist eine Risikoentscheidung der Geschäftsführung und gehört aufgeschrieben, nicht stillschweigend als technische Normalität übernommen.
Technisch genügt fast immer ein enger Weg: Einwahl mit Mehrfaktor auf einen einzelnen Host oder eine Firewall-Regel auf ein Ziel, aktiv nur solange der Termin läuft. Das Konto des Lieferanten ist kein Konto Ihrer Domänenverwaltung. Sitzungen lassen sich beenden. Unbeaufsichtigte Werkzeuge, die sich nicht vermeiden lassen, bekommen ein eigenes Geheimnis, eine Einschränkung auf bekannte Gegenstellen und liegen in einem Netzbereich, der nicht gleichzeitig die Buchhaltung enthält. Die Zugangsdaten stehen im Firmentresor, nicht auf einem Zettel an der Maschine.
Person, Ziel, Zeit und ein Protokoll
- Liste. Führen Sie jeden externen Zugriff mit Firma, Zweck, Zielgerät und der Person, die ihn bei Ihnen freigibt.
- Konto. Geben Sie personenbezogene Zugänge mit zweitem Faktor, keine gemeinsamen Kennwörter und kein Verwaltungsrecht der Domäne.
- Zeit. Schalten Sie den Weg zum Termin frei und danach wieder aus, statt ihn dauerhaft offen zu lassen.
- Ziel. Erlauben Sie nur das Gerät oder den Dienst, den der Lieferant wirklich braucht, nicht das gesamte interne Netz.
- Ende. Ziehen Sie Konten und Regeln ein, wenn der Vertrag endet oder die Person beim Lieferanten wechselt.
Der Fernzugriff gehört in dieselben Protokolle wie andere Verwaltungsanmeldungen. Wenn eine Sitzung außerhalb eines vereinbarten Termins starten kann, ohne dass jemand bei Ihnen das sieht, ist die Begrenzung nur ein Wunsch. Wir koppeln den Zugang an die Firewall und an den Kalender der Fachabteilung, nicht an ein dauerhaft angemeldetes Symbol in der Taskleiste.
Woran Projekte in der Praxis scheitern
- Ein gemeinsames Kennwort für alle Techniker des Herstellers an der Anlage hinterlassen.
- Den Zugriff auf das ganze Büronetz öffnen, weil das Zielgerät nicht benannt wurde.
- Unbeaufsichtigte Fernwartung auf Arbeitsplätzen der Buchhaltung laufen lassen.
- Den Zugang nach Vertragsende behalten, weil die Regel niemand mehr zuordnen kann.
Beispiel aus dem Betriebsalltag
Ein Maschinenhersteller hatte auf einem Steuerungs-PC ein unbeaufsichtigtes Fernwartungswerkzeug mit einem Kennwort, das mehreren Personen bekannt war. Der PC stand im selben Netz wie die Bürofreigaben. Wir haben den Rechner in einen eigenen Bereich gelegt, den Zugriff auf dieses eine Ziel begrenzt und das Werkzeug nur noch zum vereinbarten Termin aktiviert. Das Kennwort liegt im Firmentresor. Die Wartung bleibt möglich, der stille Dauereinstieg nicht.
Kurze Entscheidungshilfe
- Können Sie jeden Lieferantenzugriff einer Firma und einem Zielgerät zuordnen?
- Ist ein gemeinsames Kennwort für mehrere externe Personen im Umlauf?
- Lässt sich der Zugang nach dem Termin abschalten?
- Steht fest, dass externe Konten kein Verwaltungsrecht über Ihre Domäne haben?
Wenn den Fernzugriff von Lieferanten bei Ihnen ansteht, klären wir den Umfang unverbindlich: Kontakt zu VYN IT. Mehrfaktor für Administratoren Alternativ direkt Kontakt aufnehmen oder die häufigen Fragen lesen.