Kassenanbieter, Aufzugswartung, Branchensoftware und Messgeräte wollen Fernzugriff. Das ist oft berechtigt und wird falsch umgesetzt: ein dauerhaftes VPN auf das ganze Netz, ein gemeinsames Kennwort, ein AnyDesk-Modul, das beim Windows-Start mit startet. Jahre später kennt niemand mehr die Person, die das eingerichtet hat, und der Zugang besteht weiter.

Dauerzugänge, die niemand mehr zuordnen kann

Diese Zugänge sind attraktiv, weil sie an der normalen Benutzerverwaltung vorbeigehen. Ein ausgeschiedener Techniker des Lieferanten nimmt das Kennwort mit. Ein kompromittiertes System des Lieferanten steht mit denselben Rechten in Ihrem Netz wie damals der Monteur. Gleichzeitig können Sie den Zugriff nicht kurz öffnen, weil niemand weiß, welche Regel genau zu diesem Lieferanten gehört.

Der saubere Weg ist unbequem und kurz. Die Person heißt mit Namen, nicht „Service“. Sie erreicht nur das eine Gerät oder den einen Server. Der Zugang gilt für das Wartungsfenster und wird danach geschlossen, oder er hat ein Datum, an dem er von selbst endet. Die Sitzung läuft über ein Konto, das Sie deaktivieren können, ohne Ihre eigene Firewall zu zerlegen. Ein dauerhafter Tunnel ist die Ausnahme mit Begründung, nicht der Standard.

Person, Ziel, Zeitraum

  1. Liste. Alle externen Zugänge mit Firma, Zweck und Zielgerät aufschreiben.
  2. Engen. Ziel auf das Gerät beschränken, nicht auf das Büro-Netz.
  3. Datum. Ende setzen oder den Zugang nur auf Zuruf öffnen.
  4. Konto. Persönlich oder mindestens je Firma ein Konto, das Sie sperren können.
  5. Start. Programme, die unbeaufsichtigt Fernsteuerung erlauben, aus dem Autostart nehmen.

Wir bauen den engen Zugang und die Liste. Den Vertrag mit dem Lieferanten, der vielleicht einen Dauerzugriff fordert, verhandeln Sie. Technisch können wir trotzdem nur das Ziel öffnen, das die Wartung wirklich braucht.

Woran Projekte in der Praxis scheitern

  • Ein gemeinsames Kennwort „monteur“ für alle externen Firmen.
  • Fernwartungsprogramme ungeprüft beim Systemstart laufen lassen.
  • Den Zugriff auf die Serverfreigaben erweitern, weil der Techniker „sonst nicht arbeiten kann“, ohne zu prüfen, welche Datei er meint.
  • Die Liste nur im Kopf des einen Ansprechpartners führen.

Beispiel aus dem Betriebsalltag

Ein Kassenanbieter hatte seit drei Jahren ein VPN in das gesamte Filialnetz. Gebraucht wurde ein einziges Gerät im Büro. Nach dem Umbau erreicht der Anbieter nur dieses Gerät, und nur, wenn der Ansprechpartner den Zugang für das Fenster freischaltet. Ein zweiter, vergessener AnyDesk-Zugang auf einem PC im Lager wurde entfernt. Die Kasse lief danach unverändert, das übrige Netz war für den Anbieter nicht mehr sichtbar.

Kurze Entscheidungshilfe

  • Können Sie jeden externen Zugang einer Firma zuordnen?
  • Endet der Zugang, oder steht er ohne Datum?
  • Erreicht er nur das Zielgerät?
  • Liegt die Liste so, dass die Vertretung sie findet?

Wenn befristeter Zugriff für externe Techniker bei Ihnen ansteht, klären wir den Umfang unverbindlich: IT-Sicherheit. Firewall-Regeln prüfen Alternativ direkt Kontakt aufnehmen oder die häufigen Fragen lesen.