Administratorenkonten sind der kürzeste Weg zu Mail, Dateien, Firewall und Sicherung. Ein gestohlenes Kennwort reicht dann, wenn kein zweiter Faktor verlangt wird. Mehrfaktor-Anmeldung für genau diese Konten ist deshalb keine Komfortoption neben dem Postfach der Belegschaft, sondern die Maßnahme, die einen einzelnen Diebstahl vom Totalausfall trennt. Für normale Postfächer ist sie ebenfalls sinnvoll. Für Verwaltungszugänge ist sie der Anfang.

Warum der zweite Faktor am Admin-Konto entscheidet

Häufig ist der zweite Faktor nur dort aktiv, wo der Assistent ihn angeboten hat. Das Konto der Geschäftsführung, mit dem nebenbei die Cloud verwaltet wird, bleibt ausgenommen, weil niemand ausgesperrt werden wollte. SMS als einziger Faktor für solche Konten ist zusätzlich brüchig, weil die Nummer mitwandert und nicht an das Gerät gebunden ist, mit dem verwaltet wird. Wer den zweiten Faktor nur „bei Verdacht“ einschaltet, hat ihn im Ernstfall nicht.

Notfallkonten brauchen eine eigene Behandlung. Zwei Konten, die nicht für tägliche Mail gedacht sind, mit langen eigenständigen Kennwörtern, hinterlegt im Tresor und nicht im Browserprofil, verhindern die Aussperrung, wenn ein Telefon verloren geht. Ihre Benutzung muss auffallen. Dienstkonten, die sich interaktiv anmelden können, dürfen nicht pauschal aus der Mehrfaktor-Pflicht fallen. Ein Konto, mit dem sich nur ein Dienst anmelden soll, bekommt kein interaktives Fenster.

Alltag, Notfallkonten und Dienstkonten auseinanderhalten

  1. Bestand. Listen Sie Cloud-Verwaltung, Domäne, Firewall, Backup und Hypervisor getrennt auf und markieren Sie Konten ohne zweiten Faktor.
  2. Faktor. Sehen Sie für Verwaltungszugänge eine App oder einen Sicherheitsschlüssel vor, nicht die SMS als einzigen Weg.
  3. Notfall. Legen Sie zwei ungenutzte Konten mit getrennt hinterlegten Kennwörtern an und alarmieren Sie ihre Verwendung.
  4. Dienste. Schalten Sie die interaktive Anmeldung bei Dienstkonten ab oder erzwingen Sie denselben Faktor.
  5. Prüfung. Einmal mit einem Alltagsgerät versuchen, ob die Verwaltung ohne zweiten Faktor noch gelingt. Sie darf nicht gelingen.

Mehrfaktor nützt wenig, wenn das Administratorkonto dasselbe ist, mit dem jemand den ganzen Tag klickt und Anhänge öffnet. Die Trennung der Konten und der zweite Faktor gehören zusammen. Wir richten beides so ein, dass ein verlorenes Telefon den Betrieb nicht sperrt und ein gestohlenes Kennwort allein nicht mehr verwaltet.

Woran Projekte in der Praxis scheitern

  • Das eigene Alltagskonto dauerhaft von der Mehrfaktor-Pflicht ausnehmen, weil es der Geschäftsführung gehört.
  • Einen gemeinsamen zweiten Faktor für mehrere Personen auf einem einzigen Telefon hinterlegen.
  • Notfallkennwörter in derselben Mail speichern, die das Konto schützen soll.
  • Dienstkonten der Zeiterfassung zu interaktiven Administratoren machen, damit ein Terminplan schneller geht.

Beispiel aus dem Betriebsalltag

In einem Handwerksbetrieb war das Postfach der Geschäftsführung zugleich globales Verwaltungskonto der Cloud. Der zweite Faktor galt für die Angestellten, nicht für dieses Konto. Wir haben ein eigenes Verwaltungskonto mit App-Anmeldung angelegt, zwei Notfallkonten in den Firmentresor gelegt und die Anmeldung des alten Kontos auf normale Postfachrechte zurückgesetzt. Der Tagesablauf der Mail blieb, der Weg in die Verwaltung nicht mehr.

Kurze Entscheidungshilfe

  • Gibt es ein Verwaltungskonto, das sich ohne zweiten Faktor anmelden kann?
  • Sind Notfallkonten vorhanden, und weiß eine zweite Person, wo die Kennwörter liegen?
  • Können Dienstkonten interaktiv am Bildschirm verwendet werden?
  • Fällt die Benutzung eines Notfallkontos jemandem während der Geschäftszeiten auf?

Wenn Mehrfaktor-Anmeldung für Verwaltungszugänge bei Ihnen ansteht, klären wir den Umfang unverbindlich: IT-Sicherheit. Admin-Konten vom Alltag trennen Alternativ direkt Kontakt aufnehmen oder die häufigen Fragen lesen.