Dennis-Kenji Kipker, Professor für IT-Sicherheitsrecht und wissenschaftlicher Direktor des cyberintelligence.institute in Frankfurt am Main, und Guido Kraft, Field CISO beim. Anbieter von Identitäts- und Zugriffssicherheitslösungen WALLIX, im Gespräch über die zentrale Bedeutung von Digital Trust.

Foto: Urban Zintel Photography Berlin Dennis-Kenji Kipker forscht zu IT-Recht mit Fokus auf die Sicherheit von Daten sowie zur staatlichen Überwachungstätigkeit. Foto: WALLIX Strategieberater Guido Kraft widmet sich nach einem Jahrzehnt mit technischem Schwerpunkt im Integrationsumfeld nun der Weiterentwicklung der Informationssicherheit von Unternehmen. Sicherheitsverantwortliche sehen sich einer höheren Bedrohungslage gegenüber als je zuvor, wie auch der Report des deutschen Bundesamt für Sicherheit in der Informationstechnik (BSI) bestätigt. Die zunehmende Vernetzung von Systemen aller Art zeigt immer wieder neue Schwierigkeiten und Unsicherheiten auf. Digital Trust entwickelt sich dabei zu einem zentralen Sicherheitskonzept.

it&t business: Was bedeutet Vertrauen in der digitalen Welt?

Dennis-Kenji Kipker: Digital Trust umfasst das Vertrauen in die Sicherheit, Integrität und den Schutz von Online-Aktivitäten und Daten. Es ist die Voraussetzung für elektronische Transaktionen, soziale Netzwerke und andere digitale Dienste. Externe Faktoren, wie geopolitische Konflikte oder eine Pandemie, haben besonders in den letzten Jahren dazu geführt, dass sich das Verständnis von Vertrauen auch in der digitalen Welt gewandelt hat.

it&t: Welchen Herausforderungen stehen Unternehmen bei der Schaffung einer vertrauenswürdigen digitalen Umgebung gegenüber?

Kipker: Wir leben in einem Zeitalter voller IT-Herausforderungen. Die gesteigerte Bedrohung durch Mal- oder Ransomware beeinträchtigt das Vertrauen in digitale Systeme und kann neben Datenverlust und finanziellen Schäden zu sinkender Integrität führen.

Datenschutzbedenken stellen auch eine Hürde dar. Persönliche Daten werden online permanent erhoben und die betreffenden Regularien und deren Umsetzung sind in einigen Fällen vage bis unklar. Wenn Nutzer denken, ihre Privatsphäre sei unzureichend geschützt, sinkt folglich ihr Vertrauen in digitale Dienste.

it&t: Welche Chancen bietet Digital Trust für Unternehmen?

Kipker: Digital Trust spielt eine essenzielle Rolle, denn nur mit Vertrauen können Unternehmen und Behörden die Sicherheit und die Integrität ihrer digitalen Dienste gewährleisten. Das spiegelt sich in den Kundenbeziehungen, der Reputation und der Offenheit gegenüber Innovationen wider.

it&t: Welche Rolle spielt Privileged Access Management (PAM) dabei?

Kipker: PAM-Lösungen agieren nach dem Prinzip des "Least Privilege", und gewähren Nutzern nur die minimalen Rechte, die sie für ihre Aufgaben benötigen. Das mag zuerst wie ein Widerspruch zu Digital Trust wirken – ist es aber nicht. PAM steckt die Befugnisse ab, innerhalb derer privilegierte Benutzer agieren und steigert so das Vertrauen in die Sicherheit. Kernpunkte dabei sind der Schutz vor Insider-Bedrohungen und Reduzierung von Missbrauchsrisiken, eine zentrale Berechtigungsverwaltung, zusätzliche Sicherheitshürden wie Multi-Faktor-Authentifizierungen und gesteigerte Compliance.

it&t: Welche Rolle spielen Technologien wie Machine Learning und künstliche Intelligenz im Bereich Privileged Access Management?

Kipker: Konkret können Machine Learning und KI-Modelle PAM-Lösungen dabei unterstützen, das Benutzerverhalten zu überwachen und ungewöhnliche Aktivitäten zu identifizieren, die auf potenzielle Sicherheitsverletzungen hinweisen könnten. KI stellt für die Gesetzgebung jedoch eine Herausforderung dar, da hier die technische Entwicklung und Einsatzszenarien weit schneller voranschreiten als die Politik.

it&t: Inwiefern spielen Compliance und rechtliche Aspekte eine Rolle bei der Implementierung von Privileged Access Management?

Kipker: Es gibt gesetzliche Vorschriften, die ausreichendes Zugriffsmanagement fördern oder gar erfordern. Dazu zählen die EU-weit geltende Datenschutz-Grundverordnung (DS-GVO), das österreichische Datenschutzgesetz (DSG) oder das deutsche IT-Sicherheitsgesetz (IT-SiG). NIS-2 ist natürlich auch ein Thema, das momentan europaweit Wellen schlägt. Dabei ist zu beachten, dass PAM zur Einhaltung auch dieser Vorschriften beitragen kann, Unternehmen aber letztlich eine umfassende eigene Sicherheitsstrategie benötigen.

it&t: Welche bewährten Methoden empfehlen Sie Unternehmen, um eine effektive Privileged Access Management-Strategie zu implementieren?

Guido Kraft: Die Implementierung von Privileged Access Management (PAM) umfasst mehrere Schritte und beginnt mit einer eingehenden Risikobewertung, um herauszufinden, welche Konten und Daten einem höheren Risiko ausgesetzt sind. Es werden klare Richtlinien für die Vergabe und Verwaltung von privilegierten Zugriffen festgelegt, und Rollen sowie Rechtegruppen definiert, um den Zugriff zu steuern. PAM wird in das Identity and Access Management (IAM) integriert und eine Multi-Faktor-Authentifizierung (MFA) implementiert. Eine umfassende Protokollierung von Aktivitäten privilegierter Benutzer lässt verdächtige Aktivitäten schnell erkennen und erleichtert die Analyse bei Sicherheitsvorfällen. Schließlich werden Just-in-Time-Privilegien in Betracht gezogen, um privilegierten Zugriff nur für einen begrenzten Zeitraum zu gewähren.

it&t: Können Sie uns konkrete Beispiele für Situationen nennen, in denen eine effektive PAM-Strategie einen entscheidenden Unterschied gemacht hat?

Kraft: Ein Beispiel ist einer der ersten sanktionierten Datenschutzvorfälle nach DS-GVO: In einem portugiesischen Krankenhaus wurden sensible Patientendaten abgegriffen, und zwar aufgrund eines fehlenden Berechtigungsmanagements.

it&t: Wie sehen Sie die Zukunft von Privileged Access Management? Gibt es Trends oder Entwicklungen, die wir in den kommenden Jahren erwarten können?

Kipker: KI und Machine Learning werden die Sicherheitslandschaft noch weiter maßgeblich beeinflussen. Auch Regularien wie NIS-2 oder der Entwurf des Cyber Resilience Act (CRA) werden immer umfangreichere Risikoanalysen und Sicherheitsmaßnahmen erfordern, was PAM als essenziellen Bestandteil einer Sicherheitsstrategie verfestigen wird.