Notfallzugriff (Break-Glass)

Was ist Notfallzugriff (Break-Glass)?

Notfallzugriff, auch Break-Glass genannt, ist ein vorbereiteter Notweg in ein kritisches System, der genutzt wird, wenn die normale Authentifizierung nicht verfügbar ist. Der Name stammt vom Alarmkasten, dessen Glas man einschlägt. In der Identitätspraxis handelt es sich um eine kleine Zahl hoch privilegierter Konten, bewusst von den üblichen Richtlinien ausgenommen und versiegelt aufbewahrt, bis ein Ausfall oder ein Vorfall sie nötig macht.

Wie ein Break-Glass-Zugriff gestaltet wird

• Mindestens zwei Notfallkonten existieren, damit ein einzelner Ausfall nicht alle aussperrt.
• Sie liegen ausschliesslich in der Cloud und sind unabhängig vom lokalen Verzeichnis und von jedem Föderationsdienst.
• Sie sind von den Richtlinien für bedingten Zugriff ausgenommen, die die Aussperrung selbst verursachen könnten.
• Die Zugangsdaten werden geteilt oder im Tresor verwahrt, oft mit je einem Teil bei einer anderen Person.
• Jede Nutzung löst sofort einen Alarm und eine dokumentierte Nachbetrachtung aus.

Die Falle: von der Richtlinie ausgenommen wird zu von allem ausgenommen

Diese Konten vom bedingten Zugriff auszunehmen ist richtig. Das Versagen besteht darin, dass sich die Ausnahme still auf den Rest der Kontrollumgebung ausdehnt: Sie landen ausserhalb von MFA-Kampagnen, ausserhalb der Passwortrotation und ausserhalb der Zugriffsüberprüfung. Ein Konto mit dauerhaften globalen Administrationsrechten, das niemand überprüft, ist genau die Feststellung, nach der eine prüfende Stelle sucht.

Beispiele und Anwendungsfälle

Ein Unternehmen verliert durch ein abgelaufenes Zertifikat seinen Föderationsdienst und kann niemanden mehr authentifizieren. Zwei Break-Glass-Konten, in einem versiegelten Umschlag im Tresor verwahrt und mit zwischen CTO und IT-Leitung geteiltem Passwort, stellen den administrativen Zugriff binnen Minuten wieder her. In der Folgewoche werden die Zugangsdaten erneuert, die Nutzung dokumentiert und beide Konten tauchen wieder in der Quartalsüberprüfung auf. Dieser letzte Schritt hält die Massnahme gesund, und er geschieht nur, wenn diese Konten im selben Inventar stehen wie alles andere, das Corma pflegt.

Verwandte Begriffe

• Identity- und Access-Management-Plattform
• IAM-Lösung für Sicherheitsteams
• IT-Workflow-Builder

FAQ

Wie viele Break-Glass-Konten braucht ein Unternehmen?

Mindestens zwei, damit ein einzelner Ausfall oder eine nicht erreichbare Person keine vollständige Aussperrung verursacht. Microsoft empfiehlt zwei Notfallzugriffskonten für Entra-ID-Tenants.

Sollten Break-Glass-Konten MFA nutzen?

Ja, aber mit einem Verfahren, das unabhängig von den möglicherweise ausfallenden Systemen ist, etwa ein Hardware-Sicherheitsschlüssel statt einer App auf dem Firmengerätepark.

Wie werden Break-Glass-Zugangsdaten aufbewahrt?

In einem versiegelten physischen Umschlag oder einem dedizierten Tresor, üblicherweise zwischen zwei Personen geteilt, damit niemand das Konto allein nutzen kann.

Was geschieht nach der Nutzung eines Break-Glass-Kontos?

Die Zugangsdaten werden sofort erneuert, die Nutzung mit Grund und Zeitverlauf dokumentiert, und der Vorfall wird ausgewertet, um die Ursache der Aussperrung zu beseitigen.

Demo anfragen