Anfragen für gemeinsam genutzte Anmeldeinformationen bearbeiten, ohne Sicherheitsrichtlinien zu verletzen

In modernen IT-Umgebungen geht Credential Management weit über Passwörter hinaus. MSPs übernehmen in der Regel auch die Verwaltung privilegierter Konten, die Durchsetzung von MFA, das Secrets Management und die Bearbeitung von Zugriffsanfragen (zum Beispiel für geteilte Zugänge). In diesem Leitfaden lernen Sie einen verlässlichen MSP-Workflow kennen, mit dem Sie Anfragen zu gemeinsam genutzten Anmeldeinformationen bearbeiten, ohne Sicherheitsrichtlinien zu verletzen.

Gemeinsam genutzte Anmeldeinformationen verwalten: ein Prozess in fünf Schritten

Das Teilen von Anmeldeinformationen birgt immer Risiken, kann aber nötig sein, um den Geschäftsbetrieb am Laufen zu halten, vor allem in kleinen und mittleren Unternehmen (KMU).

Um Geschäftskontinuität und Sicherheit in Einklang zu bringen, sollten für die Prüfung und Bearbeitung solcher Anfragen einige Voraussetzungen erfüllt sein:

• Klar schriftlich festgehaltene Sicherheits- und Zugriffsrichtlinien
• Tools für das Credential Management oder Passworttresore (etwa Keeper oder LastPass)
• Festgelegte Rollen für Prüfung und Freigabe der Anfragen (zum Beispiel Service Manager:in oder Kundenverantwortliche:r)
• Ein Ticketing-System, das Anfragen zu Anmeldeinformationen protokollieren und dokumentieren kann

💡 Hinweis: Die Anforderungen können je nach Systemen, Richtlinien und geschäftlichen Anforderungen variieren.

Mögliche Anwendungsfälle für gemeinsam genutzte Anmeldeinformationen

Erweiterte Zugriffsrechte können bei Kund:innen nötig sein oder bei einem MSP, dessen Techniker:innen auf gemeinsame administrative Zugänge zu mehreren Systemen angewiesen sind. Auch externe Anbieter benötigen solche Zugänge mitunter, um die Bereitstellung eines neuen Kundensystems oder einer Integration abzuschließen.

Schritt 1: Festlegen, was als Anfrage für gemeinsam genutzte Anmeldeinformationen gilt

Definieren Sie Kriterien dafür, wann eine Anfrage nach einem richtlinienbasierten Verfahren behandelt werden muss. Die meisten Anfragen fallen in eine dieser Kategorien:

• Generische oder gemeinsam genutzte Konten (zum Beispiel Administrator- oder Dienstkonten)
• Temporärer Zugriff für Auftragnehmer:innen oder Anbieter
• Geteilte Anmeldeinformationen für Systeme ohne Unterstützung von MFA oder Single-Sign-On (SSO)

Lücken in der Zugriffskontrolle beginnen meist mit unzureichenden Eskalationsverfahren. Achten Sie darauf, temporäre Zugriffe nur sparsam zu vergeben und die Anwendungsfälle für Kund:innen wie interne Stakeholder einheitlich zu klassifizieren.

Schritt 2: Den Anfrage-Workflow standardisieren

Als Nächstes sollten Sie den Anfrage-Workflow standardisieren. Jede Anfrage für gemeinsam genutzte Anmeldeinformationen sollte also denselben Weg durch Freigabe und Dokumentation nehmen. Protokollieren Sie dabei die wesentlichen Informationen: Begründung, ID der anfragenden Person, Dauer des temporären Zugriffs sowie alle zugehörigen Dienste oder offengelegten Dokumente.

Bleiben Sie bei Anfrage, Freigabe und Dokumentation konsistent. So entsteht ein sicherer und prüfbarer Workflow, der zentrale Assets nicht gefährdet.

Schritt 3: Freigabe und Risikoprüfung durchführen

Bewerten Sie vor der Vergabe geteilter Zugänge das Risikoniveau und stellen Sie sicher, dass die zuständigen Verantwortlichen jede Anfrage freigeben. Stufen Sie Anfragen als risikoarm oder risikoreich ein und halten Sie einen strikten, nachvollziehbaren Eskalationsprozess ein.

Für bestimmte geschäftliche Anforderungen kann zusätzlich ein eigener Workflow für Anbieterzugriffe sinnvoll sein.

Weitere Tipps zum Umgang mit Risiken durch Dritte finden Sie in diesem Leitfaden zur Risikobewertung von Anbietern.

Schritt 4: Kontrollen für vergebene Anmeldeinformationen durchsetzen

Gemeinsam genutzte Anmeldeinformationen müssen fortlaufend überwacht und kontrolliert werden. Dafür gibt es Ansatzpunkte in mehreren Phasen. So können Sie etwa Passworttresore nutzen, um Anmeldeinformationen sicher zu verteilen, ohne Passwörter offenzulegen.

Mit PowerShell lässt sich beispielsweise eine Ablauffrist für temporäre Zugänge festlegen. Mit NinjaOne können Sie den Workflow Passwortablauf mit PowerShell konfigurieren auch in komplexeren IT-Umgebungen ausrollen.

Schritt 5: Nutzung gemeinsam genutzter Anmeldeinformationen dokumentieren und prüfen

Alle Vorgänge rund um geteilte Anmeldeinformationen müssen für Compliance und Audit-Bereitschaft protokolliert werden.

Idealerweise werden Daten zu Freigaben, Zeiträumen und beteiligten Personen (etwa anfragende und freigebende Person) in einem zentralen Verzeichnis geführt. Diese Protokolle lassen sich in regelmäßige Sicherheitsprüfungen einbeziehen, wenn Sie die Nutzung geteilter Anmeldeinformationen bewerten.

Zudem sollten veraltete oder abgelaufene gemeinsame Konten proaktiv entfernt werden.

NinjaOne-Lösungen für das Credential Management

NinjaOne bietet Funktionen für das Credential Management, sowohl für Benutzer:innen als auch für Administrator:innen.

• Techniker:innen können Anmeldeinformationen mit NinjaOne nachverfolgen und verwalten.
• MSPs können rollenbasierte Zugriffskontrollen einrichten, zusätzliche Einschränkungen definieren und mit dem RMM sogar Management-Reports oder Zusammenfassungen erstellen.
• Der IT-Support kann NinjaOne Remote® für sicheren, plattformübergreifend geteilten Zugriff nutzen.
• Administrator:innen können Credential Exchange für die sichere Weitergabe von Administrator-Anmeldeinformationen einsetzen.

Als Plattform für Unified Endpoint Management und Sicherheit bietet NinjaOne verschiedene Lösungen für das Benutzermanagement, mit denen Sie Anmeldeinformationen effizient nachverfolgen, verwalten und teilen und dabei granulare Zugriffskontrollen beibehalten.

Die Grundlage für ein wirksames Credential Management bleibt allerdings die konsequente Durchsetzung klarer Richtlinien. Ein RMM eröffnet darauf aufbauend Möglichkeiten zu skalieren, die Transparenz zu erhöhen und die Compliance zu stärken.

Verwandte Themen:

• Die Bedeutung der Risikobewertung von Anbietern
• Unternehmensdaten mit Enterprise Access Control schützen
• Was ist Secrets Management? Best Practices für die IT-Sicherheit
• Was ist Credential Management? Definition und Best Practices
• Veraltete Administratorkonten über mehrere Mandanten hinweg in Active Directory prüfen und entfernen