Sichere Methoden für den Fernzugriff

Fernzugriff ermöglicht es Administratoren und Benutzern, aus der Ferne eine Verbindung zu Systemen herzustellen und diese zu verwalten. Er ist für die IT-Arbeit und das Arbeiten aus der Ferne unverzichtbar, stellt jedoch auch ein bevorzugtes Ziel dar, da jede Tür zu Ihrem Netzwerk angegriffen werden kann.

Das Ziel besteht darin, komfortables Arbeiten aus der Ferne zu ermöglichen und gleichzeitig diese Zugriffsmöglichkeiten gegen Eindringlinge abzusichern.

SSH (Secure Shell) ist der Standard für die sichere Fernadministration von Servern und Netzwerkgeräten über einen verschlüsselten Kanal unter Verwendung des TCP-Ports 22. Es hat das alte, unsichere Telnet ersetzt.

SSH verschlüsselt alles, einschließlich der Anmeldung, sodass Anmeldedaten und Befehle nicht mitgelesen werden können. Außerdem kann es schlüsselbasierte Authentifizierung verwenden, die sicherer und praktischer als Passwörter ist.

Telnet (Port 23) ermöglicht den entfernten Zugriff auf die Befehlszeile, überträgt jedoch alles, einschließlich Passwörtern, im Klartext. Jeder, der den Datenverkehr abfängt, kann alles mitlesen.

Telnet sollte niemals über nicht vertrauenswürdige Netzwerke verwendet werden. Unsichere Legacy-Tools zu erkennen und durch verschlüsselte Alternativen wie SSH zu ersetzen, gehört zu den zentralen Sicherheitsaufgaben jeder Fachkraft.

Für den grafischen Zugriff stellt RDP (Remote Desktop Protocol, Port 3389) den vollständigen Desktop eines Windows-Computers aus der Ferne bereit. VNC (Virtual Network Computing) ist eine plattformübergreifende Alternative.

Diese Protokolle sind leistungsfähig, aber ein bevorzugtes Angriffsziel. RDP direkt dem Internet auszusetzen, ist riskant. Es sollte hinter einem VPN oder Gateway betrieben werden, mit starker Authentifizierung und Kontosperrung zum Schutz vor Brute-Force-Angriffen.

Out-of-Band-Management stellt einen separaten Verwaltungsweg bereit, über den Geräte auch dann verwaltet werden können, wenn das Hauptnetzwerk ausgefallen ist, häufig über einen dedizierten Konsolenport, eine Managementschnittstelle oder ein Mobilfunkmodem.

Das ist entscheidend, um einen entfernten Standort nach einem Ausfall wiederherzustellen: Wenn das Produktionsnetzwerk ausfällt, ermöglicht der Out-of-Band-Kanal Administratoren weiterhin den Zugriff auf die Geräte, um die Ursache zu diagnostizieren und das Problem zu beheben.

Eine Jump-Box (oder ein Bastion-Host) ist ein gehärteter und überwachter Gateway-Server, mit dem sich Administratoren zuerst verbinden und von dem aus sie anschließend zu internen Systemen wechseln.

Indem Sie die gesamte entfernte Administration über einen kontrollierten und protokollierten Engpass leiten, verringern Sie die Zahl der Zugangsmöglichkeiten, vereinfachen die Überwachung und verhindern, dass interne Geräte direkt für entfernte Verbindungen erreichbar sind.

Jede Methode für den Fernzugriff sollte MFA (Multi-Factor Authentication) erfordern. Der Fernzugriff ist in hohem Maß Angriffen mit gestohlenen oder erratenen Passwörtern ausgesetzt, daher ist ein zweiter Faktor entscheidend.

Bei MFA gewährt selbst ein offengelegtes Passwort keinen Zugriff, weil dem Angreifer weiterhin der zweite Nachweis fehlt. Für über das Internet erreichbaren Fernzugriff gilt MFA inzwischen als unverzichtbar und nicht als optionale Maßnahme.

Ein bewährtes Vorgehen besteht darin, zunächst ein VPN zu verlangen und die entfernte Administration anschließend nur aus diesem Tunnel heraus zu erlauben. Dadurch sind Tools wie RDP und SSH niemals direkt dem Internet ausgesetzt.

Wenn Sie Fernzugriffsmethoden hinter einem VPN schichten, entsteht ein mehrschichtiger Schutz: Ein Angreifer muss zuerst das VPN überwinden, bevor er überhaupt versuchen kann, die Verwaltungsdienste zu erreichen.

Zu den praktischen Maßnahmen zur Absicherung gehören: Standardports mit Bedacht zu ändern, nicht benötigte Dienste zu deaktivieren, das Prinzip der geringsten Rechte anzuwenden, Kontosperrungen zu aktivieren, Software aktuell zu halten, die zulässigen Quell-IP-Adressen einzuschränken und jeden Zugriff zu protokollieren.

Jede dieser Maßnahmen verkleinert die Angriffsfläche. Zusammen machen sie aus dem Fernzugriff eine kontrollierte und überwachte Funktion, die Angreifer nur schwer missbrauchen können.

Protokollieren und überwachen Sie Aktivitäten beim Fernzugriff stets. Achten Sie auf Anmeldungen zu ungewöhnlichen Uhrzeiten oder von ungewöhnlichen Orten sowie auf wiederholte Fehlversuche, die auf Brute-Force-Angriffe hindeuten können.

Wenn Sie bei diesen Mustern Alarme auslösen, können Sie eine Kompromittierung frühzeitig erkennen. Da der Fernzugriff zu den wichtigsten Angriffsvektoren gehört, ist Transparenz darüber, wer sich wie verbindet, eine der wertvollsten Schutzmaßnahmen.

Sicherer Fernzugriff verwendet SSH (nicht Telnet) für die Verwaltung über die Befehlszeile und RDP/VNC für den grafischen Zugriff, idealerweise hinter einem VPN und einer Jump-Box. Out-of-Band-Management stellt den Zugriff während Ausfällen sicher. Schützen Sie alles mit MFA, dem Prinzip der geringsten Rechte, Einschränkungen für Quelladressen, Härtungsmaßnahmen und umfassender Protokollierung.

Testen Sie Ihr Wissen über den Fernzugriff.

Sicherer Fernzugriff basiert auf SSH (als Ersatz für das Klartextprotokoll Telnet) und RDP/VNC für grafische Sitzungen, idealerweise hinter einem VPN und einer Jump-Box. Out-of-Band-Management funktioniert auch während Ausfällen. Schützen Sie jeden Zugriff mit MFA, dem Prinzip der geringsten Rechte, Einschränkungen für Quelladressen, Härtungsmaßnahmen und Protokollierung.