Schützen Sie Ihre PKI und Zertifizierungsstellen (CAs) vor Passwortmüdigkeit und Authentifizierungsrisiken mit CertSecure Manager

Einführung

Der Mensch ist oft das schwächste Glied in der Cybersicherheit. Genau deshalb zählt Social Engineering nach wie vor zu den zuverlässigsten Werkzeugen im Arsenal eines Red Teams. Für ein Unternehmen ist die Sicherheit seiner Public-Key-Infrastruktur (PKI) einer der wichtigsten Faktoren für die Sicherheit des gesamten Geschäftsbetriebs, da die PKI direkt mit der Identität verknüpft ist: Jeder Benutzer und jedes Gerät erhält ein Zertifikat von dieser Infrastruktur und nutzt es für die sichere Kommunikation.

Wird eine PKI kompromittiert, kann ein Angreifer sich als beliebiger Benutzer oder Rechner ausgeben und Man-in-the-Middle-Angriffe auf die gesamte Umgebung durchführen. Fällt die PKI vollständig aus, kann dies alle Benutzer und Systeme beeinträchtigen, die von ihr abhängig sind. Ein Großteil dieses Risikos ist nicht auf die Kryptografie selbst zurückzuführen, sondern auf die Art und Weise der Authentifizierung. Hier stellen Passwortmüdigkeit und schwache Authentifizierungspraktiken im Zusammenhang mit Zertifizierungsstellen (CAs) eine reale, messbare Sicherheitslücke dar.

Fazit vorne

Passwortmüdigkeit entsteht, wenn Benutzer zu viele Zugangsdaten verwalten und dabei auf die Wiederverwendung von Passwörtern, schwache Passwörter oder das ungeprüfte Bestätigen von Multi-Faktor-Authentifizierungsaufforderungen (MFA) zurückgreifen. In einer PKI-Umgebung kann dieses Verhalten Angreifern den direkten Zugriff auf die Zertifizierungsstelle ermöglichen. Die Authentifizierungsrichtlinien des NIST für 2025 sowie reale Vorfälle bei Microsoft und Uber weisen beide auf dieselbe Lösung hin: Phishing-resistente Authentifizierung und zertifikatsbasierter Zugriff, nicht zusätzliche Passwortregeln.

Wichtige Fakten auf einen Blick

• Das NIST finalisierte am 31. Juli 2025 seine Richtlinien für digitale Identität (SP 800-63-4) und legt nun weniger Wert auf obligatorische Passwortrotation und Komplexitätsregeln zugunsten längerer Passphrasen, Überprüfung auf Sicherheitsverletzungen und Phishing-resistenter MFA.
• Die Anforderung 8.4.2 des PCI DSS v4.0, die die Multi-Faktor-Authentifizierung für alle Zugriffe auf die Karteninhaberdatenumgebung vorschreibt und nicht nur für Fern- und administrative Zugriffe, wurde am 31. März 2025 verpflichtend.
• Der Datendiebstahl bei Uber im September 2022 begann mit einem gekauften Passwort für einen Auftragnehmer und endete mit einem MFA-Müdigkeitsangriff: etwa 40 Push-Benachrichtigungen in 30 Minuten, gefolgt von einer Social-Engineering-Nachricht, die sich als IT-Support ausgab.
• Microsoft gab im Januar 2024 bekannt, dass seine eigenen Unternehmenssysteme am 12. Januar 2024 durch einen Password-Spray-Angriff auf ein älteres, nicht für die Produktion genutztes Test-Tenant-Konto ohne MFA kompromittiert wurden.
• Die zertifikatsbasierte Authentifizierung eliminiert das Passwort und die MFA-Abfrage vollständig für den Zugriff auf das PKI-Portal und schließt damit beide Angriffswege gleichzeitig.

Die Zahlen hinter der Passwortmüdigkeit

Das deutlichste Zeichen dafür, dass die passwortbasierte Authentifizierung an ihre Grenzen stößt, kam vom NIST selbst. Am 31. Juli 2025 veröffentlichte das NIST die Special Publication 800-63-4, seine Richtlinien für digitale Identität, und verabschiedete sich damit formell von der alten Empfehlung, komplexe Passwörter in einem festen Rhythmus zu ändern. Die aktualisierten Richtlinien empfehlen stattdessen längere Passphrasen, die Überprüfung neuer Passwörter anhand bekannter Listen kompromittierter Passwörter und die Verwendung von Phishing-resistenten Authentifizierungsverfahren wie FIDO2 und WebAuthn sowie synchronisierbaren Passkeys als Standard und nicht als optionale Erweiterung.

Auch die Regulierungsbehörden bewegen sich in dieselbe Richtung. Mit PCI DSS v4.0 wurde die obligatorische Multi-Faktor-Authentifizierung (MFA) gemäß Anforderung 8.4.2 auf alle Zugriffe auf die Karteninhaberdatenumgebung ausgeweitet, nicht nur auf Fern- oder administrative Zugriffe. Diese erweiterte Anforderung ist seit dem 31. März 2025 verbindlich. Organisationen, die weiterhin ein gemeinsames Passwort für den Zugriff auf eine Zertifizierungsstellenkonsole verwenden, entsprechen bereits nicht mehr den aktuellen NIST-Richtlinien und den geltenden PCI-DSS-Vorgaben.

Die am 2. Juli 2025 veröffentlichte DigiCert Trust Pulse Survey ergab, dass fast die Hälfte der Unternehmen im vergangenen Jahr einen Zertifikatsausfall erlitten hat. 18.5 % der betroffenen Organisationen meldeten Verluste von über 250,000 US-Dollar. Ein Authentifizierungsfehler, der legitime Administratoren von der CA-Konsole aussperrt, oder eine Kompromittierung der Authentifizierung, die es einem Angreifer ermöglicht, Zertifikate zu widerrufen oder falsch auszustellen, tragen beide direkt zu diesem Ausfallrisiko bei.

Was versteht man unter Passwortmüdigkeit im Kontext einer PKI?

Passwortmüdigkeit ist die Sicherheitslücke, die entsteht, wenn Benutzer zu viele Zugangsdaten erstellen, sich merken und erneut eingeben müssen. Im Kontext einer PKI und ihrer Zertifizierungsstellen äußert sich dies auf vorhersehbare Weise: Administratoren verwenden Passwörter für mehrere interne Systeme wieder, wählen schwächere Passwörter, um sie sich besser merken zu können, oder genehmigen Push-Benachrichtigungen für Multi-Faktor-Authentifizierung (MFA) automatisch, weil sie an diesem Tag bereits Dutzende gültige Passwörter erhalten haben. Jede dieser Gewohnheiten kann einem Angreifer unbefugten Zugriff auf ein System ermöglichen, das – anders als eine gewöhnliche Anwendung – die kryptografische Vertrauensbasis für eine gesamte Organisation darstellt.

Reale Vorfälle, die durch Authentifizierungsmüdigkeit verursacht wurden

Zwei gut dokumentierte Vorfälle zeigen, welche Kosten die Authentifizierungsmüdigkeit in der Praxis tatsächlich verursacht, und zwar in Organisationen, die über weit mehr Sicherheitsressourcen verfügen als die meisten anderen.

Ubers MFA-Müdigkeitslücke von 2022

Im September 2022 erlangte ein Angreifer das Passwort eines externen Mitarbeiters, vermutlich aus einem früheren Datenleck im Darknet, und nutzte es, um wiederholt Push-Benachrichtigungen zur Multi-Faktor-Authentifizierung (MFA) auszulösen – etwa 40 innerhalb von 30 Minuten. Nachdem der Mitarbeiter nachgelassen hatte, kontaktierte ihn der Angreifer direkt über eine Messaging-App, gab sich als IT-Support von Uber aus und behauptete, die Benachrichtigungen seien Teil einer Systemkorrektur. So konnte er den Mitarbeiter überzeugen, die nächste Anfrage zu genehmigen. Diese eine Genehmigung verschaffte dem Angreifer Zugriff auf interne Slack-Kanäle, Anmeldeinformationsspeicher, Code-Repositories und administrative Tools.

Der nächtliche Schneesturm-Vorfall bei Microsoft

Microsoft gab im Januar 2024 bekannt, dass ein staatlicher Akteur namens Midnight Blizzard ab dem 12. Januar 2024 in die Unternehmenssysteme eingedrungen war. Der Angriff erfolgte zunächst durch sogenannte Password-Spray-Attacken. Dabei wurden mit wenigen, aber häufig verwendeten Passwörtern Anmeldeversuche auf zahlreiche Konten unternommen. Ziel war ein älteres Testkonto, das nicht für den Produktivbetrieb genutzt wurde und nie für die Multi-Faktor-Authentifizierung (MFA) registriert war. Von diesem ungeschützten Konto aus erstellte der Angreifer schädliche OAuth-Anwendungen mit übermäßigen Berechtigungen und nutzte diese, um Microsoft-E-Mails zu lesen. Die Lehre daraus war eindeutig: Schon ein einziges älteres Konto ohne MFA reichte aus, um in die Systeme eines Fortune-500-Unternehmens im Bereich IT-Sicherheit einzudringen.

Strategien zum Schutz Ihrer PKI vor Authentifizierungsrisiken

• Richtlinie für Passphrasen und Überprüfung auf Sicherheitsverletzungen. Statt veralteter Komplexitätsregeln sollten Sie die aktuellen NIST SP 800-63-4-Richtlinien befolgen: Verlangen Sie längere Passphrasen, überprüfen Sie jedes neue Passwort anhand bekannter Listen kompromittierter Passwörter und verzichten Sie auf die obligatorische periodische Rotation zugunsten einer Rotation nur bei Nachweis einer Kompromittierung.
• Phishing-resistente Multi-Faktor-Authentifizierung. Standardmäßige Push-basierte MFA ist genau das Ziel von MFA-Müdigkeitsangriffen. Priorisieren Sie FIDO2, WebAuthn oder synchronisierbare Passkeys für jedes Konto mit Zugriff auf die CA-Infrastruktur, da diese nicht durch einfaches Antippen einer durch MFA-Müdigkeit ausgelösten Benachrichtigung bestätigt werden können.
• Zertifikatsbasierte Authentifizierung. Wo immer möglich, sollten Passwörter für PKI-Operationen vollständig durch zertifikatsbasierte Authentifizierung ersetzt werden, wodurch sowohl das Passwort als auch die MFA-Aufforderung von der Angriffsfläche entfernt werden.
• Schlüsseldisziplin im Management. Die sichere Aufbewahrung privater Schlüssel, die regelmäßige Rotation der Schlüssel und der umgehende Widerruf kompromittierter Schlüssel verhindern, dass eine Kompromittierung der Authentifizierung zu einer vollständigen Kompromittierung der Zertifizierungsstelle führt.
• Feingranulare Zugriffskontrolle nach dem Prinzip der minimalen Berechtigungen. Gewähren Sie jedem Benutzer- und Dienstkonto nur Zugriff auf die spezifischen PKI-Operationen, die seine Rolle erfordert, damit eine einzelne kompromittierte Anmeldeinformation nicht die gesamte CA-Hierarchie erreichen kann.

Risikomatrix: Authentifizierungsrisiken in PKI-Umgebungen

Risiko	Wahrscheinlichkeit	Auswirkungen	Erkennungsmethode	Mitigation	Steuerungszuordnung
Wiederverwendetes oder schwaches Passwort für ein CA-Administratorkonto	Hoch	Kritischer, direkter Weg zum Kompromiss bei CA	Überprüfung kompromittierter Passwörter, Protokollierung von Anmeldeinformationen	Durchsetzung der NIST SP 800-63-4-Passphrase- und Sicherheitsrichtlinie	NIST SP 800-63-4, PCI DSS 8.3
MFA-Müdigkeit oder Push-Bombing gegen ein Administratorkonto	Medium	Kritisch, wie der Uber-Datendiebstahl von 2022 gezeigt hat.	Anomales MFA-Aufkommen bei Warnmeldungen, SIEM-Korrelation	Umstellung auf phishingresistente MFA (FIDO2, WebAuthn, Passkeys)	PCI DSS 8.4.2, NIST SP 800-63-4
Legacy- oder Testkonto ohne aktivierte MFA	Medium	Kritisch, wie der Vorfall beim Mitternachts-Schneesturm gezeigt hat.	Regelmäßige Überprüfung der Konto- und MFA-Registrierung	Multi-Faktor-Authentifizierung für jedes Konto mit PKI-Zugriff erzwingen, einschließlich Test-Tenants.	PCI DSS 8.4.2, ISO/IEC 27001:2022 A.8.5
Zu weitreichende Zugriffsrechte für eine einzelne Administratorrolle	Medium	Hoch, vergrößert den Wirkungsradius jeder einzelnen Kompromittierung	Zugriffsprüfung, Rollen- und Berechtigungsprüfung	Wenden Sie das Prinzip der minimalen Berechtigungen und eine rollenbasierte Zugriffskontrolle an.	ISO/IEC 27001:2022 A.5.15, SOC 2 CC6.1
Kompromittierter oder schlecht gespeicherter privater Schlüssel	Niedrig bis mittel	Kritisch, untergräbt das Fundament des Vertrauens in die CA.	HSM-Zugriffsprotokolle, Überwachung der Schlüsselnutzung	Durchsetzung von HSM-gestützter Schlüsselspeicherung und dokumentierten Rotations- und Widerrufsverfahren	NIST SP 800-57, ISO/IEC 27001:2022 A.8.24

Compliance-Mapping

Unser Ansatz	Anforderung	Was es erfordert
NIST SP 800-63-4 (finalisiert am 31. Juli 2025)	Richtlinien für digitale Identität, Authentifizierungssicherheitsstufen	Längere Passphrasen statt komplexerer Regeln, Überprüfung auf Sicherheitslücken statt erzwungener Rotation, Phishing-resistente Multi-Faktor-Authentifizierung und synchronisierbare Passkeys als Grundlage für höhere Sicherheitsniveaus
PCI-DSS v4.0	Anforderung 8.4.2 (verpflichtend seit dem 31. März 2025)	Multi-Faktor-Authentifizierung (MFA) ist für jeden Zugriff auf die Karteninhaberdatenumgebung erforderlich, nicht nur für den Fern- und Administratorzugriff.
ISO / IEC 27001: 2022	Anhang A.5.17 (Authentifizierungsinformationen), A.8.5 (Sichere Authentifizierung)	Dokumentierte, verwaltete Handhabung von Authentifizierungsinformationen und sichere Authentifizierungsverfahren für privilegierte Systeme
SOC 2	CC6.1 (Logische und physische Zugriffskontrollen)	Der Zugriff auf Systeme, einschließlich der CA-Infrastruktur, ist eingeschränkt und wird entsprechend der Sensibilität des Systems angemessen authentifiziert.

Checkliste für Prüfungsnachweise

Beweisstück	Wo finde ich es?	Empfohlene Audithäufigkeit
Liste aller Konten mit CA- oder PKI-Portalzugriff	Zugriffsberichte von Identitätsanbietern, CA-Verwaltungskonsole	Vierteljährliches
MFA-Registrierungsstatus für jedes Konto auf dieser Liste, einschließlich Legacy- und Testkonten	MFA-Berichte von Identitätsanbietern	Vierteljährliches
Authentifizierungstyp pro Konto (nur Passwort, Push-MFA, FIDO2 oder Passkey)	Berichte über Authentifizierungsmethoden von Identitätsanbietern	Vierteljährliches
Vergleich der Konfiguration von Passwortrichtlinien mit den aktuellen NIST SP 800-63-4-Richtlinien	Einstellungen für Identitätsanbieter- oder Verzeichnispasswortrichtlinien	Halbjährlich
Zugriffsrollen- und Berechtigungszuordnung für jeden PKI-Vorgang	CA-rollenbasierte Zugriffskontrollkonfiguration	Halbjährlich
Protokolle zur Speicherung und Rotation privater Schlüssel	HSM-Audit-Protokolle	Vierteljährliches

Checkliste zur Behebung von Mängeln

1. Erstellen Sie ein Inventar aller Accounts, einschließlich Legacy- und Test-Accounts, die Zugriff auf die CA- oder PKI-Infrastruktur haben.
2. Stellen Sie sicher, dass die Multi-Faktor-Authentifizierung (MFA) für jedes Konto aus diesem Bestand aktiviert ist, ohne Ausnahme für Konten, die als risikoarm eingestuft werden.
3. Ersetzen Sie die Push-basierte Multi-Faktor-Authentifizierung durch eine phishingresistente Authentifizierung, wie z. B. FIDO2, WebAuthn oder synchronisierbare Passkeys, für jedes Konto mit administrativem CA-Zugriff.
4. Die Passwortrichtlinie sollte an die aktuellen NIST SP 800-63-4-Richtlinien angepasst werden: längere Passphrasen, Überprüfung auf Sicherheitsverletzungen und Rotation nur bei Nachweis einer Kompromittierung anstatt nach einem festen Zeitplan.
5. Wo immer dies betrieblich möglich ist, sollte der Zugriff auf das PKI-Portal auf zertifikatsbasierte Authentifizierung umgestellt werden, um Passwörter vollständig zu eliminieren.
6. Überprüfen und verschärfen Sie die rollenbasierte Zugriffskontrolle, sodass jedes Konto nur die spezifischen PKI-Operationen ausführen kann, die seine Rolle erfordert.
7. Richten Sie eine regelmäßige vierteljährliche Überprüfung des Kontenbestands, des MFA-Registrierungsstatus und der Zugriffsrollen ein, damit Lücken wie ein nicht registriertes Legacy-Konto nicht monatelang unbemerkt bleiben.

Wie CertSecure Manager Passwortmüdigkeit und Authentifizierungsrisiko reduziert

CertSecure Manager bietet Unternehmen eine zentrale Übersicht über den täglichen PKI-Betrieb, einschließlich Zertifikatserstellung, -widerruf, -erneuerung und Benachrichtigungen über deren Ablauf. Administratoren werden zudem über schwerwiegende Vorfälle informiert, sodass diese behoben werden können, bevor es zu einem Ausfall kommt und die PKI-Sicherheit des Unternehmens gewährleistet ist.

Organisationen, die CertSecure Manager verwenden, müssen sich nicht regelmäßig an der PKI-Infrastruktur authentifizieren. Die Authentifizierung von CertSecure Manager erfolgt über Microsoft Entra ID, die Identitätsplattform, die früher als Azure Active Directory bekannt war. Dadurch erhalten Benutzer, die bereits über Entra ID verfügen, unkomplizierten, zentral verwalteten Zugriff auf das Portal, ohne sich ein separates Passwort merken oder wiederverwenden zu müssen.

Diese eine Änderung löst beide Probleme, die in diesem Leitfaden behandelt werden: Die Benutzer werden nicht gezwungen, ein neues Passwort zu erstellen und erneut einzugeben, was die Passwortmüdigkeit verringert, und die PKI-Infrastruktur selbst ist nur über einen Identitätsanbieter erreichbar, den Ihre Organisation bereits verwaltet und überwacht, was das Authentifizierungsrisiko verringert.

Wen sollte das interessieren?

Authentifizierungsentscheidungen im Zusammenhang mit der PKI-Infrastruktur berühren verschiedene Rollen auf unterschiedliche Weise.

PKI-Administratoren

Verwalten Sie den täglichen Zugriff auf die CA-Infrastruktur. Maßnahmenpunkt: Überprüfen Sie in diesem Quartal alle Konten mit CA-Zugriff auf die MFA-Registrierung, insbesondere ältere oder Testkonten, die leicht übersehen werden.

Sicherheitsarchitekten

Entwerfen Sie die Authentifizierungsarchitektur für sensible Systeme. Maßnahmenpunkt: Erstellen Sie einen Plan zur Umstellung von CA-seitigen Konten von Push-basierter MFA auf phishingresistente Authentifizierung gemäß NIST SP 800-63-4.

Plattformteams

Eigene Identitätsanbieterkonfiguration und -integration. Handlungsempfehlung: Sicherstellen, dass CertSecure Manager und alle anderen PKI-Tools sich über den aktuellen Identitätsanbieter Ihrer Organisation und nicht über einen separaten Anmeldeinformationsspeicher authentifizieren.

Compliance-Teams

Sicherstellen, dass die Authentifizierungskontrollen den aktuellen Rahmenwerksanforderungen entsprechen. Maßnahmenpunkt: Überprüfung der MFA-Abdeckung gemäß PCI DSS-Anforderung 8.4.2 und Dokumentation der Übereinstimmung der Passwortrichtlinie mit NIST SP 800-63-4 als Prüfnachweis.

CISOS

Wägen Sie die organisatorischen Kosten der Authentifizierungsmüdigkeit gegen die Kosten einer Kompromittierung der Zertifizierungsstelle ab. Handlungsempfehlung: Nutzen Sie den Vorfall um den „Midnight Blizzard“ als klares Argument dafür, jedes Konto, auch scheinbar unwichtige, in die phishingresistente Multi-Faktor-Authentifizierung (MFA) einzubinden.

Unsere Einschätzung: Wie Verschlüsselungsberatung die Authentifizierungssicherheit für PKI unterstützt.

Der Schutz einer PKI und ihrer Zertifizierungsstellen vor Passwortmüdigkeit und Authentifizierungsrisiken ist keine einmalige Richtlinienänderung. Er erfordert kontinuierliche Disziplin im Umgang mit Identitäts-, Zugriffs- und Schlüsselmanagement, unterstützt durch Tools, die unnötige Passwortrisiken minimieren, anstatt eine weitere Passwortrichtlinie zu einer bereits überlasteten hinzuzufügen.

Unsere CertSecure Manager- Plattform zentralisiert das Zertifikatslebenszyklusmanagement und die Inventarisierung von Maschinenidentitäten hinter einer anbieterbasierten Authentifizierung und schließt damit genau die Lücke bei der Passwortwiederverwendung, die in diesem Leitfaden beschrieben wird. Für Organisationen, die den Betrieb von Zertifizierungsstellen und die zugehörige Authentifizierungsoberfläche vollständig auslagern möchten, bietet unsere PKI-as-a-Service- Plattform die Möglichkeit, die Zertifizierungsstellenhierarchie mit FIPS 140-3 Level 3 HSM-gestützten Schlüsseln zu betreiben, während Ihre Organisation Eigentum und Kontrolle behält. Ein starkes Schlüsselmanagement ist jedoch nur die halbe Miete. Ohne Kryptoagilität für die Zukunft ist es unerlässlich: Unser PQC Center of Excellence und die PQC Readiness Assessment unterstützen Teams bei der Planung der Migration zu Post-Quanten-Algorithmen. Unsere CBOM Secure- Plattform zur kryptografischen Erkennung und Inventarisierung bietet Sicherheitsarchitekten vollständige Transparenz über jedes Zertifikat, jeden Schlüssel und jeden Algorithmus, von dem eine Umgebung aktuell abhängt – einschließlich derjenigen, die ein nicht geprüftes Legacy-Konto andernfalls preisgeben könnte.

Fazit

Der Schutz einer PKI und ihrer Zertifizierungsstellen vor Passwortmüdigkeit und Authentifizierungsrisiken ist entscheidend für die Sicherheit und Integrität der Infrastruktur eines Unternehmens. Die Authentifizierungsrichtlinien des NIST für 2025, die erweiterten MFA-Anforderungen des PCI DSS sowie reale Vorfälle bei Uber und Microsoft weisen alle in dieselbe Richtung: Eine strenge Passwortrichtlinie allein reicht nicht mehr aus. Die Kombination aus phishingresistenter MFA, zertifikatsbasierter Authentifizierung, diszipliniertem Schlüsselmanagement und Zugriffskontrolle nach dem Prinzip der minimalen Berechtigungen reduziert das Risiko unberechtigten Zugriffs erheblich und wirkt der Passwortmüdigkeit entgegen, die Benutzer überhaupt erst zu riskanten Authentifizierungsentscheidungen verleitet.

Häufig gestellte Fragen

Was ist die wichtigste Erkenntnis beim Schutz Ihrer PKI und Zertifizierungsstellen vor Passwortmüdigkeit und Authentifizierungsrisiken?

Passwortmüdigkeit führt direkt zur Wiederverwendung von Anmeldeinformationen und zu MFA-Müdigkeitsangriffen, die beide bereits zu Sicherheitslücken bei großen Unternehmen geführt haben. Phishing-resistente MFA und zertifikatsbasierte Authentifizierung, die den NIST SP 800-63-4-Richtlinien (Finale Juli 2025) entsprechen, beheben die Ursache des Problems, anstatt zusätzliche Passwortregeln einzuführen.

Warum ist das für PKI-Teams in Unternehmen wichtig?

Die Zertifizierungsstelle einer PKI bildet die Vertrauensbasis der Organisation. Eine Kompromittierung der Authentifizierung dort gefährdet nicht nur ein einzelnes Konto, sondern ermöglicht es einem Angreifer, sich als beliebiger Benutzer oder Rechner auszugeben und Zertifikate im gesamten Netzwerk auszustellen oder zu widerrufen.

Welche Risiken erhöhen sich, wenn dieses Thema manuell behandelt wird?

Die manuelle Verwaltung von Passwörtern und Zugriffsrechten birgt die Gefahr, dass ältere oder Testkonten unkontrolliert bleiben, wie es beim Midnight Blizzard-Vorfall der Fall war. Zudem erhöht sie die Wahrscheinlichkeit der Wiederverwendung von Passwörtern über verschiedene Systeme hinweg, da die Anzahl der von einer Person verwalteten Zugangsdaten stetig wächst.

Welche Teams sollten für diese Änderung verantwortlich sein?

Die PKI-Administratoren sind für die Konten- und Zugriffsprüfung zuständig, die Sicherheitsarchitekten legen die Authentifizierungsarchitektur fest, die Plattformteams verantworten die Integration der Identitätsanbieter, die Compliance-Abteilung überprüft die Ausrichtung des Frameworks, und der CISO wägt das Gesamtrisiko ab.

Wie hängt das mit dem Zertifikatslebenszyklusmanagement zusammen?

Tools zur Verwaltung des Zertifikatslebenszyklus wie CertSecure Manager verringern die Häufigkeit, mit der sich Administratoren direkt an der PKI-Infrastruktur authentifizieren müssen, wodurch das Zeitfenster verkleinert wird, in dem eine Kompromittierung des Passworts oder der Multi-Faktor-Authentifizierung Schaden anrichten könnte.

Wie sollten Organisationen ihren Erfolg messen?

Verfolgen Sie den Prozentsatz der CA-zugewandten Konten, die für phishingresistente MFA anstelle von Push-basierter MFA registriert sind, stellen Sie sicher, dass kein Legacy- oder Testkonto ohne MFA ist, und überwachen Sie anomale Authentifizierungsmuster wie ein ungewöhnlich hohes Volumen an MFA-Aufforderungen.

Was sollte regelmäßig geprüft oder überwacht werden?

Überprüfen Sie regelmäßig die vollständige Liste der Konten mit CA- oder PKI-Zugriff, deren MFA-Registrierungsstatus und Authentifizierungstyp, die Übereinstimmung der Passwortrichtlinie mit NIST SP 800-63-4 sowie den Zugriffsrollenbereich für jedes Konto.

Welche Auswirkungen hat dieses Thema auf Cloud-, Hybrid- oder Multi-CA-PKI?

In einer Multi-CA- oder Hybridumgebung vervielfacht sich die Anzahl der zu sichernden Administratorkonsolen und -konten. Daher ist es umso wichtiger, die Authentifizierung über einen einzigen Identitätsanbieter zu zentralisieren, anstatt für jede CA separate Passwörter zu verwenden.

Welche häufigen Fehler sollten Teams vermeiden?

Zu den häufigsten Fehlern gehören die Annahme, dass Legacy- oder Testkonten ein so geringes Risiko aufweisen, dass auf MFA verzichtet werden kann, das Vertrauen auf Push-basierte MFA, ohne die Benutzer darin zu schulen, unerwartete Aufforderungen abzulehnen, und die Behandlung von Passwortkomplexitätsregeln als ausreichend ohne Überprüfung auf Sicherheitslücken oder Phishing-resistente Authentifizierung.

Was sollte vierteljährlich aktualisiert werden?

Aktualisieren Sie den Kontobestand mindestens vierteljährlich mit Informationen zum CA-Zugriff, zum MFA-Registrierungsstatus für alle Konten, einschließlich älterer Konten, und zur Zugriffsrollenzuordnung für jedes Konto. Überprüfen Sie die Passwortrichtlinie mindestens zweimal jährlich anhand der NIST-Richtlinien.