tenfold Case Study:
St. Anna Kinderkrebsforschung

Interne laterale Bewegungen, wie Wechsel von einer Forschungsgruppe in eine andere, stellen auf Berechtigungsebene eine besondere Herausforderung dar. Informationen müssen verschiedene Abteilungen durchlaufen – z. B. über die Gruppenleitung zu HR und von dort zur IT – bevor sie im System abgebildet werden können. Diese Informationen müssen nicht nur rechtzeitig an die IT weitergegeben werden, sondern es müssen in Folge auch Übergangsfristen bei den Berechtigungen gesetzt werden, damit Forschende ihre Arbeit in der einen Gruppe abschließen können, während sie bereits in einer anderen aktiv sind. Manuell ist dies ein komplexer, fehleranfälliger und langwieriger Prozess, bei dem jedes angebundene System nach Berechtigungen der Person durchforstet werden muss.

Zudem benötigen Forschende oft eigene Systeme für ihre Arbeit, die ebenso wie die Mitarbeitenden selbst kurzfristig und zeitlich begrenzt mit dem hauseigenen System integriert werden müssen. Passwortänderungen und ähnliche Aufgaben gehören ebenfalls zum täglichen Arbeitsaufwand. Kurz gesagt: es gab eine erhebliche Menge an Aufgaben zu bewältigen.

Zusätzlich zu einem hohen Arbeitsvolumen, das durch fehlende Prozessautomatisierung entsteht, weist eine manuelle Benutzerverwaltung zahlreiche weitere Nachteile auf: Fehler schleichen sich ein, die Namensgebungen sind uneinheitlich, BenutzerInnen erhalten fälschlicherweise Berechtigungen, die ihnen nicht zustehen, weil die falsche AD-Gruppe ausgewählt wurde. Außerdem behalten sie oft Berechtigungen, die sie nicht mehr benötigen, übermäßig lang oder sogar dauerhaft (z.B. bei Abteilungswechsel – dieses Phänomen wird als Privilege Creep bezeichnet). Es ist generell herausfordernd, mithilfe von manuell geführten Excel-Listen und Tickets den Überblick über die Berechtigungslandschaft im Unternehmen zu behalten.

Ein weiteres Problem trat auch bei der Verteilung von Lizenzen auf, wenn aufgrund des fehlenden Überblicks über Berechtigungen und Ressourcen eine Microsoft 365-Lizenz bei einem User nach dessen Deaktivierung nicht entzogen wurde, sondern weiterlief und somit nicht für den nächsten User zur Verfügung stand. Die Folge: es wurden unnötigerweise neue Lizenzen dazugekauft.

In dem Zusammenhang herausfordernd ist die Nutzung von so genannten Referenz-Usern für die User-Anlage. Dabei werden die Berechtigungen eines bestehenden Benutzers (dem Referenz-User), der eine ähnliche Position wie der neue Mitarbeiter besetzt oder der gleichen Abteilung angehört, einfach kopiert und auf den neuen Mitarbeiter übertragen. Hier kann es vorkommen, dass der neue Mitarbeiter Zugriff auf Ressourcen bekommt, die er gar nicht für seine Arbeit benötigt oder haben sollte.

Die Gefahr, dass ein User so zu einem überberechtigtem Insider Threat wird, ist durch die Nutzung von Referenz-Usern latent immer gegeben und sollte strikt vermieden werden. Zudem ist es eine Verletzung des Least Privilege Prinzips und entspricht somit nicht den Security Best Practices.

Mit einer Lösung für Berechtigungsmanagement lassen sich solche Fälle einfach vermeiden, denn die Software entzieht Lizenzen automatisch, sobald ein User deaktiviert wird.

Auch Ingomar Schmickl, Leiter der IT bei der St Anna Kinderkrebsforschung, hatte das Thema IAM auf dem Radar. Jedoch wurde es von ihm – wie auch von vielen seiner FachkollegInnen – als „komplex und aufwendig“ betrachtet, also mit einem erheblichen zeitlichen und finanziellen Aufwand verbunden; ein umfassendes Projekt, in das man sich intensiv einarbeiten müsse.

Da die IT-Abteilung des Forschungsinstituts bereits stark mit der Bewältigung von alltäglich Aufgaben ausgelastet war und auf der anderen Seite das Institut fast zu 100% durch Spenden finanziert wird, erschien die Umsetzung eines so umfangreichen und kostspieligen Projektes nicht realisierbar.

Im Gespräch mit tenfold-Integrationspartner Artaker, der auch auf eine langjährige Zusammenarbeit mit Schmickl und dem Institut St. Anna Kinderkrebsforschung zurückblicken kann, wurde jedoch deutlich, dass Identity Access Management nicht nur zur Verbesserung der allgemeinen IT-Sicherheit beiträgt, sondern auch eine entlastende Funktion im überladenen Alltag von IT-Fachkräften bietet.

Dass es neben umfangreichen und kostspieligen Enterprise-IAM-Lösungen auch andere Optionen für den Mittelstand gibt, die dazu noch günstigere Konditionen für spendenabhängige Einrichtungen wie dem Forschungsinstitut anbieten, brachte den IAM-Ball ins Rollen.

Im Zuge der Auswertung von potenziellen IAM-Lösungen wurden neben tenfold auch noch eine Governance-Lösung sowie eine Enterprise-Lösung in Betracht gezogen. Doch schnell kam man zu dem Schluss, dass beide der letzteren Optionen nicht das boten, was benötigt wurde – die Governance-Lösung war primär auf die Protokollierung von Änderungen in Active Directory ausgerichtet, die Enterprise-Lösung allen Erwartungen entsprechend zu komplex, so dass schnell deutlich wurde, dass hier die Projektabschätzung allein den Kosten-Nutzen-Faktor sofort in ein Ungleichgewicht stürzen würde.

Ein besonders zeitaufwändiger Aspekt für die IT des Forschungsinstituts war die Verwaltung von Nutzerkonten aufgrund der hohen Mitarbeiterfluktuation, die etwa 5-8 Abhänge pro Monat umfasste. Beim Ausscheiden eines Mitarbeiters mussten sämtliche Accounts, Postfächer, Berechtigungen und Lizenzen in Active Directory und Systemen wie Microsoft 365 identifiziert, einzeln deaktiviert und entzogen sowie in Excellisten dokumentiert werden.

Über tenfolds Self-Service können Benutzer neue Ressourcen anfordern oder ihr eigenes Passwort zurücksetzen – ganz ohne Aufwand für die IT.

Außerdem sollen weitere Systeme an tenfold angebunden werden, um die IT noch mehr zu entlasten, so zum Beispiel die HR-Funktion von Sage DPW.

Auch hier ist der bisherige Ablauf so, dass bei Neueintritt die HR-Abteilung den neuen Mitarbeiter in DPW anlegt und nachfolgend die IT mit allen Informationen per E-Mail füttert. Die IT wiederum muss dann User-Accounts und Berechtigungen in sämtlichen Systemen auf Basis dieser Informationen erstellen, damit diese am ersten Arbeitstag des neuen Mitarbeiters bereitstehen. Auch hier können Fehler auftreten, wenn beispielsweise die Info seitens HR unkorrekt weitergeleitet wird oder bei händischer Dateneingabe durch die IT.

Ebenso in Planung ist es, die Reporting-Funktion von tenfold einzubinden. Damit lässt sich auf einen Klick nicht nur auflisten, auf welche Ressourcen ein User Zugriff hat, sondern auch seit wann, für wie lange und wer für die Vergabe verantwortlich ist. Das sorgt nicht nur für eine bessere Übersicht, sondern unterstützt auch bei Audits – egal ob intern oder extern – besser und schneller ans Ziel zu kommen.

Weiters auf der Liste zu finden ist die Umsetzung der Rezertifizierungsfunktion (User Access Reviews) von tenfold. Dabei werden Datenverantwortliche (in diesem Falle z.B. die Forschungsgruppenleiter) regelmäßig von tenfold dazu aufgefordert, die bestehenden Zusatzberechtigungen von Forschern in ihren Teams zu überprüfen und nicht mehr benötigte Zugriffe zu entfernen (dies betrifft ausschließlich Zusatzberechtigungen. Standardberechtigungen, die z.B. über Profile zugewiesen werden, müssen nicht rezertifiziert werden). So können Gefahren wie Privilege Creep und in Folge auch Insider Threats eingedämmt werden, während gleichzeitig die Einhaltung von des Least-Privilege-Prinzips gewährleistet wird.