Warum Ihre Endgerätesicherheitsstrategie eine Zero-Trust-Architektur braucht und nicht nur weniger Tools

Die gefährlichste Annahme in der Endgerätesicherheit ist nicht, dass ein Angreifer Ihre Sicherheitsperimeter durchbricht. Es ist die Annahme, dass die von Ihnen verwendeten Tools zur Verwaltung von Endgeräten standardmäßig vertrauenswürdig sind.

Diese Annahme findet sich in vielen Endgeräte-Management-Stacks wieder und genau diese Lücke sollen Angriffe über die Lieferkette ausnutzen.

ConnectWise hat echte Arbeit investiert, um sein Toolset zu integrieren. ConnectWise RMM umfasst ScreenConnect für den Remotezugriff. Die tägliche Arbeitsumgebung für Techniker ist weitgehend einheitlich gestaltet. Wenn Sie diesen Stack nutzen, wechseln Sie nicht zwischen Anwendungen hin und her, die völlig unabhängig voneinander sind.

Ein ganzheitliches Nutzungserlebnis und eine einheitliche Sicherheitsarchitektur sind jedoch nicht dasselbe. ScreenConnect und ConnectWise RMM sind jeweils eigenständige Produkte mit eigener Entwicklungshistorie, eigener CVE-Aufzeichnung und eigenem Vertrauensmodell. ScreenConnect ist ebenfalls als eigenständiges Produkt erhältlich. Selbst bei einem gut integrierten Paket besteht die zugrunde liegende Architektur nach wie vor aus separaten Systemen, deren Vertrauensbeziehungen zu Ihren Endpunkten nicht von Grund auf als ein einziges Sicherheitsmodell konzipiert wurden.

Diese Schnittstelle ist relevant. Nicht, weil die Tools nicht zusammenarbeiten, denn das tun sie durchaus, sondern weil das Endgerät keinen nativen Mechanismus hat, einen legitimen Befehl von einem kompromittierten zu unterscheiden, der über eine vertrauenswürdige Pipeline übertragen wird, wenn auf der Integrationsebene etwas schiefläuft.

Angriffe sind nicht immer deshalb erfolgreich, weil Angreifer die Verschlüsselung geknackt haben, sondern weil Management-Tools bedingungslos vertraut wird und dieses Vertrauen auf der Aktionsebene nicht überprüft wird.

Zero-Trust-Sicherheit folgt einem Grundsatz: Nie vertrauen, alles verifizieren, und zwar nicht nur beim Login, sondern bei jeder sensiblen Aktion.

LogMeIn Resolve bringt Zero-Trust-Architektur in die Remotezugriffsicherheit, indem Techniker Aktionen mit einer eindeutigen Signatur versehen, die nur sie besitzen. Durch die erweiterte Zugriffskontrolle kann niemand, auch Administratoren nicht, im Namen eines Technikers Aufgaben ändern oder erstellen. Endgeräte vertrauen niemals blind. Sie überprüfen die Signatur, bevor Zugriff gewährt wird.

Konkret bedeutet das:

• Jede Remotesitzung wird mit Identitätsprüfung verifiziert, nicht nur durch die Kontrolle von Anmeldedaten. Jeder Support-Techniker erzeugt einen eigenen Signaturschlüssel zur Identitätsbestätigung. Dadurch wird ein unautorisierter Zugriff nahezu ausgeschlossen. Selbst Administratoren können keine Remotesitzungen übernehmen, ohne dieselben strengen Verifizierungsanforderungen zu erfüllen.
• Jede automatisierte Aktion erfordert eine Verifizierung. Skriptausführung, PowerShell-Befehle und die Bereitstellung unbeaufsichtigter Geräte durchlaufen alle dieselbe Zero-Trust-Authentifizierungsebene, nicht nur eine angemeldete Sitzung.
• 256-Bit-AES-Verschlüsselung und TLS schützen sämtliche Daten während der Übertragung und werden konsequent für jeden Sitzungstyp angewendet.

LogMeIn Resolve hat alle Zero-Trust-Grundsätze in jede Architekturebene integriert. Das bedeutet, dass das Verifizierungsmodell einheitlich gilt, unabhängig davon, welche Funktion Sie nutzen, und dass es keine Integrationslücken gibt, an denen die Verifizierung umgangen werden könnte.

MSPs sind ein besonders attraktives Ziel in der Lieferkette. Wenn ein Angreifer Ihr RMM-Tool kompromittiert, erhält er direkten Zugang zu jeder Kundenumgebung, die Sie verwalten, ohne jede einzelne Umgebung separat kompromittieren zu müssen.

LogMeIn Resolve wurde speziell entwickelt, um ganze Kategorien von Angriffen auf die Lieferkette, Ransomware-Angriffe und Befehlsinjektionsangriffe zu verhindern, die der Branche schweren Schaden zugefügt haben. Der Mechanismus ist architektonisch: Da jede Aktion eine verifizierte Techniker-Signatur erfordert, können kompromittierte Anmeldedaten oder eine gekaperte Sitzung keine böswilligen Befehle unbemerkt an Endgeräte senden. Das Endgerät selbst verweigert nicht signierte Befehle.

Das ist ein wesentlicher Unterschied zu Systemen, bei denen Remotezugriff und Automatisierung zwar integriert, aber architektonisch getrennt sind. Gute Integration reduziert Reibungsverluste, beseitigt jedoch nicht die zugrunde liegenden Vertrauensgrenzen zwischen Produkten.

Da RMM, Fernzugriff, Patch-Automatisierung und MDM nativ in Resolve integriert sind, überprüft die identitätsbasierte Zero-Trust-Zugriffskontrolle die Identitäten von Benutzern und Geräten, wendet das Prinzip der geringsten Berechtigungen an, indem sie den Benutzern nur die für ihre Rollen erforderlichen Mindestberechtigungen gewährt, und nutzt Mikrosegmentierung, um die laterale Bewegung innerhalb des Netzwerks einzuschränken. Das geschieht einheitlich bei jeder Aktion auf der Plattform..

Für MSPs bedeutet dies, dass ein einziges, nachvollziehbares Berechtigungsmodell jede Kundenumgebung abdeckt. Für interne IT-Teams ist es bei der Compliance-Berichterstattung und der Vorbereitung auf Audits nicht erforderlich, Protokolle aus verschiedenen Tools miteinander abzugleichen, da sich alles an einem Ort befindet und durchgängig ein einheitlicher Governance-Standard angewendet wird.

Was bedeutet Zero-Trust-Architektur im Kontext des Endgeräte-Managements?

Zero-Trust bedeutet, dass keinem Benutzer, keinem Gerät und keiner Aktion standardmäßig vertraut wird. Jeder Zugriff und jede automatisierte Aufgabe erfordert eine explizite Verifizierung. Im Endgeräte-Management gilt dies für Remotesitzungen, Skriptausführungen und den Zugriff auf unbeaufsichtigte Geräte. LogMeIn Resolve wendet Zero-Trust-Verifizierung auf der Handlungsebene an, nicht nur beim Login.

Wie schützt die Zero-Trust-Architektur vor Angriffen auf die Lieferkette?

Lieferkettenangriffe funktionieren typischerweise, indem ein vertrauenswürdiges Tool kompromittiert wird und dieses Vertrauen genutzt wird, um böswillige Befehle an Endgeräte zu übermitteln. Das Zero-Trust-Modell von Resolve erfordert, dass jede Aktion von einem verifizierten Techniker signiert wird. Da Endgeräte die Signatur vor der Ausführung einer Anweisung überprüfen, können kompromittierte Zugangsdaten oder übernommene Sitzungen keine böswilligen Skripte unbemerkt ausführen.

Enthält ConnectWise RMM ScreenConnect?

Ja. ScreenConnect ist in ConnectWise RMM enthalten und beide sind im täglichen Einsatz gut integriert. ScreenConnect ist jedoch auch als eigenständiges Produkt erhältlich. Beide Tools verfügen über separate Entwicklungshistorien und Sicherheitsarchitekturen. Integration und einheitliche Architektur sind nicht dasselbe.

Wie wirkt sich das Zero-Trust-Modell von Resolve auf die täglichen Arbeitsabläufe von Technikern aus?

Bei den meisten Routineaufgaben läuft die Überprüfungsebene transparent im Hintergrund. Techniker authentifizieren sich einmal, und ihr individueller Signaturschlüssel steuert den Zugriff und die Ausführung von Aufgaben. Der Unterschied besteht darin, dass niemand, auch Administratoren nicht, außerhalb des ihnen zugewiesenen Bereichs hinaus handeln kann, wodurch das Insider-Risiko verringert wird, ohne dass dabei nennenswerte Reibungsverluste entstehen.

Ist Zero-Trust-Zugangskontrolle in allen Resolve-Tarifen verfügbar?

Die Zero-Trust-Architektur ist auf der Resolve-Plattform auf Basisebene integriert und nicht auf eine Premium-Stufe beschränkt.

Möchten Sie erfahren, wie Zero-Trust-Endgeräte-Management in Ihrer Umgebung aussieht?