Fernzugriff sicher verwalten: Die unterschätzte Sicherheitslücke im KMU

Fernzugriff bedeutet, dass externe Personen – etwa Lieferanten oder IT-Dienstleister – über das Internet auf interne Systeme zugreifen können, um Wartungsarbeiten oder Updates durchzuführen. Was im Alltag praktisch ist, wird zum ernsthaften Risiko, wenn diese Zugänge unkontrolliert bleiben. Für Geschäftsführer, IT-Leitungen und Verwaltungsräte in KMU ist das Thema besonders relevant: Ein einziger unkontrollierter Fernzugriff kann als Einstiegspunkt für einen Cyberangriff dienen – mit potenziell gravierenden Folgen für den Betrieb, die Compliance und die Reputation.

Warum unkontrollierte Fernzugriffe so gefährlich sind

In vielen Security-Assessments zeigt sich dasselbe Bild: Lieferanten haben dauerhaften Remote-Zugriff auf IT- oder OT-Systeme. Häufig läuft das über Tools wie TeamViewer oder vergleichbare Lösungen. Die Zugänge sind rund um die Uhr aktiv, die Accounts sind generisch, und die Aktivitäten werden weder überwacht noch protokolliert.

Das klingt nach einem Randproblem – ist es aber nicht. Denn dieser Komfort öffnet unbewusst eine permanente Hintertür. Wer den Fernzugriff einmal eingerichtet hat, beschäftigt sich oft nicht mehr damit. Und genau das nutzen Angreifer aus.

Die häufigsten Schwachstellen im Überblick:

• Generische Accounts: Niemand weiss im Nachhinein, wer sich tatsächlich eingeloggt hat. Verantwortlichkeiten verschwimmen.

• Permanente Verfügbarkeit: Ein Account, der 7×24 Stunden erreichbar ist, kann auch 7×24 Stunden missbraucht werden.

• Fehlende Protokollierung: Ohne Logs gibt es keine Möglichkeit, verdächtige Aktivitäten nachzuvollziehen.

• Unklare Zuständigkeiten: Oft weiss niemand im Unternehmen genau, welche Lieferanten Zugriff haben und warum.

Der Einstieg über Fernwartung ist für Cyberkriminelle oft einfacher als über Firewalls oder Phishing-Angriffe. Besonders in OT-Umgebungen – also in der Produktions- oder Steuerungstechnik – kann ein unkontrollierter Zugriff gravierende Folgen haben, bis hin zum Stillstand von Produktionsanlagen.

Was der IKT-Minimalstandard zur Verwaltung von Fernzugriffen fordert

Der IKT-Minimalstandard adressiert dieses Risiko ausdrücklich. Er fordert von Unternehmen einen klaren Prozess für die Verwaltung und Freigabe von Fernzugriffen. Die zentralen Anforderungen sind:

• Genehmigung: Jeder Zugriff muss durch eine interne, verantwortliche Person freigegeben werden.

• Überwachung und Protokollierung: Alle Sitzungen sind technisch zu begleiten oder zumindest zu überwachen. Logs müssen nachvollziehbar dokumentiert sein.

• Verbindliche Vereinbarungen: Mit Lieferanten sind klare, schriftliche Regeln festzulegen – wann, wie und unter welchen Bedingungen ein Zugriff erlaubt ist.

• Regelmässige Audits: Mindestens einmal jährlich müssen Fernzugriffe geprüft, dokumentiert und bestätigt werden.

Für Unternehmen der kritischen Infrastruktur ist die Umsetzung dieser Anforderungen keine Option, sondern Pflicht. Doch auch für andere KMU lohnt sich die Umsetzung – sie schützt vor Haftungsrisiken und stärkt das Vertrauen in die Zusammenarbeit mit Partnern.

Bewährte Massnahmen für sichere Fernzugriffe

Neben den regulatorischen Vorgaben gibt es erprobte Massnahmen, die den Schutz zusätzlich erhöhen:

• Jump-Hosts einsetzen: Externe Zugriffe laufen über einen definierten, zentral überwachten Zugangspunkt.

• Multi-Faktor-Authentisierung (MFA): Auch Lieferanten dürfen sich nicht nur mit Benutzername und Passwort anmelden. Ein zweiter Faktor – etwa ein Code per App – erhöht die Sicherheit erheblich.

• Zeitlich begrenzte Zugriffe: Accounts werden nur für die Dauer der Wartung freigeschaltet und danach automatisch gesperrt.

• Session-Recording: Besonders kritische Zugriffe werden aufgezeichnet, damit später nachvollzogen werden kann, was genau durchgeführt wurde.

• Prinzip der minimalen Rechte: Lieferanten erhalten nur die Zugänge, die sie für die konkrete Aufgabe benötigen – und nicht mehr.

Diese Massnahmen sind kein Hexenwerk. Sie lassen sich schrittweise einführen und sind auch für KMU ohne grosses IT-Team umsetzbar.

Praxisbeispiel: Ein Industriebetrieb überarbeitet seine Fernzugriffe

Ein produzierendes KMU mit rund 80 Mitarbeitenden stellte im Rahmen eines Security-Assessments fest, dass drei externe Lieferanten dauerhaften Zugriff auf die Produktionssteuerung hatten. Die Zugänge waren seit Jahren aktiv, die Passwörter wurden nie geändert, und es gab keine Protokolle über vergangene Sitzungen.

Im ersten Schritt wurde eine Übersicht aller bestehenden Fernzugriffe erstellt. Danach wurden die Zugänge auf zeitlich begrenzte, genehmigungspflichtige Verbindungen umgestellt. Mit jedem Lieferanten wurden schriftliche Vereinbarungen getroffen, die Bedingungen und Umfang des Zugriffs klar regeln. Zusätzlich wurde MFA eingeführt.

Das Ergebnis: Das Unternehmen hat die Hoheit über seine Systeme zurückgewonnen – und kann im Auditfall lückenlos dokumentieren, wer wann auf welche Systeme zugegriffen hat.

Was Unternehmen mit sicheren Fernzugriffen erreichen

Wer diese Massnahmen konsequent umsetzt, erzielt gleich mehrere Vorteile:

• Volle Kontrolle darüber, wer wann auf welche Systeme zugreift

• Lückenlose Dokumentation für Audits und Compliance-Nachweise

• Deutlich reduziertes Risiko, dass Angreifer unbemerkt über Lieferanten-Systeme eindringen

• Gestärktes Vertrauen in die Zusammenarbeit mit Partnern und Dienstleistern

Jetzt handeln, bevor es zu spät ist

Prüfen Sie Ihre bestehenden Remote-Zugänge. Stellen Sie sich drei konkrete Fragen:

1. Wer kann wann und wie auf Ihre Systeme zugreifen?

2. Werden diese Zugriffe protokolliert und regelmässig überprüft?

3. Existieren verbindliche Vereinbarungen mit Ihren Lieferanten?

Wenn Sie diese Fragen nicht klar beantworten können, ist jetzt der richtige Zeitpunkt, den Prozess für Fernzugriffe zu überarbeiten. Der Aufwand ist überschaubar – der Sicherheitsgewinn dagegen enorm.

Möchten Sie Ihre Fernzugriffe auf Sicherheitslücken prüfen?

SecuraNova unterstützt KMU dabei, Remote-Zugänge strukturiert zu erfassen, Risiken zu bewerten und klare Prozesse einzuführen – pragmatisch und ohne unnötige Komplexität. Nehmen Sie Kontakt auf und erfahren Sie, wie Sie Ihre Systeme wirksam schützen können.

Häufig gestellte Fragen

Was ist ein unkontrollierter Fernzugriff?
Ein unkontrollierter Fernzugriff liegt vor, wenn externe Personen – etwa Lieferanten – dauerhaft und ohne Genehmigungsprozess auf interne Systeme zugreifen können. Typisch sind generische Accounts, fehlende Protokollierung und keine zeitliche Begrenzung.

Warum sind generische Accounts ein Problem?
Generische Accounts werden von mehreren Personen genutzt. Wenn etwas schiefläuft, lässt sich nicht mehr nachvollziehen, wer tatsächlich im System war. Verantwortlichkeiten verschwimmen – und im Ernstfall fehlt die Grundlage für eine Untersuchung.

Was fordert der IKT-Minimalstandard bei Fernzugriffen?
Der IKT-Minimalstandard verlangt einen klaren Genehmigungsprozess, technische Überwachung und Protokollierung aller Sitzungen, schriftliche Vereinbarungen mit Lieferanten sowie jährliche Audits der bestehenden Fernzugriffe.

Ist Multi-Faktor-Authentisierung auch für Lieferanten nötig?
Ja. MFA sollte für alle externen Zugänge gelten – unabhängig davon, ob es sich um eigene Mitarbeitende oder externe Dienstleister handelt. Ein Benutzername mit Passwort allein bietet keinen ausreichenden Schutz.