Was ist ein Break-Glass-Konto?
Ein Break-Glass-Konto ist ein privilegiertes Konto für Notfälle, in denen die normalen Anmeldewege nicht mehr funktionieren. Es stellt sicher, dass Administratoren kritische Systeme noch erreichen, wenn der Identity Provider, der Dienst für Multi-Faktor-Authentifizierung oder das Verzeichnis ausgefallen oder kompromittiert ist.
Warum brauchen Backup-Systeme ein Break-Glass-Konto?
Backup-Systeme werden am dringendsten gebraucht, wenn anderes ausgefallen ist. Akzeptieren die Backup-Konsole und die Management-Schnittstelle des Speichers nur Konten aus dem Produktionsverzeichnis, sperrt der Verlust dieses Verzeichnisses durch einen Ausfall oder durch Ransomware die Administratoren genau aus den Systemen aus, die es wiederherstellen sollen. Ein lokales Notfallkonto, unabhängig vom Verzeichnis und von jedem externen Authentifizierungsdienst, hält einen Zugang offen.
Wie wird ein Break-Glass-Konto geschützt?
Das Konto ist mächtig und wird selten genutzt. Das macht es für Angreifer attraktiv und leicht zu vergessen. Sein Schutz beruht auf wenigen festen Regeln.
| Kontrolle | Zweck |
|---|---|
| Langes, zufälliges Passwort, offline verwahrt | Lässt sich weder per Phishing erbeuten noch aus einem Passwortmanager holen, der selbst ausgefallen ist |
| Geteiltes Wissen oder versiegelter Umschlag | Niemand kann es allein unbemerkt nutzen |
| Lokal im System, nicht im Verzeichnis | Funktioniert, wenn das Verzeichnis ausfällt |
| Alarm bei jeder Anmeldung | Jede Nutzung fällt sofort auf |
| Passwortwechsel nach jeder Nutzung | Ein offengelegtes Passwort ist nur kurz gültig |
| Regelmäßiger Test | Bestätigt, dass das Konto noch funktioniert |
Wie hängt das Konto mit MFA und dem Vier-Augen-Prinzip zusammen?
Notfallkonten sind oft von der Multi-Faktor-Authentifizierung ausgenommen, weil der zweite Faktor von einem Dienst abhängen kann, der nicht verfügbar ist. Diese Ausnahme ist nur vertretbar, wenn die übrigen Kontrollen greifen: Offline-Verwahrung, geteilte Verwahrung und sofortiger Alarm. Wo möglich, stellt ein Hardware-Schlüssel, der mit dem versiegelten Passwort verwahrt wird, einen zweiten Faktor ohne Online-Abhängigkeit wieder her. Das Vier-Augen-Prinzip passt hier von selbst, denn zum Abrufen der Zugangsdaten sollten zwei Personen nötig sein.
Was sollte ein Break-Glass-Konto nicht können?
Der Notfallzugang dient der Wiederherstellung. Er darf kein Weg um die Datensicherung herum sein. Sind Backups im Compliance-Modus gesperrt, kann auch das Break-Glass-Konto sie nicht löschen, und das ist beabsichtigt. Andernfalls wären gestohlene Notfall-Zugangsdaten der direkteste Weg zur Zerstörung der Backups. Ein Konto, das den Betrieb wiederherstellen, aber keine unveränderlichen Daten entfernen kann, hält den administrativen Blast Radius begrenzt.
Häufig gestellte Fragen
Wie viele Break-Glass-Konten sollte es geben?
Meist eines oder zwei pro kritischem System, damit eine einzelne Sperrung oder ein verlorener Umschlag den Notfallzugang nicht beseitigt.
Wo sollte das Passwort verwahrt werden?
Offline, in einem Tresor oder versiegelten Umschlag unter Vier-Augen-Kontrolle, mit einer Kopie an einem zweiten Standort.
Wie oft sollte ein Break-Glass-Konto getestet werden?
Mindestens einmal oder zweimal pro Jahr und nach jeder Änderung der Authentifizierung des zugehörigen Systems.