Externe Dienstleister sicher auf kritische Systeme zugreifen lassen – ohne VPN und ohne offene Ports

Die eigentliche Herausforderung beginnt jedoch dort, wo aus notwendigem Fernzugriff ein dauerhaftes Sicherheitsrisiko wird.

Noch immer stellen Unternehmen für solche Zugriffe VPN-Verbindungen bereit oder öffnen RDP-, SSH- und andere Ports in Richtung Internet. Aus Sicht des Anwenders ist das bequem. Aus Sicht der IT-Sicherheit entsteht damit jedoch häufig ein deutlich größerer Zugriffsbereich, als für die eigentliche Aufgabe erforderlich wäre.

Genau hier setzt Kyvion Secure Access an.

Nicht das Netzwerk freigeben, sondern das benötigte System

Ein externer Techniker, der einen einzelnen Server warten soll, benötigt in der Regel keinen Zugang zum gesamten Unternehmensnetzwerk. Er benötigt Zugriff auf genau dieses Zielsystem – für eine bestimmte Aufgabe und häufig nur für einen begrenzten Zeitraum.

Kyvion Secure Access verfolgt deshalb einen anderen Ansatz als klassische VPN-Lösungen. Der Benutzer verbindet sich über seinen Webbrowser mit der zentralen Zugriffsplattform und erhält ausschließlich die für ihn freigegebenen Systeme und Anwendungen angezeigt.

Der Zugriff kann beispielsweise auf einen bestimmten Windows-Server per RDP, ein Linux-System per SSH oder eine interne Webanwendung beschränkt werden. Andere Server, Netzwerkbereiche oder Dienste bleiben für den externen Benutzer unsichtbar und nicht erreichbar.

Damit verändert sich das Sicherheitsmodell grundlegend: Nicht mehr der Zugang zum Netzwerk steht im Mittelpunkt, sondern der kontrollierte Zugang zu einer konkret definierten Ressource.

Keine offenen eingehenden Ports erforderlich

Besonders kritisch sind Fernwartungslösungen, wenn hierfür Dienste wie RDP oder SSH direkt aus dem Internet erreichbar gemacht werden müssen.

Mit dem Kyvion Reverse Agent lässt sich dieser Ansatz vermeiden. Der Reverse Agent wird innerhalb des geschützten Netzwerkbereichs betrieben und baut die benötigte Verbindung ausgehend zum Kyvion Secure Access Gateway auf.

Eine eingehende Portweiterleitung zum Zielsystem ist dadurch nicht erforderlich.

Das ist insbesondere für Systeme interessant, die in besonders geschützten Netzwerksegmenten betrieben werden oder hinter Firewalls und NAT-Strukturen liegen. Auch dort kann ein definierter Fernzugriff ermöglicht werden, ohne die Zielsysteme selbst nach außen zu veröffentlichen.

Der Unterschied ist entscheidend: Das Internet erhält keinen direkten Weg zum administrierten Server.

Auch die Zugangsdaten müssen nicht beim Dienstleister liegen

Ein weiterer Schwachpunkt klassischer Fernwartung ist der Umgang mit privilegierten Benutzerkonten.

Externe Dienstleister erhalten häufig administrative Zugangsdaten, die anschließend auf Notebooks, in Passwortmanagern oder Dokumentationen des Dienstleisters gespeichert werden. Verlässt ein Mitarbeiter das Unternehmen oder wechselt der betreuende Techniker, lässt sich kaum noch sicher nachvollziehen, wer diese Zugangsdaten tatsächlich kennt.

Kyvion Secure Access ermöglicht eine klare Trennung zwischen dem Benutzer, der sich am Portal anmeldet, und dem Konto, das auf dem Zielsystem verwendet wird.

Damit kann ein Dienstleister beispielsweise Zugriff auf einen administrativen Server erhalten, ohne dass ihm das dort verwendete privilegierte Konto bekannt sein muss.

Aus einem klassischen Fernzugang wird dadurch ein kontrollierter Privileged-Access-Prozess.

Nachvollziehen, wer wann auf welchem System gearbeitet hat

Bei externen Zugriffen stellt sich spätestens nach einem Sicherheitsvorfall oder einer Fehlkonfiguration eine einfache Frage: Wer war wann auf dem System und was ist während dieser Sitzung passiert?

Kyvion Secure Access kann Sitzungen protokollieren und – abhängig von der Konfiguration – aufzeichnen. Unternehmen erhalten damit eine wesentlich bessere Grundlage für Audit, Nachvollziehbarkeit und interne Sicherheitskontrollen.

Gerade bei administrativen Zugriffen auf Domain Controller, Server, ERP-Systeme, Produktionsumgebungen oder andere kritische Ressourcen ist diese Transparenz entscheidend.

Der externe Zugriff wird damit nicht nur technisch ermöglicht, sondern organisatorisch kontrollierbar.

Sicherer Fernzugriff muss nicht kompliziert sein

Zero Trust und Privileged Access Management werden häufig mit umfangreichen Enterprise-Plattformen verbunden. Für viele mittelständische Unternehmen ist die eigentliche Aufgabe jedoch wesentlich konkreter:

Ein Dienstleister soll auf ein bestimmtes System zugreifen können. Nicht auf das gesamte Netzwerk. Nicht dauerhaft. Nicht über einen offen erreichbaren Administrationsdienst. Und möglichst ohne die Zugangsdaten des eigentlichen Systemkontos zu kennen.

Genau für dieses Szenario wurde Kyvion Secure Access konzipiert.

Der Zugriff erfolgt browserbasiert, vorhandene Zielsysteme können weiter genutzt werden und auch abgeschottete Netzwerkbereiche lassen sich über ausgehende Verbindungen integrieren. Unternehmen behalten dabei die Kontrolle darüber, welcher Benutzer auf welche Ressource zugreifen darf.

So wird aus Fernwartung kein pauschaler Netzwerkzugang, sondern ein gezielt steuerbarer Zugriff auf genau die Systeme, die tatsächlich benötigt werden.

Für KMU entsteht damit eine pragmatische Alternative zu klassischen VPN-Zugängen und offenen Fernwartungsports – und gleichzeitig ein wichtiger Baustein für modernes Privileged Access Management.