Von Identity Chaos zu Cyber-Security Maturity - Ein Framework für messbare Sicherheit

So, ich wünsche Ihnen allen einen wunderschönen Donnerstagabend für die Live-Teilnehmer im heutigen Webinar dieser wunderbaren vorweihnachtlichen Zeit. Schön, dass Sie sich den Donnerstagabend heute Zeit genommen haben für unser gemeinsames Webinar. Ansonsten natürlich auch den Leuten, die im Nachgang das Recording anschauen, viel Freude. Wie Sie an der Einleitung schon festgestellt haben, heute haben wir ein deutschsprachiges Webinar. Sicherlich im Nachgang des Transkripts wird auch übersetzbar verfügbar sein für die anderen Teilnehmer. Jetzt auf deutscher Sprache.

Heute im Webinar werden wir über das Thema sprechen, wie man von Identity Chaos zu Cyber-Security Maturity kommt. Und wir stellen Ihnen ein Framework für messbare Sicherheit vor. Dafür bin heute ich da, Christopher Schütze von KuppingerCole und leite bei uns das Beratungsteam. Und ich habe den Kollegen Markus und den Ralf dabei.

Ja, einen wunderschönen Nachmittag in die Runde. Mein Name ist Markus Siegmet. Ich bin Security Consultant bei Bacher Systems und da vorrangig für unsere Enterprise Kunden zuständig. Und ich freue mich heute auf das Webinar und auch einige Beispiele aus der Praxis von der Verbindung von Identity zu Cyber-Security darzustellen.

Ja, auch von meiner Seite einen wunderschönen Nachmittag. Schön, dass Sie alle hier sind. Mein Name ist Ralf Klawinger. Ich bin Business Owner für den Bereich Cyber-Security bei Bacher Systems. Und auch ich freue mich, dass wir heute das gemeinsame Webinar abhalten werden und bin schon sehr gespannt auf Ihre Fragen. Perfekt. Vielen Dank. Bevor wir jetzt ins Thema eintauchen, die üblichen Teilnehmer von Webinaren kennen das, die Audio-Steuerung ist bei uns. Das heißt, Sie sind zentral alles stumm geschaltet.

Wenn Sie irgendwelche Fragen haben, gibt es auf der rechten Seite hier in der Plattform die Möglichkeit, diese in den Chat zu schreiben. Wir werden die dann zentral am Ende beantworten. Wie immer werden die Vorträge oder das Webinar hier aufgezeichnet und die Folien auch im Nachgang zur Verfügung gestellt. Wir haben auch zwei Umfragen bzw.

drei Umfragen heute für Sie vorbereitet, die thematisch natürlich auch einen Bezug haben, weil wir auch ein bisschen verstehen wollen, wo stehen Ihre jeweiligen Unternehmen, wo sind Ihre Erfahrungswerte und das Ganze dann auch für uns einordnen zu können. Und damit würde ich dann auch direkt in die nächste Folie und die erste Umfrage springen.

Ja, vielen Dank, Christopher. Wie du schon sagst, wir haben einige Umfragen und wir starten mit der ersten Umfrage. Ich bitte Sie, diese parallel zu beantworten. Sie wird jetzt auf unserer Plattform eingeblendet. Sie können das dann gerne in Ruhe machen. Bleibt die ganze Zeit offen. Die Umfrage lautet, arbeiten IRM und Cybersecurity in Ihrem Unternehmen abgestimmt zusammen? Antwortmöglichkeit 1, ich stimme voll zu. Antwortmöglichkeit 2, ich stimme eher zu.

3, ich stimme eher nicht zu. Und 4, ich stimme gar nicht zu. Wir werden die Ergebnisse dann am Ende besprechen.

Ja, und jetzt möchte ich Sie ganz kurz mit der heutigen Agenda vertraut machen. Zuerst schauen wir uns an, warum Identity und Access Management und Cybersecurity in der Praxis nicht voneinander zu trennen sind. Identitäten sind der Punkt, wo der Zugriff entschieden wird und Security liefert die Kontext- und Risikoinformationen dazu, damit die Zugriffsentscheidungen sicher bleiben. Danach betrachten wir die wichtigsten Dimensionen, also welche Bausteine man im Zusammenspiel wirklich betrachten muss, um Risiken zu reduzieren und gleichzeitig handlungsfähig zu bleiben.

Im dritten Teil zeigen wir, wie wir die Reife messbar machen mit einem einfachen Modell und einer Visualisierung, die auf einen Blick zeigt, wo es grün, gelb und rot ist, also wo dann ein akuter Handlungsbedarf besteht. Und zum Abschluss bleibt dann noch genügend Raum für Ihre Fragen, die wir dann am Ende gemeinsam durchgehen. Und jetzt zeigt uns Markus anhand eines konkreten Beispiels, wie die Kombination aus IAM und Cybersecurity aussieht.

Markus, bitte. Ja, danke Ralf. Dazu möchte ich Sie auf eine kleine Reise eines, ich nenne es einmal Road Warriors mitnehmen, eines Mitarbeiters, einer Mitarbeiterin, die unterwegs ist und auf Firmen und Ressourcen zugreifen will. Wir kennen es alle, man nutzt irgendwelche Remote-Access-Möglichkeiten. Im heutigen Umfeld sind das typischerweise Zero-Trust-Network-Access-Lösungen. Und damit diese funktionieren, braucht man im Hintergrund natürlich eine entsprechende User-Information, um festlegen zu können, auf welche Applikationen, über welchen Weg können User entsprechend zugreifen.

Ist es ein interner User, ist es vielleicht ein Partner, dem ich andere Access-Möglichkeiten geben muss, anhand der User-Identifikation. Aber das ist nicht das Einzige, sondern ich brauche auch Informationen aus meiner Infrastruktur, gerade zum Beispiel vom Client. Wie ist er aufgebaut? Ist er Trusted? Kann ich dem vertrauen? Ist er richtig konfiguriert? Und erst wenn diese Entscheidungen dann getroffen sind, lasse ich den User entsprechend in meine Umgebung zugreifen. Da endet es aber nicht. Ich muss natürlich ständig überprüfen, hat sich etwas in der Situation geändert?

Ist der Client auf einmal unsicher geworden? Hat er vielleicht seine Lokation in der Zwischenzeit gewechselt? Um ständig nachzusehen, passt das mit meinen Anforderungen entsprechend zusammen. Wenn sich der User natürlich dann entsprechend in meiner Umgebung bewegt, auf eine Applikation zum Beispiel zugreift, baue ich im Hintergrund auch natürlich auf Systeme wie eine Microsegmentation auf, um den User zum Beispiel in seiner Applikations-Bubble auch gefangen zu halten, damit er aus der nicht ausbrechen kann.

Das heißt, dass er nicht auf zum Beispiel eine weitere Applikation, auf ein weiteres Internet-System entsprechend Zugriff hat. Auch da ist natürlich die Information aus diversen Identity-Sources notwendig, um diese Korrelation herstellen zu können. Wenn er sich schon in meinem Netzwerk mit meinen Applikationen bewegt, verwendet der User natürlich auch entsprechende Daten, die er verarbeitet, die er sieht, die er weiterleiten kann, gegebenenfalls.

Und auch hier ist die Notwendigkeit da, dass entsprechendes Labeling passiert, die Berechtigungsstrukturen entsprechend richtig gesetzt werden, um zum Beispiel auch einen Datenabfluss vermeiden zu können, indem einfach sensitive Daten so gelabelt werden, dass sie auch erkennbar sind und Systeme das auch automatisch erkennen, wenn zum Beispiel ein User versucht, noch extra weiterzugeben, obwohl es nicht erlaubt ist.

Jetzt haben wir da natürlich gehört, es gibt einiges an Connects von meinen Security-Systemen und meinen Access-Systemen, meinen internen Netzwerken in die Richtung, den Access-Management. Und da die Frage an den Christopher, wo liegen eigentlich die Herausforderungen dabei?

Ja, das ist natürlich das Beispiel, das du gerade genannt hast, sehr interessant. Die IAM-erfahrenen Leute wissen, ein zentrales System, was eben Berechtigungen, Identitäten verwaltet und auch die Accounts darunter, das steht und fällt mit der Datenqualität und mit den Attributen, die ich habe. Weil nur das, was ich da habe, kann ich dann umgekehrt in den Szenario, wo du gerade beschrieben hast, auch nutzen.

Und da spielt natürlich dann auch das Thema die Kundenprozesse als auch Rezertifizierung eine spannende Rolle, weil wenn ich irgendwelche kryptischen Informationen habe, dann rezertifiziere ich die vielleicht, aber deswegen sind sie noch nicht besser. Und das schwächt natürlich dann die Cyber-Security auf der anderen Seite genauso. Das heißt, auch die klassischen Ownership-Rollenmodell-Thematiken aus dem IAM haben wir eben.

Und natürlich, gerade wenn IAM und Cyber-Security zusammenspielen, verschiedene und doch identische Disziplinen haben, habe ich natürlich eine große Herausforderung mit den Verantwortlichkeiten. Sei es jetzt nur im IAM-Teil mit, wer ist Data Source für irgendwelche Themen, als auch, wie es das zusammenspielt mit einem Security Operations Center, mit einem CM auf der anderen Seite.

Ralf, dann auch umgekehrt an dich die Frage, wie sieht es denn für das Thema Cyber-Security mit Herausforderungen aus? Ja, danke Christopher. Natürlich gibt es auch hier einige Herausforderungen. Die Komplexität der Systeme nimmt immer mehr zu, es wird immer unübersichtlicher. Erstens gibt es Vertrauenstellungen zwischen Systemen. Also in modernen Umgebungen gibt es einfach viele implizite Trusts zwischen Netzsegmenten, Cloud-Komponenten, SaaS-Integrationen oder auch über Service-Accounts und Tokens hinweg.

Das Problem ist, wenn so eine Vertrauenskette mal missbraucht wird, kann sich ein Angreifer sehr schnell weiterbewegen, oft auch ohne klassische ML-Wertenspuren, die er hinterlässt. Es gibt eine Silo-Arbeitsweise, also ein SoC, ein Netzwerk und die Cloud arbeiten mit unterschiedlichen Tools, Daten oder Verantwortlichkeiten. Jeder optimiert seinen eigenen Bereich, aber die Angriffe laufen quer darüber. Genau dadurch fehlt häufig das gemeinsame Lagebild. Man stellt sich die Frage, was bedeutet ein Alert im SOC konkret für Zugriffe, Identitäten und Berechtigungen?

Drittes Beispiel Entwicklungsumgebungen. Developer und Test-Setups sind oft schneller gewachsen, als sie abgesichert wurden. Das bedeutet, es gibt breite Rechte, geteilte Secrets, weniger strenge Policies, kurz gesagt Workarounds und trotzdem hängen dort häufig produktionsnahen Daten oder privilegierte Zugänge dran.

Ja, und viertens grenzentechnische Automatisierung. Wir können viel automatisieren, Detection, Policy Enforcement, Response-Schritte und so weiter, aber Automatisierung ist nur so gut, wie die Daten, die Prozesse und die Ownership dahinter. Wenn Zuständigkeiten unklar sind oder Ausnahmen nicht sauber gesteuert werden, dann wird Automatisierung entweder wirkungslos oder sie produziert Reibung.

Die Quintessenz dieser Punkte sind eigentlich alles keine Tool-Probleme, sondern Strukturen, Vertrauensprobleme und genau hier wird IAM zum entscheidenden Hebel, weil Identitäten und Zugriffentscheidungen die Klammer über alles hilflos bilden. Genau, das heißt faktisch zusammengefasst, es fehlt einfach eine gemeinsame Sicht auf Identitäten und das ist natürlich genau das Thema, was wir uns heute im gesamten Kontext anschauen wollen.

Ja, genau. Danke für die Überleitung. Also aus unserer Sicht, ein wirksames IAM und Cyber Security kann nur gemeinsam funktionieren. Ein modernes IAM funktioniert nur mit Signalenattributen, Real-Time-Kontext. Eine Zugriffsentscheidung ist heute nicht mehr über User hat die Rolle X gegeben. Sie hängt davon ab, wer zugreift, von welchem Gerät, in welchem Zustand das Gerät ist, woher der Zugriff kommt, wie das Risiko gerade erkannt wird und vieles mehr. Diese Signale kommen typischerweise aus Security-Quellen wie dem Endpoint, Netzwerk, Cloud und dem Identity-Provider selbst.

Der zweite Punkt, moderne Cyber Security funktioniert ohne Governance und Identitäten nicht. Security kann sehr gut erkennen und blocken, aber sie braucht eine klare Antwort auf die Frage, wer ist das, welche Berechtigung ist legitim, wer kann Ausnahmen freigeben. Also ohne Governance entsteht sonst ein endloser Kreislauf aus Alerts, Workarounds und Sonderregeln. Identitäten und saubere Berechtigungsmodelle sind dabei also die Grundlage, damit Security-Maßnahmen nicht nur technisch möglich sind, sondern auch fachlich richtig und auditierbar sind.

Also zusammengefasst, es geht, wie man auch schon auf dem Bild sehr gut erkennen kann, Hand in Hand, denn getrennt betrachtet bleibt entweder die Sicherheit wirkungslos oder der Zugriff unpraktisch. Und der Zugriff wird risikobasiert besteuert und Security wird handlungsfähig, weil sie Identität, Rechte und Komplex versteht.

Perfekt, danke dir. So, dann kommen wir schon ins zweite Kapitel. Jetzt ist natürlich der Titel des Webinars heute, wie mache ich das denn messbar? Bevor wir uns jetzt anschauen, wie man sowas messbar machen kann und auswerten und auch schauen, wie man es dann vielleicht besser macht, ist natürlich erst mal relevant, was sind denn die wichtigsten Dimensionen? Dafür habe ich gleich ein Framework vorbereitet von uns, was wir heute hier präsentieren wollen, gemeinsam mit den unterschiedlichen Sichten von IAM, von Cyber und eben von der Gemeinsam.

Aber für Sie als Webinarteilnehmer nochmal der kurze Hinweis, wenn Sie Fragen haben, einfach auf der rechten Seite direkt nutzen. Die werden dann am Ende gesammelt beantwortet, aber Sie können die gerne jetzt schon stellen, wenn sie Ihnen auf der Zunge liegt, beziehungsweise auf den Fingern bei der Tastatur. Schauen wir uns den ersten Punkt an von Identity und Access Management, die Kernbereiche. Manche von Ihnen kennen vielleicht unsere Referenzarchitektur von Coping&Code zum Thema Identity und Access Management. Das ist natürlich eine Ebene tiefer.

Noch eine Folie weiterspringen, dann sehen Sie auch, wovon ich rede. Sie kennen die Folie, beziehungsweise unsere Referenzarchitektur. Das ist natürlich eine Ebene tiefer. Hier sind wir auf einer etwas höheren, abstrakteren Ebene. Wir sehen hier auf der linken Seite die typischen Kernbereiche, die jetzt eben für ein zentral betrachtetes Identity und Access Management relevant sind. Wahnsinn.

Klar, IGA, wir haben es gerade gehört, das Beispiel, wenn ich nicht weiß, wer welche Rolle hat, beziehungsweise was für Attribute das dann für Policies bedeutet, ist das eine sehr relevante Information. Und ein Kernbereich von IAM, Access Management, Authentifizierung, wenn es eine Webapplikation ist, auch Autorisierung, beziehungsweise Rollenmodelle und dann natürlich auch die Möglichkeit, in Richtung adaptive, starke Authentifizierung zu gehen.

Privilegierte Zugriffe, ganz relevantes Thema, auch in Richtung Cloud natürlich, wobei das dann tatsächlich in einem gewissen Kontext schon in Richtung Zukunft gerichtet ist.

Da sehen wir zum Beispiel Cloud Native Application Protection Plattform hier als erweitertes IAM-Thema, beziehungsweise natürlich auch ganz relevant, wenn man in Richtung Zero-Cost-Network-Access und Themen geht, wo Identität Hand in Hand gehen ist, Secure Access Service Edge, eine sehr wichtige Komponente vom IAM, die zusammenspielt mit Cyber Security, was wir gleich auf der nächsten Folie noch sehen werden, und natürlich auch das Thema Identity Threat Detection und Response, quasi XDR auf Identity-Ebene.

Das sind so im beiden Sinne, und ich denke, das reicht jetzt erstmal für das Webinar hier vom Einblick, die Disziplinen, beziehungsweise die Kernbereiche, die eben rund um ein IAM in so einem Beispiel, wie wir es gerade so ein bisschen hergeleitet haben, die größte Rolle spielen. Dann würde ich an der Stelle an den Markus weitergeben zum Thema Kernbotschaften, also die technischen Dimensionen. Genau.

Danke, Christopher. Du hast vorhin das Thema Secure Access Service Edge angesprochen. Ich würde das gerne als Beispiel herausgreifen, weil das so ein klassisches Beispiel ist, das auch unsere Kunden sehr, sehr stark trifft, um einfach Legacy-Strukturen in der Netzwerkstruktur aufzubrechen, die typischerweise, man kennt das, jeder, der länger als fünf Jahre in der IT ist, weiß, eine klassische Firewall-Regelbasis ist aufgebaut, Netzwerk A darf auf Netzwerk B mit Service C zugreifen, sehr, sehr statisch. Mit dem komme ich heutzutage nicht mehr weit.

Ohne Informationen aus der Hilfsstruktur kann ich da schwer eine moderne Security-Struktur aufbauen, die sich dynamisch an meine Anforderungen anpasst. Und eine SaaS-Struktur ist dann das perfekte Beispiel dafür, dass man das hernimmt, aber das wird typischerweise neu aufgebaut und all diese Bereiche dann entsprechend abdecken kann.

Ich baue meine Berechtigungsstrukturen auf, ich schaue mir an, wo stehe ich derzeit und welche Teilbereiche kann ich da adressieren vom Authentifizieren des Users, wenn er sich da drinnen bewegt, über meine Applikationen, über meine Infrastruktur, die ich damit einfließen lassen kann und das entsprechend dann für dynamische Policies zu nutzen, die anhand von User, Maschinen und Service-Identitäten die entsprechenden Richtlinien hinterlegt haben.

Ein sehr, sehr großer Teilbereich aus dem Ganzen heraus ist inzwischen auch das Thema AI-Security, das da auch mit einfließt, weil das auch sehr, sehr viel mit dem Thema Identität zu tun hat, vor allem wenn es darum geht, Daten zu meinen externen Modellen auszutauschen oder diese auch intern für meine eigenen Auswertungen zu nutzen. Sogar wenn es um das Thema Datenschutz und Vergleichen geht, ist das ein ganzes Heißeisen. Und ich glaube, da hat Ralf ein paar Worte dazu.

Ja, wir sind jetzt dann bei der nächsten Folie. Christopher, wenn du vielleicht kurz weiterblätterst. Dankeschön. Sehen wir jetzt die Überlappung. Also so sieht IAM und Cybersecurity im Kern aus, wenn man es gemeinsam betrachtet. Es gibt hier natürlich bei diesen Dimensionen immer einen gewissen Diskussionsspielraum, was jetzt im Kernbereich ist, was nicht. Es hängt auch sehr stark vom jeweiligen Stakeholder ab.

Ja, das ergibt sich dann üblicherweise aber auch im Dialog. Und um ein Beispiel zu sagen, bei einem Assessment macht man üblicherweise auch ein Scoping und schaut sich die Themen an, die relevant sind. Ich greife das Beispiel von der AI Security nochmal kurz auf von dir, Markus, weil es einfach ein gutes Beispiel ist. Man kann den Identity-basierten Ansatz nur sehr global reglementieren. Kombiniert schafft man es aber dann, eine sehr zielgenaue Policy zu entforschen. Ein Beispiel wäre der User XY darf der interne und vertrauliche Dateninhalt in einer KI hochladen.

So etwas schaffe ich eben nur, wenn ich die Kombination aus der Identität und dem Enforcement herstelle. Jetzt sind wir schon beim nächsten Kapitel angelangt, nämlich wie messe ich das Ganze? Wie schaffe ich, meine Struktur entsprechend zu bewerten, mit Zahlen und entsprechenden Auswertungen zu hinterlegen, das Ganze zu visualisieren, um einen Reifegrad festzustellen? Dazu hätten wir auch wieder eine kleine Umfrage an Sie gerichtet, wie Sie aktuell Ihren Reifegrad bei Identity and Access Management in Verbindung mit Cybersecurity messen können. Können Sie das derzeit gar nicht?

Machen Sie das überwiegend mit Audits über KPIs, die Sie festgelegt haben? Oder arbeiten Sie schon mit bestehenden Reifegrad-Modellen? Auch hier gilt wieder, der Pol bleibt während der Präsentation offen. Sie können in aller Ruhe sich eine Antwort überlegen und dann weiter dem Webinar folgen.

Genau, der Markus hat es ja gerade schon gesagt, Methodik der Reifegrad-Ermittlung. Das ist ein sehr spannendes Thema. Die ein oder anderen Teilnehmer kennen vielleicht unsere Reifegrad-Modell von Kupinger-Kohl, wie wir es für den reinen IAM-Bereich machen. Wir haben hier natürlich das Rad nicht neu erfunden. Das heißt, von der Grundmethodik sind wir in einem ähnlichen Bereich unterwegs. Das heißt aber nicht, dass bzw. die Frameworks dahinter sind, aber natürlich eine andere.

Für die, die es noch nicht kennen, hier nochmal ein kleiner Überblick. Im Prinzip fängt die Ermittlung einer Reifegrad-Methodik, und das ist auch etwas, wenn Sie es alleine selber für sich machen wollen, erstmal mit einer Status-Quo-Analyse an. Das werden wir uns gleich auch nochmal im Detail anschauen. Aber im Prinzip, was habe ich, was für ein Reifegrad ist, da habe ich da irgendwelche Lücken. Dann muss ich mir natürlich anschauen, was für ein Zielbild möchte ich. Da gibt es Markttrends, also auch Erwartungen im Unternehmen.

Und dann ist der nächste logische Schritt, eine Gap-Analyse zu verstehen. Okay, Zielbild versus Reifegrad versus andere Projekte, da erstmal in eine Visualisierung zu gehen und dann auch zu entscheiden, wie es weitergeht. Aus weiter geht folgen Action-Items im Idealfall. Und dann muss man das Ganze im Rahmen eines Programms, also ich nenne es jetzt explizit nicht Projekt, sondern es ist ein Programm von verschiedenen Projekten, die dann eben die Thematik voranbringen, wie wir das gerade beschrieben haben.

Damit man Dinge bewerten kann, muss man natürlich auch erstmal festlegen, was für Kriterien gibt es denn da. Und da haben wir jetzt hier mal eine Auswahl bereitgestellt. Das ist immer in eine oder in jegliche Richtung etwas offen. Aber das sind in üblicher Weise bezogen auf die Bausteine, auf die Dimensionen, die der Ralf und der Markus und ich gerade gezeigt haben, die relevanten Punkte, wofür man die sich anschaut. Also zum Beispiel bei dem Zero Trust Beispiel, wenn ich ein Endgerät habe außerhalb der eigenen Organisationen, das heißt Straßenverkäufer ist das falsche Wort.

Jemand, der unterwegs ist, ein Vertreter, Handelsvertreter war das Wort. Die Straßenverkäufer sind wohl noch nicht so modern. Was hat denn der dabei? Was für Technologien spielen da eine Rolle? Das heißt, ich habe erstmal vielleicht irgendeinen föderierten Account. Wie hoch ist der Grad der Automatisierung? Arbeitet er direkt oder indirekt bei mir? Ist es zentral oder dezentral gesteuert? Die Systeme, auf die er zugreift, also die Datensicherheit. Wie ist da per se die Sicherheit definiert? Wie ist die Flexibilität definiert? Wie ist die Integration in andere Systeme?

Das alles sind Faktoren, die man eben bei so einem zum Beispiel Handelsvertreter Beispiel auch nutzen müsste, um dann festzulegen, wie fit bin ich denn da? Jetzt hängt es aber auch fairerweise ganz oft damit zusammen, was für ein Unternehmen sie haben, welche Reifegradbereiche für die Bewertung hier eine Rolle spielen für die Dimensionen. Das heißt, das muss man immer im Hinterkopf behalten, wenn man dann für sich eine Auswahl trifft, inwieweit es da weiter geht.

Ja, danke Christopher. Ich würde ganz gerne noch einmal ein bisschen auf dieses Status quo und die Reifegradanalyse eingehen, wie das denn ablaufen könnte und sollte. Ich habe es vorhin schon kurz gesagt, wir starten zuerst mit einem Scoping-Workshop und das bezieht sich auch wieder auf diese Dimensionen, die, wie eben vorhin schon gesagt, Diskussionsspielraum haben. Aber an dieser Stelle legen wir diese hier fest. Wir müssen an dieser Stelle natürlich auch die Unternehmensgröße berücksichtigen.

Das ist kein unwesentlicher Faktor, aber hier nutzen wir einfach die langjährige Erfahrung in diesen Bereichen, in diesen Projekten. Als nächstes kommt dann ein Workshop und Interviews, damit die Personen, die diese Bewertung durchführen, die Inhalte auch verstehen und in den jeweiligen Kontext des Unternehmens setzen können. Um die Auswertung dann durchführen zu können, arbeiten wir eben in einem Fragenkatalog, passend zu den zuvor ausgewählten Dimensionen.

Zum Beispiel, wir haben es hier eh auch genannt, ich nehme das mittlere, welches Maßnahmenanpassungsfähigkeit und Richtliniendurchsetzung besteht in ihrer Firewall im Hinblick auf statische versus dynamische Rollen. Was ist damit gemeint? Ein einfaches Ergebnis könnte sein, dass man feststellt, dass der Benutzer dynamisch aus dem AD ausgelesen wird. Das wäre dann ein Reifegrad, der in Richtung Grün geht oder schon sehr hoch ist versus dem, dass man sagt, die Policies sind alle nur statisch, was dann einer roten Bewertung im Ampelsystem entsprechen würde.

Und das Ganze endet dann in einer Visualisierung, die wir uns jetzt auf der nächsten Folie noch genauer ansehen können. Danke. Diese Übersicht deckt sich hier übrigens mit einem typischen Unternehmen, wo jetzt City in E nicht konsequent durch alle Dimensionen durchgedacht und umgesetzt wurde. Da gibt es schon einige Punkte, die sehr gut funktionieren. Das Thema Access Management, Strong Authentication, Awareness, Privacy und Bridge-Monitoring. Also alle jene Punkte, die Sie hier sehen, die grün markiert sind.

Die roten Themen, die hier eben noch stark verbesserungswürdig wären, ist das Thema Privileged Access Management, Data Access Governance und so weiter und so fort. Also das ist hier in diesem Beispiel der Status Quo. Wir dürfen aber in diesem Zusammenhang auch auf jene trennige Themen nicht vergessen, die unsere Risikolandschaft zukünftig besonders fordern werden. Und da hast du, glaube ich, Markus, auch schon einige Inhalte vorbereitet, wenn ich dich darum bitten darf.

Ja, danke. Wie immer gibt es Themen, die uns in der Zukunft erwarten. Und das sind Themen, die einerseits technologisch aufschlagen, neue technologische Entwicklungen. Andererseits gibt es natürlich Experten, Analysten und diverse andere Themen, die in die Zukunft schauen und sagen, was kommt so auf uns zu. Und gerade wir können aus der Praxis sagen, Themen wie zum Beispiel AI Security, das ist ein ganz ein heißes Eisen bei unseren Kunden.

Viele Kunden nutzen in der Zwischenzeit AI als Technologie, machen sich aber derzeit noch nicht so wirklich viele Gedanken um das Thema Governance und Security. Wer darf das nutzen? In welchem Umfang darf es genutzt werden? Und da gibt es definitiv Handlungsbedarf in der nächsten Zukunft und beziehungsweise auch jetzt schon. Und Hand in Hand geht das Thema Identity Threat Detection Response, vor allem mit dem Thema auch AI Security, um zu erkennen, passiert da irgendetwas, das nicht gewollt ist? Verhält sich ein User anders als sonst?

Sind irgendwelche Anomalien, die ich sehe in meinem typischen Userverhalten, das auf zum Beispiel einen Angriff deuten könnte oder auf einen Missbrauch von Identitätsinformationen? Und natürlich gibt es auch technologische Themen mit dem Thema Passkeys. Das ist einfach eine neue Technologie, die auf uns zurollt. So war es ja gar nicht mehr, aber es ist eine Technologie, die momentan auf uns zurollt. Wie gehe ich mit dem Thema Non-Human Identities um? Das heißt, alles, was nicht einen Pulsschlag hat, wie gehe ich mit diesen Systemen um, mit Applikationen, mit Cloud Services?

Also all das sind Themen, die jetzt schon anfangen zu beginnen, aber in der Zukunft noch viel, viel stärker sind. Um das dann umzusetzen, was bedeutet das für mich? Und da darf ich dich um die nächste Folie bitten, Christopher. Wie setze ich das dann in Zusammenhang mit den Findings, die ich aus meiner Umgebung und aus meinen Systemen habe? Da kann man verschiedene Darstellungsarten wählen. Wir haben in diesem Fall ein Sketagramm dargestellt. Ich kann das auch als Spider-Diagramm oder als Ampel oder was auch immer nehmen.

Wichtig ist allerdings dabei, dass ich den Reifegrad, den ich jetzt schon habe, in Korrelation setze mit der Priorität, die das Thema hat. Nur weil ich an einem technologischen Thema zum Beispiel gut unterwegs bin, das aber vielleicht nur sehr, sehr niedrige Priorität grundsätzlich hat, bedeutet das noch relativ wenig, wenn ich andere Themen dafür außer Acht lassen. Wenn wir aus diesem Beispiel eines rauspicken, da rechts unten zum Beispiel schauen, Adaptive and Strong Authentication. Also ich denke, das hat inzwischen schon ein Großteil der Unternehmen relativ gut auf der Reihe.

Natürlich gibt es Verbesserungsmaßnahmen, die man setzen kann. Aber ich hoffe, dass kaum ein Unternehmen mehr ohne eine starke Authentifizierung, zum Beispiel im Remote Access für seine Road Warriors, wie ich es am Anfang in dem Beispiel genannt habe, zulässt. Und auf der anderen Seite habe ich Themen, wie auch das schon angesprochene AI-Thema. Das ist noch nicht so durchgedrungen in Unternehmen. Ich bin vielleicht noch nicht so gut aufgestellt, was auf der einen Seite meine Security Controls anbelangt, aber auch die Verbindung mit meinen Identity Sources.

Es hat aber auch noch nicht so die immense Priorität, und es kommt auch vielleicht sehr stark auf das Kundenumfeld an, weil es gibt Kunden, die sehr, sehr stark auf AI setzen müssen. Andere sehen das vielleicht eher in der mittelfristigen Zukunft. Und so ergeben sich halt gewisse Cluster an Themen, die ich dann zum Beispiel in einer Roadmap in Handlungsempfehlungen, die für mich relevant sind, für mein Unternehmen relevant sind, einprägen kann und entsprechend daran arbeiten kann. Perfekt. Und ich würde direkt mal auf der Folie noch anschließen.

Wir sehen ja hier im roten Bereich Identity Threat Detection and Response. Und ich habe vorhin auf der Übersichtsfolie für die Analyse gesagt, dass dann daraus irgendwelche Action Items putzeln sollten.

Also, wie der Markus richtig gesagt hat, wäre ja der erste Fokus hier auf die roten Themen in irgendeiner Form. Natürlich hängt es dann auch noch ein bisschen von der Bewertung ab, aber irgendwie müsste dann ja von der Soll-Analyse zum Zielbild über die Gap-Analyse festgestellt worden sein, okay, wir müssen was verbessern. Verstehen Sie dieses Beispiel jetzt hier für ITDA erstmal einfach nur als generisches Beispiel, wie sowas dann aussehen könnte? Wir haben ganz klassisch irgendwie die Challenges definiert.

Wir haben das Projektziel, spezifische Maßnahmen und Impact, wenn das nicht gemacht wird. Also nur, weil jetzt ein Action Item rausputzelt, heißt es ja aus strategischer Sicht noch nicht spezifisch, dass es durchgeführt wird. Aber es ist natürlich eine Handlungsunterstützung und Entscheidung, gerade in Richtung höheres Management oder auch im Bereich Risiko rein. Was sind die nächsten Schritte? Wir können gerne mal exemplarisch hier kurz ein, zwei durchgehen.

Also Challenges, wenn man momentan kein gutes ITDA hat, beziehungsweise an der Stelle hatten wir es, glaube ich, als gelb bewertet, wenn ich das noch richtig im Kopf habe. Nee, sogar als rot hatten wir es bewertet. Wir haben hier zum Beispiel keine Verbindung von IDP und Privileged Access Management in Richtung CM und XDA-Systeme, was natürlich für so eine Thematik essentiell ist, ohne die Signale und Kontext und Informationen, wie es der Ralf vorhin auch auf der Summary-Folie gesagt hat, funktioniert das nicht. Das heißt, es ist ein essentieller Faktor an dieser Stelle.

Und Projektziel ist relativ klar, Identity-Signale zentralisieren und Identity-Angriffe früh erkennen. Und jedes dieser Action-Items hat dann natürlich einen geschätzten Aufwand. Wir wissen alle, dass die Schätzungen am Anfang etwas schwierig sind. Da kann man sich natürlich Mittelwerte und Erfahrungen holen. Wie lange dauert das so was? Ganz wichtig ist dann auch die Ownership. Das hatte ich vorhin zwar für ein eher M-spezifisches Thema genannt, aber das ist ein generelles Thema im Unternehmen. Und dann die Abhängigkeiten zu anderen Themen.

Und auch ein wichtiger Punkt, gerade für jemanden ist, der jetzt dann entscheiden muss, machen wir es, machen wir es nicht? Wann machen wir es? Natürlich, was passiert, wenn wir es nicht machen? Und mein größter Punkt ist hier natürlich, Breach-Risiko durch unerkannte Identity-Angriffe, wenn man jetzt dieses Arbeitspaket nicht machen würde.

Der nächste logische Schritt, wenn man jetzt von Action-Items, die basierend auf den Lücken entstanden sind, macht es natürlich, dass man nach der Genehmigung der Action-Items, und wir hatten Glück in diesem Beispiel, ITDA steht auch auf der Liste, das in eine Reihenfolge zu bringen.

Das ist jetzt auch, nehmen Sie das einfach als Beispiel, basierend auf dem Szenario, das wir da zusammengebaut haben, was funktioniert, da ist das Risiko ein bisschen betrachtet, da sind Grundlagen ganz wichtig für Data Access Governance, das Thema Identity Detection and Response spielt eine große Rolle, aber auch Machine Identities und AI Security sind relativ frühzeitig mit dabei, auch weil da manche Dinge eine Abhängigkeit zueinander haben.

Und wie auch immer man das jetzt modelliert, aber das ist einfach von dieser Bewertung, wo stehe ich denn dem Gesamtbild von Identität und Cyber Security, der nächste logische Schritt. Und der nächste logische Schritt ist auch eine Frage, die ich dann direkt an den Ralf habe, wo geht es denn weiter?

Ja, wir haben uns natürlich bei der Erstellung des Webinars auch die Frage gestellt, was wären denn so Call-to-Actions oder die nächsten Schritte, die vielleicht Ihnen helfen können, Quints zu setzen. Sie könnten Ihr eigenes Assessment starten, damit ist gemeint so ein Identity und Cyber Security Self-Check. Bicken Sie sich einfach drei wesentliche Dimensionen heraus, gerne auch mehr, und notieren Sie Ihre Pinpoints, die Ihnen dazu einfallen.

Dann können Sie, so wie wir es vorhin gezeigt haben, mit einem Ampelsystem oder dem CMM den Reifegrad bewerten und gleichen Sie das Ganze dann mit dem Zielbild oder dem gewünschten Reifegrad ab. Ich nehme ein Beispiel her, wenn Sie Ihr SIEM, Ihr SOA oder Ihr Webpackage-System betrachten, stellt sich einfach die Frage, kann das System mehrere Informationen wie User, Device, die Applikation oder auch das Privileg dahinter, kann das korrelieren und Ihnen schnell Informationen liefern, die Ihnen weiterhelfen. Und wenn es das nicht kann, wäre das ein gutes Beispiel, hier anzusetzen.

Sie können dann, je nachdem, wie viele Dimensionen Sie da ausgewählt haben, die Abweichungen clustern und natürlich auch nach Dringlichkeit und Machbarkeit sortieren und daraus diese ersten Quick-Wins und strukturierten Maßnahmen ableiten. Und sollten Sie gar nicht weiterkommen oder hier eine Orientierung benötigen, dann können wir gemeinsam mit Kupinger Coal hier unterstützen und Ihnen eine strukturierte Analyse der Abhängigkeiten und Prioritäten bieten. Und am Ende werden Sie dann einen transparenten Gesamtüberblick als Grundlage für Ihre Entscheidungen bekommen.

Und genau das ist natürlich auch eine Sache, die wir auch mal ein bisschen konkretisieren wollen beziehungsweise auch vorstellen, warum wir heute in der Form hier gemeinsam da sind. Das ist ja auch ein Novum für uns in dieser Form. Letztlich wir von Kupinger Coal, unsere Kunden und die Teilnehmer, die uns kennen, wissen, dass wir haben sehr starkes Identity-Access-Management-Know-How und da eben von der Theorie, von den Frameworks und auch von den Einführungen einen sehr großen Wissensschatz. Und die Kollegen von der Bacher?

Ja, genau. Danke für den Übergang, Christopher. Ich habe mir kurz überlegt, wie können wir uns denn kurz beschreiben, wo unsere Stärken liegen und wie können wir vielleicht so ein, zwei Sätze überlegen. Theorie ist nichts ohne die praktische Anwendbarkeit, weil sonst bleibt einfach vieles ein aus der Theorie kommendes Wunschdenken. Anders gesagt, ich jage einem unerreichbaren Idealzustand hinterher, was Frustration und Unnötigaufende mit sich bringt.

Wir bei Bacher Systems liefern nicht nur Konzepte, sondern sind auch Experten in der Umsetzung und können IAM und Cyber Security Ende zu Ende denken. Und da nutzen wir einfach unser Know-How aus vielen Projekten und können für pragmatische Frequenz sorgen, weil wir einfach die typischen Stolpersteine aus der Praxis kennen.

Das ist natürlich genau die Sache, die die Idee hier auszeichnet, das Beste aus beiden Welten nutzen und tatsächlich, wir haben es in der Einführung auch gesagt, Cyber Security und IAM oder Identity-Centric Security, das eine geht nicht ohne das andere, das gemeinsam sehen und da die jeweiligen Expertisen nutzen und kombinieren.

Das ist, glaube ich, so in der Summe das Closing-Wort oder Statement, das hier die Rolle spielen sollte und würde dann auch erstmal im ersten Schritt kurzes Danke an Ralf und Marco sagen für das Webinar, bevor wir dann in den Fragen- und Antworten-Bereich hüpfen oder springen. Da auch nochmal der Hinweis, ich habe es gerade gesehen, wir haben ein paar mehr Teilnehmer als Leute, die an der Umfrage teilgenommen haben. Das wäre die letzte Chance, während ich spreche, diese noch zu beantworten, damit wir dann ein schönes Ergebnis haben können.

Ansonsten gibt es aus meiner Sicht auch nochmal den kurzen Hinweis an unsere Konferenz im nächsten Jahr. Das sehen Sie auch auf unserer Webseite und ansonsten würde ich tatsächlich kurz in die Ergebnisse reinschauen. Tatsächlich rein aus der technischen Sicht kann ich Ihnen das leider nicht einblenden, aber jeder von Ihnen, der abgestimmt hat, sieht die Ergebnisse. Ich fasse es hier kurz nochmal zusammen, auch für den Ralf und für den Markus. Die erste Frage von uns war ja, nee, das war die zweite Frage, arbeiten IAM und Cybersecurity in den Unternehmen abgestimmt zusammen?

Wir hatten die Möglichkeit, ich stimme voll zu, ich stimme eher zu, ich stimme eher nicht zu und ich stimme nicht zu. Leider gar nicht so überraschend haben wir den Gewinner mit, ich stimme eher nicht zu mit 50% aktuell. Das heißt, sehr interessantes Feedback Ralf, Markus. Was sagt ihr dazu? Überraschend?

Nein, nicht überraschend. Es ist auch das, was wir oft in der Praxis erleben und wo es einfach viele Möglichkeiten gibt, anzusetzen. Genau. Aus meiner Sicht heraus nicht überraschend. Ich erlebe es in der Technik immer wieder. Vorgaben auf der einen Seite und die technische Umsetzung auf der anderen Seite, diese Deckung zu schaffen, ist nicht einfach und sorgt auch nicht selten zu Unmut, wenn man das nicht Hand in Hand gemeinsam abstimmt. Genau. Die zweite Frage, wie messen Sie aktuell den Reifegrad in Cyber Security?

Die Antwortmöglichkeit war mit Audits, mit KPIs, mit Maturity-Modellen oder gar nicht. Die sehr gute Information an alle Teilnehmer, auch die, die nicht abgestimmt haben, es hat keiner gar nicht angeklickt. Das finde ich schon mal sehr befriedigend an der Stelle. Die schlechte Nachricht, es hat aber auch kein einziger mit Maturity-Modellen angeklickt. Der Treiber, und das ist gefühlt, zumindest kann ich das aus meiner Sicht, gerne Ralf und Markus gleich ergänzen, hat gewonnen mit Audits und das bedeutet, wir machen viele Dinge, um Audits zu bestehen manchmal.

Das ist vielleicht auch ein bisschen kritisch. Nur weil der Audit dann bestanden ist, heißt das ja am Ende noch nicht, dass der Reifegrad ausreichend ist. Oder? Diese Audits sind sehr gut dazu geeignet, um blinde Flecken zu erkennen und um sich diese externe Sicht zu holen. Aber es darf nie als alleiniges Mittel genutzt werden, um sich hier in Sicherheit zu wägen. Deswegen sind weitere Analysen oder eben anhand des Maturity-Modells hier auf jeden Fall anzudenken, um das Risiko einfach zu minimieren. Ich muss bei den Antworten extrem schmunzeln.

Mir geht es nämlich momentan so, dass ich kaum Kunden erreiche, weil sie am Jahresende in Audits feststecken. Und viele davon wirken nicht glücklich darüber. Man kann sich vorstellen, warum, weil es halt oft zur Selbstkontrolle nur teilweise dient, sondern eher zur Befriedigung von Compliance-Vorgaben, die mit meinem tatsächlichen Wirkungsfeld nur bedingt etwas zu tun haben. Dieser Down-to-Earth-Gedanke geht da oft unter und schlicht und greifend ein DORA, ein NIS Audit, ISO 27000, was auch immer, zu bestehen.

Und das bindet sehr viele Ressourcen, auch auf Kundenseite natürlich, die man vielleicht anderweitig einsetzen könnte. Dann haben wir noch Fragen aus dem Publikum. Wie versprochen, beantworten wir die auch noch. Da wäre die erste Frage, wie funktioniert nun konkret die Nutzung von Identitäten, zum Beispiel in der Netzwerksecurity? Wie verbindet man das? Und wie ging, wenn ich das richtig sehe, an den Ralf?

Nein, das war für den Markus, glaube ich, geplant. War das der Markus? Ich würde ihn nicht angesprochen fühlen. In diesem Umfeld, man stellt sich das oft vielleicht etwas zu kompliziert vor. Wie schaffe ich es jetzt, meine Identitäten auf eine ganz klassische Firewall zu bringen? Ob das jetzt on-premise oder in der Cloud ist, ist dann relativ egal. Aber moderne Security-Systeme haben extrem gute Anbindungsmöglichkeiten und Interaktionsmöglichkeiten mit derartigen Systemen.

Also von Firewall-Management oder von einem Cloud-Management direkt in meine zum Beispiel AD-Struktur, in meine Authentication-Struktur, in meine diversesten Infrastrukturelemente, wo Identitäten liegen, sich zu connecten und Informationen auszutauschen und anhand von Identitäten, von Tags, von diversen Informationen, die ich aus der Infrastruktur und Identity-Systemen beziehe, sehr, sehr einfach daraus Policies zu bauen. Man kann sich das dann, ich habe es in einem der Beispiele schon genannt, vorstellen, man geht da weg vom Legacy-Weg. Netz A auf Netz B darf mit Service C hinzu.

User XY darf, wenn er sich in einem bestimmten Zustand befindet, auf Service XY zugreifen. Und das möglichst dynamisch im Hintergrund, das funktioniert nur, wenn ich das verbinde. Und technisch ist das also keine Herausforderung mehr. Viele Kunden haben entsprechende Systeme, scheuen sich aber davor, quasi diesen Verbindungsknopf zu klicken. Technisch wäre es keine große Herausforderung, das so zu verbinden. Perfekt. Dann haben wir noch eine zweite Frage. Welche Bewertung soll man denn erreichen? Was ist realistisch? Da fange ich gerne mal an. Dieses Mal darf der Ralf.

Das ist natürlich eine sehr spannende Frage. Jetzt kommt Analysten-Aussage, das kommt darauf an. Und es kommt tatsächlich darauf an, was für ein Unternehmen sind Sie? Wie groß sind Sie? Wie viele Mitarbeiter haben Sie? Was sind Ihre Kundenstruktur? Sind Sie NIST 2 reguliert? Sind Sie irgendwie anders reguliert? Was spielt da eine Rolle und was möchte ich erreichen? Und das ist eigentlich so die Grundlage, was man haben möchte. Es gibt so ein paar Kernelemente, gerade für das Beispiel, was wir hier mit Markus und Ralf zusammen durchgegangen sind.

Gerade, wenn man in Richtung Zero Trust gehen möchte, wo gewisse Grundstandards Voraussetzung sind. Da gibt es aber auch Abhängigkeit zu den Grunddaten, die wir gelernt haben, wo wir hinwollen. Realistisch betrachtet, die Grafik, das Schaubild, was wir gezeigt haben, das ist ein unfassbar großes Thema. Das wissen vermutlich die meisten Teilnehmer selber. Und es ist schlicht unmöglich, da überall in den grünen perfekten Bereich zu kommen. Sondern das ist eine Reise. Weil das Problem ist natürlich, auch die Angreiferseite, die schläft ja auch nicht.

Und es gibt ständig neue Szenarien, dann gibt es auch neue Technologien, neue AI-Thematik. Was vorhin diskutiert wurde, ist natürlich vor drei Jahren auch noch völlig irrelevant gewesen. Und jetzt haben wir vielleicht die Hälfte, hier irgendwelche Script Agents oder irgendwas im Hintergrund laufen, die uns gerade einen Urlaub buchen oder irgendeinen Kram im System rumvorwerfen. Und das ist natürlich auch wichtig. Ralf?

Ja, ich würde sagen, es gibt einen hohen Reifegrad. Aber es ist einfach nicht überall mit einem verhältnismäßigen Aufwand umsetzbar.

Deswegen, je nachdem, wie das Ergebnis aussieht, sollte man auf jeden Fall einmal eine mittlere Reife anstreben. Dann wäre schon einmal viel geschafft und man kann sich besser nicht zu viel vornehmen, damit man auch mit kleinen Schritten einfach weiterkommt. Es ist hier aus meiner Sicht ganz wichtig, dass man eine risikoorientierte Rankingsweise wählt. Also zuerst sollte man jene Dimensionen adressieren, die entweder leicht angegriffen werden können oder wo man selbst viele Verletzungen vermutet. Also wieder auf das Beispiel reflektierend AI-Anwendungen.

Wenn ich die Sorge habe, dass meine Benutzer interne Informationen, vertrauliche Informationen regelmäßig in den AIs oder vielleicht sogar in öffentlichen AIs, die wiederum zu Trainingszwecken herangezogen werden können, hochladen, dann wäre genau das eben ein hohes Risiko, das ich mir zuerst ansehe. Perfekt.

Dann, wir sind schon auf der letzten Folie angekommen. Wir haben hier nochmal die QR-Codes eingeblendet. Das ist verlinkt auf das jeweilige LinkedIn-Profil. Für die Alternative ist natürlich auch die E-Mail-Adresse hinterlegt. Und wie gesagt, bekommen Sie auch Zugriff auf die Folien und das Webinar ist auch aufgezeichnet. Dann würde ich sagen, Ralf.

Ja, von meiner Seite vielen Dank für Ihre Aufmerksamkeit. Hat mich sehr gefreut. Schönen Nachmittag noch. Dann von dir, Markus.

Ja, auch von meiner Seite aus vielen, vielen Dank. Es war meine Freude und bis zum nächsten Mal. Super und auch von mir vielen Dank.