Was ist MFA für Air-Gapped-Netzwerke? Die letzte Sicherheitslücke in isolierten Systemen schließen

Air-Gap-Netzwerke sollen unangreifbar sein. Keine Internetverbindung, kein Fernzugriff, keine Möglichkeit für einen Angreifer am anderen Ende der Welt, einzudringen.

Fragt man jedoch ein Sicherheitsteam, das tatsächlich eine solche Umgebung betrieben hat, erhält man eine andere Antwort. Air Gaps stoppen zwar Remote-Angriffe effektiv, sind aber gegen gestohlene Passwörter, unachtsam genutzte USB-Sticks oder Insider mit zu viel Vertrauen und zu wenig Kontrolle nahezu wirkungslos. Genau diese Lücke schließt die Multi-Faktor-Authentifizierung (MFA).

Dieser Leitfaden erläutert, was Air-Gap-Netzwerke eigentlich sind, warum Isolation allein keine vollständige Sicherheitsstrategie darstellt und wie Unternehmen MFA in Umgebungen einsetzen, die ursprünglich nie für die Kommunikation mit dem Internet konzipiert wurden.

Was sind Air-Gapped-Netzwerke?

Ein Air-Gap-Netzwerk ist ein System oder eine Gruppe von Systemen, die keine physische oder drahtlose Verbindung zu irgendeinem externen Netzwerk, einschließlich des öffentlichen Internets, haben.

In diesem Netzwerk gibt es keine Kabelverbindungen, keine WLAN-Übertragung und keine versteckte Verbindung zu einem Firmennetzwerk. Wenn ein Hacker in einem anderen Land versuchen würde, dieses Netzwerk direkt über eine Leitung zu erreichen, wäre ihm das schlichtweg unmöglich. Die Verbindung existiert nicht.

Hierbei handelt es sich um zwei Arten der Isolation in der Air-Gap-Netzwerksicherheit:

• Physikalisch: Bedeutet, dass ein System über keinerlei kabelgebundene oder drahtlose Verbindung zu irgendeinem externen Netzwerk, einschließlich des Internets, verfügt.
• Logisch: Das bedeutet, dass sich das System in einem segmentierten Netzwerk befindet, das durch Firewalls, VLANs und strenge Routing-Regeln voneinander getrennt ist, anstatt durch das Trennen von Kabeln.

Darüber hinaus bauen Organisationen Sicherheitslücken aus einem zentralen Grund: um die Angriffsfläche für ihre sensibelsten Systeme zu verkleinern.

Air-Gap ist tatsächlich wirksam gegen Fernzugriffe, automatisierte Malware-Kampagnen und opportunistische internetbasierte Angriffe. Es beseitigt jedoch nicht die Notwendigkeit, dass jemand zu einem bestimmten Zeitpunkt physisch oder administrativ auf das System zugreifen muss.

Warum benötigen Air-Gapped-Netzwerke weiterhin eine starke Authentifizierung?

Isolation schützt vor Bedrohungen, die über Kabel übertragen werden. Sie bietet jedoch keinen Schutz vor Bedrohungen, die durch die Vordertür eindringen, sei es ein Anmeldebildschirm, ein USB-Anschluss oder ein Mitarbeiterausweis.

Hier erfahren Sie, was Air-Gap-Systeme tatsächlich gefährdet, basierend auf realen Vorfällen in Regierungs-, Industrie- und Unternehmensumgebungen:

• Kompromittierte Anmeldeinformationen: Passwörter werden durch Phishing, Erraten oder durch unabhängige Sicherheitslücken erlangt, und Air-Gap verhindert nicht, dass gestohlene Zugangsdaten auf einem lokalen Anmeldebildschirm verwendet werden. Phishing-resistente MFA-Lösung hilft dabei, Phishing-Angriffe und deren Folgen fernzuhalten.
• Insider-Bedrohungen: Mitarbeiter und Auftragnehmer mit legitimen Zugriffsrechten können diese missbrauchen, sei es aus Bosheit, Fahrlässigkeit oder Zwang.
• Gestohlene Administratoranmeldeinformationen: Privilegierte Konten bergen das höchste Risiko, da sie typischerweise über einen umfassenden Zugriff innerhalb der isolierten Umgebung verfügen.
• Schädliche oder infizierte USB-/Wechseldatenträger: Diese Geräte sind oft die einzige zulässige Möglichkeit, Dateien in ein vom Internet abgeschottetes System zu übertragen, was sie zu einem primären Angriffsvektor macht.
• Menschlicher Fehler: Fehlkonfigurierte Zugriffsrechte, mangelhafte Passwortpraktiken oder eine ungesperrte Workstation können die Isolation vollständig aufheben.
• Physischer Zugang: Jeder, der zu Fuß zu einem Terminal gehen kann, hat Zugang, unabhängig von der Netzwerkverbindung.
• Schadsoftware, die über externe Medien eingeschleust wurde: Der Code benötigt keine Netzwerkverbindung, um sich zu verbreiten; es reicht, wenn jemand ein infiziertes Laufwerk anschließt.
• Seitliche Bewegung nach anfänglicher Kompromisslösung: Sobald ein Angreifer Fuß gefasst hat, ermöglicht ihm eine schwache interne Authentifizierung, sich mit minimalem Widerstand zwischen Systemen zu bewegen.

Das deutlichste Beispiel dafür, warum abgeschottete Netzwerke eine Authentifizierung benötigen, ist Stuxnet – die Schadsoftware, die 2010 die iranische Urananreicherungsanlage in Natanz angriff.

Dieser einzelne Vorfall hat die Denkweise von Sicherheitsteams in Bezug auf Sicherheitslücken grundlegend verändert, und auch mehr als ein Jahrzehnt später werden noch immer ähnliche USB-basierte Angriffe auf isolierte Regierungsnetzwerke dokumentiert.

Das Muster ist in allen Frameworks und Anbieteranalysen zur Air-Gap-Sicherheit konsistent: Isolation blockiert zwar den Netzwerkpfad, kann aber nicht überprüfen, wer am Computer sitzt. Diese Überprüfung ist Aufgabe der Authentifizierung, und ein einzelnes Passwort ist für eine so wichtige Aufgabe ein Schwachpunkt.

Dekontamination von Netzwerkdateien in einer Air-Gapped-Umgebung

Da Wechseldatenträger oft die einzige legitime Möglichkeit darstellen, Daten in eine Air-Gap-Umgebung zu übertragen, verdient die Dekontamination von Netzwerkdateien in Air-Gap-Umgebungen neben der Authentifizierung eine kurze Erwähnung.

Unter Dateidekontamination versteht man den Prozess des Scannens, Bereinigens und Validierens von Dateien, bevor diese in das isolierte Netzwerk gelangen, typischerweise über eine dedizierte Transferstation, die auf Malware, versteckte Skripte oder nicht autorisierte Dateitypen prüft.

Die Authentifizierung regelt, wer die Übertragung initiieren darf. Die Datenlöschung kontrolliert, was tatsächlich übertragen wird. Beides ersetzt nicht das andere, und ausgereifte, vom Internet getrennte Sicherheitsprogramme behandeln sie als ein zusammenwirkendes Verteidigungssystem: eine starke Zwei-Faktor-Authentifizierung für die Person, die die Übertragung durchführt, und eine gründliche Überprüfung der Inhalte selbst.

Welche Herausforderungen ergeben sich bei der Implementierung von MFA in Air-Gapped-Netzwerken?

Das Problem, mit dem die meisten Sicherheitsteams konfrontiert werden: Die MFA-Tools, die sie bereits für den Rest ihres Netzwerks verwenden, können oft innerhalb der Air Gap überhaupt nicht eingesetzt werden.

Die meisten gängigen MFA-Plattformen sind cloudbasiert, d. h. sie benötigen eine Internetverbindung für Push-Benachrichtigungen, die Überprüfung von Einmalcodes oder die Synchronisierung mit einem Identitätsanbieter. All das funktioniert nicht, wenn das Netzwerk keine Verbindung zur Außenwelt hat.

Eine Handvoll struktureller Einschränkungen macht die luftgetrennte MFA zu einem ganz anderen Problem als die standardmäßige Unternehmens-MFA:

• Keine Internetverbindung: Push-Benachrichtigungen, SMS-Codes und Cloud-basierte Authentifizierungs-Apps haben schlicht keine Möglichkeit, den Benutzer oder den Verifizierungsserver zu erreichen.
• Keine Abhängigkeit von Cloud-Authentifizierungsdiensten: Jedes MFA-Lösung Eine Lösung, die sich zur Validierung auf die Cloud eines Anbieters verlässt, ist per Definition von vornherein zum Scheitern verurteilt.
• Eingeschränkte Konnektivität zu externen Identitätsanbietern: Systeme für föderierte Identitäten, die auf einen externen Identitätsanbieter (IdP) angewiesen sind, funktionieren nicht, wenn kein Weg besteht, diesen zu erreichen.
• Legacy-Systeme und -Anwendungen: In vielen abgeschotteten Umgebungen laufen ältere Betriebssysteme und Software, die nie für moderne Authentifizierungsprotokolle entwickelt wurden.
• Installation eingeschränkter Software: Strenge Änderungskontrollrichtlinien, Garantiebedingungen der Hersteller oder Compliance-Vorgaben verbieten oft die Installation neuer Agenten auf geschützten Systemen.
• Anforderungen an die Aufrechterhaltung des Betriebs: Viele dieser Systeme laufen rund um die Uhr, und jede Sicherheitsmaßnahme, die das Risiko von Ausfallzeiten birgt, lässt sich nur schwer vermitteln.
• Eingeschränkte Möglichkeit zur Aktualisierung oder zum Neustart kritischer Systeme: Patchzyklen sind langsam und überlegt, was alles ausschließt, was häufige Updates zum Funktionieren erfordert.
• Notwendigkeit einer lokal validierten Authentifizierung: Der gesamte Authentifizierungsablauf, von der Herausforderung bis zur Verifizierung, muss innerhalb der isolierten Umgebung ohne externen Kontrollpunkt erfolgen.
• Authentifizierungs- und Prüfdaten müssen innerhalb der isolierten Umgebung verbleiben: Aus Gründen der Compliance und Sicherheit dürfen Protokolle und Anmeldeinformationen grundsätzlich nicht die abgeschottete Netzwerkgrenze verlassen.

Organisationen gehen davon aus, dass die Tools, die für ihr reguläres Büronetzwerk funktionieren, innerhalb der Air Gap nicht funktionieren, und suchen daher gar nicht erst nach Alternativen.

Tatsächlich gibt es On-Premise-MFA-Lösungen, die speziell für diesen Anwendungsfall entwickelt wurden, und die Schließung dieser Lücke ist weitaus einfacher zu erreichen, als die meisten Teams erwarten.

Wie funktioniert MFA in einem Air-Gapped-Netzwerk?

Hier ist der schrittweise Ablauf, wobei jede Phase innerhalb der isolierten Grenzen stattfindet und keine Internet- oder Cloud-Verbindung erforderlich ist:

• Benutzer versucht Zugriff: Jemand versucht, sich in einem vom Netzwerk isolierten Arbeitsplatzrechner, Server oder einer Verwaltungskonsole anzumelden.
• Primäre Authentifizierung: Der Benutzer gibt einen Benutzernamen und ein Passwort ein, die mit einem lokalen Verzeichnisdienst wie beispielsweise einem lokalen Active Directory abgeglichen werden.
• Offline/lokal verfügbare MFA-Herausforderung: Sobald der erste Faktor geprüft wurde, stellt das System eine zweite Authentifizierungsanforderung, die vollständig lokal generiert und validiert wird, ohne dass Daten über das Internet geleitet werden.
• Der Nutzer verifiziert sich mit dem zweiten Faktor: Der Benutzer antwortet mit einer Methode, die für die Offline-Validierung entwickelt wurde, z. B. durch Antippen einer FIDO2-Hardwaretaste, Eingabe eines Hardware-Token-Codes oder durch Absolvieren einer Rastermuster-Herausforderung.
• Das lokale Authentifizierungssystem validiert den Faktor: Die Verifizierung erfolgt vollständig innerhalb der isolierten Umgebung, ohne dass ein Aufruf eines externen Servers oder Cloud-Dienstes erforderlich ist.
• Zugriff gewährt oder verweigert: Auf Grundlage dieser lokalen Validierung lässt das System den Benutzer entweder zu oder blockiert den Zugriff.
• Authentifizierungsereignis lokal protokolliert: Jeder Anmeldeversuch, ob erfolgreich oder fehlgeschlagen, wird in einem Prüfprotokoll aufgezeichnet, das innerhalb der abgeschotteten Netzwerkgrenze verbleibt.

Die grundlegende Anforderung an diesen gesamten Ablauf ist einfach: Der zweite Faktor muss ohne Internetverbindung oder Cloud-Dienst verifizierbar sein. Genau das unterscheidet die vom Internet getrennte Zwei-Faktor-Authentifizierung von der alltäglichen Multi-Faktor-Authentifizierung (MFA), die die meisten Nutzer für Cloud-Anwendungen verwenden.

Welche MFA-Methoden eignen sich für Air-Gapped-Netzwerke?

Nicht jede Authentifizierungsmethode eignet sich für die Offline-Nutzung. Hier finden Sie eine Übersicht der bewährten Methoden, beginnend mit der sichersten Option bis hin zu situationsabhängigeren Alternativen.

1. FIDO2-Sicherheitsschlüssel und Hardware-Token

FIDO2-Sicherheitsschlüssel sind der Goldstandard für die Air-Gap-Authentifizierung, und das aus gutem Grund.

Diese physischen Geräte, wobei YubiKey der bekannteste Name in dieser Kategorie ist, generieren einen kryptografischen Identitätsnachweis mittels eines Challenge-Response-Verfahrens, das unabhängig von einer Internetverbindung funktioniert. Der Benutzer steckt den Schlüssel ein oder hält ihn an ein NFC-Lesegerät, und das lokale System überprüft die kryptografische Signatur sofort.

Besonders wertvoll an FIDO2 ist hier der Schutz vor Phishing. Da die Authentifizierung an das jeweilige Gerät und die jeweilige Anmeldesitzung gebunden ist, gibt es keinen Code, der abgefangen werden könnte, und kein gemeinsames Geheimnis, das gestohlen werden könnte. Angreifer können Benutzer auch nicht dazu verleiten, etwas aus der Ferne zu genehmigen.

Für privilegierte Konten und administrative Zugriffe innerhalb eines abgeschotteten Netzwerks sollten FIDO2-Sicherheitsschlüssel und Hardware-Token die Standardempfehlung und nicht eine sekundäre Option sein.

2. TOTP und softwarebasierte Token

Zeitbasierte Einmalpasswörter (TOTP) generieren alle 30 bis 60 Sekunden einen neuen numerischen Code mithilfe eines Algorithmus, der zwischen dem Token und dem Verifizierungsserver geteilt wird.

Der entscheidende Punkt bei Air-Gap-Bereitstellungen ist, dass die TOTP-Generierung und -Validierung vollständig offline erfolgen kann, solange sowohl das Token (Hardware oder Software) als auch der lokale Server denselben zeitsynchronisierten Seed verwenden.

TOTP eignet sich gut für Umgebungen, in denen Hardware-Token nicht für jeden Benutzer praktikabel sind. Es setzt jedoch voraus, dass die zugrunde liegende MFA-Plattform eine lokale Offline-Verifizierung anstelle einer Cloud-basierten Prüfung unterstützt.

3. Rastermuster-Authentifizierung

Die Rastermusterauthentifizierung , eine der gängigsten Methoden für die Offline-Multi-Faktor- Authentifizierung , gehört in diesem Bereich zu den eher unterschätzten Optionen. Gerade in stark isolierten Umgebungen verdient sie mehr Beachtung.

Das Konzept ist einfach:

• Während der Einrichtung wählt der Benutzer ein persönliches Zellenmuster auf einem Raster aus, typischerweise im Bereich von 4x4 bis 8x8.
• Beim Einloggen zeigt das Raster jedes Mal in jeder Zelle eine neue Reihe zufällig generierter Zahlen an.
• Der Benutzer gibt die Zahlen ein, die in das von ihm gewählte Muster fallen.

Da sich das Muster selbst nie ändert, während sich die zugrunde liegenden Zahlen in jeder Sitzung ändern, benötigt diese Methode weder ein Telefon noch eine Internetverbindung und ist in keiner Weise von mobilen Apps abhängig.

Es basiert ausschließlich auf visuellen und speicherbasierten Methoden und ist damit eine echte Offline-native Authentifizierungsmethode und keine für die Offline-Nutzung angepasste Online-Methode.

Für Umgebungen, in denen die Ausgabe von Hardware-Tokens an jeden Benutzer nicht praktikabel ist oder in denen mobile Geräte im Gebäude überhaupt nicht erlaubt sind, schließt die Rastermuster-Authentifizierung diese Lücke.

4. Smartcards

Die Authentifizierung mit Smartcards ist nach wie vor üblich in Organisationen, die bereits über eine Public-Key-Infrastruktur (PKI) verfügen, insbesondere in Regierungs- und Verteidigungseinrichtungen, die nach Standards wie FIPS 140-2 arbeiten.

Eine Smartcard speichert ein kryptografisches Zertifikat, das lokal gegen eine lokale Zertifizierungsstelle verifiziert wird, ohne dass eine Internetverbindung erforderlich ist.

Der Nachteil besteht darin, dass die Infrastruktur für Smartcards komplexer und kostspieliger ist, wenn sie von Grund auf neu aufgebaut wird. Daher ist sie in der Regel eher für Organisationen sinnvoll, die bereits in die zugrundeliegende PKI investiert haben, als für eine erstmalige Implementierung von MFA außerhalb des Netzwerks.

Warum sich eine Air-Gapped-MFA als lohnende Investition erweist

Die Implementierung von MFA in einer isolierten Umgebung erfordert eine sorgfältige Planung, aber der Nutzen zeigt sich schnell, sobald sie eingerichtet ist.

Das ist es, was Organisationen tatsächlich gewinnen.

• Schützt vor kompromittierten Zugangsdaten: Selbst wenn ein Passwort gestohlen, erraten oder durchgesickert ist, benötigt ein Angreifer immer noch den physischen zweiten Faktor, um Zugang zu erhalten. Dadurch wird der häufigste Einfallstor in abgeschottete Systeme ausgeschaltet.
• Sichert privilegierten Zugriff: Administrator- und Root-Konten bergen ein überproportionales Risiko, da ein einziges kompromittiertes Benutzerkonto die gesamte isolierte Umgebung gefährden kann. MFA schließt diese spezifische Sicherheitslücke.
• Funktioniert auch ohne Internetverbindung: Bei korrekter MFA-Implementierung wird jede Anmeldung lokal validiert. Die Isolation, die das Netzwerk von vornherein sicher macht, muss daher für die Authentifizierung nicht beeinträchtigt werden.
• Fügt phishingresistente Authentifizierung hinzu: Hardwarebasierte Methoden wie FIDO2 Entfernen Sie die gemeinsamen Geheimnisse und Einmalcodes, die Phishing-Attacken sind so konzipiert, dass sie ausgenutzt werden können, wodurch der Diebstahl von Zugangsdaten für einen Angreifer weitaus weniger nützlich ist.
• Verbessert Transparenz und Verantwortlichkeit: Jeder Authentifizierungsversuch wird lokal protokolliert, sodass Sicherheitsteams eine klare und manipulationssichere Aufzeichnung darüber erhalten, wer wann auf welche Daten zugegriffen hat. Dies ist für die Reaktion auf Sicherheitsvorfälle und Compliance-Audits von enormer Bedeutung.

Eines muss man ganz klar sagen: MFA ersetzt nicht die Trennung von Netzwerk und Verbindung (Air Gap) und soll es auch nicht. Die Isolation erfüllt weiterhin ihren Zweck, Fernangriffe zu blockieren.

Die Multi-Faktor-Authentifizierung (MFA) beseitigt das separate, aber ebenso reale Risiko, das von Missbrauch oder Diebstahl legitimer Zugriffe ausgeht. Zusammen bieten sie einen deutlich umfassenderen Schutz als jede Kontrollmaßnahme für sich.

Wo Air-Gapped MFA den größten Nutzen bietet

Die von der IT-Infrastruktur getrennte Multi-Faktor-Authentifizierung (MFA) ist keine Nischenanforderung. Sie findet sich in einigen der risikoreichsten Branchen der Welt wieder, jede mit ihren eigenen spezifischen Gründen für ihren Bedarf.

1. Regierungs- und Verteidigungssysteme

Geheime und missionskritische Verteidigungsnetzwerke werden gezielt von der Außenwelt getrennt, da ein Verstoß hier nicht nur ein Datenleck darstellt, sondern ein nationales Sicherheitsereignis ist.

Doch ein einziges gestohlenes Passwort auf dem Anmeldebildschirm eines klassifizierten Systems kann die Isolation vollständig umgehen. Und ältere Systeme, die in Verteidigungsumgebungen weit verbreitet sind, unterstützen oft keine modernen cloudbasierten Sicherheitskontrollen.

Die Lösung: FIDO2-Hardware-Token und Smartcards, die häufig an bestehende PKI-Infrastrukturen angebunden sind und bereits in Verteidigungsbehörden eingesetzt werden, validieren die Identität lokal, ohne jemals das Internet zu berühren.

2. Kritische Infrastrukturen und industrielle Steuerungssysteme

Stromnetze, Wasseraufbereitungsanlagen und Produktionshallen nutzen Betriebstechnologien, die von der Außenwelt getrennt sind, da ein Ausfall oder eine Manipulation physische, reale Konsequenzen hat.

Diese Steuerungssysteme werden jedoch häufig über gemeinsam genutzte Administrationskonsolen verwaltet, und ein einziger kompromittierter Login kann einem Angreifer die Möglichkeit geben, die Anlagen zu stören.

Die Lösung: Die Implementierung einer offlinefähigen Multi-Faktor-Authentifizierung (MFA) für administrative Zugriffe und eingeschränkte Konsolen fügt eine zusätzliche Verifizierungsebene hinzu, die keine Systemausfallzeiten erfordert. Dies ist angesichts der geringen Toleranz dieser Umgebungen gegenüber Störungen von entscheidender Bedeutung.

3. Finanz- und Bankinfrastruktur

Banken isolieren zentrale Transaktionsserver und Altsysteme, die enorme Mengen sensibler Finanzdaten verarbeiten. Sie tun dies, weil diese Systeme nicht ohne Weiteres ersetzt oder modernen Bedrohungen ausgesetzt werden können.

Das Risiko besteht nicht im Versagen der Isolation, sondern darin, dass ein privilegiertes Administratorkonto kompromittiert wird und dadurch Zugriff auf alles dahinterliegende gewährt wird.

Die Lösung: MFA auf isolierten Servern und privilegierten Konten fügt eine zweite Verteidigungsebene hinzu.

4. Gesundheitswesen und sensible medizinische Systeme

Krankenhäuser trennen Systeme, die mit medizinischen Geräten, Patientendaten und dem Klinikbetrieb verbunden sind, von einer Luftbrücke, da diese Systeme einige der sensibelsten persönlichen Daten enthalten, die es gibt.

Ein kompromittierter Login birgt hier nicht nur das Risiko eines Datenlecks; er kann auch die Patientensicherheit gefährden, wenn operative Systeme betroffen sind.

Die Lösung: Eine starke, lokal validierte Authentifizierung auf diesen isolierten Systemen schützt vor Missbrauch von Zugangsdaten. Dies hilft Gesundheitsorganisationen, die regulatorischen Verpflichtungen im Umgang mit Patientendaten zu erfüllen.

5. Sichere Arbeitsstationen und Netzwerkgeräte

Windows-Workstations, eigenständige Server, Netzwerkgeräte wie Switches und Router sowie Verwaltungskonsolen innerhalb gesicherter Einrichtungen werden oft erst nachträglich berücksichtigt, sobald das Gesamtnetzwerk isoliert ist.

Aber jeder dieser Endpunkte ist sein eigener Einstiegspunkt, und ein schwacher Login auf einer einzelnen Workstation kann die Isolation, die alles drumherum schützt, zunichtemachen.

Die Lösung: Die Multi-Faktor-Authentifizierung (MFA) sollte auf Netzwerkgeräte und Verwaltungskonsolen sowie gegebenenfalls auf VPN- oder Remote-Access-Gateways ausgeweitet werden. Dadurch wird sichergestellt, dass an jedem Endpunkt dieselbe Sicherheitsstufe angewendet wird, die bereits durch die Netzwerkperimeterkontrolle gewährleistet ist.

Wie man MFA in abgeschotteten Netzwerken implementiert: Bewährte Verfahren

Die Einführung von MFA in einer abgeschotteten Umgebung ist kein Projekt, das man einfach so umsetzen kann. Diese Vorgehensweisen spiegeln wider, was tatsächlich funktioniert, je nachdem, wie reif die Sicherheitsteams dabei vorgehen.

• Wählen Sie MFA-Methoden, die ohne Internetverbindung funktionieren: Schließen Sie alles aus, was davon abhängt Push-Benachrichtigungen, SMS- oder cloudbasierte Verifizierung, bevor andere Funktionen bewertet werden.
• Priorisieren Sie die hardwarebasierte Authentifizierung mit Schutz vor Phishing-Angriffen für privilegierte Zugriffsrechte: Die Administrator- und Root-Benutzerkonten sollten zuerst FIDO2-Schlüssel oder Hardware-Token erhalten, da sie im Falle einer Kompromittierung das größte Risiko darstellen.
• Die Authentifizierungsinfrastruktur sollte innerhalb der isolierten Umgebung gehalten werden: Der Verifizierungsserver, der Anmeldeinformationsspeicher und die Audit-Protokolle sollten sich alle innerhalb der abgeschotteten Umgebung befinden, ohne dass etwas nach außen dringt.
• Multi-Faktor-Authentifizierung für Administratoren und andere Hochrisikobenutzer anwenden: Wenn eine vollständige Einführung nicht sofort möglich ist, beginnen Sie mit den Konten, die den breitesten Zugriff und den größten potenziellen Schadensradius im Falle einer Kompromittierung haben.
• Granulare Zugriffsrichtlinien durchsetzen: Nicht jeder Benutzer benötigt den gleichen Zugriff auf jedes System, und MFA-Richtlinien sollten diese Realität widerspiegeln, anstatt eine einzige pauschale Regel anzuwenden.
• Zugriff nach Arbeitsplatz, Rolle oder Benutzergruppe einschränken: Die Beschränkung der Rechner, an denen sich ein bestimmter Benutzer oder eine Gruppe anmelden kann, schafft eine zusätzliche Sicherheitsebene für den Fall, dass Zugangsdaten kompromittiert werden.
• Führen Sie lokale Prüfprotokolle und Überwachungsfunktionen: Jeder Authentifizierungsvorgang, ob erfolgreich oder fehlgeschlagen, sollte protokolliert und regelmäßig auf ungewöhnliche Muster überprüft werden.
• Sichere Bergungs-/Notfallverfahren einrichten: Definieren Sie im Voraus, wie ein legitimer Benutzer wieder Zugriff erhält, wenn sein Hardware-Token verloren geht oder beschädigt wird, ohne dabei eine Hintertür zu schaffen, die ein Angreifer ausnutzen könnte.
• Überprüfen Sie regelmäßig die Authentifizierungsrichtlinien und Anmeldeinformationen: Veraltete Konten, ungenutzte Token und überholte Richtlinien bergen mit der Zeit ein erhöhtes Risiko, daher sind regelmäßige Überprüfungen genauso wichtig wie die anfängliche Einführung.
• Kombinieren Sie MFA mit Netzwerksegmentierung und physischer Sicherheit: Authentifizierung ist eine Ebene, nicht die gesamte Strategie. Sie funktioniert am besten in Verbindung mit strengen physischen Zugriffskontrollen und einer kontinuierlichen Netzwerksegmentierung.

miniOrange MFA-Lösung: Entwickelt für isolierte Umgebungen

Die meisten MFA-Plattformen basieren auf der Annahme, dass eine Cloud-Verbindung stets verfügbar ist. miniOrange verfolgt einen anderen Ansatz, der auf den tatsächlichen Einschränkungen isolierter Umgebungen aufbaut.

1. Offline- und On-Premise-MFA

Die Benutzerauthentifizierung erfolgt vollständig innerhalb der isolierten Umgebung, ohne dass zu irgendeinem Zeitpunkt des Anmeldevorgangs eine Internetverbindung erforderlich ist. Jede Authentifizierungsabfrage, Verifizierung und jeder Protokolleintrag findet innerhalb des von Ihnen eingerichteten Sicherheitsbereichs statt.

2. Phishing-resistente Hardware-Authentifizierung

Hier werden Phishing-resistente MFA-Methoden wie FIDO2, Sicherheitsschlüssel und Hardware-Token unterstützt. Dadurch erhalten privilegierte Benutzer und Administratoren den bestmöglichen Schutz vor Anmeldedatendiebstahl und Phishing, ohne dass eine Internetverbindung zur Authentifizierung erforderlich ist.

3. Agentenlose und abwärtskompatible Bereitstellung

In abgeschotteten Umgebungen laufen oft Legacy-Systeme, bei denen die Installation neuer Agenten oder die Änderung des Anwendungscodes einfach keine Option ist, sei es aufgrund von Garantiebedingungen des Herstellers oder aus Gründen des Betriebsrisikos.

miniOrange wurde entwickelt, um diese Einschränkungen zu umgehen, anstatt Änderungen an Systemen zu fordern, die sich keine Störungen leisten können.

4. Granulare Zugriffskontrollen

Neben der Authentifizierung selbst unterstützt miniOrange benutzer- und gruppenbasierte Richtlinien, Einschränkungen auf Arbeitsplatzebene und rollenbasierte Zugriffsregeln.

Es gewährleistet zudem zeit- oder kontextbasierte Beschränkungen, wo die Umgebung dies erfordert. Dadurch können Sicherheitsteams genau die richtige Überprüfungsstufe auf genau die richtigen Konten anwenden.

5. Überwachung, Prüfung und Berichterstattung

Administratoren erhalten vollständige Transparenz über die Authentifizierungsaktivitäten in der isolierten Umgebung. Sie erhalten detaillierte Protokolle, die sowohl die tägliche Sicherheitsüberwachung als auch das Compliance-Reporting unterstützen, und das alles, ohne dass Daten die abgeschottete Umgebung verlassen.

Fazit: Isolation allein ist keine vollständige Strategie

Air-Gap-Netzwerke lösen ein reales Problem, und zwar gut. Was sie jedoch nicht lösen, ist die menschliche Seite der Sicherheit: gestohlene Zugangsdaten, infizierte USB-Sticks und Insider, die ihre Zugriffsrechte missbrauchen.

Diese Risiken bestehen innerhalb der Lücke, nicht außerhalb, was bedeutet, dass keine physische oder logische Isolation sie jemals vollständig beseitigen kann.

MFA füllt diese Lücke. Korrekt implementiert und mit Methoden zur Offline-Validierung ausgestattet, fügt es eine Verifizierungsebene hinzu, die niemals auf genau jene Verbindungen angewiesen ist, die durch die Air Gap-Funktion eliminiert werden sollten.

Organisationen, die dies richtig machen, betrachten MFA und Air Gapping nicht als konkurrierende Strategien. Sie sehen sie als zwei Hälften derselben Verteidigung, die jeweils genau die Lücken der anderen schließen.

Häufig gestellte Fragen

Was ist ein Air-Gap-MFA?

Bei der Air-Gap-MFA handelt es sich um eine Multi-Faktor-Authentifizierung, die innerhalb eines Netzwerks ohne Internetverbindung eingesetzt wird und Methoden wie FIDO2-Hardwareschlüssel, Offline-TOTP-Token, Rastermusterauthentifizierung oder Smartcards verwendet.

Wie funktioniert MFA in einem Air-Gap-Netzwerk?

Ein Benutzer gibt seine primären Anmeldeinformationen ein, die anhand eines lokalen Verzeichnisdienstes überprüft werden. Anschließend führt er eine zweite Authentifizierung durch, die vollständig innerhalb der isolierten Umgebung validiert wird. Der Zugriff wird basierend auf dieser lokalen Validierung gewährt oder verweigert, und das Ereignis wird lokal protokolliert; es verlassen keine Daten das Netzwerk.

Funktioniert die Multi-Faktor-Authentifizierung auch ohne Internetverbindung?

Ja, sofern die MFA-Lösung speziell für die Offline- oder On-Premises-Bereitstellung konzipiert ist.

Wie schützt man abgeschottete Netzwerke vor kompromittierten USB-Geräten?

Eine starke Authentifizierung für jeden, der einen Dateitransfer initiiert, wird mit speziellen Dateidekontaminationsprozessen kombiniert, die Wechseldatenträger scannen und bereinigen, bevor sie in die isolierte Umgebung gelangen.

Was soll ich tun, wenn meine MFA in einer abgeschotteten Umgebung nicht verfügbar ist?

Organisationen sollten im Voraus ein dokumentiertes Notfallverfahren festlegen, typischerweise eine zusätzliche Verifizierungsmethode oder einen autorisierten Administrator, der die Identität über einen streng kontrollierten alternativen Prozess bestätigen kann. Dies muss im Voraus geplant werden, da in abgeschotteten Umgebungen (Air-Gap) kein schneller Passwort-Reset über die Cloud möglich ist.