Zum Inhalt
ISMS.online

A.8.3 Informationszugriffsbeschränkung – Verhinderung lateraler Bewegungen in MSP-Umgebungen

Wenn ein einzelnes MSP-Tool unbemerkt auf Dutzende Kundenumgebungen zugreifen kann, sehen Angreifer ein offenes Tor. Die Zugriffsbeschränkung gemäß A.8.3 ist Ihr Hebel, um die Ausbreitung von Sicherheitslücken zu stoppen und jede gemeinsam genutzte Konsole, jedes Remote-Gateway und jede Identität abwehrbar und überprüfbar zu machen. Zeigen Sie Ihren Kunden – und den Aufsichtsbehörden –, dass Ihr MSP Zero Trust ernst nimmt, und liefern Sie ihnen vertrauenswürdige Beweise.

Autorin
Mark Sharron
Aktualisiert Dezember 1, 2025
4 / 5 Sterne

Warum Managed Service Provider (MSPs) jetzt Hauptziele für mandantenübergreifende Angriffe sind

Managed Service Provider (MSPs) sind bevorzugte Ziele für mandantenübergreifende Angriffe, da ein kompromittiertes Technikerkonto oder ein gemeinsam genutztes Tool gleichzeitig viele Kundenumgebungen erreichen kann. Wenn Fernverwaltungspfade unbemerkt mandantenübergreifend sind, kann ein einzelner Angriffspunkt zu einem Ausfall mehrerer Kunden führen, wobei Ransomware, Datendiebstahl oder Hintertüren über Dutzende von Mandanten verbreitet werden, was zu Umsatzeinbußen und Vertragsstreitigkeiten führt. Gemeinsame Empfehlungen der Regierungen zur Sicherheit von Managed Service Providern beschreiben genau dieses Muster: Schwächen in der Trennung oder bei privilegierten Tools ermöglichen es, dass eine Kompromittierung sich auf mehrere nachgelagerte Kunden ausbreitet (Beispielhinweise). Da Angreifer Managed Service Provider zunehmend als Abkürzung in viele Organisationen nutzen, anstatt ein Opfer nach dem anderen anzugreifen, werden Zugriffsbeschränkungen gemäß A.8.3 zum wichtigsten Mittel, um die Auswirkungen zu begrenzen.

Angreifer folgen dem Weg des geringsten Widerstands; flache, gemeinsam genutzte Zugriffsmodelle weisen ihnen unauffällig den Weg.

Jahrelang gingen viele Managed Service Provider (MSPs) davon aus, dass ein Sicherheitsvorfall jeweils nur einen Kunden innerhalb eines Netzwerks betrifft. Diese Annahme ist überholt. Jüngste Angriffe haben gezeigt, dass Angreifer, sobald sie in die Kernsysteme eines MSPs eindringen, unbemerkt Ransomware verbreiten, Daten stehlen oder Hintertüren in zahlreichen Kundensystemen installieren können, bevor irgendjemand den Vorfall bemerkt. Leitlinien von Strafverfolgungs- und Sicherheitsbehörden weisen darauf hin, dass Kriminelle zunehmend die Fernwartungstools von Service Providern missbrauchen, um Schadsoftware in großem Umfang über mehrere Organisationen zu verbreiten, anstatt diese einzeln anzugreifen (Ransomware-Übersichten). Das Risiko besteht nicht mehr nur darin, dass die Firewall eines Kunden ausgefallen ist; es besteht vielmehr darin, dass die eigene, gemeinsam genutzte Infrastruktur zum Einfallstor für alle Kunden geworden ist.

Rund 41 % der Organisationen in der ISMS.online-Umfrage „State of Information Security 2025“ nannten die Bewältigung von Drittparteirisiken und die Überwachung der Lieferantenkonformität als eine der größten Herausforderungen.

Das mandantenübergreifende Risiko lässt sich nur reduzieren, wenn Sie Angriffe nicht mehr kundenbezogen modellieren, sondern über Ihre gesamte MSP-Lieferkette hinweg. Diese Umstellung zwingt Sie dazu, das tatsächliche Verhalten Ihrer gemeinsam genutzten Tools, Identitäten und Netzwerke in der Praxis zu betrachten und nicht nur deren Darstellung in Diagrammen.

Diese Informationen sind allgemeiner Natur und stellen keine Rechts-, Regulierungs- oder Zertifizierungsberatung dar. Sie sollten sich vor Entscheidungen professionell beraten lassen.

Vom Denken in Einzelmietern zur Realität der Lieferkette

Der Wechsel von einem Single-Tenant-Denken hin zu einer Supply-Chain-Perspektive bedeutet, Ihre MSP-Infrastruktur als ein vernetztes System und nicht als eine Ansammlung isolierter Kunden zu betrachten. Wenn Sie gemeinsam genutzte Tools und Identitäten anstelle von Kundenfirewalls untersuchen, werden die mandantenübergreifenden Pfade sichtbar, die Angreifer ausnutzen können, insbesondere durch Remote-Monitoring- und Management-Tools (RMM), Remote-Access-Gateways, Cloud-Konsolen und Backup-Plattformen. Da diese Tools privilegierte Zugriffswege zu vielen Clients bieten, kann ein umfassender, dauerhafter Zugriff auf einen dieser Clients dazu führen, dass sich eine einzelne Kompromittierung auf Ihre gesamte Kundenbasis ausbreitet.

Früher ging man davon aus, dass Angreifer direkt in die Netzwerke ihrer Kunden eindringen würden, einen nach dem anderen. In der Realität zielen viele heute zunächst auf Managed Service Provider (MSPs) ab, da diese die gemeinsam genutzten, privilegierten Routen betreiben. Branchenanalysen von MSP-Vorfällen unterstreichen diese Entwicklung und beschreiben, wie Angreifer zentrale Administrationskonsolen und gemeinsam genutzte Tools angreifen, um die Auswirkungen auf nachgelagerte Systeme zu maximieren (Branchen-Whitepaper).

Es hilft, den Kontrast deutlich zu machen:

Aspekt Denkweise eines einzelnen Mieters Realität der Lieferkette
Hauptangriffsziel Individuelles Kundenumfeld MSP-Kernwerkzeuge und gemeinsam genutzte Infrastruktur
Risikomodell „Das Netzwerk von Kunde A ist eigenständig.“ „Gemeinsam genutzte Konsolen können die Abwehrmechanismen der einzelnen Kunden umgehen.“
Ergebnis des Kompromisses jeweils nur eine Umwelt betroffen Viele Mieter sind über dieselben Zugangswege gefährdet.

Bei einem Single-Tenant-Ansatz wird das Risiko so modelliert, als wäre „Kunde A“ isoliert; der Fokus liegt auf dessen Firewall-Regeln und Mitarbeiterpasswörtern. Im Kontext einer Lieferkette stellt sich zusätzlich die Frage: „Welche unserer gemeinsam genutzten Konsolen können die Sicherheitsvorkehrungen von Kunde A umgehen, und auf welche anderen Systeme können dieselben Zugangsdaten zugreifen?“ Die zweite Frage betrifft das Risiko lateraler Angriffe.

Die Tools, die Ihre Kunden unauffällig miteinander verbinden

Die risikoreichsten Tools sind in der Regel diejenigen, die mandantenübergreifend über eine zentrale Steuerungsebene funktionieren. Durch die Identifizierung dieser Plattformen und die genaue Zuordnung der jeweiligen Mandanten und Daten erhalten Sie eine praktische Zielliste für die Zugriffsbeschränkung und -überwachung gemäß A.8.3.

Die meisten MSP-Stacks enthalten eine Handvoll „Kronjuwelen“-Tools, die viele Umgebungen miteinander verbinden:

  • RMM- oder Endpoint-Management-Plattformen, die Skripte, Software und Konfigurationsänderungen bereitstellen können.
  • Fernzugriffsgateways, die interaktive Sitzungen auf Kundensystemen ermöglichen.
  • Identitäts- oder Verzeichnisintegrationen, die Konten, Gruppen und Zugriffsrechte synchronisieren.
  • Backup-, Wiederherstellungs- und Kontinuitätssysteme mit umfassender Transparenz der Kundendaten.

Sind diese Tools mit globalen Administratorrollen, gemeinsam genutzten Konten oder einem einheitlichen Netzwerkzugriff für alle Kunden konfiguriert, muss ein Angreifer, der eine Identität oder ein Gerät kompromittiert hat, nicht in jeden einzelnen Mandanten eindringen. Er kann einfach Ihre gewohnten Zugriffswege nutzen, oft mit Ihrer eigenen Automatisierung.

Schattenadministratorpfade, die Sie möglicherweise übersehen haben

Schattenadministrationspfade sind informelle oder veraltete Wege, die zwar realen Zugriff ermöglichen, aber in formalen Konzepten und Richtlinien oft fehlen. Indem Sie diese aufspüren und unter die Kontrolle von A.8.3 bringen, schließen Sie laterale Bewegungswege, die Angreifer andernfalls zuerst nutzen würden.

Selbst wenn Ihre Hauptwerkzeuge gut verwaltet erscheinen, gibt es oft unkontrollierte, organisch gewachsene Wege der Schattenadministration:

  • Gemeinsam genutzte Jump-Server, die mehrere Kundenumgebungen ohne strenge Bereichsbegrenzung erreichen können.
  • Generische VPN-Profile werden zur schnellen Fehlerbehebung bei vielen Mandanten verwendet.
  • Legacy-Servicekonten, deren Geltungsbereich bei Änderungen der Umgebungen nie aufgehoben wurde.
  • Notfallkonten, die für Stromausfälle eingerichtet, aber nie vollständig aufgelöst wurden.

Diese Routen sind möglicherweise nicht in den Zugriffskontrollrichtlinien dokumentiert, bieten aber dennoch reale Wege für die seitliche Bewegung. A.8.3 fordert Sie auf, solche Wege zu identifizieren und gezielt zu kontrollieren, nicht nur diejenigen, die in Netzwerkdiagrammen dargestellt sind. Wenn Sie diese Wege Ihren nicht-technischen Kollegen im Hinblick auf Kundenauswirkungen, Datenschutz und Vertragsrisiken verständlich erklären können, lässt sich die Zustimmung zu deren Änderung deutlich leichter gewinnen.

Kontakt


Was ISO 27001:2022 A.8.3 in einem MSP-Zero-Trust-Modell wirklich von Ihnen verlangt

ISO 27001:2022 A.8.3 fordert, sicherzustellen, dass Personen und Systeme nur auf die Informationen und Ressourcen zugreifen können, die sie tatsächlich benötigen – und zwar von den dafür vorgesehenen Orten und zu den dafür vorgesehenen Zeiten. Diese Entscheidungen müssen technisch nachvollziehbar umgesetzt werden. Für Managed Service Provider (MSPs) umfassen „Informationen und zugehörige Ressourcen“ nicht nur interne Systeme, sondern alle verwalteten Kundensysteme und alle gemeinsam genutzten Tools, die darauf zugreifen können. Die Ausrichtung von A.8.3 an einem Zero-Trust-Ansatz bedeutet, dass Sie nicht länger davon ausgehen, dass ein Techniker, ein Gerät oder ein Netzwerksegment implizit sicher ist.

ISO 27001:2022-Kontrolle A.8.3 „Zugriffsbeschränkung für Informationen“ lässt sich zwar leicht zusammenfassen, ist aber in der Umsetzung anspruchsvoll: Es muss festgelegt werden, wer wann und von wo auf welche Informationen und Assets zugreifen darf. Diese Entscheidung muss technisch durchgesetzt und ihre Wirksamkeit nachgewiesen werden. Für Managed Service Provider (MSPs) ist der Begriff „Informationen und zugehörige Assets“ weiter gefasst als oft angenommen. Er umfasst explizit Kunden-Tenants und die gemeinsam genutzten Plattformen, die diese verbinden. Der Zugriff darauf muss durch klare, verbindliche Regeln und nicht durch informelles Vertrauen geregelt werden.

Im Wesentlichen bildet Abschnitt A.8.3 die Grundlage Ihres umfassenderen Zugriffskontrollkonzepts. Andere ISO-27001-Vorgaben fordern Sie auf, Zugriffsrichtlinien zu definieren, Identitäten über ihren gesamten Lebenszyklus zu verwalten und Informationen zu klassifizieren. Verständliche Erläuterungen zu ISO/IEC 27001:2022 stellen A.8.3 häufig zusammen mit den Zugriffskontrollklauseln aus Anhang A dar, um deren Zusammenspiel zu verdeutlichen (Zugriffskontrollübersichten). In Abschnitt A.8.3 werden diese Richtlinien und Klassifizierungen zu konkreten Regeln in Konsolen, Netzwerken und Anwendungen. Es geht weniger um die Formulierung von Richtlinien, sondern vielmehr darum, wie sich Ihre Systeme bei der Anmeldung eines Benutzers verhalten.

Die Anforderung A.8.3 ist in einem Managed Service Provider (MSP) nur dann erfüllt, wenn RMM-Daten, Backups, Geheimnisse, Mandantenkonfigurationen und personenbezogene Kundendaten als Informationswerte und nicht nur als Dateifreigaben behandelt werden. Dies erfordert, dass Sie explizit festlegen, wer diese Werte einsehen und ändern darf und wie diese Rechte eingeschränkt, protokolliert und im Laufe der Zeit überprüft werden.

Erweiterung des Begriffs „Information“ über interne Dateifreigaben hinaus

A.8.3 gewinnt in MSP-Umgebungen an Bedeutung, wenn Konfigurationsdaten, Anmeldeinformationen, Überwachungsergebnisse und Sicherungsabbilder neben Dokumenten als Informationsressourcen behandelt werden. Sobald diese Ressourcen im Geltungsbereich liegen, können Zugriffsregeln entworfen werden, die Angreifer daran hindern, sie für unbemerkte mandantenübergreifende Datenübermittlung oder unberechtigten Zugriff auf personenbezogene Kundendaten zu missbrauchen.

Viele Organisationen betrachten Informationsressourcen instinktiv als Dokumente auf einem Dateiserver oder Datensätze in einer Geschäftsanwendung. Im Kontext eines Managed Service Providers (MSP) ist diese Definition viel zu eng gefasst. Sie verwalten außerdem:

  • Kundenkonfigurationsdaten in RMM- und Managementplattformen.
  • Authentifizierungsgeheimnisse und -token in Identitäts- und Zugriffssystemen.
  • Backup-Images und Replikate über mehrere Mandanten hinweg.
  • Überwachungsdaten, Protokolle und Diagnosetraces aus vielen Umgebungen.

Jede dieser Informationsressourcen kann von Angreifern zur lateralen Ausbreitung genutzt werden, wenn der Zugriff nicht streng kontrolliert wird. Jede kann zudem personenbezogene Daten enthalten oder einen Zugang zu solchen Daten ermöglichen, die unter Datenschutzgesetze fallen. Bei der Auslegung von A.8.3 sollten Sie sich fragen: „Wer kann diese Ressourcen aktuell einsehen oder ändern? Wie ist dieser Zugriff gerechtfertigt? Und wie lässt er sich mit unseren Zugriffskontroll- und Datenschutzrichtlinien in Einklang bringen?“ Diese einfache Analyse deckt häufig unbeabsichtigte Schwachstellen zwischen Mandanten auf.

Themenspezifische Zugriffsrichtlinien, nicht ein einziges riesiges Regelwerk

A.8.3 lässt sich leichter anwenden, wenn es durch wenige, fokussierte und themenspezifische Zugriffsrichtlinien anstatt durch ein allgemeines Regelwerk ausgedrückt wird. Klare Richtlinien für mandantenübergreifenden Zugriff, Mandantenisolierung und Privileged Engineering bieten Entwicklern, Auditoren und Datenschutzbeauftragten eine gemeinsame Referenz für die praktische Anwendung von Zugriffsrechten.

ISO 27001 empfiehlt themenspezifische Richtlinien: fokussierte Dokumente, die bestimmte Bereiche detaillierter abdecken, als es eine einzelne, generische Zugriffsrichtlinie je könnte. Die Implementierungshinweise zu Anhang A.8.3 empfehlen häufig, die Zugriffskontrolle in diese zugrunde liegenden Themen aufzuteilen, anstatt sich auf ein einziges, monolithisches Zugriffsdokument zu verlassen, da Auditoren und Ingenieure fokussierte Richtlinien in der Praxis als einfacher anzuwenden empfinden (Implementierungsgespräche). Um A.8.3 im Hinblick auf das Risiko lateraler Bewegungen in Managed Service Providern (MSPs) wirksam umzusetzen, benötigen Sie in der Regel mindestens Folgendes:

  • Eine mandantenübergreifende Zugriffsrichtlinie, die für jede Identität, jedes Netzwerk oder jedes Tool gilt, das in mehr als einer Kundenumgebung betrieben werden kann, und die verdeutlicht, wie Kundendaten und Datenschutzverpflichtungen geschützt werden.
  • Eine Richtlinie für den privilegierten technischen Zugriff, die festlegt, wann und wie Techniker erweiterte Rechte erhalten können, einschließlich der Anforderungen an Protokollierung und Aufbewahrung.
  • Eine Mieterisolationsrichtlinie, die die Grenzen zwischen Kunden in Bezug auf Netzwerk, Identität und Tools definiert und auch festlegt, wie Regulierungsbehörden diese Trennung beurteilen würden.

Diese Richtlinien bestimmen die von Ihnen implementierten technischen Konfigurationen. Existieren sie nur auf dem Papier oder fehlen sie gänzlich, lässt sich die tatsächliche Erfüllung von A.8.3 nur schwer belegen. Mit einer ISMS-Plattform wie ISMS.online können Sie diese Richtlinien direkt mit Risiken, Kontrollen, rechtlichen Verpflichtungen und Nachweisen verknüpfen. Dies hilft auch nicht-technischen Beteiligten zu erkennen, dass es sich um lebendige Dokumente und nicht um ungenutzte Daten handelt.

Risikobasierte Beschränkung, im Laufe der Zeit überprüft

Risikobasierte Zugriffsbeschränkungen gemäß A.8.3 bedeuten, dass Sie Ihre strengsten Kontrollmaßnahmen auf die Tools und Identitäten konzentrieren, die viele Mandanten oder große Mengen an Kundendaten gleichzeitig gefährden könnten. Diese Entscheidungen sind nicht einmalig; Sie benötigen regelmäßige, strukturierte Überprüfungen, um den Zugriff an die aktuellen MSP-Risiko- und regulatorischen Erwartungen anzupassen.

Rund zwei Drittel der Organisationen, die an der ISMS.online-Umfrage „State of Information Security 2025“ teilnahmen, gaben an, dass die Geschwindigkeit und das Ausmaß der regulatorischen Änderungen die Einhaltung der Vorschriften zunehmend erschweren.

A.8.3 impliziert außerdem, dass Zugriffsbeschränkungen nicht statisch sind. Sie sollten das aktuelle Risiko widerspiegeln und regelmäßig überprüft werden. Für einen Managed Service Provider (MSP) bedeutet dies:

  • Mithilfe von Risikobewertungen wird entschieden, welche Tools und Identitäten das höchste Potenzial für laterale Bewegung und Datenoffenlegung darstellen.
  • Die Beschränkungen sollten zunächst für diese Bereiche verschärft werden, anstatt sich auf Systeme mit geringen Auswirkungen zu konzentrieren.
  • Überprüfung von mandantenübergreifenden Berechtigungen, Ausnahmegenehmigungen und Segmentierungsdesigns in einem vereinbarten Rhythmus, nicht nur vor Audits.

In einem Zero-Trust-Modell lautet die Frage nicht mehr: „Vertrauen wir diesem Techniker oder Tool?“, sondern: „Welchen minimalen Zugriff benötigt dieser Techniker oder dieses Tool angesichts unserer aktuellen Risikosituation und unserer Datenschutzverpflichtungen, und wie lange?“ Um zu sehen, wie dies in realen MSP-Umgebungen aussieht, ist es hilfreich, einige typische Angriffspfade durch Ihre Systemarchitektur nachzuverfolgen und zu fragen, wo bestehende Kontrollmechanismen diese tatsächlich stoppen.



ISMS.online verschafft Ihnen einen Vorsprung von 81 % ab dem Moment Ihrer Anmeldung

ISO 27001 leicht gemacht

Ein Vorsprung von 81 % vom ersten Tag an

Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.

Los geht´s


Von abstrakter Kontrolle zu konkretem MSP-Risiko: Seitliche Bewegung zwischen Mietern

Sie setzen A.8.3 von einer abstrakten Anforderung in konkretes MSP-Risikomanagement um, indem Sie nachvollziehen, wie ein Angreifer mithilfe Ihrer Tools und Identitäten zwischen Mandanten wechseln kann, und erkennen, dass ein einziges kompromittiertes Konto in einer RMM-, Backup- oder Identitätsplattform viele Kunden gleichzeitig gefährden kann. Sobald Sie diese Pfade kennen, konzentriert sich die Zugriffsbeschränkung auf die Reduzierung und Absicherung spezifischer Zugriffswege, anstatt zu versuchen, alles gleichermaßen abzusichern.

Laterale Bewegung beschreibt, wie Angreifer nach einer ersten Kompromittierung von einem Ausgangspunkt auf andere Systeme und Identitäten zugreifen. In einem Managed Service Provider (MSP) ist die mandantenübergreifende Bewegung die besorgniserregendste Form: der Zugriff auf einen Kunden oder die Kerninfrastruktur des MSPs wird genutzt, um in die Umgebungen anderer Kunden einzudringen. A.8.3 wird konkret, wenn man reale Angriffspfade durch die eigene Infrastruktur verfolgt und sich fragt, welche davon die aktuellen Kontrollmechanismen tatsächlich blockieren.

Die ISMS.online-Umfrage „State of Information Security 2025“ ergab, dass die meisten Organisationen im Vorjahr bereits von mindestens einem Sicherheitsvorfall im Zusammenhang mit Drittanbietern oder Lieferanten betroffen waren.

Stellen Sie sich vor, ein Technikerkonto wird Opfer von Phishing. Verfügt diese Identität über weitreichende Berechtigungen bei vielen Mandanten, kann ein Angreifer Ihre üblichen Tools auch ohne ausgeklügelte Exploits nutzen. Selbst bei aktivierter Multi-Faktor-Authentifizierung (MFA) können Session-Hijacking, Token-Wiederverwendung oder falsch konfigurierte Einstellungen für „Dieses Gerät merken“ weiterhin Einfallstore bieten. Übersichten zur Multi-Faktor-Authentifizierung zeigen, dass MFA zwar die Hürden für Angreifer erhöht, Schwächen wie Session-Hijacking, Token-Diebstahl oder fehlerhafte Konfigurationen den Schutz jedoch weiterhin untergraben können, wenn die zugrunde liegenden Zugriffsbereiche zu weit gefasst sind (siehe Hintergrundinformationen zu MFA). Die entscheidende Frage lautet nicht nur: „Kann sich das Konto anmelden?“, sondern: „Wie weit kann es sich nach der Anmeldung ausbreiten, welche Kundendaten sind gefährdet und welche Aufsichtsbehörden wären besorgt?“

Die laterale Ausbreitung lässt sich nur dann reduzieren, wenn man die MSP-Umgebung als Pfaddiagramm für Angreifer betrachtet, nicht als Liste von Tools. Das bedeutet, abzubilden, wie Identitäten, Rollen, Netzwerke und Plattformen in der Praxis miteinander verbunden sind, und anschließend die gefährlichsten Pfade gezielt einzuschränken.

Die eigene Umgebung aus der Perspektive eines Angreifers betrachten

Wenn Sie Ihre Umgebung aus der Perspektive eines Angreifers betrachten, modellieren Sie die Wege von einem kompromittierten Punkt zu anderen, anstatt nur die Anzahl der ausgeführten Tools zu zählen. Wenn Sie die tatsächlichen Pfade zwischen Identitäten, Netzwerken und Mandanten darstellen, treten kritische Knotenpunkte deutlich hervor und zeigen Ihnen genau, wo die durch A.8.3 vorgegebenen Einschränkungen am wichtigsten sind.

Technische Führungskräfte und Sicherheitsverantwortliche können sich Klarheit verschaffen, indem sie typische Angriffspfade in ihrer Umgebung modellieren. Gängige Angriffspfade in Managed Service Provider-Umgebungen sind beispielsweise:

  • Kompromittierung eines Endpoint-Agenten oder einer RMM-Verbindung in einem Mandanten und anschließende Verwendung integrierter Tools, um Befehle in andere Mandanten zu übertragen.
  • Missbrauch von Servicekonten oder API-Schlüsseln, die mehrere Kundenmandanten in einer Cloud-Plattform verwalten können.
  • Die Verwendung eines übermäßig privilegierten Backup- oder Überwachungskontos als Zwischenschritt zum Zugriff auf Produktionsworkloads.
  • Umorientierung von einer lokalen Verzeichnisintegration hin zu Cloud-Ressourcen mit breiterem Anwendungsbereich.

Die Darstellung dieser Zusammenhänge als einfache Graphen – Identitäten, Gruppen, Netzwerke, Tools und deren Berechtigungen – zeigt oft, dass bestimmte Konten oder Systeme im Zentrum vieler Prozesse stehen. Genau dort haben die durch A.8.3 bedingten Einschränkungen die größten Auswirkungen. Wenn Sie einem Entscheidungsträger aus dem Unternehmen dieses Diagramm zeigen und erklären können, dass „dieser Knotenpunkt zwanzig Kunden und deren Daten betrifft“, lässt sich leichter Unterstützung für eine Änderung gewinnen.

„MFA löst das Problem“ überdenken und den Explosionsradius einführen

Die Multi-Faktor-Authentifizierung ist unerlässlich, beseitigt aber allein das Risiko lateraler Bewegungen nicht vollständig. Wird eine Sitzung nach der MFA übernommen oder ein Tool kompromittiert, erbt der Angreifer die gesamten Berechtigungen dieser Identität oder dieses Dienstes, einschließlich der mandantenübergreifenden Reichweite.

Das Konzept des „Tenant-Explosionsradius“ ist hier hilfreich: Für jede privilegierte Identität oder jedes Tool kann man sich fragen: „Wie viele Kunden und welche Informationsklassen könnten betroffen sein, wenn dies jetzt missbraucht würde?“ Lautet die Antwort „fast alle“, liegt ein klares Problem gemäß A.8.3 vor. Die Einschränkung des Informationszugriffs gemäß den Richtlinien bedeutet, wo immer möglich, bewusst kleine, kontrollierte Explosionsradien zu berücksichtigen. Diese Designarbeit fließt dann in Ihr Framework zur Minimierung der lateralen Ausbreitung ein.



Das A.8.3 Rahmenwerk zur Minimierung seitlicher Bewegungen für MSPs

Ein Framework zur Minimierung lateraler Bewegungen gemäß A.8.3 bietet Ihnen eine strukturierte Methode, um mandantenübergreifende Angriffspfade einzuschränken, anstatt diese nur stückweise anzugehen. Durch die Priorisierung von Risiken, die Definition themenspezifischer Richtlinien, die Standardisierung technischer Muster und die Zuweisung klarer Verantwortlicher wandeln Sie die Zugriffsbeschränkung in ein kontinuierliches Programm um, das Audits, Kundenzufriedenheit und regulatorische Anforderungen unterstützt, anstatt in eine einmalige Härtungsmaßnahme.

Um von der Theorie zur Praxis zu gelangen, ist es hilfreich, A.8.3 als Grundlage für ein einfaches Rahmenwerk zu betrachten, anstatt es als bloße Checkliste abzuhaken. Ziel ist es, die Möglichkeiten für seitliche Angriffe, insbesondere zwischen Mandanten, zu minimieren, indem Risiken, Richtlinien, technische Muster und Verantwortlichkeiten miteinander verknüpft werden. Wenn dieses Rahmenwerk in einem laufenden Informationssicherheitsmanagementsystem implementiert wird, können Sie den Fortschritt verfolgen und dokumentieren, ohne bei Audits alles neu entwickeln zu müssen.

Ein hilfreicher Ansatz, um das Framework zu betrachten, ist die Einteilung in vier Ebenen: Risiken verstehen und priorisieren, themenspezifische Zugriffsrichtlinien definieren, technische Muster zur Durchsetzung dieser Richtlinien auswählen und für jede Ebene eindeutige Verantwortliche festlegen. Diese Ebenen bilden die Grundlage für Ihre täglichen Zugriffsentscheidungen.

Ebene 1: Risiko und Umfang

Ebene 1 konzentriert sich auf die Identifizierung der wichtigsten Tools, Identitäten und Zonen für die mandantenübergreifende Bewegung, damit Sie die Maßnahmen gemäß A.8.3 dort einsetzen können, wo sie das Risiko tatsächlich reduzieren. So wird die Kontrolle von einem vagen Prinzip in eine kurze Liste von Risikobereichen mit hohem Einfluss umgewandelt. Sobald Sie diese Hotspots aufgelistet und priorisiert haben, können Sie klar erläutern, welche Routen aktuell am gefährlichsten sind und warum Sie dort beginnen.

A.8.3 wird dann umsetzbar, wenn man es in eine kurze Liste von Risikobereichen mit hoher Auswirkung umwandelt, anstatt es als vages Prinzip zu betrachten. Beginnen Sie damit, den Anwendungsbereich von A.8.3 aus der Perspektive eines Managed Service Providers (MSP) zu definieren:

  • Listen Sie die Tools, Identitäten und Netzwerkzonen auf, die mehr als einen Kunden berühren können.
  • Beurteilen Sie, welche dieser Optionen bei Missbrauch die größten Auswirkungen haben, einschließlich der Folgen für den Datenschutz.
  • Dokumentieren Sie konkrete Szenarien von Seitwärtsbewegungen, die Sie verhindern oder eindämmen möchten.

Dadurch erhalten Sie eine konkrete Liste von „A.8.3-Hotspots“ anstatt des allgemeinen Eindrucks, dass „alles eine Zugriffskontrolle benötigt“. Dies hilft, den Aufwand zu priorisieren und Entscheidungen gegenüber dem Management sowie den Sicherheits- oder Datenschutzteams der Kunden zu erläutern.

Ebene 2: Themenspezifische Richtlinien

Layer 2 wandelt diese Hotspots in klare Verhaltensregeln für Benutzer und Tools um. Prägnante Richtlinien für mandantenübergreifenden Zugriff, Mandantenisolierung und Privileged Engineering bieten Entwicklern, internen Auditoren und Datenschutzbeauftragten eine gemeinsame Grundlage für die Diskussion von Rechten und Ausnahmen.

Als Nächstes sollten Sie die wichtigsten Richtlinien festlegen oder präzisieren, die Ihre Entwürfe bestimmen. Typische Themen sind:

  • Mieterübergreifender Zugriff: Wer darf unter welchen Bedingungen und mit welchen Genehmigungen von Sicherheits- und gegebenenfalls Datenschutz- oder Rechtsabteilung Zugriffsrechte an mehr als einem Mieter haben?
  • Mieterisolation: Welche Arten von Datenverkehr, Daten und Identitäten dürfen Grenzen überschreiten und welche dürfen dies niemals tun?
  • Privilegierte Technik: Wie Techniker erweiterte Zugriffsrechte erlangen, nutzen und verlieren, einschließlich zeitlicher Beschränkungen und Protokollierungserwartungen.

Auf einer ISMS-Plattform wie ISMS.online lassen sich diese Richtlinien direkt mit Risiken, Kontrollen, rechtlichen Verpflichtungen und Nachweisen verknüpfen, sodass sie nach ihrer Erstellung nicht in Vergessenheit geraten. Diese Verknüpfung erleichtert es zudem, Prüfern und Kunden zu zeigen, dass Ihre technischen Konzepte auf einer klaren Richtliniengrundlage beruhen.

Ebene 3: Technische Muster

Schicht 3 definiert wiederverwendbare technische Muster zur Umsetzung Ihrer Richtlinien, sodass Entwickler nicht jedes Mal eigene Ansätze entwickeln müssen. Werden diese Muster dokumentiert, getestet und wiederverwendet, sind die A.8.3-Beschränkungen in allen Kundenumgebungen einheitlich und nicht mehr von individuellen Präferenzen abhängig.

Auf dieser Ebene definieren Sie die Bausteine, nicht jedes Implementierungsdetail, zum Beispiel:

  • Mandantenbezogene Rollen in Cloud- und RMM-Plattformen anstelle von globalem Administratorzugriff.
  • Segmentierte Managementnetzwerke und kontrollierte Jump-Hosts anstelle flacher Konnektivität.
  • Just-in-time-Healing-Mechanismen für privilegierte Aufgaben anstelle von permanenten Konten mit hohen Berechtigungen.
  • Mandantenspezifische Verschlüsselungsschlüsselbereiche und Protokollansichten anstelle von gemeinsam genutzten Schlüsseln und undifferenzierten Protokollen.

Diese Muster bieten Ihren Ingenieuren ein einheitliches Werkzeugset für die Entwicklung und Verbesserung von Diensten. Wenn jedes Muster dokumentiert, zugeordnet und mit spezifischen Verpflichtungen gemäß A.8.3 sowie themenspezifischen Richtlinien verknüpft ist, verringern Änderungen in einem Bereich die Wahrscheinlichkeit, dass Kontrollen an anderer Stelle beeinträchtigt werden.

Ebene 4: Eigentum und Verbesserung

Ebene 4 weist namentlich benannte Verantwortliche und Feedbackschleifen zu, damit Ihr Framework dynamisch bleibt und sich an Veränderungen anpasst. Ohne klare Verantwortlichkeiten wird A.8.3 schnell zu einer einmaligen Bereinigung anstatt zu einem nachhaltigen Schutz vor lateraler Ausbreitung.

A.8.3 lässt sich langfristig nur dann aufrechterhalten, wenn es klar definierte Verantwortliche und Feedbackschleifen gibt. Weisen Sie jedem Element eindeutige Verantwortliche zu: Wer ist für die mandantenübergreifende Zugriffsrichtlinie zuständig? Wer entwirft die Segmentierung? Wer überwacht Verstöße? Wer genehmigt Ausnahmen? Wer stellt die Beweissicherung sicher? Wer prüft die Auswirkungen auf den Datenschutz? Implementieren Sie Feedbackschleifen, damit Vorfälle, Beinahe-Unfälle, Bedrohungsanalysen und Testergebnisse in aktualisierte Richtlinien und Vorgehensweisen einfließen.

Wenn Sie dieses Framework in einem strukturierten ISMS wie ISMS.online verwalten, erkennen Sie auf einen Blick, welche Teile von A.8.3 bereits gut umgesetzt sind, welche sich in der Entwicklung befinden und wo noch Schwachstellen bestehen. Dies erleichtert die Information der Führungsebene und die Priorisierung von Investitionen, da Sie gezielt auf konkrete Lücken hinweisen können, anstatt allgemein zu sprechen.



Klettern

Befreien Sie sich von einem Berg an Tabellenkalkulationen

Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.

Buchen Sie Ihre Demo


Gestaltung technischer Schutzmechanismen: rollenbasierte Zugriffskontrolle (RBAC), Segmentierung, Just-in-Time-Lieferung und Mieterisolierung

Die technischen Schutzmechanismen für A.8.3 umfassen konkrete Rollen-, Netzwerk- und Workflow-Designs, die einen übermäßig weitreichenden Zugriff im Normalbetrieb ausschließen. Für Managed Service Provider (MSPs) bedeutet dies in der Regel mandantenorientierte rollenbasierte Zugriffskontrolle (RBAC), segmentierte Managementnetzwerke, bedarfsgerechte Rechteerweiterung und gezielte Mandantenisolierung auf gemeinsam genutzten Plattformen. All dies basiert auf klaren Richtlinien, wird durch Protokollierung unterstützt und ist auf reale Engineering-Workflows zugeschnitten.

Technische Leitplanken sind der Punkt, an dem A.8.3 für Ingenieure im Arbeitsalltag sichtbar wird. Für Managed Service Provider (MSPs) sind die wichtigsten Hebel die rollenbasierte Zugriffskontrolle (RBAC), die Netzwerksegmentierung, der bedarfsgerechte (JIT) privilegierte Zugriff und die robuste Mandantenisolierung in gemeinsam genutzten Plattformen. Zusammen verändern sie den Standard von „Jeder kann jederzeit alles sehen“ zu „Benutzer und Tools sehen genau das, was sie brauchen, wann sie es brauchen, jeweils in einem Mandanten“.

Bei der Entwicklung dieser Kontrollmechanismen empfiehlt es sich, von administrativen Arbeitsabläufen statt von technischen Funktionen auszugehen. Klären Sie für jede Arbeitsart, welche Berechtigungen tatsächlich benötigt werden, für welchen Zeitraum und von wo aus, und passen Sie Ihre Schutzmaßnahmen entsprechend an. Dieser Ansatz sorgt dafür, dass spätere Gespräche mit Kunden, Prüfern und Ihren eigenen Teams auf realen Aufgaben und nicht auf abstrakten Rahmenbedingungen basieren.

Sie können mandantenübergreifenden Missbrauch mit RBAC nur dann verhindern, wenn Rollen mandantenspezifisch und nicht global definiert sind. Das bedeutet, Rollen mit klaren funktionalen und Bereichsgrenzen zu entwerfen und der Versuchung zu widerstehen, „temporären“ globalen Zugriff zu gewähren, der nie vollständig entfernt wird.

Rollenbasierte Zugriffskontrolle, die Mieter respektiert

RBAC unterstützt A.8.3, wenn Rollen funktionsspezifisch und mandantenbezogen anstatt allgemeiner „globaler Administrator“-Kategorien definiert sind. Durch die Definition von Rollen anhand der auszuführenden Arbeiten, der Kunden und der jeweiligen Berechtigungsstufe wird der potenzielle Schaden im Falle einer Kontokompromittierung automatisch begrenzt und die Kontrolle gegenüber Kunden und Auditoren leichter nachgewiesen.

RBAC verknüpft Berechtigungen mit Rollen statt mit Einzelpersonen. Im Kontext von Managed Service Providern (MSPs) bedeutet effektives RBAC häufig Folgendes:

  • Mit separaten Rollen für First-Level-Support, Senior-Ingenieure, Cloud-Spezialisten und Backup-Operatoren.
  • Die Rollen werden auf bestimmte Mieter, Regionen oder Servicebereiche beschränkt, anstatt auf „alle Kunden“.
  • Vermeiden Sie generische „globale Administrator“-Rollen in gemeinsam genutzten Tools und verwenden Sie stattdessen eng definierte Rollen.

Ein hilfreiches Modell kombiniert drei Dimensionen: Funktion (Art der Tätigkeit), Ebene (Berechtigung) und Geltungsbereich (welche Kunden). Beispielsweise unterscheidet sich „Tier-2-Techniker – Kundengruppe X“ deutlich von „Plattformverantwortlicher – nur interne Tools“. Wenn Sie diese Struktur in Ihren Tools abbilden und in Ihrem ISMS dokumentieren, wird es wesentlich einfacher, Konsistenz zu wahren und Kundenfragen zum Zugriff auf ihre Umgebung zu beantworten.

Netzwerksegmentierung und Isolation der Managementebene

Netzwerksegmentierung schützt Sie bei fehlgeschlagenen Anmeldeinformationen, indem sie es einem kompromittierten System erschwert, auf alle Systeme zuzugreifen. Sind Managementnetzwerke und Mandantenumgebungen strikt getrennt, stehen Angreifern weniger Angriffspunkte zur Verfügung, selbst wenn sie eine privilegierte Identität erlangen.

Selbst eine perfekte rollenbasierte Zugriffskontrolle (RBAC) kann flache Netzwerke nicht kompensieren. Angreifer nutzen oft einfache Verbindungen aus: Wenn eine Administrator-Workstation über Managementprotokolle jedes Kundennetzwerk erreichen kann, schafft die Kompromittierung dieser Workstation eine Autobahn für die laterale Ausbreitung von Angriffen.

Die Segmentierung Ihrer Netzwerke umfasst typischerweise Folgendes:

  • Trennung von Managementnetzwerken und Kundenproduktionsnetzwerken.
  • Platzierung von Jump-Hosts oder Bastion-Diensten in streng kontrollierten Zonen.
  • Durch den Einsatz von Firewalls oder Zero-Trust-Netzwerkzugriffskontrollen wird sichergestellt, dass zwischen administrativen Tools und Mandantenressourcen nur autorisierte Pfade existieren.

Eine einfache, aber effektive Methode ist die regelmäßige Überprüfung der Frage „Welche Mandanten und Ports sind von diesem Subnetz aus erreichbar?“ und der Vergleich der Antwort mit Ihren Zugriffskontrollrichtlinien. Stimmen Konnektivität und Richtlinien nicht überein, liefert Ihnen Abschnitt A.8.3 einen konkreten Grund, eine der beiden Einstellungen zu ändern.

Just-in-Time-Zugriff und begrenzte Sitzungen

JIT-Privilegiertenzugriff reduziert das Risiko, indem sichergestellt wird, dass hohe Zugriffsrechte nur bei Bedarf und für die kürzestmögliche Zeit gewährt werden. Die Kombination von JIT mit Protokollierung bietet sowohl besseren Schutz als auch eine bessere Nachweisbarkeit gemäß A.8.3.

Bestehende Konten mit hohen Berechtigungen sind für Angreifer besonders attraktiv. JIT-gesteuerter privilegierter Zugriff verringert diese Attraktivität, indem er die Rechteerweiterung temporär und aufgabenbezogen gestaltet. Dies kann beispielsweise so aussehen:

  • Ingenieure, die die meiste Zeit mit Accounts mit eingeschränkten Berechtigungen arbeiten.
  • Antrag auf Eskalation für eine bestimmte Aufgabe oder ein Ticket mit ausdrücklicher Genehmigung.
  • Automatischer Ablauf und Widerruf nach kurzer Zeit.
  • Detaillierte Protokollierung von Sitzungen mit erhöhten Rechten.

In Kombination mit rollenbasierter Zugriffskontrolle (RBAC) und Segmentierung stellt JIT sicher, dass selbst bei Diebstahl von Zugangsdaten das Missbrauchspotenzial erheblich reduziert wird. Zudem liefert es Ihnen überzeugendere Argumente gegenüber Auditoren, Kunden und Datenschutzbeauftragten: Sie können nachweisen, dass privilegierter Zugriff die Ausnahme darstellt und streng kontrolliert wird, nicht aber routinemäßig und dauerhaft.

Mieterisolierung in gemeinsam genutzten Plattformen

Die Mandantenisolierung in gemeinsam genutzten Plattformen stellt sicher, dass eine Kompromittierung bei einem Kunden oder Untermandanten nicht automatisch andere gefährdet. Durch den gezielten Einsatz von Plattformfunktionen zur Trennung von Kunden wird das Risiko verringert, dass eine einzelne Fehlkonfiguration oder ein Angriff mehrere Umgebungen gleichzeitig beeinträchtigt.

Cloud-Dienste, E-Mail-Sicherheitsgateways, Identitätssysteme und ähnliche Plattformen unterstützen häufig mehrere Mandanten über eine einzige Verwaltungsschnittstelle. Leitfäden zu den Grundlagen der Cloud-Sicherheit beschreiben diese mandantenfähigen Verwaltungsmodelle und betonen die Notwendigkeit einer strikten logischen Trennung mithilfe von Konstrukten wie Projekten, Konten oder Ressourcenbereichen, um unbeabsichtigten mandantenübergreifenden Zugriff zu vermeiden (Grundlagen der Cloud-Sicherheit). Die Mandantenisolierung in diesen Tools sollte Ihrer Richtlinie für mandantenübergreifenden Zugriff und den Verpflichtungen gemäß A.8.3 entsprechen. Das bedeutet in der Regel:

  • Sofern möglich, sollten pro Kunde separate Mandanten, Abonnements oder gleichwertige logische Container eingerichtet werden.
  • Mandantenspezifische Verwaltungskonten oder -rollen anstelle eines einzigen „Super-Admins“ für alles.
  • Vermeidung von „alle Kunden“-Gruppen oder Richtlinien, die die Grenzen einzelner Mieter außer Kraft setzen.

Es kann hilfreich sein, ein Verzeichnis der tatsächlich mandantenfähigen Tools und ihrer Isolationsmechanismen zu führen und deren Verwendung zu standardisieren. Wird dieses Verzeichnis in Ihrem ISMS verwaltet, dient es zudem als praktisches Dokument für Audits, Kundenprüfungen und Datenschutz-Folgenabschätzungen.

Die folgende Tabelle fasst die Unterschiede zwischen den bisherigen und den an A.8.3 angepassten Ansätzen hinsichtlich dieser Leitplanken zusammen:

Gebiet Legacy-Muster A.8.3-ausgerichtetes Muster
Administratoridentitäten Gemeinsame globale Administratorkonten Benannte, mandantenbezogene Rollen mit JIT-Elevation
Netzwerke Flache Managementnetzwerke für alle Kunden Segmentierte Managementebene, mandantenspezifische Pfade
Zugriffsdauer Hohe Privilegien Zeitlich begrenzte Beförderung in Verbindung mit spezifischen Aufgaben
Mietergrenzen „Alle Kunden“-Gruppen und gemeinsam genutzte Konsolen Mandantenspezifische Rollen, Projekte oder Abonnements
Sichtbarkeit Eingeschränkte Protokollierung von Administratoraktionen Detaillierte, korrelierte Protokolle für privilegierte Sitzungen


Verfahrenskontrollen, die A.8.3 im täglichen MSP-Betrieb umsetzen

Verfahrenskontrollen setzen A.8.3 in die Praxis um, indem sie regeln, wie Benutzer im Arbeitsalltag Zugriffe anfordern, genehmigen, nutzen und widerrufen. Wenn Ihre Prozesse für neue Mitarbeiter, Versetzungen und Austritte, die Ausnahmebehandlung und Schulungen das mandantenübergreifende Risiko berücksichtigen, reduzieren Sie die Wahrscheinlichkeit, dass gefährliche Zugriffspfade bei der Weiterentwicklung Ihrer Managed Service Provider (MSP) erneut auftreten, erheblich – selbst bei Änderungen von Tools und Teams.

Selbst die besten technischen Konzepte scheitern, wenn alltägliche Prozesse in eine andere Richtung lenken. Verfahrenskontrollen gewährleisten, dass Zugriffsbeschränkungen einheitlich beantragt, erteilt, überprüft und entfernt werden, insbesondere unter Zeitdruck. Für A.8.3 bedeutet dies, die mandantenübergreifende Zugriffsverwaltung in Onboarding, Offboarding, Änderungsmanagement und Ausnahmebehandlung zu integrieren und sie nicht als gelegentliches Sicherheitsprojekt zu behandeln.

In der Praxis sollte man sich fragen: „Wie einfach ist es für jemanden, diese Beschränkungen zu umgehen, wenn er beschäftigt ist, und welche Spuren würden das belegen?“ Lautet die ehrliche Antwort „sehr einfach, und es gibt fast keine Spuren“, dann benötigen Ihre Verfahrenskontrollen genauso viel Aufmerksamkeit wie Ihre Technologie.

Zugangsanfragen, Beitritte, Umzüge und Austritte

Bei Beitritts-, Versetzungs- und Austrittsprozessen bleiben mandantenübergreifende Berechtigungen häufig unbemerkt. Die Behandlung dieser Abläufe als A.8.3-Mechanismen bedeutet, dass Sie für MSP-Berechtigungen dieselbe Disziplin anwenden wie für interne Anwendungen, einschließlich Datenschutzverpflichtungen und Kundenzusagen.

Nützliche Praktiken sind:

  • Standardisierte Anforderungsworkflows für alle Berechtigungen, die sich über mehrere Mandanten erstrecken, mit risikobasierter Genehmigung.
  • Rollenvorlagen, die vordefinieren, welche Mandanten und Tools für bestimmte Aufgabenbereiche relevant sind.
  • Joiner-Prozesse erstellen Konten mit minimalem Standardzugriff und fügen dann bei Bedarf spezifische Mandantenbereiche hinzu.
  • Prozesse für Mieterwechsel und -austritte, die den mandantenübergreifenden Zugriff umgehend entfernen, wenn sich Rollen ändern oder Mitarbeiter das Unternehmen verlassen.

Dies lässt sich konkretisieren, indem man den Prozess in einige wenige einfache Schritte unterteilt.

Schritt 1 – MSP-spezifische Berechtigungen ermitteln

Erstellen Sie einen Katalog der Rollen, Gruppen und Tools, die mandantenübergreifenden oder risikoreichen Zugriff gewähren, damit die Personalabteilung und die Manager wissen, welche Anfragen einer genaueren Prüfung bedürfen.

Schritt 2 – Erstellen von Rollenvorlagen mit definiertem Aufgabenbereich

Erstellen Sie Vorlagen, die nur die Rechte bündeln, die jede Rolle benötigt, und zwar für bestimmte Kunden oder Regionen. Verweisen Sie in Ihren Anfrageformularen auf diese Vorlagen.

Schritt 3 – Automatisierte Bereitstellung und Widerrufung

Integrieren Sie HR- und Identitätssysteme so, dass Rollenänderungen automatisch die Bereitstellung und Aufhebung von mandantenübergreifenden Berechtigungen auslösen und so manuelle Lücken reduziert werden.

Schritt 4 – Genehmigungen und Überprüfungen protokollieren

Stellen Sie sicher, dass für jede risikoreiche Berechtigung ein geschäftlicher Grund, ein Genehmiger und ein Überprüfungsdatum dokumentiert sind, damit Sie gegenüber Wirtschaftsprüfern, Kunden und Datenschutzbehörden die Kontrolle nachweisen können.

Durch die Verknüpfung dieser Prozesse mit Ihrem HR-System und Ihrer Identitätsplattform wird das Risiko vergessener Konten und veralteter Berechtigungen verringert. Wenn Sie die zugehörigen Datensätze in einer Plattform wie ISMS.online verwalten, erhalten Sie zudem einen revisionssicheren Überblick darüber, wer wann was und für welchen Zeitraum genehmigt hat.

Strukturierte Ausnahmen und Änderungsmanagement

Die strukturierte Ausnahmebehandlung berücksichtigt, dass mitunter weitergehende Zugriffsrechte erforderlich sind, besteht aber darauf, dass diese Rechte klar definiert, zeitlich begrenzt und transparent sind. Wenn Ihr Änderungsmanagementprozess stets die Frage stellt: „Welche Auswirkungen hat dies auf den mandantenübergreifenden Zugriff?“, bleibt A.8.3 mit Ihrer sich entwickelnden MSP-Infrastruktur kompatibel.

Die betriebliche Realität erfordert mitunter Ausnahmen – beispielsweise benötigt ein leitender Ingenieur möglicherweise vorübergehenden Zugang zu mehreren Mietern, um einen dringenden Vorfall zu bewältigen. A.8.3 versucht nicht, dies zu verhindern; es fordert lediglich, dass ein solcher Zugang kontrolliert und nachvollziehbar, nicht aber improvisiert erfolgt.

Das bedeutet:

  • Dokumentierte Kriterien für die Zulässigkeit von Ausnahmen zwischen Mandanten.
  • Kurze, übersichtliche Formulare, die Grund, Umfang, Dauer und Genehmigungen erfassen, gegebenenfalls auch die Zustimmung des Rechtsberaters oder eine rechtliche Genehmigung.
  • Automatische Erinnerungen oder Ablaufdaten für befristete Berechtigungen.
  • Integration in Ihren Änderungsmanagementprozess, sodass neue Tools, Integrationen und Workflows nicht eingeführt werden können, ohne deren Auswirkungen auf den mandantenübergreifenden Zugriff zu berücksichtigen.

Die Fehlerbehandlung lässt sich leichter nachvollziehbar gestalten, indem man sie in klare Schritte unterteilt.

Schritt 1 – Definition akzeptabler Ausnahmefälle

Einigung auf eine kurze Liste von Situationen, in denen eine mieterübergreifende Erhöhung zulässig ist, wie z. B. größere Zwischenfälle oder bestimmte Projektarbeiten.

Schritt 2 – Umfang, Dauer und Genehmigungen erfassen

Verwenden Sie eine einfache Vorlage, um festzuhalten, welche Mandanten und Tools in den Geltungsbereich fallen, für welchen Zeitraum und wer die Genehmigung erteilt hat, einschließlich der Stellungnahme des Datenschutzbeauftragten, wenn eine Datenexposition wahrscheinlich ist.

Schritt 3 – Temporären Zugriff implementieren und überwachen

Implementieren Sie die Ausnahme in Ihren Identitäts- und Zugriffssystemen, protokollieren Sie jede privilegierte Nutzung und legen Sie automatische Ablauf- oder Überprüfungserinnerungen fest.

Schritt 4 – Ausnahme schließen und überprüfen

Nach Ablauf des Zeitfensters sollte der Zugriff entfernt und die gewonnenen Erkenntnisse festgehalten werden, damit Richtlinien und Vorgehensweisen verfeinert werden können.

Werden Ausnahmen transparent behandelt, werden sie zu beherrschbaren Risiken statt zu versteckten Schwachstellen. Diese Ausnahmedatensätze können dann genutzt werden, um Richtlinien und technische Muster zu optimieren, anstatt sie erst nach einem Vorfall zu entdecken.

Ausbildung und Kommunikation

Schulungen und Kommunikation gewährleisten, dass Ingenieure, Account Manager und Führungskräfte die Gründe für die Zugriffsbeschränkungen verstehen und wissen, wie sie damit umgehen. Wenn die Mitarbeiter erkennen, wie die Kontrollen gemäß A.8.3 Kunden, Verträge und die Einhaltung gesetzlicher Bestimmungen schützen, sind sie eher bereit, diese zu unterstützen, anstatt sie zu umgehen.

Schließlich müssen die Nutzer verstehen, warum diese Einschränkungen existieren. Andernfalls könnten Ingenieure und Account Manager sie als Hindernis statt als Schutz empfinden. Effektive Kommunikation nutzt konkrete Beispiele: Wie ein einzelnes kompromittiertes Konto bei einem anderen Anbieter dazu führte, dass viele Kunden betroffen waren, und wie sich Ihr Modell davon unterscheidet.

Kurze, zielgerichtete Schulungen, die die auf A.8.3 basierenden Regeln mit alltäglichen Aufgaben verknüpfen – beispielsweise das Erstellen eines Tickets für zusätzliche Zugriffsrechte, die Nutzung von JIT-Tools und die Vermeidung der informellen Weitergabe von Zugangsdaten – leisten einen größeren Beitrag zur Abwehr lateraler Angriffe als lange, allgemeine Präsentationen. Werden diese Schulungen durch Bestätigungen der Richtlinien und einfache Abschlussmetriken dokumentiert, werden sie zudem Teil Ihrer Dokumentation und unterstützen die Argumentation in den Bereichen Sicherheit und Datenschutz.



ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.

Verwalten Sie Ihre gesamte Compliance an einem Ort

ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.

Buchen Sie Ihre Demo


Der Beweis: Nachweise, Kennzahlen und auditfähige Artefakte für A.8.3

Sie weisen die Anforderungen von A.8.3 im Kontext eines Managed Service Providers (MSP) nach, indem Sie kurzfristig darlegen können, wer auf welche Kundenressourcen zugreifen darf und wie diese Zugriffsrechte eingeschränkt, protokolliert und überprüft werden. Prüfer, Kunden und Aufsichtsbehörden erwarten zunehmend konkrete Nachweise anstelle mündlicher Zusicherungen. Daher sind ein sorgfältig zusammengestelltes Beweismaterial und einige wenige Kennzahlen unerlässlich, um die Wirksamkeit Ihrer Zugriffsbeschränkungen zu belegen. Die Kommentare von Fachleuten zu Anhang A.8.3 betonen die Bedeutung strukturierter Aufzeichnungen, Konfigurationsbeispiele und fortlaufender Nachweise über die Wirksamkeit der Kontrollen während Audits und unterstreichen damit die Notwendigkeit, mehr als nur informelle Erläuterungen (Gespräche zur Kontrollimplementierung) zu erbringen.

Die Kontrollmaßnahme A.8.3 verlangt nicht nur die Beschränkung des Zugriffs, sondern auch den Nachweis, dass diese Beschränkungen existieren und funktionieren. In Managed Service Providern (MSPs) fragen Auditoren und Kunden zunehmend: „Wer hat Zugriff auf unsere Systeme und Daten, wie wird dieser Zugriff beschränkt und welche Nachweise können Sie erbringen?“ Datenschutzbehörden stellen ähnliche Fragen zum Zugriff auf personenbezogene Daten. Leitlinien zu Drittanbieterrisiken und Cloud-Kontrollrahmen betonen die Notwendigkeit, überprüfbare Informationen zur Isolation und zum Zugriff auf Kundendaten in Shared Services bereitzustellen. Dies entspricht den Fragen, die Datenschutzbehörden und Kunden mittlerweile routinemäßig stellen (Cloud-Kontrollmatrizen). Die Erstellung eines strukturierten Nachweisdokuments und die Auswahl weniger Kennzahlen beschleunigen diese Gespräche und stärken die Sicherheit.

In der ISMS.online-Umfrage „State of Information Security 2025“ gaben fast alle Organisationen an, dass das Erreichen oder Aufrechterhalten von Sicherheitszertifizierungen wie ISO 27001 oder SOC 2 für sie oberste Priorität habe.

Das Ziel ist einfach: Sie sollten jederzeit nachweisen können, wie der Zugriff gemäß den Richtlinien eingeschränkt ist, wo mandantenübergreifende Berechtigungen bestehen und welche Maßnahmen Sie zur Überwachung und Überprüfung dieser Berechtigungen ergreifen. Diese Fähigkeit ist nicht nur eine Anforderung für Audits, sondern signalisiert auch, dass Sie Lieferketten- und Datenschutzrisiken ernst nehmen.

Ihre A.8.3-Story wirkt überzeugend, wenn Sie auf eine kleine, sorgfältig ausgewählte Sammlung von Artefakten zurückgreifen können, anstatt in verstreuten Dokumenten und Screenshots zu suchen. Genau hier macht eine ISMS-Plattform wie ISMS.online einen praktischen Unterschied, denn sie verknüpft Risiken, Kontrollen, Richtlinien und Nachweise an einem zentralen Ort.

Zusammenstellung Ihres A.8.3-Beweismaterials

Ein effektives A.8.3-Dokumentationspaket vereint prägnante Richtlinien, aktuelle Diagramme, Konfigurationsauszüge und Beispielprotokolle zu einem schlüssigen Gesamtbild. Wenn diese Dokumente mit klarer Verantwortlichkeit in Ihrem ISMS hinterlegt sind, können Sie die meisten Fragen von Audits oder Kunden ohne hektische Suche in letzter Minute beantworten.

Ein praktischer Beweissatz umfasst oft Folgendes:

  • Kopien der relevanten Richtlinien: Mandantenübergreifender Zugriff, Mandantenisolierung, Privileged Engineering und wie diese die Datenschutzverpflichtungen unterstützen.
  • Architektur- und Datenflussdiagramme, die Managementebenen, Netzwerksegmente und Mandantengrenzen aufzeigen.
  • Auszüge aus den Tool-Konfigurationen: Rollendefinitionen, Gruppenzugehörigkeiten, bedingte Zugriffsregeln, JIT-Einstellungen.
  • Beispiele von Protokollen, die privilegierte Sitzungen, mandantenbezogene Administratoraktionen und blockierte mandantenübergreifende Zugriffsversuche aufzeigen.
  • Aufzeichnungen über Zugriffsprüfungen, einschließlich Entscheidungen zur Einschränkung oder zum Entzug von Rechten.
  • Ergebnisse von Tests, die versuchen, die Grenzen von Mietern zu überschreiten, und zeigen, dass sie blockiert werden.

ISMS.online hilft Ihnen, diese Artefakte direkt der Kontrolle A.8.3 und den zugehörigen Risiken zuzuordnen, sodass Sie nicht mehr auf freigegebenen Laufwerken suchen müssen, wenn eine Prüfung ansteht. Außerdem können Sie so gezielt Nachweise mit Kunden oder Aufsichtsbehörden teilen, die eine Bestätigung wünschen, ohne ihnen mehr Informationen preiszugeben, als nötig.

Auswahl aussagekräftiger Kennzahlen

Kennzahlen wandeln Daten in kontinuierliche Erkenntnisse um und helfen Ihnen, Abweichungen zu erkennen, bevor sie zu einem Vorfall führen. Die richtigen Maßnahmen für A.8.3 konzentrieren sich auf die mandantenübergreifende Gefährdung, die Geschwindigkeit von Kontrolländerungen und die Häufigkeit erforderlicher Ausnahmen.

Für die Seitwärtsbewegung und A.8.3 sind folgende Maßnahmen hilfreich:

  • Anzahl der Benutzer- oder Servicekonten mit Zugriff auf mehr als eine Kundenumgebung.
  • Anteil der privilegierten Sitzungen, die JIT-Rechteerhöhung anstelle von ständigen Rechten nutzen.
  • Zeitspanne zwischen einem Rollenwechsel oder Ausscheiden und der Aufhebung des mieterübergreifenden Zugriffs.
  • Anzahl und Entwicklung der gestellten und genehmigten Ausnahmen für den mandantenübergreifenden Zugriff.
  • Häufigkeit und Ergebnis von Segmentierungs- und Zugriffstests.
  • Anteil der Kunden, die eine personalisierte Ansicht ihres eigenen A.8.3-Nachweispakets gesehen haben.

Diese Zahlen sind nicht nur für Wirtschaftsprüfer relevant. Sie ermöglichen es Führungskräften und Datenschutzbeauftragten, zu erkennen, ob sich Investitionen in Zugriffsbeschränkungen auszahlen und wo weiterer Handlungsbedarf besteht. Darüber hinaus unterstützen sie Vertriebs- und Kundenbetreuungsteams dabei, die Reife der Lieferkettensicherheit bei Kundenbesprechungen und Vertragsverlängerungen nachzuweisen.

Die Geschichte leicht erzählbar machen

Nachweise und Kennzahlen sind dann am wertvollsten, wenn sie eine einfache, konkrete Darstellung Ihrer Zugriffsverwaltung untermauern. Wenn Sie ein vollständiges Beispiel von der Anfrage bis zur Löschung erläutern können, zeigen Sie, dass A.8.3 in der Praxis Anwendung findet und nicht nur theoretisch ist.

Ein guter Test ist, ob Sie Folgendes zeigen können:

  • Ein namentlich genannter Techniker beantragt aus einem nachvollziehbaren Grund vorübergehenden Zugang zu einem anderen Mieter.
  • Der Antrag wird anhand definierter Arbeitsabläufe geprüft, genehmigt und umgesetzt.
  • Der Techniker nutzt den Zugriff innerhalb definierter Grenzen, wobei die Aktionen in Protokollen aufgezeichnet werden.
  • Die Berechtigung wurde fristgerecht entfernt, und die Änderung wird in Ihrer Überwachung und Ihren Überprüfungen angezeigt.

Wenn Sie diesen Ablauf anhand von Screenshots, Konfigurationsauszügen und Protokollen direkt aus Ihrem ISMS und Ihren Tools nacherzählen können, verliert A.8.3 seine abstrakte Wirkung und wird zu einem sichtbaren, lebendigen Kontrollinstrument. Je öfter Sie diesen Ablauf üben und verfeinern können, desto sicherer werden Ihre Teams bei realen Audits, Kundenanfragen oder behördlichen Inspektionen auftreten.



Buchen Sie noch heute eine Demo mit ISMS.online

ISMS.online bietet Ihnen eine praktische Möglichkeit, zu sehen, wie A.8.3- und Lateral-Movement-Kontrollen in einem einzigen ISMS konzipiert, verknüpft und dokumentiert werden können, anstatt sie über verschiedene Dokumente und Tools zu verteilen. Wenn Sie Ihr MSP-Zutrittskontrollmodell in einer Live-Plattform betrachten, können Sie leichter beurteilen, ob Sie den Gefahrenradius realistisch verringern, Audits vereinfachen und Ihre ISO-27001-Konformität verbessern können, ohne dabei Datenschutz- und Lieferkettenverpflichtungen zu vernachlässigen.

ISMS.online unterstützt Sie bei der praktischen Umsetzung von A.8.3 und der Kontrolle lateraler Bewegungen, indem es als zentrale Plattform dient, auf der Richtlinien, Risiken, Kontrollen, technische Designs und Nachweise zentral verwaltet werden. Wenn Sie mandantenübergreifende Zugriffsrichtlinien, Segmentierungsmuster und Workflows für privilegierte Zugriffe mit konkreten Artefakten in einem einzigen ISMS verknüpfen können, wird deren tägliche Verwaltung und die Erläuterung gegenüber Auditoren, Kunden und Datenschutzbehörden deutlich vereinfacht.

Was Sie in einer auf A.8.3 ausgerichteten ISMS.online-Demo sehen werden

Eine auf A.8.3 ausgerichtete ISMS.online-Demo ist besonders hilfreich, wenn sie veranschaulicht, wie Ihre realen Herausforderungen im Bereich der Zugriffskontrolle für Managed Service Provider (MSPs) dargestellt und bewältigt werden. Anstatt einer allgemeinen Funktionsübersicht werden Ihnen Risiken, Richtlinien, Kontrollen und Nachweise anhand einiger weniger, risikoreicher, mandantenübergreifender Szenarien präsentiert, die Ihrer Umgebung entsprechen.

Die ISMS.online-Studie „State of Information Security 2025“ zeigt, dass Kunden zunehmend erwarten, dass Lieferanten sich an formalen Rahmenwerken wie ISO 27001, ISO 27701, DSGVO oder SOC 2 orientieren, anstatt sich auf allgemeine Aussagen zu „Best Practices“ zu verlassen.

In einer kurzen, fokussierten Schulung können Sie ein praktisches Beispiel einer MSP-Zugriffskontrollarchitektur kennenlernen, sehen, wie sich A.8.3 in Ihre bestehenden Tools integrieren lässt, und erfahren, wie Sie praxisnahe Nachweise wie Diagramme, Screenshots und Protokolle einbinden. Außerdem können Sie einen stufenweisen Implementierungsplan besprechen, der mit einem kritischen Bereich – beispielsweise Ihrer primären RMM- oder Backup-Plattform – beginnt und sich dann auf Ihr gesamtes Serviceportfolio ausweitet, ohne Ihre Teams zu überlasten.

Wie man sich auf eine nützliche Sitzung vorbereitet

Sie profitieren am meisten von einer Demo, wenn Sie mit einem klaren Überblick über Ihre aktuellen Herausforderungen und Prioritäten im Bereich der Zutrittskontrolle erscheinen. Mit etwas Vorbereitung lässt sich leichter feststellen, ob ISMS.online zu Ihrem Managed Service Provider (MSP) und Ihren ISO 27001-Anforderungen passt.

Diese Vorbereitung lässt sich in wenige einfache Schritte unterteilen.

Schritt 1 – Listen Sie Ihre gemeinsam genutzten Tools mit dem höchsten Risiko auf.

Ermitteln Sie, welche RMM-, Backup-, Identitäts- oder Überwachungsplattformen heute das größte mandantenübergreifende Risiko darstellen, und notieren Sie alle kürzlich aufgetretenen Vorfälle oder Beinahe-Unfälle.

Schritt 2 – Anstehende Prüfungen und Überprüfungen notieren

Tragen Sie die ISO 27001-Audits, Kundenbewertungen oder behördlichen Termine in Ihren Kalender ein, damit Sie besprechen können, wie die Plattform den Vorbereitungsaufwand reduzieren könnte.

Schritt 3 – Sammeln Sie ein oder zwei knifflige Beweisbeispiele

Nennen Sie einige aktuelle Fälle, in denen es schwierig war, Beweise für Fragen im Zusammenhang mit A.8.3 zusammenzutragen, wie zum Beispiel, wer welche Mieter erreichen kann und warum.

Von dort aus lassen sich die Fragen von Kunden und Auditoren deutlich leichter beantworten: Wer hat Zugriff auf welche Daten, wie wird dieser Zugriff eingeschränkt und wie wird die dauerhafte Einschränkung sichergestellt? Wenn Sie die Auswirkungen von Sicherheitslücken minimieren, die Ausbreitung von Daten zwischen Mandanten verhindern und gleichzeitig Ihre ISO 27001- und Datenschutzstandards stärken möchten, ist es ein logischer nächster Schritt, zu sehen, wie ISMS.online A.8.3 in einer Live-Umgebung unterstützt. Eine Demo ist eine effiziente Möglichkeit, dies nach Ihrem Zeitplan zu tun.

Kontakt


Häufig gestellte Fragen (FAQ)

Wie sollte ein Managed Service Provider (MSP) ISO 27001:2022 A.8.3 in einer Multi-Tenant-Umgebung interpretieren?

Für einen Managed Service Provider bedeutet A.8.3, dass Sie Sie wissen und kontrollieren genau, wer auf welchem ​​Weg und unter welchen Bedingungen auf welche Kundendaten zugreifen kann – und können dies auf Verlangen nachweisen. Es umfasst Ihre internen Plattformen, jeden Kundenmandanten sowie die gemeinsam genutzten Tools und Netzwerke, die diese verbinden. Eine kurze Klausel zum Prinzip der minimalen Berechtigungen in einer Richtlinie genügt einem seriösen Prüfer nicht; Ihre Identitätsarchitektur, Ihre Verwaltungspfade und -konsolen müssen diese Grenzen tatsächlich durchsetzen, und es muss nachgewiesen werden, dass Sie sie regelmäßig überprüfen und anpassen.

Welche MSP-Assets fallen in der Praxis unter A.8.3?

Im Managed-Service-Modell umfasst der Begriff „Informationen und zugehörige Assets“ weit mehr als nur Dokumente oder Tickets. Folgende Elemente sollten Sie als relevant betrachten:

  • Zentrale Identitätsspeicher, privilegierte Gruppen und Servicekonten
  • RMM-Agenten, Sicherheitstool-Konsolen und Orchestrierungspipelines
  • Backup-Plattformen, Tresore, Wiederherstellungsaufträge und Runbooks
  • Überwachungssysteme, Protokollströme und Automatisierungs-Workflows
  • Jump-Hosts, Bastion-Dienste und Management-Subnetze

Sobald Sie diese als Informationsressourcen erkannt haben, zwingt Sie A.8.3 dazu, drei konkrete Fragen für jeden Kunden und jede wertvolle Komponente zu beantworten:

  1. Wer kann es derzeit bedienen? Verwenden Sie spezifische Rollen und Konten, nicht „das Entwicklerteam“.
  2. Über welche Zugangspunkte? Identitätsanbieter, VPNs, Managementnetzwerke, Cloud-Konsolen, APIs.
  3. Was begrenzt ihre Ausbreitung? Mieterdefinition, Segmentierung, bedarfsgerechte Erhöhung, Überwachung und Benachrichtigungen.

Eine ISMS-Plattform wie ISMS.online hilft Ihnen dabei, diese Antworten einmalig zu erfassen, sie direkt mit A.8.3 zu verknüpfen und sie im Zuge der Weiterentwicklung Ihrer Services auf dem neuesten Stand zu halten.

Wie lässt sich feststellen, ob Ihr aktuelles A.8.3-Geschoss einer genauen Prüfung standhält?

Ein einfacher Test besteht darin, einen sensiblen Mieter auszuwählen und sich selbst zu fragen:

  • „Wer kann sich heute namentlich oder in seiner Funktion mit effektiver Kontrolle anmelden?“
  • „Wie weit könnten sich diese Identitäten seitlich verschieben, wenn sie kompromittiert würden?“
  • „Welche schriftlichen Entscheidungen begründen, warum diese Reichweite akzeptabel ist, und wo sind diese Entscheidungen dokumentiert?“

Können Sie nicht innerhalb weniger Minuten eine klare und konsistente Antwort liefern – untermauert durch Diagramme, Rollendefinitionen und Änderungsdokumentationen –, ist Ihre A.8.3-Implementierung nicht für anspruchsvolle Kunden oder Auditoren geeignet. Genau hier spielt ein integriertes ISMS seine Stärken aus, denn es bietet Ihnen eine zentrale Plattform, um Designabsichten, Konfigurations-Snapshots und laufende Überprüfungen zusammenzuführen.

Wie genau reduziert A.8.3 das mandantenübergreifende Risiko für einen Managed Service Provider (MSP)?

A.8.3 verringert die Wahrscheinlichkeit, dass ein einzelner Fehler oder eine Kompromisslösung zu einem Vorfall mit mehreren Kunden führt, indem es Sie dazu drängt, Behandeln Sie jeden Mandanten als Sicherheitsdomäne mit bewusst definierten Grenzen. Anstatt davon auszugehen, dass „interne Netzwerke“ vertrauenswürdig sind oder dass sich „leitende Ingenieure“ immer perfekt verhalten, konzipiert man für kleine Auswirkungen: eng gefasste Rollen, segmentierte Managementebenen und minimale Berechtigungsstufen.

Wenn diese Muster vorhanden sind, sollte ein kompromittiertes Konto oder ein kompromittierter Agent nur in der Lage sein, auf eine definierte Teilmenge von Umgebungen zuzugreifen, und jeder Versuch, in andere Umgebungen einzudringen, sollte sichtbare, protokollierte Kontrollen auslösen.

Wie lassen sich laterale Bewegungspfade so kartieren, dass sie tatsächliche Veränderungen bewirken?

Umfangreiche Kontrolltabellen ändern selten etwas an der Art und Weise, wie Ingenieure Systeme entwerfen und betreiben. Eine schlanke Pfadplanung ist effektiver:

  • Skizzieren Sie Ihre zentralen Identitätsplattformen, Schlüsselgruppen und Hochrisikorollen.
  • Gemeinsam genutzte Tools (RMM, Backups, Monitoring, Sicherheitsplattformen) und Kundenmandanten hinzufügen
  • Überlagern Sie die Managementnetzwerke, VPNs und Jump-Hosts, die sie verbinden.
  • Fragen Sie sich: „Wenn dieses Konto oder Subnetz ausfällt, welche Mandanten könnten heute betroffen sein?“

Diese Visualisierung deckt üblicherweise Abkürzungen auf, deren Genehmigung niemand mehr in Erinnerung hat: globale Administratorrollen, universelle VPN-Profile oder Managementnetzwerke mit nahezu universeller Reichweite. Sie können dann A.8.3 als Grundlage nutzen, um diese Abkürzungen zu entfernen oder einzuschränken und die Gründe dafür in Ihrem ISMS zu dokumentieren, damit diese Entscheidungen auch bei Personalwechseln Bestand haben.

Wie behält man diese Sichtweise auf Angriffspfade auch im Wachstumsprozess sinnvoll bei?

Deine Angriffsfläche verändert sich jedes Mal, wenn du:

  • Fügen Sie eine neue gemeinsame Plattform oder Integration hinzu.
  • Ändern Sie Ihre Managementnetzwerktopologie
  • Gewinnung eines Großmieters mit speziellen Anschlussmöglichkeiten
  • Eine privilegierte Rolle erstellen oder deaktivieren

Am einfachsten lässt sich der Überblick behalten, indem man die Angriffspfadkarte als kontrollierte Dokumentation behandelt:

  • Verknüpfen Sie Aktualisierungen mit Ihrem Änderungsmanagement-Workflow („Erschließt dies neue Reichweite?“).
  • Überarbeitete Diagramme, Risikohinweise und Genehmigungen sind gemäß A.8.3 in Ihrem ISMS zu erfassen.
  • Planen Sie eine gezielte Überprüfung ein, wenn Sie bestimmte Schwellenwerte überschreiten (z. B. alle 25 neuen Mandanten oder nach jeder größeren Tool-Einführung).

Mit dieser Disziplin können Sie Prüfern und Kunden zeigen, dass Ihre Sicht auf mandantenübergreifende Risiken kein einmaliges Workshop-Ergebnis ist, sondern ein lebendiger Bestandteil Ihres Informationssicherheitsmanagementsystems.

Welche technischen Kontrollen verleihen einem MSP die glaubwürdigste Position gemäß A.8.3?

Aus der Sicht eines Wirtschaftsprüfers basieren die stärksten A.8.3-Implementierungen auf Mandantenorientierte, identitätszentrierte Kontrollmechanismen, die Sie live demonstrieren können, nicht nur in einer Richtlinie erwähnen. In den meisten Multi-Tenant-Umgebungen bedeutet das:

  • Mandantenbezogene RBAC: Rollen und Gruppen, die einzelnen Mietern oder expliziten Clustern zugeordnet sind, anstatt umfassenden „globalen Administratorrechten“.
  • Verhärtete Identitäten und MFA: Starke Authentifizierung, insbesondere für privilegierte und mandantenübergreifende Rollen, mit minimaler Anzahl gemeinsam genutzter Konten.
  • Segmentierte Managementpfade: Managementnetzwerke, VPN-Profile und Jump-Dienste, die auf bestimmte Mandanten oder Regionen beschränkt sind.
  • Just-in-time-Erhöhung: Privilegierte Rechte, die für bestimmte Aufgaben und kurze Zeiträume gewährt werden und durch Genehmigungen und Protokolle abgesichert sind.
  • Mandantenspezifische Konstrukte in gemeinsam genutzten Tools: Durch die Verwendung von Projekten, Abonnements, Ordnern oder Verwaltungsgruppen lassen sich Mandantengrenzen innerhalb Ihrer Plattformen abbilden.

Diese Kontrollmechanismen erfüllen zwei Funktionen: Sie begrenzen die Ausbreitung eines einzelnen Fehlers und erzeugen Screenshots, Konfigurationsexporte und Protokolleinträge, die Sie mit externen Gutachtern durchgehen können.

Wie lässt sich eine starke Isolation mit dem Bedarf an effizienten zentralen Abläufen in Einklang bringen?

Das Ziel ist kontrollierte Zentralisierung anstatt entweder einer flachen „Alles-durch-eine-Glasscheibe“-Lösung oder Dutzenden unübersichtlicher Insellösungen. In der Praxis könnte das folgendermaßen aussehen:

  • Eine zentrale Konsole, die alle Mandanten auflistet, wobei jede Administratorsitzung durch Rollenbereiche auf definierte Teilmengen beschränkt ist.
  • Managementnetzwerke sind systembedingt auf vereinbarte Pfade beschränkt, die durch Firewall-Richtlinien und Routing durchgesetzt werden.
  • Eine kleine Anzahl gehärteter, überwachter Jump-Services pro Region, die jeweils an eine bestimmte Gruppe von Kundenumgebungen gebunden sind.

Wenn Sie diese Muster einmalig in einer ISMS-Musterbibliothek dokumentieren – einschließlich Diagrammen, Beispielkonfigurationen und A.8.3-Zuordnungen – können Sie sie bei jeder Expansion in eine neue Region oder einen neuen Geschäftsbereich wiederverwenden. Dadurch bleiben sowohl die Verwaltbarkeit als auch die Trennung erhalten.

Wo ist der beste Ausgangspunkt, wenn Ihr aktuelles Design noch flach ist?

Wenn Sie nicht alles auf einmal neu gestalten können, konzentrieren Sie sich zunächst auf die Komponenten mit den größten Auswirkungen:

  1. Zentralkonsolen und Identitätsspeicher das viele Mieter verwalten kann
  2. Privilegierte Rollen und Gruppen die sich über große Teile Ihres Anwesens erstreckten
  3. Managementnetzwerke und VPN-Profile mit maximaler Reichweite

Beschränken Sie globale Rollen auf definierte Rollen, verstärken Sie die Multi-Faktor-Authentifizierung (MFA) und den bedingten Zugriff für privilegierte Identitäten und entfernen Sie unnötige Routen aus wichtigen Managementprozessen. Sobald diese Grundlagen geschaffen sind, wenden Sie dieselben Prinzipien auch auf sekundäre Plattformen wie Backup und Monitoring an, um Ihre A.8.3-Architektur insgesamt schrittweise zu stärken.

Warum sind RBAC, Segmentierung und Just-in-Time-Zugriff so zentral für A.8.3?

Diese drei Elemente geben Ihnen die Kontrolle über WER kann überall dort eingesetzt werden, wovon und für wie lange – was genau das ist, was A.8.3 von Ihnen erwartet. Zusammen bilden sie eine mehrschichtige Verteidigung:

  • Rollenbasierte Zugriffskontrolle definiert welche Mieter oder Vermögensgruppen jede Identität kann verwalten
  • Netzwerk- und Plattformsegmentierung beschränkt die Routen diese Identitäten können verwendet werden
  • Just-in-Time-Zugriff gewährleistet, dass weitreichende Berechtigungen nur für klar abgegrenzte Aufgaben und Zeitfenster gelten.

In diesem Modell könnte ein kompromittiertes Technikerkonto zwar immer noch Schaden anrichten, aber:

  • Es sieht nur eine Teilmenge der Mieter oder Systeme.
  • Die üblichen Wege beschränken sich auf das, was diese Mieter tatsächlich benötigen.
  • Erhöhte Rechte sind sichtbare, zeitlich begrenzte Ereignisse und kein dauerhafter Zustand.

Das ist eine überzeugende Geschichte, die man in eine Prüfung oder Kundenbefragung einbringen kann, und sie verringert direkt die Wahrscheinlichkeit und die Auswirkungen von Vorfällen zwischen Mietern.

Wie lassen sich diese Steuerungselemente einführen, ohne die Reaktionsfähigkeit des Supports zu beeinträchtigen?

Der sicherste Weg ist, von Anfang an zu entwerfen reale Einsatzszenarien statt abstrakter Steuerungsframeworks. Für einige gängige Arbeitsabläufe – wie die Einbindung eines neuen Mandanten, die Bewältigung eines größeren Ausfalls oder die Durchführung geplanter Wartungsarbeiten – sollten Sie Folgendes erfassen:

  • Welche Mieter und Umgebungen sind realistischerweise beteiligt?
  • Welche Tools, Protokolle und Konsolen werden tatsächlich benötigt?
  • Welches Maß an Privilegien für jeden Schritt erforderlich ist und wie lange diese erforderlich sind

Verwenden Sie das, um Folgendes zu definieren:

  • Eine kleine Anzahl von Standardrollen, die an diese Muster gebunden sind.
  • Just-in-time-Hochwasserabflüsse für die begrenzten Fälle, in denen Notfallrechte unerlässlich sind
  • Netzwerk- und Verbindungspfade sind auf diese Anwendungsfälle abgestimmt, alle anderen Verbindungen sind standardmäßig geschlossen.

Testen Sie diese Maßnahmen zunächst auf einer Plattform oder in einer Region, verfolgen Sie die Ticketkennzahlen und bitten Sie die Entwickler um direktes Feedback. Wenn Sie nachweisen können, dass die Bearbeitungszeiten von Vorfällen akzeptabel bleiben, während das Risiko deutlich sinkt, lässt sich der Ansatz wesentlich leichter und ohne Widerstand ausweiten.

Wie gelingt es, Ingenieure und Betriebspersonal in ein strengeres Modell zu integrieren?

Ingenieure sind eher bereit, Veränderungen zu unterstützen, wenn sie erkennen, wie neue Kontrollmechanismen sie persönlich schützen und schwierige Gespräche vereinfachen. Drei Punkte sollten explizit genannt werden:

  • Eng gefasste Rollen und kurze Zugriffsfenster verringern die Wahrscheinlichkeit, dass ein Angreifer ihr Konto für einen aufsehenerregenden Sicherheitsvorfall missbrauchen kann.
  • Klare Abläufe und Genehmigungen reduzieren die Verwirrung um die Frage „Wer hat Ja gesagt?“ während und nach Vorfällen.
  • Nachweisbare Zugriffsdisziplin führt zu kürzeren und weniger konfrontativen Sicherheitsgesprächen mit Kunden.

Untermauern Sie diese Aussagen mit konkreten Beispielen aus Ihrer eigenen Umgebung oder veröffentlichten Vorfallsberichten sowie mit kurzen, zielgerichteten Schulungen. Wenn Ingenieure innerhalb Ihres ISMS sehen können, wie ihre Zugriffsanfragen, Genehmigungen und Prüfungen gemäß A.8.3 und den damit verbundenen Risiken erfasst werden, betrachten sie das System eher als Sicherheitsnetz denn als bürokratische Hürde.

Welche alltäglichen Prozesse haben den größten Einfluss auf A.8.3 für einen Managed Service Provider (MSP)?

Kontrollen auf Papier spielen eine weitaus geringere Rolle als die Routinen, die dafür sorgen, dass der Zugriff mit der Realität in Einklang steht. Für die meisten Managed Service Provider sind die Prozesse, die die Ergebnisse von A.8.3 am stärksten beeinflussen, folgende:

  • Joiner–Mover–Leaver Handling: Um sicherzustellen, dass neue Mitarbeiter nur das erhalten, was sie wirklich benötigen, umziehende Mitarbeiter Zugangspunkte verlieren, die nicht mehr passen, und ausscheidende Mitarbeiter vollständig von gemeinsam genutzten Konsolen und Mietern entfernt werden.
  • Strukturierte Zugriffsanfragen: Standardisierte Formulare, eindeutige Eigentümer, Genehmigungen und Ablaufdaten für neue oder erweiterte Zufahrten, insbesondere wenn diese mehrere Mieter betreffen.
  • Ausnahmebehandlung: Ein festgelegtes Verfahren zur Gewährung außergewöhnlicher Reichweite, mit Begründung, zeitlichen Beschränkungen und Nachkontrollen.
  • Änderungsmanagement: Die Frage „Wer profitiert von dieser Veränderung?“ sollte bei der Konzeption und Implementierung unbedingt berücksichtigt werden.
  • Kurzes, szenariobasiertes Training: Die Erklärung, „warum dies wichtig ist“, erfolgt anhand von Vorfällen und Beinaheunfällen aus MSP-Umgebungen, nicht anhand allgemeiner Rechtsprechung.

Wenn diese Prozesse zuverlässig ablaufen, ist es deutlich wahrscheinlicher, dass Ihre technischen Kontrollen und dokumentierten Konstruktionsentscheidungen korrekt bleiben. Gutachter werden oft genauso viel Zeit darauf verwenden, wie Sie diese Abläufe durchführen, wie auf die zugrunde liegende Technologie.

Welche Prozessänderungen reduzieren die Exposition gegenüber seitlichen Bewegungen in der Regel am schnellsten?

Zwei Bereiche bieten tendenziell überdurchschnittliche Vorteile ohne größere Werkzeugänderungen:

  1. Verschärfung des Ausnahmemanagements: Ersetzen Sie informelle, „geliehene“ Administratorkonten oder generische VPN-Zugangsdaten durch einen einfachen, nachvollziehbaren Ausnahmeprozess. Jede spezielle Zugriffsanfrage hat einen benannten Verantwortlichen, einen definierten Geltungsbereich und eine automatische Gültigkeitsdauer. Informelle Abkürzungen werden dadurch sichtbar und deutlich unattraktiver.
  2. Beschleunigung der Entversorgung: Stellen Sie sicher, dass der Zugriff für ausscheidende Mitarbeiter und Rollenwechsler innerhalb von Stunden, nicht Wochen, eingeschränkt wird. Alte Konten und vergessene Gruppenmitgliedschaften sind ein beliebtes Einfallstor für Angreifer, gerade weil sich niemand dafür verantwortlich fühlt.

Dokumentieren Sie beide Prozesse klar in Ihrem ISMS, verknüpfen Sie sie mit A.8.3 und den zugehörigen Risiken und bewahren Sie Nachweise (Tickets, Genehmigungen, Protokolle) in der Nähe dieser Einträge auf. So können Sie nachweisen, dass risikoreiche Abkürzungen aktiv eingeschränkt und nicht toleriert werden.

Wie kann man Verfahrensweisen so gestalten, dass sie auch unter Druck befolgt werden?

Gut durchdachte Verfahren wirken wie eine Hilfe, nicht wie ein Hindernis. Anzeichen dafür, dass Ihre A.8.3-relevanten Prozesse nutzbar sind, sind unter anderem:

  • Sie sind in den Tools integriert, die Ihre Teams bereits täglich nutzen – Ihrer Ticketing-Plattform, Ihrem Identitätsportal und Ihrem HR-System.
  • Die meisten Daten sind vorausgefüllt oder abgeleitet; Menschen treffen Entscheidungen, anstatt Informationen erneut einzugeben.
  • Die Formulare sind kurz und eindeutig in Bezug auf Standardwerte, Gültigkeitsbereich und Ablaufdatum.
  • Die Vorteile liegen auf der Hand: weniger Zeitaufwand für die Rekonstruktion historischer Zugriffsentscheidungen vor Audits oder Kundenbefragungen.

Ein ISMS kann als Rückgrat fungieren, das diese Verfahren, zugewiesenen Verantwortlichkeiten und Nachweise miteinander verbindet. Wenn es als zentrale Anlaufstelle dient, die panische Beweissuche bei jedem Fragebogen oder Audit vermeidet, verbessert sich die Einhaltung der Vorgaben ohne großen Druck.

Wie kann ein Managed Service Provider (MSP) gegenüber Wirtschaftsprüfern und anspruchsvollen Kunden überzeugende Nachweise gemäß Abschnitt A.8.3 vorlegen?

Überzeugende Beweise für A.8.3-Gewebe Risikoverständnis, Designentscheidungen, Implementierungsdetails und Betriebsnachweis in einer einzigen Etage. Für einen Managed Service Provider kombiniert ein kompaktes, aber glaubwürdiges Beweismaterial üblicherweise Folgendes:

  • Risikobewertungen: mit Fokus auf mieterübergreifenden Zugriff, Mieterisolierung und privilegierte Engineering-Aktivitäten
  • Aktuelle Diagramme: von Managementebenen, Identitätsflüssen, Konnektivität und Mietergrenzen
  • Konfigurationsausschnitte: zeigt, wie RBAC, bedingter Zugriff und Segmentierung in wichtigen Plattformen implementiert werden.
  • Beispielhafte Protokolle: für privilegierte Sitzungen, blockierte Versuche und entsprechende Warnmeldungen
  • Zugriff auf Prüfberichte und Testergebnisse: zur Segmentierung und Trennung, einschließlich aller Abhilfemaßnahmen

Sie müssen nicht jede einzelne Ihrer jemals erstellten Logzeilen angeben. Wichtig ist, dass jeder Punkt im Paket klar mit den von Ihnen identifizierten Risiken und den Kontrollzielen gemäß A.8.3 verknüpft ist, deren Erfüllung Sie angeben.

Wie verändert ein ISMS den Aufwand für den Aufbau und die Pflege dieser Nachweise?

Ohne ein ISMS sind die Nachweise gemäß A.8.3 häufig über persönliche Ordner, E-Mail-Verläufe, Wikis und individuelles Wissen verstreut. Jede neue Prüfung oder jeder Sicherheitsfragebogen erfordert eine manuelle Suche, und die Sachlage ändert sich jedes Mal ein wenig.

Mit einem strukturierten ISMS wie ISMS.online können Sie:

  • Ordnen Sie A.8.3 direkt den Risiken zu, die es in Ihrem MSP-Modell mindert.
  • Ordnen Sie Richtlinien, Diagramme, Testergebnisse und Konfigurationsaufzeichnungen einmalig diesem Steuerelement zu und aktualisieren Sie diese anschließend nach einem Zeitplan.
  • Überprüfung des Zugriffs auf Datensätze, Ausnahmeentscheidungen und Korrekturmaßnahmen für dieselben Einträge
  • Erstellen Sie konsistente, rollenspezifische Darstellungen für Kunden, Prüfer und die interne Führungsebene, ohne die Erklärung neu zu erfinden.

Für Sie und Ihr Team bedeutet das weniger Stress bei externen Prüfungen. Ihren Kunden und Gutachtern signalisiert es, dass Sie die Zugriffskontrolle für Multi-Tenant-Dienste als Kernkompetenz betrachten und nicht als etwas, das Sie erst in letzter Minute vorbereiten.

Wie können Sie sich jetzt auf schwierigere Fragen von Kunden und Aufsichtsbehörden zu A.8.3 vorbereiten?

Rechnen Sie in den nächsten Jahren mit verstärkten Fragen zur Mieterisolation und zum mieterübergreifenden Risiko, insbesondere wenn Sie in regulierten Branchen tätig sind oder größere Kunden betreuen. Sie können dieser Entwicklung zuvorkommen, indem Sie:

  • Die Umgebung sollte anhand von Standardisolationsmustern und engen Explosionsradien gestaltet und diese Muster klar erfasst werden.
  • Diese Bewegungsmuster regelmäßig überprüfen – beispielsweise durch kontrollierte seitliche Bewegungen zwischen Mietern – und die Ergebnisse dokumentieren.
  • Organisieren Sie Ihre A.8.3-Nachweise so, dass sie für Ausschreibungen, Sicherheitsfragebögen und Audits wiederverwendet werden können, anstatt sie jedes Mal neu erstellen zu müssen.
  • Überprüfen Sie Ihre aktuelle Darstellung kritisch: Jedes Zögern bei der Beantwortung der Frage „Was hindert einen Techniker an Standort X daran, Mieter in Region Y zu erreichen?“ sollte Anlass für Überarbeitungen in Planung und Dokumentation sein.

Investieren Sie jetzt in diese Klarheit – und verankern Sie sie in einem lebendigen ISMS statt in unstrukturierten Dateien –, wird jedes zukünftige Gespräch mit Kunden oder Aufsichtsbehörden zu A.8.3 zu einer Gelegenheit, Reife zu demonstrieren, anstatt sich zu verteidigen. Langfristig kann dies in einem hart umkämpften MSP-Markt zu einem entscheidenden Wettbewerbsvorteil werden, insbesondere wenn größere Abnehmer entscheiden müssen, wem sie ihre IT-Umgebungen anvertrauen.

Mark Sharron

Mark Sharron leitet die Strategie für Suche und generative KI bei ISMS.online. Sein Schwerpunkt liegt auf der Vermittlung der praktischen Umsetzung von ISO 27001, ISO 42001 und SOC 2 – der Verknüpfung von Risiken mit Kontrollen, Richtlinien und Nachweisen mit auditfähiger Rückverfolgbarkeit. Mark arbeitet mit Produkt- und Kundenteams zusammen, um diese Logik in Arbeitsabläufe und Webinhalte zu integrieren und Unternehmen dabei zu helfen, Sicherheit, Datenschutz und KI-Governance sicher zu verstehen und nachzuweisen.

Twitter

Machen Sie eine virtuelle Tour

Starten Sie jetzt Ihre kostenlose 2-minütige interaktive Demo und sehen Sie
ISMS.online im Einsatz!

Probieren Sie es jetzt
Plattform-Dashboard voll auf Mint

Wir sind führend auf unserem Gebiet

4 / 5 Sterne
Benutzer lieben uns
Leiter – Winter 2026
Regionalleiter – Winter 2026 (Großbritannien)
Regionalleiter – Winter 2026 EU
Regionalleiter – Winter 2026, Mittelstand EU
Regionalleiter – Winter 2026 EMEA
Regionalleiter – Winter 2026, Mittelstand EMEA

„ISMS.Online, herausragendes Tool zur Einhaltung gesetzlicher Vorschriften“

— Jim M.

„Macht externe Audits zum Kinderspiel und verknüpft alle Aspekte Ihres ISMS nahtlos miteinander“

— Karen C.

„Innovative Lösung zur Verwaltung von ISO- und anderen Akkreditierungen“

— Ben H.