Fernwartungszugänge absichern: Wie Sysadmins Drittanbieter-Zugriffe mit Zero Trust und Entra ID unter Kontrolle bringen

Wer seinen Fernwartungszugang absichern will, muss nicht lange nach einem Warnbeispiel suchen: Ein kompromittierter Kühlsystem-Dienstleister brachte Anfang November die Kühlkammern des französischen Blutspendedienstes EFS durcheinander. Angreifer nutzten eine Schwachstelle in der Fernwartungssoftware von Coolworld Rentals aus und erhöhten Temperatur- sowie Abtaueinstellungen in drei Lagerstätten, Blutprodukte waren akut gefährdet. Genau dieser Vorfall zeigt, warum Drittanbieter-Zugänge zur echten Schwachstelle werden.

Das brauchst du:

• Microsoft Entra ID P1 oder P2 für Conditional Access, externe Identitäten und Gastkonten
• Entra ID Governance oder Entra ID P2 für Privileged Identity Management (PIM)
• Rolle Privileged Role Administrator oder Globaler Administrator zum Einrichten von PIM und Zugriffspaketen
• Microsoft Defender for IoT, falls OT- oder IoT-Systeme überwacht werden sollen
• Ein aktuelles Verzeichnis aller aktiven VPN-, Gast- und Remote-Tool-Zugänge von Dienstleistern

Was ist beim Kühlsystem-Dienstleister in Frankreich passiert?

Laut Berichten von BleepingComputer nutzten die Angreifer eine Schwachstelle in einer Drittanbieter-Komponente der Fernwartungssoftware von Coolworld Rentals aus. Dadurch stiegen Temperatur- und Abtauschwellen in Kühlkammern, die Blutprodukte und biologische Proben lagern. Die Monitoring-Systeme des EFS schlugen rechtzeitig Alarm, Mitarbeiter konnten Produkte umlagern, ein Gesundheitsschaden blieb aus.

Der Vorfall reiht sich in eine Serie ähnlicher Angriffe ein: Im Oktober legten Angreifer über verwundbare Danfoss-Kühlsteuerungen die Kühlsysteme von 250 bis 350 französischen Supermärkten lahm, darunter Carrefour Market und Leclerc. Im November folgte eine zweite Welle mit über 115 betroffenen Märkten in Belgien, den Niederlanden, Schweden, Luxemburg, Irland und Estland. In allen Fällen war nicht das Opfer selbst, sondern ein externer Technik-Dienstleister der Ausgangspunkt.

Warum musst du jeden Fernwartungszugang absichern?

OT- und IT-Netze wachsen zusammen, gleichzeitig bekommen immer mehr externe Firmen Zugriff auf Kühlanlagen, Maschinensteuerungen oder Serverräume. Diese Zugänge werden selten so streng kontrolliert wie interne Admin-Konten, obwohl sie oft weitreichende Rechte besitzen. Genau deshalb musst du jeden Fernwartungszugang absichern, bevor der erste Techniker sich einwählt – nicht erst, nachdem etwas passiert ist.

Lieferketten-Angriffe funktionieren genau über diesen blinden Fleck: Der Dienstleister ist das schwächere Glied, über das Angreifer in dein Netz gelangen, ohne dich direkt angreifen zu müssen. Wie das in der Praxis aussieht, zeigt auch der Cyberangriff auf Eichstätt, bei dem externe Abhängigkeiten eine zentrale Rolle spielten.

Welche Fehlerbilder tauchen bei Drittanbieter-Zugängen am häufigsten auf?

Die folgenden Symptome begegnen dir in fast jeder gewachsenen Umgebung. Jedes davon zeigt eine konkrete Lücke – und einen Weg, wie du den Fernwartungszugang absichern kannst, bevor er zum echten Problem wird.

Symptom: Der VPN-Zugang des Dienstleisters läuft seit Jahren unverändert

Ursache: Beim Projektstart wurde ein VPN-Konto angelegt, danach hat niemand mehr geprüft, ob der Zugang noch gebraucht wird. Zugangsdaten bleiben aktiv, selbst wenn der Vertrag längst ausgelaufen ist.

Lösung: Mit Just-in-Time-Zugriffen über Privileged Identity Management lässt sich der Fernwartungszugang absichern, ohne dass er dauerhaft offen bleibt. Lege stattdessen Gastkonten mit festem Ablaufdatum in Entra ID an und verlängere sie nur nach expliziter Freigabe.

Symptom: Mehrere Techniker teilen sich ein gemeinsames Konto

Ursache: Der Dienstleister spart sich Lizenzkosten oder Verwaltungsaufwand, indem alle Mitarbeiter dieselben Zugangsdaten nutzen. Im Ernstfall lässt sich nicht nachvollziehen, wer wann was gemacht hat.

Lösung: Richte individuelle Entra-ID-Gastkonten pro Person ein und erzwinge Multi-Faktor-Authentifizierung per Conditional-Access-Policy. Nur so bleibt jede Sitzung einer echten Identität zuordenbar, auch bei Drittanbietern.

Symptom: Der Dienstleister gelangt direkt ins OT-Netz

Ursache: IT- und OT-Netze sind nicht sauber getrennt, der Fernwartungszugang für die Kühlanlage führt über denselben Pfad wie der Zugriff auf Fileserver und Mailsysteme. Genau dieses Muster nutzten die Angreifer beim EFS-Vorfall aus.

Lösung: Nur mit Netzwerksegmentierung lässt sich der Fernwartungszugang absichern, auch wenn er technisch in Richtung OT führt. Microsoft Defender for IoT überwacht den Datenverkehr in diesen Segmenten und meldet ungewöhnliche Verbindungen, bevor Schaden entsteht.

Symptom: Niemand bemerkt nächtliche Änderungen durch den Dienstleister

Ursache: Sign-in-Protokolle werden nicht ausgewertet, Alarme existieren nicht oder landen ungelesen im Postfach. Anomale Anmeldezeiten oder ungewöhnliche Standorte fallen so nie auf.

Lösung: Prüfe regelmäßig die Sign-in-Logs in Entra ID und nutze Conditional Access Insights, um Muster bei externen Konten zu erkennen. Wie Angreifer angemeldete Sitzungen missbrauchen, erklärt der Artikel zu Session-Token-Diebstahl in Entra ID im Detail.

Symptom: Der Dienstleister besitzt mehr Rechte als für die Aufgabe nötig

Ursache: Aus Bequemlichkeit bekommt der externe Partner eine breite Admin-Rolle statt eng zugeschnittener Berechtigungen – oft dieselbe, die auch interne Admins nutzen. Least Privilege ist der Kern, wenn du den Fernwartungszugang absichern willst: Jede Rolle sollte exakt auf die Aufgabe zugeschnitten sein. Wie sich überzogene Rechte in Active Directory erkennen und einschränken lassen, beschreibt der Beitrag zur AD-Härtung gegen Angriffe.

Lösung: Setze Just-Enough-Access über rollenbasierte PIM-Zuweisungen um und genehmige kritische Aktionen manuell statt dauerhaft.

Wie unterscheidet sich klassische Fernwartung von einem Zero-Trust-Setup?

Wie setzt du das mit Microsoft-Bordmitteln um?

Mit Entra ID, Conditional Access und PIM kannst du den Fernwartungszugang absichern, ohne zusätzliche Tools kaufen zu müssen. Lege externe Mitarbeiter als Gastkonten im Entra Admin Center unter Identity > External Identities an und binde sie in eine eigene Gruppe für Drittanbieter ein. Erstelle anschließend unter Protection > Conditional Access > Policies eine Richtlinie, die für diese Gruppe MFA, ein eingeschränktes Standortfenster und eine maximale Sitzungsdauer erzwingt.

Für zeitlich befristete, genehmigungspflichtige Zugriffe aktivierst du unter Identity Governance > Privileged Identity Management eine Rollenzuweisung mit Ablaufdatum und Genehmigungsworkflow. Details zu den Grundlagen findest du in der Microsoft-Dokumentation zu Conditional Access. Für unbeaufsichtigten Fernzugriff über Intune gelten zusätzliche Lizenzregeln, die der Beitrag zu Intune Remote Help und unbeaufsichtigtem Zugriff erklärt.

Für OT- und IoT-Systeme ergänzt Microsoft Defender for IoT die Überwachung: Das Produkt erkennt Geräte im Netz, bildet den Datenverkehr ab und schlägt bei ungewöhnlichen Verbindungen Alarm – unabhängig davon, ob die Verbindung von intern oder von einem Dienstleister kommt.

Checkliste: In 7 Schritten den Fernwartungszugang absichern

• Alle aktiven Drittanbieter-Zugänge inventarisieren, inklusive VPN, Remote-Tools und Gastkonten
• Geteilte Konten auflösen und durch individuelle Entra-ID-Identitäten ersetzen
• Conditional-Access-Policy mit MFA-Pflicht für externe Gruppen anlegen
• PIM-Rollen mit Ablaufdatum und Genehmigungsworkflow statt Dauerzugriff einrichten
• IT- und OT-Netze sauber segmentieren, Dienstleister-Zugriff nur auf benötigte Segmente erlauben
• Defender for IoT oder vergleichbares Monitoring für OT-Systeme aktivieren
• Sign-in-Logs und Conditional Access Insights regelmäßig auswerten, Alerting einrichten

Warum macht NIS2 das zur Pflichtaufgabe?

NIS2 verpflichtet betroffene Unternehmen explizit zur Absicherung ihrer Lieferkette, wozu auch Fernwartungs- und Drittanbieter-Zugänge zählen. NIS2 macht aus dem Wunsch, den Fernwartungszugang absichern zu wollen, eine gesetzliche Pflicht mit Nachweispflicht gegenüber Aufsichtsbehörden. Wie sich das auch auf Cloud-Dienstleister auswirkt, zeigt der Beitrag zu NIS2 und Cloud-Diensten.

FAQ

Was bedeutet Zero Trust, wenn ich den Fernwartungszugang absichern will?

Zero Trust heißt: Kein Dienstleister bekommt automatisch Vertrauen, nur weil er einmal autorisiert wurde. Jeder Zugriff wird geprüft, zeitlich befristet und auf das Nötigste beschränkt – unabhängig davon, ob die Verbindung aus dem internen Netz oder von extern kommt.

Wie lange sollte ein externer Zugang maximal aktiv bleiben?

Es gibt keinen festen Wert, Richtschnur ist die tatsächliche Wartungsdauer plus ein kleiner Puffer. In der Praxis bewähren sich Zeitfenster von wenigen Stunden bis maximal einem Tag, danach läuft der Zugriff automatisch ab.

Brauche ich für PIM eine spezielle Lizenz?

Ja, Privileged Identity Management setzt Microsoft Entra ID P2 oder eine Entra ID Governance Lizenz voraus. Ohne diese Lizenzstufe stehen nur statische Rollenzuweisungen ohne Genehmigungsworkflow zur Verfügung.

Wie erkenne ich kompromittierte Drittanbieter-Zugänge?

Achte auf Anmeldungen zu ungewöhnlichen Zeiten, von unbekannten Standorten oder mit auffälligen Geräte-IDs in den Sign-in-Logs. Conditional Access Insights und Risk-Detections in Entra ID markieren solche Anomalien automatisch.

Gilt das auch für kleine Unternehmen ohne eigene OT-Systeme?

Ja, auch reine IT-Umgebungen profitieren von Just-in-Time-Zugängen und individuellen Gastkonten für externe Dienstleister. Die OT-spezifischen Punkte wie Defender for IoT entfallen dann einfach.