Überblick
Lücken in der Einsatzbereitschaft zeigen sich häufig erst nach Beginn eines Rollouts: Eine Anwendung hängt von einem undokumentierten Authentifizierungspfad ab, ein verlorener Authenticator führt zu einer phishinganfälligen Wiederherstellung oder für einen erfolgreichen Piloten fehlen messbare Akzeptanzkriterien. Nutzen Sie diese Checkliste, um solche Lücken vor der Festlegung eines Produktionsstarts zu finden.
Identitäts- und Anwendungsinventar
- Erfassen Sie jeden Identitätsanbieter, jede WebAuthn Relying Party und jede Anwendung, die Workforce-Benutzer authentifiziert, einschließlich Anwendungen, die über einen älteren Identitätsanbieter föderiert sind.
- Verfolgen Sie den vollständigen Authentifizierungspfad jeder Anwendung. Dokumentieren Sie, ob sie WebAuthn direkt verwendet, an einen Identitätsanbieter mit erzwungener phishingresistenter Authentifizierung föderiert ist oder eine Passwort- beziehungsweise OTP-basierte Ausnahme beibehält.
- Identifizieren Sie Servicekonten, gemeinsam genutzte Anmeldedaten und nicht menschliche Identitäten außerhalb der üblichen Workforce-Authentifizierung und weisen Sie ihnen separate Kontrollen zu.
Geräte- und Authenticator-Status
- Bestätigen Sie, welche Endpoint-Plattformen, Mobilgeräte, virtuellen Desktops und Browserkombinationen im Geltungsbereich liegen und ob sie jeweils einen genehmigten Plattform- oder externen Authenticator unterstützen.
- Legen Sie je Risikostufe fest, wann unternehmenskontrolliert synchronisierte oder gerätegebundene Passkeys einschließlich externer Security Keys für privilegierte, regulierte und allgemeine Workforce-Rollen zulässig sind.
- Verlangen Sie eine angemessene lokale Benutzerverifizierung, etwa per Biometrie oder PIN, und dokumentieren Sie Wiederholungsgrenzen, barrierefreie Optionen und jedes zulässige Fallback-Verhalten.
- Trennen Sie Credential-Eigenschaften vom Vertrauen in verwaltete Geräte. Definieren Sie, welche Statussignale bei Registrierung und Zugriff geprüft werden, wie aktuell sie sein müssen und was bei fehlenden oder veralteten Signalen geschieht.
Wiederherstellung, Lebenszyklus und Ausnahmen
- Definieren Sie Break-Glass-Zugriff für Ausfälle von Identitätsanbietern oder Authenticators mit begrenztem Umfang, starker Autorisierung, vollständiger Protokollierung und zeitlich befristeter Gültigkeit.
- Dokumentieren Sie die Wiederherstellung nach Verlust, Diebstahl oder Zurücksetzen eines Authenticators einschließlich der Anforderungen an den Identitätsnachweis. Der Pfad darf nicht auf SMS, E-Mail-Links, wissensbasierte Fragen oder temporäre Passwörter zurückfallen.
- Definieren Sie die Registrierung weiterer Geräte und den Ersatz von Credentials. Verlangen Sie für Rollen mit hohem Assurance-Niveau einen vorhandenen phishingresistenten Authenticator oder ein genehmigtes administratives Verfahren.
- Führen Sie ein serverseitiges Credential-Inventar und definieren Sie Widerruf, Ersatz, Konto-Offboarding, Entzug von Berechtigungen und Beendigung aktiver Anwendungssitzungen.
- Legen Sie kontrollierte Richtlinien für Auftragnehmer, Saisonkräfte, BYOD, gemeinsam genutzte Endpoints und Geräte im Kioskmodus fest, die nicht in den Standardregistrierungspfad passen.
- Testen Sie Helpdesk-Verfahren, um sicherzustellen, dass Social Engineering Support oder Wiederherstellung nicht in eine Umgehung der phishingresistenten Authentifizierung verwandeln kann.
Rollout-Reihenfolge und Verantwortlichkeiten
- Stimmen Sie Security, IT, Helpdesk, Anwendungsverantwortliche und Einkauf hinsichtlich Umfang, Zeitplan, Abhängigkeiten sowie Zuständigkeit für Registrierungs- und Wiederherstellungsunterstützung ab.
- Pilotieren Sie mit einer repräsentativen Gruppe, die Remote-Benutzer, BYOD, privilegierte Rollen, unterstützte Plattformkombinationen und mindestens einen älteren oder föderierten Anwendungspfad umfasst.
- Bereiten Sie Registrierungskommunikation, Support-Runbooks, Eskalationspfade, Rollback-Kriterien und ein ausdrückliches Verfahren zur Genehmigung und zum Ablauf temporärer Ausnahmen vor.
Erfolgskriterien
- Legen Sie eine Zielquote für abgeschlossene Registrierungen, eine Rollout-Frist und einen Termin zur Deaktivierung älterer passwort- und OTP-basierter Authentifizierung fest, sofern der Anwendungspfad einen Ersatz unterstützt.
- Messen Sie Anmeldeerfolg, Authentifizierungslatenz, abgeschlossene Wiederherstellungen und Support-Ticket-Volumen während Pilot und Produktionsrollout.
- Definieren Sie Phishingresistenz für das Reporting einschließlich genehmigter Authentifizierungsmethoden, erforderlicher Benutzerverifizierung, Richtlinienergebnisse und Behandlung von Ausnahmen.
- Bewahren Sie einen Audit-Trail für Registrierung, Authentifizierung, Wiederherstellung, Ersatz, Widerruf und Richtlinienentscheidungen auf. Ordnen Sie Authentifizierungsereignisse dem verwendeten Credential-Datensatz zu, ohne ein synchronisiertes Credential als Beleg für ein bestimmtes physisches Gerät zu behandeln.
So nutzen Sie diese Ressource
Arbeiten Sie die Abschnitte gemeinsam mit Security, IT, Helpdesk, Anwendungsverantwortlichen und Einkauf durch. Dokumentieren Sie Lücken im Ist-Zustand, weisen Sie jeder Lücke einen Verantwortlichen und eine Frist zu, testen Sie Wiederherstellungs- und Ausnahmepfade und überführen Sie die Erfolgskriterien in Akzeptanzkriterien, bevor Sie einen Produktionsstart zusagen.