# Zero Trust, Identität und Segmentierung (FAQ)

> 45 Fragen zu Zero Trust, Identität und Segmentierung, verständlich beantwortet: was zu prüfen ist, was NetSenX zeigt und was ein Sensor nicht sieht.

Source page: https://netsenx.com/de/faq/zero-trust

## Ist Zero Trust für ein kleines Unternehmen realistisch?

Als Richtung ja, als Produkt zum Kaufen nein. Zero Trust bedeutet, einer Verbindung nicht schon deshalb zu vertrauen, weil sie aus dem eigenen Netz kommt: Jeder Nutzer und jedes Gerät weist nach, wer er ist, und erhält nur Zugriff auf das, was er braucht, immer wieder neu geprüft. Ein kleines Unternehmen kommt mit wenigen Schritten weit: Multi-Faktor-Authentifizierung für jedes Konto, das aus dem Internet erreichbar ist, getrennte Netze für Gäste, IoT-Geräte und Server, Administratorrechte nur dort, wo sie nötig sind, und über eigene Administratorkonten, sowie ein VPN oder Gateway, das nur die Systeme erreicht, die die jeweilige Gruppe nutzt. Gehen Sie in dieser Reihenfolge vor; jeder Schritt nützt für sich. Die Netzwerküberwachung prüft das Ergebnis: NetSenX zeigt, welche Hosts in überwachten Segmenten tatsächlich miteinander sprechen, in jedem Plan, sodass ein Weg sichtbar wird, den es nicht geben sollte.

https://netsenx.com/de/faq/is-zero-trust-realistic-for-a-small-business

## Wie prüfen wir, ob die Netzsegmentierung wirklich funktioniert?

Testen Sie von beiden Seiten und beobachten Sie dann den echten Verkehr. Versuchen Sie von einem Host, der nicht hinein darf, das geschützte Segment mit einem einfachen Verbindungstest zu erreichen, und prüfen Sie von innen, was das geschützte Segment nach außen erreicht. Durchsuchen Sie die Firewall-Regeln zwischen den Segmenten nach zu weit gefassten Freigaben, alten Ausnahmen und Regeln, die niemand erklären kann. Beobachten Sie danach, denn Regeln driften: Jedes Änderungsticket, jede neue Anwendung und jeder Dienstleisterbesuch kann eine Ausnahme hinzufügen, und der eigentliche Beweis sind die Verbindungen, die eine Grenze tatsächlich überschreiten. Wiederholen Sie den Test nach Netzänderungen und mindestens einmal im Jahr. NetSenX zeigt auf seiner Netzwerkkarte die Host-zu-Host-Kommunikation in überwachten Segmenten und markiert neue Sitzungen, die nicht zum normalen Verhalten eines Hosts passen, als laterale Bewegung, in jedem Plan, sodass ein unerwarteter Weg zwischen Segmenten bei der ersten Nutzung sichtbar wird. Ein Weg, der existiert, aber nie genutzt wird, bleibt für jeden passiven Sensor unsichtbar.

https://netsenx.com/de/faq/how-to-check-that-network-segmentation-works

## Was bedeutet „Assume Breach“ in der Praxis?

Es bedeutet zu planen, als wäre ein Angreifer schon drin, statt sich nur darauf zu verlassen, ihn draußen zu halten. Der Grund ist praktisch: Phishing, gestohlene Passwörter und Zugänge von Dienstleistern sorgen dafür, dass die Grenze früher oder später überwunden wird, also lauten die Fragen, wie weit ein Eindringling kommt und wie schnell Sie es bemerken. In der Praxis: begrenzen, was jedes Konto und jeder Host erreicht, Administratorkonten von Alltagskonten trennen, Protokolle und Netzwerkaufzeichnungen lange genug für eine Untersuchung aufbewahren, Offline-Backups halten, auf Bewegung im Netz achten und üben, was bei einem Alarm zu tun ist, einschließlich der Frage, wer entscheidet, eine Maschine vom Netz zu nehmen. Erkennung im Netzwerk gehört dazu: NetSenX beobachtet den Host-zu-Host-Verkehr auf Scans, laterale Bewegung und Beaconing, in jedem Plan, sodass die Schritte sichtbar werden, die ein Eindringling nach dem Eindringen unternimmt.

https://netsenx.com/de/faq/what-does-assume-breach-mean

## Kann Netzwerkzugangskontrolle (NAC) die Netzwerküberwachung ersetzen?

Nein, beide erfüllen unterschiedliche Aufgaben. Netzwerkzugangskontrolle (NAC) entscheidet, welche Geräte ins Netz dürfen und in welchem Segment sie landen, oft mit 802.1X, Gerätezertifikaten oder einer Prüfung des Gerätezustands. Was ein zugelassenes Gerät danach tut, beobachtet sie nicht, und die meisten Angriffe nutzen Geräte und Konten, die regulär hereingelassen wurden: ein per Phishing übernommenes Notebook, das Konto eines Dienstleisters, einen Drucker mit alter Firmware. Nutzen Sie beides, wenn Sie können: NAC, um unbekannte Geräte draußen zu halten und bekannte an den richtigen Platz zu bringen, und Überwachung, um zu sehen, wann sich ein bekanntes Gerät wie ein Eindringling verhält. In einem kleinen Unternehmen kann NAC einfach beginnen, mit Port-Security an Switches und zertifikatsbasiertem WLAN. NetSenX deckt den Überwachungsteil ab: Es erkennt Scans, laterale Bewegung und Beaconing von zugelassenen Geräten in jedem Plan, und seine Netzwerkkarte zeigt die in überwachten Segmenten gesehenen Geräte.

https://netsenx.com/de/faq/can-network-access-control-replace-monitoring

## Widerspricht ein VPN dem Zero-Trust-Prinzip?

Ein klassisches VPN in einem Punkt schon: Nach dem Verbinden ist das Gerät des Nutzers meist mit weitreichendem Zugriff im Netz, also im Modell „vertrauenswürdig, weil drinnen“, von dem sich Zero Trust verabschiedet. Das heißt nicht, dass das VPN morgen verschwinden muss. Sie können es deutlich näher an Zero Trust heranführen: Multi-Faktor-Authentifizierung verlangen, jeder Gruppe nur Zugriff auf die nötigen Systeme geben, vor dem Verbinden prüfen, dass es sich um ein verwaltetes, aktuelles Firmennotebook handelt, und jede Sitzung protokollieren. Produkte für Zero-Trust Network Access (ZTNA) gehen einen Schritt weiter und verbinden einen Nutzer jeweils mit einer Anwendung statt mit dem Netz. In jedem Fall gilt: Gehen Sie davon aus, dass eine VPN-Sitzung missbraucht werden kann, und beobachten Sie, was sie tut. Mit einem Sensor an einem SPAN- oder TAP-Port hinter dem VPN-Gateway erkennt NetSenX Scans, laterale Bewegung und Beaconing von den Geräten der VPN-Nutzer, in jedem Plan.

https://netsenx.com/de/faq/does-a-vpn-contradict-zero-trust

## Was ist Zero-Trust Network Access (ZTNA)?

ZTNA ist eine Art, entfernten Nutzern Zugang zu einzelnen Anwendungen statt zum ganzen Netz zu geben. Der Nutzer meldet sich über einen Identitätsanbieter an, der Dienst prüft Nutzer, Gerät und oft Standort und Zustand und öffnet erst dann eine Verbindung zu genau dieser einen Anwendung; der Rest des Netzes bleibt für den Nutzer unsichtbar. Viele Produkte liefern das als Cloud-Dienst mit einem kleinen Connector in Ihrem Netz, sodass nichts aus dem Internet erreichbar lauschen muss. In einem kleinen Unternehmen kann es das VPN für Webanwendungen und Remote-Desktop ersetzen, und es erleichtert, einem Dienstleister Zugriff auf ein System zu geben, ohne ihm das Netz zu öffnen. Die Beobachtung des Inneren ersetzt es nicht: Ein kompromittierter Anwendungsserver kann weiterhin seine Nachbarn erreichen. NetSenX bietet kein ZTNA; es erkennt laterale Bewegung und Scans von Hosts in überwachten Segmenten, in jedem Plan.

https://netsenx.com/de/faq/what-is-zero-trust-network-access-ztna

## Brauchen wir mit Zero Trust oder SASE noch eine Firewall?

In den meisten Büros ja. Secure Access Service Edge (SASE) verlagert Webfilterung, sicheren Fernzugang und einige Firewall-Funktionen in einen Cloud-Dienst, und Zero Trust verändert, wie Zugriff gewährt wird, aber Sie brauchen weiterhin etwas, das unaufgeforderte Verbindungen aus dem Internet ins Büro blockiert, Netzsegmente voneinander trennt und steuert, was Server und Geräte erreichen dürfen, auf denen nie ein SASE-Client läuft. Drucker, Kameras, Maschinen und viele Server haben keinen Agenten und sind nur durch das Netz um sie herum geschützt. Die Rolle der Firewall schrumpft also, statt zu verschwinden: Schutz gegen eingehende Verbindungen, Segmentierung und ausgehende Regeln für nicht verwaltete Geräte. Halten Sie ihre Regeln kurz und überprüft. NetSenX ersetzt weder Firewall noch SASE-Dienst und blockiert nichts. Es beobachtet den Verkehr in überwachten Segmenten und erkennt Scans, laterale Bewegung, Beaconing und ungewöhnliche ausgehende Datenmengen, in jedem Plan, und zeigt so, wann eine der beiden Schichten umgangen wird.

https://netsenx.com/de/faq/is-a-firewall-still-needed-with-zero-trust-or-sase

## Wie begrenzen Segmentierung und minimale Rechte die laterale Bewegung?

Sie verkleinern das, was ein Eindringling vom ersten übernommenen Gerät aus erreichen kann. Laterale Bewegung bedeutet, von diesem Gerät zu anderen zu springen, meist über Remote-Desktop, Dateifreigaben oder Admin-Werkzeuge und mit unterwegs gesammelten Passwörtern. Segmentierung setzt Firewalls oder Zugriffsregeln zwischen Gruppen von Systemen, sodass ein kompromittiertes Büronotebook gar keine Sitzung zum Datenbankserver oder zum Backup-System öffnen kann. Das Prinzip der minimalen Rechte sorgt dafür, dass sich die auf diesem Notebook gefundenen Konten auch nicht an Servern anmelden können, weil normale Nutzer nicht überall lokale Administratoren sind und Administratorkonten nicht für E-Mail genutzt werden. Eine Freigabeliste der Hosts, die Admin-Protokolle nutzen dürfen, schließt die Lücke weiter. Nichts davon ist perfekt, deshalb gehört Erkennung dazu. NetSenX markiert neue Host-zu-Host-Sitzungen über Admin-Protokolle, die nicht zum normalen Verhalten eines Hosts passen, als laterale Bewegung, in jedem Plan, und verknüpft sie ab dem Pro-Plan hostübergreifend zu einem Gesamtbild.

https://netsenx.com/de/faq/how-does-segmentation-limit-lateral-movement

## Wo fange ich an, ein flaches Büronetz zu segmentieren?

Bei den Systemen, deren Verlust am meisten schmerzen würde, und den Geräten, denen Sie am wenigsten trauen. Eine praktische Reihenfolge für ein kleines Unternehmen: Gäste und private Geräte in ein eigenes Netz nur mit Internetzugang; Drucker, Kameras, Bildschirme und andere IoT-Geräte in ein Gerätenetz, das keine Verbindungen zu PCs aufbauen darf; Server, besonders Backups, Dateiserver und den Domänencontroller, in ein Servernetz, das PCs nur auf den nötigen Ports erreichen; und ein eigener Weg für die Administration. Jeder Schritt nützt für sich, und die meisten verwalteten Switches und Firewalls können das mit VLANs und Regeln. Bevor Sie Regeln schreiben, schauen Sie, wer tatsächlich mit wem spricht, damit Sie keine vergessene Abhängigkeit kappen, etwa einen Scanner, der auf eine Dateifreigabe speichert. Die Netzwerkkarte von NetSenX zeigt die Hosts in überwachten Segmenten und wer mit wem spricht, in jedem Plan; das liefert dieses Ausgangsbild und zeigt danach, ob die neuen Grenzen halten.

https://netsenx.com/de/faq/where-to-start-segmenting-a-flat-office-network

## Wie trenne ich IT und OT mit VLANs und Zugriffslisten?

Nutzen Sie VLANs, um die Netze zu trennen, und eine Firewall, nicht nur Switch-Zugriffslisten, um zu steuern, was zwischen ihnen fließt. Legen Sie Produktionssteuerungen, HMIs und SCADA-Server in eigene VLANs, setzen Sie eine Firewall zwischen sie und das Büronetz und ergänzen Sie eine kleine DMZ für Systeme, die beide Seiten brauchen, etwa eine Historian-Kopie oder ein Fernzugangs-Gateway. Schreiben Sie die Regeln als Freigabeliste: welcher Büro-Host welchen OT-Host auf welchem Port erreichen darf, und sonst nichts; der Rest wird abgewiesen und protokolliert. Switch-Zugriffslisten taugen für einfache Trennung innerhalb der OT, kennen aber keinen Verbindungszustand und sind in größerem Umfang fehleranfällig. Planen Sie die Änderung mit dem OT-Ingenieur und in einem Wartungsfenster, denn eine übersehene Abhängigkeit kann eine Linie stoppen. Beobachten Sie dann die Grenze: Ab dem Pro-Plan markiert NetSenX Verkehr über Ebenen des Werksnetzes hinweg, von einem SPAN- oder TAP-Port, ohne ein OT-Gerät abzufragen.

https://netsenx.com/de/faq/how-to-segment-it-and-ot-with-vlans-and-acls

## Was ist Mikrosegmentierung, und brauchen kleine Unternehmen sie?

Mikrosegmentierung bedeutet, Verkehr zwischen einzelnen Servern oder Workloads zu steuern, nicht nur zwischen Netzzonen, sodass zwei Server im selben Segment nicht miteinander sprechen können, wenn keine Regel es erlaubt. Umgesetzt wird sie meist mit Host-Firewalls, Sicherheitsgruppen in Hypervisor oder Cloud oder einem Agenten, der auf jeder Maschine Richtlinien durchsetzt. Sie ist sehr wirksam gegen einen Eindringling, der von Server zu Server zieht, und in Rechenzentren und Cloud-Umgebungen verbreitet. Die meisten kleinen Unternehmen gewinnen zunächst mehr durch gewöhnliche Segmentierung: getrennte Netze für Gäste, Geräte, Nutzer und Server. Wenn Sie viele Server betreiben, ist die günstige Form der Mikrosegmentierung, auf jedem Server die eigene Firewall einzuschalten und nur die nötigen Verbindungen zu erlauben. Was Sie auch wählen: Lassen Sie den echten Verkehr die Regeln bestimmen. Die Netzwerkkarte von NetSenX zeigt, welche Hosts in überwachten Segmenten miteinander sprechen, in jedem Plan, und Alarme zu lateraler Bewegung zeigen Sitzungen, die nicht zum normalen Verhalten eines Hosts passen.

https://netsenx.com/de/faq/what-is-microsegmentation

## Ist ein VLAN eine Sicherheitsgrenze?

Nur dann, wenn Verkehr zwischen VLANs durch eine Firewall oder Zugriffsregeln läuft, die etwas durchsetzen. Ein VLAN allein trennt Broadcast-Domänen auf einem Switch; erlaubt der Router zwischen den VLANs alles, ist die Trennung kosmetisch, und das ist in kleinen Netzen ein häufiger Befund. Falsch konfigurierte Switchports können einem Angreifer außerdem erlauben, zwischen VLANs zu springen, etwa Trunk-Ports, die für Nutzergeräte offen sind, oder das Standard-VLAN, das für alles verwendet wird. Damit VLANs zählen: Routen Sie zwischen ihnen über eine Firewall mit Freigabeliste, setzen Sie Nutzerports auf ein einziges Access-VLAN, deaktivieren Sie ungenutzte Ports und halten Sie Verwaltungsoberflächen in einem eigenen VLAN. Prüfen Sie dann mit echtem Verkehr, ob die Regeln halten. NetSenX zeigt Host-zu-Host-Verbindungen in überwachten Segmenten und erkennt Scans und laterale Bewegung in jedem Plan, sodass ein Host sichtbar wird, der VLAN-übergreifend erreicht, was er nicht soll, sofern dieser Verkehr über eine gespiegelte Verbindung läuft.

https://netsenx.com/de/faq/is-a-vlan-a-security-boundary

## Wie prüfe ich, dass das Gäste-WLAN unser internes Netz nicht erreicht?

Verbinden Sie sich mit einem Telefon oder Notebook mit dem Gästenetz und versuchen Sie, interne Systeme zu erreichen: Öffnen Sie die Adresse eines Dateiservers, die Weboberfläche eines Druckers, die Verwaltungsseite des Routers und den internen Namensserver des Büros. Im eigenen Netz zeigt ein einfacher Verbindungstest oder Ping auf interne Adressbereiche, ob etwas antwortet. Prüfen Sie dann die Konfiguration: Client-Isolation eingeschaltet, Gästenetz in einem eigenen VLAN oder an einem eigenen Router-Port, nur Internetzugang und die Verwaltungsoberfläche des WLAN-Systems von dort nicht erreichbar. Wiederholen Sie das nach jeder Änderung am WLAN-System, denn Firmware-Updates und neue Access Points können Einstellungen zurücksetzen. Wird das Gästesegment überwacht, zeigt NetSenX Gästegeräte auf der Netzwerkkarte und markiert jede Sitzung von ihnen zu internen Hosts sowie Scans oder laterale Bewegung, in jedem Plan. Ein Gästegerät, das einen internen Server erreicht, erscheint als Verbindung, die es nicht geben sollte.

https://netsenx.com/de/faq/how-to-check-guest-wifi-cannot-reach-the-internal-network

## Reicht ein separates Gäste-WLAN für die Sicherheit?

Es ist ein guter erster Schritt, aber nur, wenn es wirklich getrennt ist und nicht Ihre einzige Trennung bleibt. Ein Gästenetz mit eigenem Namen, aber demselben Adressbereich und ohne Regeln zum Büro ist überhaupt nicht getrennt; prüfen Sie, dass es isoliert ist und nur Internetzugang bietet. Außerdem schützt es nur vor Besuchern: Telefone der Mitarbeitenden, Smart-TVs und die Kaffeemaschine landen oft stattdessen im Büronetz. Legen Sie private Geräte und IoT ins Gästenetz oder in ein Gerätenetz, halten Sie Firmennotebooks in einem Netz mit Zertifikats- oder nutzerbezogener Authentifizierung, ändern Sie das Gästepasswort regelmäßig und lassen Sie das Gästenetz nicht an die Verwaltungsoberflächen des WLAN selbst heran. Bestätigen Sie es dann mit echtem Verkehr. Wird das Gästesegment überwacht, listet NetSenX seine Geräte auf der Netzwerkkarte und markiert jede Verbindung von ihnen zu internen Hosts, Scans oder laterale Bewegung, in jedem Plan.

https://netsenx.com/de/faq/is-a-separate-guest-wifi-enough

## Kann jemand ein Gerät an eine freie Netzwerkdose in unserem Büro anschließen?

In den meisten kleinen Büros ja: Eine aktive Dose im Besprechungsraum, am Empfang oder hinter einem Drucker gibt jedem, der ein Gerät anschließt, denselben Netzzugang wie einem Firmen-PC. Ein dort versteckter Kleinrechner kann sich bei seinem Besitzer melden und monatelang als Tür ins Netz dienen. Schließen Sie das mit einfachen Mitteln: Deaktivieren Sie ungenutzte Switchports und Wanddosen, legen Sie Besprechungsräume und Empfang ins Gästenetz, nutzen Sie Port-Security, die an einem Port nur bekannte Geräte zulässt, oder 802.1X, damit sich ein Gerät authentifizieren muss, bevor es überhaupt Zugang erhält. Gehen Sie ab und zu durchs Büro und prüfen Sie die Switches auf unbekannte Geräte. NetSenX hilft zu finden, was schon drin ist: Seine Netzwerkkarte listet die in überwachten Segmenten gesehenen Geräte, auch solche ohne Agent, in jedem Plan, und ein verstecktes Gerät, das sich in regelmäßigen Abständen nach außen meldet, wird als Beaconing markiert. Ein Gerät, das schweigt oder in einem nicht überwachten Segment hängt, wird nicht gesehen.

https://netsenx.com/de/faq/can-someone-plug-a-device-into-a-free-network-socket

## Was ist 802.1X, und braucht ein kleines Büro das?

802.1X ist ein Standard, bei dem ein Gerät seine Identität nachweisen muss, bevor ein Switchport oder ein WLAN es hereinlässt, meist mit einem Zertifikat oder Benutzernamen und Passwort, die ein Authentifizierungsserver prüft. Ein Gerät, das scheitert, erhält keinen Zugang oder landet in einem eingeschränkten Gästenetz. Es ist der wirksamste Weg, unbekannte Geräte am einfachen Anschließen zu hindern, und im WLAN ersetzt es ein gemeinsames Passwort durch Zugangsdaten pro Nutzer oder Gerät, sodass sich der Zugang einer ausscheidenden Person einzeln entziehen lässt. Es braucht Switches und Access Points, die es unterstützen, einen Authentifizierungsserver, der oft in Cloud-Identitätsdiensten oder Firewalls enthalten ist, und etwas Sorgfalt bei Druckern und Geräten, die sich nicht authentifizieren können. Viele kleine Büros beginnen mit 802.1X nur im WLAN und Port-Security an kabelgebundenen Ports. NetSenX setzt keinen Netzzugang durch; seine Netzwerkkarte zeigt die in überwachten Segmenten gesehenen Geräte, in jedem Plan, und hilft so, jene zu finden, die Ihre Zugangskontrolle übersehen hat.

https://netsenx.com/de/faq/what-is-802-1x-and-does-a-small-office-need-it

## Reicht Multi-Faktor-Authentifizierung, um Kontoübernahmen zu stoppen?

Sie stoppt die meisten, aber nicht alle. Multi-Faktor-Authentifizierung (MFA) blockiert Angriffe, die sich allein auf ein gestohlenes oder erratenes Passwort stützen, weshalb Versicherer sie verlangen und NIS2 sie unter ihren Maßnahmen nennt. Angreifer haben sich angepasst: Sie nutzen gefälschte Anmeldeseiten, die den Code in Echtzeit weiterreichen, stehlen nach der Anmeldung das Sitzungscookie, überfluten Nutzer mit Push-Anfragen, bis eine bestätigt wird, oder überreden den Helpdesk, ein Telefon zurückzusetzen. Legen Sie die Latte höher: Bevorzugen Sie phishing-resistente Verfahren wie Passkeys oder Hardware-Sicherheitsschlüssel, besonders für Administratoren und die Buchhaltung; nutzen Sie Zahlenabgleich bei Push-Anfragen; begrenzen Sie die Dauer von Sitzungen; und lassen Sie den Helpdesk die Identität prüfen, bevor er MFA zurücksetzt. Beobachten Sie die Anmeldeprotokolle auf riskante Anmeldungen. Ein Netzwerksensor sieht keine Anmeldungen. NetSenX zeigt, was das Gerät eines übernommenen Kontos danach im Netz tut, etwa laterale Bewegung, Scans oder große Uploads, in jedem Plan.

https://netsenx.com/de/faq/is-mfa-enough-to-stop-account-takeover

## Zählt eine teilweise MFA-Einführung für Versicherer und Prüfer?

Meist nicht als „MFA vorhanden“, und eine ungenaue Angabe im Fragebogen kann später Ärger machen. Versicherungsfragebögen und Prüfer fragen typischerweise, wo MFA erzwungen wird: E-Mail, Fernzugang, Cloud-Anwendungen, Administratorkonten und Backups. Deckt MFA zwar E-Mail ab, aber nicht das VPN, oder die Nutzer, aber nicht die Administratoren, schreiben Sie das genau so hin, denn im Schadenfall wird es geprüft. Schließen Sie zuerst die Lücken, die Angreifer am häufigsten nutzen: Fernzugang, E-Mail, Administratorkonten und die Backup-Konsole, danach die übrigen Cloud-Anwendungen. Entfernen Sie Ausnahmen, die nicht mehr nötig sind, und dokumentieren Sie die verbleibenden mit Begründung und Enddatum. Dienstkonten, die kein MFA nutzen können, beschränken Sie auf bekannte Quellen und beobachten sie stattdessen. NetSenX prüft die MFA-Abdeckung nicht; das meldet Ihr Identitätsanbieter. NetSenX steuert die Netzwerkseite der Nachweise bei: eine Alarmhistorie mit Zeitstempeln für überwachte Segmente, aufbewahrt für die Dauer Ihres Plans.

https://netsenx.com/de/faq/does-a-partial-mfa-rollout-count

## Welche MFA-Verfahren sind phishing-resistent?

Passkeys und Hardware-Sicherheitsschlüssel nach dem FIDO2-Standard sowie Smartcards mit Zertifikaten. Sie widerstehen Phishing, weil der Schlüssel die Webadresse prüft, mit der er spricht, und einer gefälschten Seite nicht antwortet, es gibt also keinen Code, den der Nutzer an der falschen Stelle eintippen könnte. Authenticator-Apps mit Zahlenabgleich sind eine solide zweite Wahl; per SMS verschickte Codes und einfache Push-Anfragen zum Bestätigen oder Ablehnen sind die schwächsten, denn eine überzeugende gefälschte Seite oder ein müder Nutzer kann sie preisgeben. Beginnen Sie mit den wichtigsten Konten: Administratoren, Buchhaltung, Geschäftsleitung und alle mit Zugriff auf Backups oder Kundendaten. Halten Sie pro Person einen Ersatzschlüssel und ein dokumentiertes Wiederherstellungsverfahren bereit, damit ein verlorener Schlüssel nicht zu einem hastigen, unsicheren Zurücksetzen führt. MFA lebt bei Ihrem Identitätsanbieter, nicht im Netz. NetSenX sieht keine Anmeldungen; es zeigt, was Geräte in überwachten Segmenten tun, nachdem irgendein Konto genutzt wurde.

https://netsenx.com/de/faq/which-mfa-methods-resist-phishing

## Was ist MFA-Fatigue bzw. Push-Bombing?

Ein Angriff, bei dem jemand, der das Passwort eines Nutzers schon kennt, eine Anmeldung nach der anderen auslöst, sodass sich das Telefon des Nutzers mit Bestätigungsanfragen füllt, oft nachts, bis er auf „Bestätigen“ tippt, damit es aufhört. Manchmal ruft der Angreifer zusätzlich an oder schreibt und gibt sich als IT aus. Das funktioniert bei einfachen Push-Anfragen zum Bestätigen oder Ablehnen. Die Abwehr liegt auf der Identitätsseite: Zahlenabgleich einschalten, damit der Nutzer eine auf dem Anmeldebildschirm angezeigte Zahl eingeben muss; Ort und Anwendung in der Anfrage anzeigen; die Zahl der Anfragen pro Minute begrenzen; bei wiederholten Ablehnungen alarmieren; und Mitarbeitenden sagen, dass eine unerwartete Anfrage bedeutet, dass ihr Passwort bekannt ist, sie also ablehnen und die IT anrufen sollen. Noch besser: wichtige Konten auf Passkeys oder Hardware-Schlüssel umstellen. Ein Netzwerksensor sieht diese Anfragen nicht. NetSenX zeigt, was geschieht, wenn ein Angreifer hineinkommt: ungewöhnliche Sitzungen, Scans oder Uploads vom Gerät des Nutzers in überwachten Segmenten, in jedem Plan.

https://netsenx.com/de/faq/what-is-mfa-fatigue-or-push-bombing

## Wer hat in unserem Unternehmen Administratorrechte, und wie prüfen wir das?

Meist mehr Personen und Konten, als irgendjemand denkt, bauen Sie die Liste also aus den Systemen selbst auf, nicht aus dem Gedächtnis. Prüfen Sie die Administratorgruppen im Verzeichnis oder beim Cloud-Identitätsanbieter, die lokalen Administratoren auf PCs und Servern, die Administratorrollen in jeder Cloud-Anwendung wie E-Mail, Buchhaltung und Dateiablage, die Administratorkonten von Firewalls, Switches, WLAN und Backups sowie die Konten, die Ihr IT-Dienstleister nutzt. Suchen Sie nach ehemaligen Mitarbeitenden, geteilten Konten, Konten ohne Anmeldung seit Monaten und Dienstkonten mit Administratorrechten. Reduzieren Sie dann: Entfernen Sie, was niemand braucht, geben Sie Administratoren ein separates Administratorkonto, verlangen Sie für alle phishing-resistente MFA und wiederholen Sie die Prüfung jedes Quartal und bei jedem Ausscheiden. Das ist Identitätsarbeit, und ein Netzwerksensor kann keine Administratorrechte auflisten. NetSenX hilft von der anderen Seite: Es markiert Admin-Protokolle, die zwischen Hosts abweichend von ihrem normalen Verhalten genutzt werden, als laterale Bewegung, in jedem Plan.

https://netsenx.com/de/faq/how-to-find-out-who-has-admin-rights

## Was bedeutet das Prinzip der minimalen Rechte in der Praxis?

Es bedeutet, dass jede Person, jedes Konto und jedes System nur den Zugriff erhält, den es für seine Aufgabe braucht, so lange es ihn braucht, und nicht mehr. In der Praxis eines kleinen Unternehmens: Mitarbeitende sind keine lokalen Administratoren auf ihren PCs; Administratoren nutzen ein separates Administratorkonto für die Verwaltung und ein normales für E-Mail und Surfen; Dateifreigaben sind für die Teams offen, die sie nutzen, nicht für alle; Dienstleister erhalten Zugriff auf die Systeme, die sie betreuen, und zwar dann, wenn es nötig ist; Dienstkonten haben nur die Rechte, die ihre Anwendung braucht; und Zugriffe werden geprüft, wenn jemand die Rolle wechselt oder geht. Der Gewinn: Ein gestohlenes Passwort oder ein infiziertes Notebook erreicht deutlich weniger. Es senkt auch das Rauschen: Ungewöhnlicher Zugriff fällt stärker auf, wenn der normale Zugriff eng ist. NetSenX beobachtet die Netzwerkseite davon: Es markiert neue Sitzungen zwischen Hosts, die nicht zu deren normalem Verhalten passen, als laterale Bewegung, in jedem Plan, und deckt so oft Zugriffe auf, die niemand gewollt hat.

https://netsenx.com/de/faq/what-is-least-privilege-in-practice

## Müssen auch Dienstkonten und API-Tokens überwacht werden?

Ja, und oft sind sie die am wenigsten beobachteten Konten im Unternehmen. Dienstkonten betreiben Backups, Scans, Integrationen und geplante Aufgaben, häufig mit weitreichenden Rechten, Passwörtern, die sich nie ändern, und ohne Multi-Faktor-Authentifizierung. API-Tokens und Schlüssel für Cloud-Dienste stecken in Skripten, Konfigurationsdateien und Code-Repositories, wo ein Angreifer, der einen findet, ihn von überall nutzen kann. Führen Sie ein Inventar mit einem Verantwortlichen für jedes, geben Sie ihnen nur die nötigen Rechte, speichern Sie Geheimnisse in einem Tresor statt in Dateien, rotieren Sie sie planmäßig und sofort, wenn jemand mit Zugriff ausscheidet, beschränken Sie, von wo sie genutzt werden dürfen, und alarmieren Sie, wenn eines von einem ungewöhnlichen Ort oder zu einer ungewöhnlichen Zeit verwendet wird; das zeigen Identitäts- und Cloud-Protokolle. Im Netz wird ein Dienstkonto immer von einem Host aus genutzt: NetSenX markiert diesen Host, wenn er neue Sitzungen zu anderen Hosts startet, scannt oder ungewöhnlich viel hochlädt, in jedem Plan. Das Token selbst sieht es im verschlüsselten Verkehr nicht.

https://netsenx.com/de/faq/do-service-accounts-and-api-tokens-need-monitoring

## Sind geteilte Administratorkonten ein Problem, und was tun wir stattdessen?

Ja. Wenn mehrere Personen ein Administratorkonto nutzen, kann später niemand sagen, wer was getan hat, das Passwort wird beim Ausscheiden selten geändert, und Multi-Faktor-Authentifizierung lässt sich kaum an eine Person binden, sodass das Konto oft ohne sie auskommt. Geben Sie jedem Administrator, auch den Mitarbeitenden Ihres IT-Dienstleisters, ein persönliches Administratorkonto mit phishing-resistenter MFA und entfernen oder deaktivieren Sie das geteilte. Wo sich ein eingebautes Konto nicht entfernen lässt, etwa der lokale Administrator auf PCs oder das Notfallkonto einer Firewall, geben Sie jeder Maschine ein eigenes, zufälliges Passwort, das ein Werkzeug verwaltet, halten Sie Notfallzugangsdaten versiegelt und alarmieren Sie bei ihrer Nutzung. Protokollieren Sie Administratortätigkeiten pro Person und prüfen Sie die Liste der Administratorkonten jedes Quartal. Ein Netzwerksensor kann nicht sagen, welche Person ein Konto genutzt hat. NetSenX zeigt, von welchem Host Verwaltungssitzungen ausgehen, und markiert Sitzungen, die nicht zum normalen Verhalten eines Hosts passen, als laterale Bewegung, in jedem Plan, sodass ein geteiltes Konto auffällt, das von einer ungewöhnlichen Maschine genutzt wird.

https://netsenx.com/de/faq/how-to-handle-shared-admin-accounts

## Sind Passwortmanager für ein Unternehmen sicher?

Ja, für die meisten Unternehmen sind sie weit sicherer als die Alternativen: wiederverwendete Passwörter, Tabellen und Klebezettel. Ein guter Passwortmanager für Unternehmen lässt jede Person lange, einzigartige Passwörter verwenden, teilt Team-Zugangsdaten, ohne sie per E-Mail zu verschicken, und entzieht einer ausscheidenden Person den Zugriff mit einem Schritt. Der Tresor wird dadurch wertvoll, schützen Sie ihn also: Verlangen Sie dafür phishing-resistente Multi-Faktor-Authentifizierung, wählen Sie einen Anbieter, der den Tresor so verschlüsselt, dass er dessen Inhalt selbst nicht lesen kann, prüfen Sie, wo Ihre Daten gespeichert werden, sperren Sie den Tresorzugriff von nicht verwalteten Geräten, wenn das Produkt es erlaubt, und dokumentieren Sie das Wiederherstellungsverfahren. Bewahren Sie die Administratorzugänge des Passwortmanagers nicht nur in ihm selbst auf. Ein Passwortmanager stoppt Phishing nicht allein, hilft aber, weil er ein Passwort nicht in eine gefälschte Seite einträgt. NetSenX sieht weder Passwörter noch Tresore; es beobachtet, was Geräte im Netz tun.

https://netsenx.com/de/faq/are-password-managers-safe-for-a-company

## Was macht eine gute Passwortrichtlinie im Unternehmen aus?

Länge, Einzigartigkeit und Multi-Faktor-Authentifizierung statt Komplexitätsregeln und erzwungener monatlicher Wechsel. Die Digital-Identity-Richtlinien des NIST (SP 800-63B) setzen auf lange Passwörter, auf den Abgleich neuer Passwörter mit Listen bekannter geleakter Passwörter und auf einen Wechsel, wenn es Hinweise auf eine Kompromittierung gibt, statt nach festem Zeitplan, weil erzwungene regelmäßige Wechsel Menschen zu vorhersehbaren Mustern drängen. In der Praxis: eine Mindestlänge, die Passphrasen erlaubt, keine Wiederverwendung zwischen Systemen, ein Passwortmanager für alle, Sperren geleakter und gängiger Passwörter, Sperre oder Verzögerung nach wiederholten Fehlversuchen und MFA für alles, was aus dem Internet erreichbar ist. Administrator- und Dienstkonten verdienen längere, zufällig erzeugte Passwörter in einem Tresor. Erklären Sie Mitarbeitenden die Gründe; eine Richtlinie, die man versteht, wird eher befolgt. NetSenX setzt keine Passwörter durch. Im Netz markiert es wiederholte Anmeldeversuche an überwachten Hosts als Brute Force, in jedem Plan, und zeigt so, wann jemand rät.

https://netsenx.com/de/faq/what-makes-a-good-company-password-policy

## Was ist Single Sign-on, und verbessert es die Sicherheit?

Single Sign-on (SSO) lässt Menschen sich einmal mit einem Firmenkonto bei einem Identitätsanbieter anmelden und dann viele Anwendungen ohne eigene Passwörter nutzen, meist über die Standards SAML oder OpenID Connect. Gut umgesetzt verbessert es die Sicherheit: weniger Passwörter zum Wiederverwenden oder Stehlen, eine Stelle, an der MFA und Geräteregeln durchgesetzt werden, eine Stelle, an der Anmeldungen sichtbar sind, und ein Schalter, der beim Ausscheiden einer Person den Zugang zu allen angebundenen Anwendungen auf einmal schließt. Die Kehrseite ist die Bündelung: Der Identitätsanbieter wird zum Schlüssel für alles, schützen Sie also seine Administratorkonten mit phishing-resistenter MFA, halten Sie ein Notfallkonto versiegelt und beobachten Sie seine Anmeldeprotokolle. Anwendungen außerhalb des SSO behalten eigene Passwörter; führen Sie eine Liste, damit sie beim Offboarding nicht vergessen werden. SSO ist Identitätsinfrastruktur, keine Netzwerküberwachung, und NetSenX sieht keine Anmeldungen. Es zeigt, was Geräte im Netz tun, nachdem sich jemand angemeldet hat.

https://netsenx.com/de/faq/what-is-single-sign-on-and-does-it-improve-security

## Wie überwachen wir den Fernzugriff externer Buchhalter auf unsere PCs?

Machen Sie den Zugang zuerst eng und sichtbar und beobachten Sie ihn dann. Legen Sie schriftlich fest, welche PCs die Buchhalter erreichen dürfen, über welches Werkzeug, zu welchen Zeiten und mit welchen Konten, am besten mit einem persönlichen Konto pro Person und Multi-Faktor-Authentifizierung. Bevorzugen Sie ein Fernzugangswerkzeug, das Sie kontrollieren und das Sitzungen protokolliert, statt eines, das der Buchhalter installiert hat; schalten Sie es für den Monatsabschluss ein und danach wieder aus. Halten Sie die Buchhaltungs-PCs in einem Segment, das den Rest des Netzes nicht erreicht. Fragen Sie die Kanzlei, wie sie ihre eigenen Systeme schützt, denn deren Kompromittierung wird zu Ihrer. Beobachten Sie dann das Muster: Die Fernsitzungen erscheinen im Netz als Verbindungen von einer externen Adresse zu bestimmten internen Hosts zu bestimmten Zeiten. NetSenX zeigt diese Verbindungen und markiert laterale Bewegung, wenn eine Sitzung beginnt, andere interne Hosts zu erreichen, in jedem Plan; regelmäßige Meldungen eines Fernwartungswerkzeugs außerhalb des vereinbarten Fensters erscheinen als Beaconing. Wer Zugang hat, verwaltet NetSenX nicht.

https://netsenx.com/de/faq/how-to-monitor-an-external-accountants-remote-access

## Was passiert, wenn unser externer IT-Dienstleister oder unsere Buchhaltung gehackt wird?

Ihr Zugang wird zum Zugang des Angreifers. Ein IT-Dienstleister hat meist Administratorrechte auf Ihren Servern, Fernwartungswerkzeuge auf jedem PC und Passwörter zu Ihren Cloud-Konten; eine externe Buchhaltung hat vielleicht Fernzugriff auf die Buchhaltungs-PCs und Ihr Onlinebanking. Angreifer wissen das, und einige große Vorfälle haben sich von einem Dienstleister auf viele seiner Kunden ausgebreitet. Bereiten Sie sich vor, bevor es passiert: Erfassen Sie jeden Dienstleister mit Zugang und was er erreicht, verlangen Sie persönliche Konten mit Multi-Faktor-Authentifizierung, begrenzen Sie seine Werkzeuge auf die betreuten Systeme, fragen Sie, wie er seine eigene Umgebung schützt und wie er Sie über einen Vorfall informiert, und schreiben Sie diese Pflichten in den Vertrag, was NIS2 auch im Rahmen der Sicherheit der Lieferkette erwartet. Legen Sie fest, wie Sie seinen Zugang im Notfall kappen. NetSenX zeigt die Verbindungen des Dienstleisters in Ihr Netz und erkennt laterale Bewegung, Scans, Beaconing und ungewöhnliche ausgehende Datenmengen von den Hosts, die er nutzt, in jedem Plan. Die Systeme des Dienstleisters selbst überwacht es nicht.

https://netsenx.com/de/faq/what-happens-if-our-outsourced-it-or-bookkeeper-is-hacked

## Wie finde ich alte Fernzugangswerkzeuge, die Dienstleister auf unseren Servern hinterlassen haben?

Kombinieren Sie das Softwareinventar mit dem Netzwerkverkehr. Listen Sie auf jedem Server installierte Programme und laufende Dienste auf und suchen Sie nach Remote-Desktop- und Fernwartungswerkzeugen, VPN-Clients und Agenten von Fernverwaltungsplattformen; fragen Sie jeden Dienstleister, welche Werkzeuge er wann installiert hat und ob er sie noch nutzt. Im Netz suchen Sie nach dem, was diese Werkzeuge auch im Leerlauf tun: regelmäßige Meldungen an die Relay-Server des Herstellers oder Verbindungen von einer Cloud-Adresse, die bei Ihnen niemand erklären kann. Entfernen Sie, was nicht mehr gebraucht wird, legen Sie Benötigtes hinter Ihren eigenen kontrollierten Zugangsweg und ändern Sie die Passwörter, die der Dienstleister kannte. NetSenX markiert die regelmäßigen Meldungen in jedem Plan als Beaconing und führt externe Ziele auf gemieteten Cloud-Servern in seiner Prüfwarteschlange, wo Sie sie bestätigen, als verdächtig markieren oder für später zurückstellen. Läuft der Agent auf dem Server, nennt der Alarm außerdem das lokale Programm.

https://netsenx.com/de/faq/how-to-find-old-remote-access-tools-suppliers-left-on-servers

## Wie steuern und überwachen wir den Netzzugang externer Dienstleister?

Mit einem kontrollierten Weg, persönlichen Konten und einer Aufzeichnung jeder Sitzung. Führen Sie ein Register der Dienstleister mit Zugang: wer sie sind, welche Systeme sie erreichen, über welches Werkzeug und auf Grundlage welches Vertrags. Leiten Sie jeden Dienstleisterzugang über ein Gateway, ein VPN oder einen Bastion-Host, der Ihnen gehört, mit Multi-Faktor-Authentifizierung und einem persönlichen Konto pro Techniker; schalten Sie den Zugang für vereinbarte Zeitfenster ein und danach aus; und protokollieren oder zeichnen Sie Sitzungen auf. Prüfen Sie das Register jedes Quartal und entfernen Sie Zugänge, die nicht mehr genutzt werden. Verpflichten Sie Dienstleister, Sie über Vorfälle auf ihrer Seite zu informieren, und testen Sie, dass Sie ihren Zugang schnell kappen können. Im Netz sollten Dienstleistersitzungen dann nur von diesem einen Weg ausgehen. NetSenX zeigt die Verbindungen, erkennt laterale Bewegung und Scans von den Hosts, die Dienstleister nutzen, in jedem Plan, und führt externe Ziele auf gemieteten Cloud-Servern in seiner Prüfwarteschlange, sodass ein Werkzeug sichtbar wird, das Ihren Weg umgeht.

https://netsenx.com/de/faq/how-to-monitor-third-party-vendor-access

## Was bedeutet NIS2-Lieferkettensicherheit in der Praxis für ein kleines Unternehmen?

Es bedeutet, die Cybersicherheitsrisiken, die von Ihren Lieferanten und Dienstleistern ausgehen, als Teil Ihres eigenen Risikomanagements zu steuern. Die Richtlinie (EU) 2022/2555 nennt die Sicherheit der Lieferkette unter den Maßnahmen ihres Artikels 21, einschließlich der Sicherheit der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. In der Praxis für eine betroffene Einrichtung: wissen, welche Dienstleister Zugriff auf Ihre Systeme oder Daten haben, einschätzen, wie kritisch jeder ist, in Verträgen grundlegende Sicherheitsmaßnahmen und Vorfallmeldungen verlangen, ihren Zugang begrenzen und kontrollieren und all das regelmäßig überprüfen. Beliefern Sie eine NIS2-pflichtige Einrichtung, rechnen Sie damit, um ähnliche Nachweise gebeten zu werden, auch wenn NIS2 nicht unmittelbar für Sie gilt. Nationale Umsetzungen können Details ergänzen, prüfen Sie also das Recht Ihres Landes. NetSenX bewertet keine Dienstleister. Es zeigt, was deren Zugang in Ihrem überwachten Netz tut: Verbindungen, laterale Bewegung, Scans und Beaconing von den Hosts, die sie nutzen, in jedem Plan.

https://netsenx.com/de/faq/what-is-nis2-supply-chain-security-for-a-small-company

## Wie würden wir bemerken, dass sich das Gerät eines ehemaligen Mitarbeiters noch verbindet?

Vor allem über Konten, teils über das Netz. Auf der Identitätsseite: Deaktivieren Sie die Konten der Person am letzten Arbeitstag, widerrufen Sie VPN-Zertifikate und Anwendungssitzungen, entfernen Sie ihre Geräte aus der Geräteverwaltung, ändern Sie geteilte Passwörter, die sie kannte, und prüfen Sie Weiterleitungsregeln für E-Mails und für MFA registrierte private Geräte. Beobachten Sie dann die Anmeldeprotokolle dieses Kontos und alarmieren Sie bei jeder Nutzung. Auf der Netzseite fällt ein Gerät, das noch Zugang hat, etwa ein privates Telefon mit dem Büro-WLAN-Passwort oder ein Heim-PC mit gespeichertem VPN-Profil, beim Verbinden auf: Die Netzwerkkarte von NetSenX listet die in überwachten Segmenten gesehenen Geräte mit erstem und letztem Auftreten, in jedem Plan, sodass ein Gerät, das Sie für verschwunden hielten, wieder erscheint, und die VPN-Ansicht listet Tunnel und Gateway-Sitzungen. Ändern Sie das WLAN-Passwort, besser noch: Nutzen Sie WLAN-Zugangsdaten pro Nutzer, damit die Geräte ausgeschiedener Personen nicht zurückkommen. NetSenX beobachtet Geräte, keine Menschen, und verfolgt keine ehemaligen Mitarbeitenden.

https://netsenx.com/de/faq/how-would-we-notice-an-ex-employees-device-still-connecting

## Woran erkennen wir, dass ein gestohlenes Passwort benutzt wird?

Vor allem an den Anmeldeprotokollen, denn sie halten fest, wer sich wann, von wo und wie angemeldet hat. Achten Sie auf Anmeldungen aus neuen Ländern, von unbekannten Geräten oder Hosting-Anbietern, erfolgreiche Anmeldungen direkt nach vielen Fehlversuchen, neu registrierte MFA-Verfahren, neue E-Mail-Weiterleitungsregeln und Zugriffe auf Anwendungen, die die Person nie nutzt. Die meisten Identitätsanbieter und Cloud-Office-Suiten können riskante Anmeldungen markieren; schalten Sie das ein und sorgen Sie dafür, dass jemand die Alarme liest. Prüfen Sie öffentliche Dienste zur Benachrichtigung über Datenlecks für Ihre Firmendomain und handeln Sie bei Treffern, indem Sie das Passwort zurücksetzen und auf Wiederverwendung prüfen. Das Netz zeigt die zweite Hälfte: was der Angreifer mit dem Konto tut. NetSenX erkennt laterale Bewegung, Scans, Beaconing und ungewöhnliche Uploads von Geräten in überwachten Segmenten, in jedem Plan, und oft wird eine Kontoübernahme genau so im Unternehmen sichtbar. Die Anmeldung selbst sieht es nicht, und Passwörter liest es nicht.

https://netsenx.com/de/faq/how-to-detect-a-stolen-password-being-used

## Sollten Administratoren für Verwaltungsaufgaben eigene Konten nutzen?

Ja. Ein Administrator, der mit einem Administratorkonto E-Mails liest und im Web surft, setzt die Schlüssel zu allem jeder Phishing-Nachricht und jeder bösartigen Website aus. Mit einem separaten Administratorkonto, das nur für Verwaltungsaufgaben und nie für E-Mail oder Surfen genutzt wird, bringt ein kompromittiertes Alltagskonto dem Angreifer viel weniger. Gehen Sie weiter, wo es geht: Verlangen Sie phishing-resistente MFA für Administratorkonten, nutzen Sie sie nur von einem eigenen Admin-Arbeitsplatz oder einem Bastion-Host, geben Sie jedem Administratorkonto nur Rechte für die Systeme, die es verwaltet, und deaktivieren Sie Administratorkonten, die seit Monaten nicht genutzt wurden. Das gilt auch für die Mitarbeitenden Ihres IT-Dienstleisters. Das ist Identitätshygiene, die ein Netzwerkwerkzeug nicht durchsetzen kann. Sie schärft aber die Überwachung: Wenn Verwaltungssitzungen nur von einem Arbeitsplatz oder Bastion-Host erwartet werden, markiert NetSenX Admin-Protokolle von anderen Hosts als laterale Bewegung, in jedem Plan.

https://netsenx.com/de/faq/should-admins-use-separate-accounts-for-admin-work

## Was ist Privileged Access Management (PAM), und brauchen wir es?

Privileged Access Management (PAM) ist eine Sammlung von Werkzeugen und Verfahren zur Kontrolle der mächtigsten Konten: Administratoren, root, Dienstkonten und Notfallkonten. Typische Funktionen sind ein Tresor, der Administratorpasswörter speichert und rotiert, das zeitlich begrenzte Ausleihen von Zugangsdaten, Sitzungsaufzeichnung, Freigabe vor dem Zugriff und Just-in-time-Rechte, die nur während einer Aufgabe bestehen. Vollständige PAM-Produkte passen zu größeren Unternehmen und regulierten Umgebungen. Ein kleines Unternehmen deckt das Wesentliche auch ohne ab: ein Inventar privilegierter Konten, separate Administratorkonten mit phishing-resistenter MFA, einzigartige lokale Administratorpasswörter, die ein Werkzeug verwaltet, ein Bastion-Host für die Fernverwaltung und eine vierteljährliche Prüfung. Wählen Sie ein PAM-Produkt, wenn die Zahl der Administratoren, Dienstleister oder Prüfanforderungen diese Handarbeit unzuverlässig macht. NetSenX ist kein PAM-Werkzeug. Es ergänzt eines, indem es zeigt, wo im Netz privilegierte Sitzungen stattfinden, und solche, die nicht zum normalen Verhalten eines Hosts passen, als laterale Bewegung markiert, in jedem Plan.

https://netsenx.com/de/faq/what-is-privileged-access-management

## Sieht Netzwerküberwachung Angriffe auf Konten und das Verzeichnis?

Teilweise, und NetSenX weniger, als man erwarten könnte. Viele Identitätsangriffe spielen sich in Anmeldesystemen ab: Password Spraying gegen Cloud-Konten, Phishing von MFA-Codes, gestohlene Sitzungstokens und der Missbrauch von Verzeichnisberechtigungen. Sie hinterlassen Spuren in den Protokollen von Identitätsanbieter, Verzeichnis und Cloud, nicht in Ihrem Büronetz, und erkannt werden sie von den Werkzeugen, die diese Protokolle lesen, etwa der Risikoerkennung des Identitätsanbieters, einem EDR oder einem SIEM. Manche Verzeichnisangriffe laufen über das Netz, etwa wenn ein Arbeitsplatz plötzlich viele Diensttickets beim Domänencontroller anfordert, und spezialisierte Werkzeuge beobachten diese Protokolle. NetSenX löst keine Alarme zu Identitätsereignissen aus. Es sieht das Geräteverhalten drumherum: wiederholte Anmeldeversuche an überwachten Hosts als Brute Force sowie laterale Bewegung, Scans und Beaconing, die einer Kontoübernahme folgen, in jedem Plan. Nutzen Sie es neben Ihren Identitätsprotokollen, nicht an ihrer Stelle.

https://netsenx.com/de/faq/can-network-monitoring-see-identity-attacks

## Verlangt NIS2 Zero Trust?

Nein, NIS2 nennt Zero Trust nicht, aber mehrere der geforderten Maßnahmen weisen in dieselbe Richtung. Artikel 21 der Richtlinie (EU) 2022/2555 verlangt von betroffenen Einrichtungen risikobasierte Maßnahmen, darunter Konzepte für die Zugriffskontrolle, die Verwaltung von Anlagen, den Einsatz von Multi-Faktor-Authentifizierung oder kontinuierlicher Authentifizierung, gesicherte Kommunikation und die Sicherheit der Lieferkette. Zero-Trust-Praktiken wie die Prüfung jedes Nutzers und Geräts, minimale Rechte und Netzsegmentierung sind ein praktischer Weg, diese Maßnahmen umzusetzen, die Richtlinie überlässt die Methode aber Ihnen, und nationale Umsetzungen und Leitfäden können Details ergänzen; prüfen Sie das Recht Ihres Landes. Prüfer suchen eine dokumentierte Risikobewertung, dazu passende Maßnahmen und Nachweise, dass sie wirken. NetSenX liefert Nachweise auf der Netzwerkseite: welche Hosts in überwachten Segmenten miteinander sprechen und Alarme zu lateraler Bewegung, Scans und Beaconing, in jedem Plan. Konform macht es Sie nicht.

https://netsenx.com/de/faq/does-nis2-require-zero-trust

## Wie begrenzen wir, was ein kompromittiertes Notebook erreichen kann?

Gehen Sie davon aus, dass ein Notebook kompromittiert wird, und legen Sie vorab fest, wie wenig es berühren können soll. Normale Notebooks müssen selten miteinander sprechen, blockieren Sie also den Verkehr zwischen Notebooks mit der Client-Firewall oder Switch-Einstellungen; lassen Sie sie Server nur auf den Ports erreichen, die ihre Anwendungen nutzen; halten Sie Backups, Verwaltungsoberflächen und die Admin-Wege des Domänencontrollers außer Reichweite; und sorgen Sie dafür, dass der Nutzer kein lokaler Administrator ist, damit Schadsoftware den Schutz nicht einfach abschalten oder Passwörter anderer Konten abgreifen kann. Im VPN geben Sie jeder Gruppe nur Zugriff auf das, was sie braucht. Prüfen Sie das Ergebnis dann mit echtem Verkehr, denn ein Regelwerk auf Papier hat oft Lücken. NetSenX zeigt, welche Hosts in überwachten Segmenten miteinander sprechen, und markiert neue Host-zu-Host-Sitzungen, die nicht zum normalen Verhalten eines Notebooks passen, als laterale Bewegung, dazu Scans und Beaconing, in jedem Plan, sodass Sie sehen, wohin ein kompromittiertes Notebook noch reichen könnte.

https://netsenx.com/de/faq/how-to-limit-what-a-compromised-laptop-can-reach

## Sollten unsere Server jede Adresse im Internet erreichen dürfen?

Nein. Die meisten Server brauchen eine kurze Liste ausgehender Ziele, etwa Update-Server, ein Backup-Ziel und einige Partnerdienste, und sonst nichts. Unbeschränkter ausgehender Zugang ist das, was Schadsoftware auf einem Server erlaubt, sich bei ihrem Server zu melden, Werkzeuge nachzuladen und gestohlene Daten hochzuladen. Beschränken Sie ihn mit Egress-Filterung an der Firewall: Erlauben Sie die Ziele, die jeder Server braucht, leiten Sie Webzugriffe über einen Proxy, wenn Sie einen haben, und weisen Sie den Rest ab und protokollieren Sie ihn. Beginnen Sie für einige Wochen im reinen Protokollmodus, um zu sehen, was die Server wirklich nutzen, und verschärfen Sie dann. Regeln auf Basis von Domains sind leichter zu pflegen als Adresslisten, weil Cloud-Dienste ihre Adressen ändern. Dasselbe gilt für Drucker, Kameras und OT-Geräte. NetSenX zeigt, welche externen Ziele überwachte Hosts ansprechen, erkennt in jedem Plan Beaconing und ungewöhnliche ausgehende Datenmengen und führt Ziele auf gemieteten Cloud-Servern in seiner Prüfwarteschlange; das liefert die Liste, die Sie für die Regeln brauchen.

https://netsenx.com/de/faq/should-servers-be-allowed-to-browse-the-internet

## Wie schreiben wir Segmentierungsregeln, ohne etwas kaputtzumachen?

Stützen Sie sie auf beobachteten Verkehr, führen Sie sie schrittweise ein und halten Sie einen Rückweg offen. Zeichnen Sie zunächst einige Wochen lang auf, wer tatsächlich mit wem spricht, einschließlich selten laufender Aufgaben: Backups, Lohnabrechnung, Monatsabschlussberichte, der Scanner, der auf eine Freigabe speichert. Entwerfen Sie daraus Freigaberegeln, prüfen Sie sie mit dem Verantwortlichen jedes Systems und entscheiden Sie, welche beobachteten Verbindungen es gar nicht geben sollte. Stellen Sie die Firewall dann so ein, dass sie protokolliert, was die neuen Regeln blockieren würden, ohne zu blockieren, und gehen Sie jedem Treffer nach. Erst danach setzen Sie durch, Segment für Segment, mit einem Rückfallplan und jemandem vor Ort. Dokumentieren Sie das Regelwerk mit Begründung und Verantwortlichem für jede Regel. Die Netzwerkkarte von NetSenX zeigt die Host-zu-Host-Kommunikation in überwachten Segmenten, in jedem Plan, also genau das Bild des beobachteten Verkehrs, das diese Methode braucht, und ihre Alarme zu lateraler Bewegung zeigen danach Sitzungen, die nicht zur neuen Normalität passen.

https://netsenx.com/de/faq/how-to-build-allow-rules-from-real-traffic

## Ist eine DMZ für ein kleines Unternehmen noch sinnvoll?

Ja, immer dann, wenn Sie etwas betreiben, das das Internet oder ein anderes nicht vertrauenswürdiges Netz erreichen muss. Eine demilitarisierte Zone (DMZ) ist ein eigenes Netzsegment zwischen der Außenwelt und Ihrem internen Netz, in das Sie Systeme stellen, die Verbindungen von außen annehmen müssen, etwa einen Webserver, ein Mail-Relay, ein Fernzugangs-Gateway oder einen Server für Dateiübertragungen. Wird einer davon kompromittiert, steht der Angreifer in der DMZ, und Firewall-Regeln hindern ihn daran, Verbindungen ins interne Netz aufzubauen. Dieselbe Idee trennt in Werken das Büro- vom Produktionsnetz. Viele kleine Unternehmen betreiben keine öffentlichen Dienste mehr selbst, dann ist die DMZ klein oder überflüssig; sobald Sie aber einen Port auf einen internen Server weiterleiten, haben Sie ein DMZ-Problem ohne DMZ. Halten Sie DMZ-Hosts aktuell und schlank und erlauben Sie nach innen nur die konkreten Verbindungen, die sie brauchen. In einem überwachten Segment erkennt NetSenX laterale Bewegung und Scans von einem DMZ-Host in Richtung interner Hosts, in jedem Plan.

https://netsenx.com/de/faq/is-a-dmz-still-useful

## Können wir ein kleines Büronetz ohne neue Hardware segmentieren?

Oft ja, zumindest teilweise. Prüfen Sie, was Sie schon haben: Viele Business-Router und Firewalls unterstützen VLANs und Regeln dazwischen, viele verwaltete Switches ebenso, und die meisten WLAN-Systeme können ein eigenes Gästenetz mit Client-Isolation betreiben. Sind Ihre Switches nicht verwaltet, beginnen Sie mit dem, was ohne sie geht: ein Gäste-WLAN mit Isolation für Besucher und private Geräte, die Host-Firewall auf jedem PC und Server so eingestellt, dass sie nur das Nötige erlaubt, Verkehr zwischen Notebooks blockiert und Dateifreigaben auf die Gruppen beschränkt, die sie nutzen. Ersetzen Sie nicht verwaltete Switches schrittweise, zuerst dort, wo Server und Backups stehen. Schreiben Sie auf, was Sie getrennt haben und warum, damit die nächste Person es nicht rückgängig macht. Prüfen Sie dann mit echtem Verkehr, ob es funktioniert. NetSenX zeigt, welche Hosts in überwachten Segmenten miteinander sprechen, in jedem Plan; ein Agent an einem SPAN- oder TAP-Port, wofür es einen Switch mit Spiegelfunktion oder einen TAP braucht, zählt als ein Gerät für dieses Segment.

https://netsenx.com/de/faq/how-to-segment-a-small-office-without-new-hardware

## Wie schützen wir unseren Domänencontroller oder Verzeichnisserver?

Behandeln Sie ihn als Ihr wertvollstes System, denn wer ihn kontrolliert, kontrolliert jedes Konto. Begrenzen Sie, wer sich an ihm anmelden darf: nur wenige persönliche Administratorkonten mit phishing-resistenter MFA, genutzt von einem eigenen Admin-Arbeitsplatz und nie für E-Mail oder Surfen. Halten Sie ihn aktuell, betreiben Sie nichts anderes darauf, sperren Sie seinen Internetzugang bis auf das Nötige und lassen Sie normale PCs ihn nur auf den Ports erreichen, die die Authentifizierung braucht, nicht für Remote-Desktop oder Admin-Freigaben. Halten Sie eine getestete Offline-Sicherung des Verzeichnisses und einen dokumentierten Wiederherstellungsplan bereit, denn ein Verzeichnis unter Druck neu aufzubauen ist schwer. Prüfen Sie die Mitgliedschaft in Administratorgruppen regelmäßig und beobachten Sie die Sicherheitsprotokolle des Verzeichnisses mit einem Werkzeug, das sie liest. Im Netz markiert NetSenX neue Sitzungen zum Domänencontroller, die nicht zum normalen Verhalten eines Hosts passen, etwa ein Marketing-PC, der nachts eine Fernsitzung öffnet, als laterale Bewegung, in jedem Plan. Die Protokolle des Verzeichnisses liest es nicht.

https://netsenx.com/de/faq/how-to-protect-the-domain-controller

## Bedeutet Zero Trust, Mitarbeitende zu überwachen?

Nein. Zero Trust heißt, Zugriff nicht auf bloßes Vertrauen hin zu gewähren: Jedes Gerät und jedes Konto weist sich aus, erhält nur, was es braucht, und sein Zugriff wird laufend geprüft. Das betrifft Geräte, Konten und Verbindungen, nicht die Arbeit der Menschen, und verlangt nicht, irgendjemandes Inhalte zu lesen. Es bringt aber Protokollierung mit sich, etwa von Anmeldungen, Gerätezustand und Netzwerkverbindungen, seien Sie also transparent: Sagen Sie Mitarbeitenden, was protokolliert wird, warum und wie lange, beziehen Sie den Betriebsrat ein, wo es einen gibt, und führen Sie eine Datenschutz-Folgenabschätzung durch, wo das Gesetz sie verlangt. Halten Sie die Daten minimal und den Zweck auf die Sicherheit begrenzt. NetSenX ist so gebaut: Es beobachtet Geräte und Verbindungen, keine Menschen, wertet Verbindungsmetadaten aus, um Angriffe zu erkennen, entschlüsselt nie Verkehr und bewertet oder reiht keine Mitarbeitenden. Seine Alarme nennen Hosts und Adressen; braucht ein Alarm den Kontext einer Person, bleibt dieser Schritt in Ihrem eigenen Prozess.

https://netsenx.com/de/faq/does-zero-trust-mean-monitoring-employees

FAQ: https://netsenx.com/de/faq