Eine Person, ein Konto

Gemeinsame Zugänge sind in kleinen Einrichtungen verbreitet. Ein „admin“-Konto für die Website, ein Passwort für die Social-Media-Seite, ein Login für den Newsletter, bekannt allen, die es im Lauf der Jahre gebraucht haben. Sie sind bequem, bis etwas schiefgeht, und dann machen sie es schlimmer.

Diese Lektion ersetzt gemeinsame Zugänge durch persönliche, wo immer der Dienst es zulässt.

Was ein gemeinsamer Zugang Sie kostet

• Keine Aufzeichnung, wer was getan hat. Im Protokoll der Website steht, dass „admin“ die Seite geändert hat. Fünf Personen sind „admin“.
• Kein sauberer Weg, eine Person zu entfernen. Wenn jemand ausscheidet, ändern Sie das Passwort und teilen es allen anderen mit, oder Sie lassen es, wie es ist, und hoffen.
• Keine echte zweistufige Anmeldung. Der zweite Schritt geht an das Telefon einer Person. Entweder wird diese Person also immer gebraucht, oder der zweite Schritt ist ausgeschaltet.
• Ein gestohlenes Passwort öffnet alles, was dieser Zugang kann.

Die Cybersecurity Performance Goals der CISA verlangen eindeutige Zugangsdaten (Ziel 3.C) und Mehr-Faktor-Authentifizierung mit der stärksten verfügbaren Methode (3.F). Persönliche Konten machen beides möglich.

Die meisten Dienste unterstützen persönliche Zugänge

Bevor Sie annehmen, dass ein Dienst nur einen Zugang hat, suchen Sie in seinen Einstellungen nach „Benutzer“, „Team“, „Mitglieder“, „Rollen“ oder „Personen“. Die meisten haben so etwas:

• Websites: WordPress, Drupal und die meisten gehosteten Baukastensysteme erlauben es, Benutzer mit Rollen anzulegen.
• Social Media: Die großen Plattformen erlauben mehreren Personen, eine Seite oder ein Unternehmenskonto zu verwalten, jede unter ihrer eigenen Anmeldung und mit Rollen.
• Hosting, DNS und Registrare: Die meisten bieten Teammitglieder oder delegierten Zugriff an.
• Newsletter-, Formular- und Analysedienste: Die meisten haben Team- oder Benutzereinstellungen, manchmal nur in kostenpflichtigen Tarifen.

Geben Sie jeder Person einen eigenen Zugang, mit ihrer eigenen dienstlichen E-Mail-Adresse und ihrer eigenen zweistufigen Anmeldung.

Wenn ein Zugang wirklich geteilt werden muss

Manche Dienste erlauben nur ein Konto oder verlangen für weitere Geld. Für diese gilt:

1. Verwenden Sie ein Funktionspostfach als Login-E-Mail, etwa webmaster@ oder sekretariat@, das von mindestens zwei Personen gelesen wird. Niemals eine private Adresse.
2. Bewahren Sie das Passwort in einem gemeinsamen Tresor im Passwortmanager der Einrichtung auf, beschränkt auf die Personen, die es brauchen.
3. Richten Sie eine zweistufige Anmeldung ein, die die Vertretung erreichen kann. Viele Passwortmanager können den Codegenerator eines Zugangs im gemeinsamen Tresor speichern. Ein zweiter Sicherheitsschlüssel, der für dasselbe Konto registriert ist, ist eine weitere Möglichkeit.
4. Halten Sie fest, wer Zugang hat, in Ihrem Inventar aus Lektion 1.
5. Ändern Sie das Passwort, sobald eine Person mit Zugang ausscheidet.

Private Konten für dienstliche Zwecke

Ein häufiges Muster: Die Social-Media-Seite der Gemeinde wird über das private Konto einer mitarbeitenden Person verwaltet. Das kann auf Plattformen vertretbar sein, die zum Verwalten einer Seite ein persönliches Profil verlangen, sofern mindestens zwei Mitarbeitende Administratorrollen auf der Seite haben und die Seite zum Unternehmenskonto der Einrichtung gehört, wo die Plattform ein solches anbietet. Tragen Sie jede Person in das Inventar ein.

Vom gemeinsamen zum persönlichen Zugang

Gehen Sie Dienst für Dienst vor und beginnen Sie mit dem wichtigsten (zuerst Registrar und Website):

1. Legen Sie persönliche Konten für die Personen an, die Zugang brauchen, mit der passenden Rolle (Lektion 3).
2. Lassen Sie jede Person sich anmelden und die zweistufige Anmeldung einschalten.
3. Ändern Sie das gemeinsame Passwort und bewahren Sie es nur für Notfälle im Tresor auf, oder deaktivieren Sie das gemeinsame Konto, wenn der Dienst es erlaubt.
4. Aktualisieren Sie das Inventar.