Digitale Vertrauensinfrastruktur: vom Hinweis zur Entscheidung

Vertrauen braucht einen konkreten Bezug.

Der Ausdruck digitale Vertrauensinfrastruktur beschreibt hier das Zusammenspiel von Regeln und technischen Nachweisen. Er bezeichnet kein einzelnes Produktmerkmal. Ein Unternehmen muss beispielsweise festlegen, wer einen Dienst administrieren darf, wie eine Handlung bestätigt wird und wie spätere Rückfragen geklärt werden.

Authentisierung und Berechtigung lösen unterschiedliche Aufgaben: Ein bestätigter Zugang bedeutet noch nicht, dass jede Aktion erlaubt ist. Rechte müssen zur jeweiligen Ressource und Handlung passen. Diese Trennung ist eine Grundlage für nachvollziehbare Entscheidungen, auch wenn mehrere Anwendungen beteiligt sind.

Fachliche Grundlage: OWASP: Authorization Cheat Sheet

Was ein Scanner dazu beitragen kann.

Centira beginnt bei der Beobachtung. Der Scanner prüft öffentlich sichtbare Merkmale einer Unternehmensdomain und ordnet Hinweise aus verfügbaren Quellen ein. Ein Befund kann zeigen, dass eine Einstellung geprüft werden sollte. Er legt nicht fest, wer sie ändern darf oder ob eine bestimmte Änderung bereits genehmigt wurde.

Beispiel: Eine fehlende Richtlinie für den E-Mail-Schutz wird gemeldet. Die IT muss zunächst prüfen, welche Dienste im Namen der Domain versenden. Erst daraus entsteht ein geeigneter Änderungsplan. Der Befund ist der Ausgangspunkt; Zuständigkeit und Umsetzung gehören zum betrieblichen Ablauf.

Auch eine Verifizierung hat einen begrenzten Zweck.

Die Domain-Verifizierung in Centira dient dem Nachweis, dass ein Unternehmen die Internetadresse kontrolliert. Sie schafft die Grundlage für weitergehende freigegebene Prüfungen. Sie bestätigt weder die Sicherheit aller Systeme noch die Identität jeder Person, die im Unternehmen arbeitet.

Die praktische Frage lautet deshalb immer: Verifiziert wofür? Ein Domain-Nachweis, eine erfolgreiche Anmeldung und eine Freigabe durch die Geschäftsführung können alle korrekt sein und trotzdem verschiedene Sachverhalte betreffen. Eine Oberfläche sollte diese Unterschiede verständlich benennen.

Vom Hinweis zu einer begründeten Entscheidung.

Für einen internen Ablauf lässt sich jede Maßnahme entlang weniger Angaben dokumentieren: betroffene Domain, beobachteter Zustand, Zeitpunkt, zuständige Person, geplante Änderung und Ergebnis der Nachprüfung. Das hilft auch dann, wenn ein Anbieter vorübergehend keine Daten liefert oder eine Quelle nur eingeschränkt verfügbar ist.

CyberSafe24 entwickelt zusätzlich einen Ansatz für physische Signale bei digitalen Freigaben. Welche zusätzliche Aussage ein solcher Nachweis leisten kann, muss untersucht werden. Die Verbindung beider Arbeitsfelder liegt im Ziel einer nachvollziehbaren Entscheidung; ein Scannerbefund wird dadurch nicht zu einem Nachweis menschlicher Absicht.