Unsere Case Studies geben Einblicke in reale Kundenprojekte und zeigen, wie unsere Lösungen im Alltag funktionieren: nachvollziehbar, skalierbar und belastbar. Wir beschreiben Ausgangslage, Anforderungen und Umsetzung und machen den erzielten Mehrwert anhand konkreter Ergebnisse sichtbar. So erhalten Sie einen authentischen Eindruck davon, wie moderne IT- und Sicherheitslösungen in unterschiedlichen Organisationen eingesetzt werden. Wir danken unseren Kunden für das Vertrauen und die Bereitschaft, ihre Erfahrungen öffentlich zu teilen.
Mit der Lamprecht Transport AG zeigen wir, wie ein Schweizer Logistikdienstleister privilegierte Zugriffe konsequent absichert und sich gezielt vor Insider-Angriffen schützt. Als Orientierungsrahmen dient der IKT-Minimalstandard des Bundes. Im Mittelpunkt stehen die Umstellung auf ein Tiered-Admin-Modell, Privileged Access Management mit automatischer Passwort-Rotation sowie die lückenlose Überwachung von Benutzeraktionen interner und externer Administratoren. Ergänzend zeigen wir, wie die erfassten Metadaten via Syslog in die Analyse des SOC-Anbieters einfliessen und wie sich die Massnahmen auf ISO/IEC 27001 sowie das revDSG abbilden lassen.
Über Lamprecht
Die Lamprecht Transport AG mit Hauptsitz in Basel ist ein unabhängiges Schweizer Familienunternehmen, das seit seiner Gründung im Jahr 1945 massgeschneiderte Transport- und Logistikleistungen erbringt und heute in dritter Generation geführt wird. Mit über 300 Mitarbeitenden, Niederlassungen in Basel, Zürich, Genf, Ramsen und St. Gallen sowie dem Logistikzentrum Wannenboden in Pratteln deckt Lamprecht Luftfracht, Seefracht, Strassentransporte, Zolldienstleistungen, Projekttransporte und Logistiklösungen ab. Gerade in der Luftfracht und in internationalen Lieferketten sind Verfügbarkeit, Integrität und Vertraulichkeit der IT-Systeme zentrale Erfolgsfaktoren. Zugriffe auf geschäftskritische Systeme sollen deshalb kontrolliert, nachvollziehbar und jederzeit belegbar abgesichert sein.
Ausgangslage & Motivation
Den Anstoss gab Lamprechts eigener Anspruch, die IT-Sicherheit dort weiter zu stärken, wo das grösste Schadenspotenzial liegt: bei den privilegierten Accounts. Wer über Administratorrechte verfügt, kann Sicherheitsmechanismen umgehen, Daten abziehen oder Systeme manipulieren. Lamprecht wollte sich deshalb wirksam vor Insider-Angriffen schützen, unabhängig davon, ob sie von eigenen Mitarbeitenden oder von externen Dienstleistern mit administrativem Zugang ausgehen. Gleichzeitig sollten sämtliche Benutzeraktionen in privilegierten Sitzungen überwachbar und nachvollziehbar sein. Den strukturellen Rahmen dafür schuf die Umstellung auf ein Tiered-Admin-Modell, das administrative Konten konsequent nach Systemebenen trennt. Als Orientierung für die Ausgestaltung der Massnahmen wählte Lamprecht den IKT-Minimalstandard des Bundes. Das heute vom Bundesamt für Cybersicherheit (BACS) betreute Rahmenwerk dient als Empfehlung zur Verbesserung der IKT-Resilienz, basiert auf dem NIST Cybersecurity Framework und enthält konkrete Massnahmen zur Verwaltung von Berechtigungen und Zugangsdaten, zum Prinzip der geringsten Rechte sowie zur Überwachung der Aktivitäten von Mitarbeitenden und externen Dienstleistern.
Simon Löschke
CISO
Herausforderung
Vier zentrale Anforderungen standen im Fokus:
- Schutz privilegierter Accounts vor Insider-Angriffen: Administratorkonten interner Mitarbeitender und externer Dienstleister bergen das grösste Missbrauchspotenzial. Statische, mehreren Personen bekannte Passwörter würden dieses Risiko zusätzlich erhöhen.
- Durchsetzung des Tiered-Admin-Modells: Administratoren dürfen je Tier-Ebene nur die dafür vorgesehenen Accounts verwenden. Diese Regel sollte technisch erzwungen und nicht der Disziplin im Alltag überlassen werden.
- Überwachbarkeit von Benutzeraktionen und SOC-Integration: Aktivitäten in privilegierten Sitzungen sollten lückenlos nachvollziehbar sein und als Metadaten in die Analyse des externen SOC-Anbieters einfliessen.
- Nachweisbarkeit nach IKT-Minimalstandard: Die umgesetzten Massnahmen zu Berechtigungen, Zugangsdaten und Überwachung sollten sich dem anerkannten Rahmenwerk klar zuordnen und jederzeit belegen lassen.
Organisatorische Regeln allein lassen sich im Alltag kaum durchsetzen, und klassische Systemlogs zeigen zwar, dass sich ein Konto angemeldet hat, aber weder, welche Person tatsächlich dahinterstand, noch was in der Sitzung geschah.
Zielsetzung
Lösung
Im Zuge der Umstellung auf das Tiered-Admin-Modell führte Lamprecht Syteca inklusive automatischer Passwort-Rotation ein. Privilegierte Zugangsdaten werden seither zentral und verschlüsselt verwaltet, je Tier-Ebene rollenbasiert freigegeben und regelmässig automatisch geändert. Interne und externe Administratoren greifen über die PAM-Funktionen von Syteca auf die Zielsysteme zu, während jede privilegierte Sitzung aufgezeichnet und mit Kontextdaten angereichert wird. Die erfassten Metadaten leitet Syteca via Syslog an den SOC-Anbieter weiter. So entsteht ein durchgängiger Kontrollkreis aus Zugriffssteuerung, Überwachung und Detektion, der zentrale Massnahmen aus dem IKT-Minimalstandard technisch abdeckt.
Warum Syteca?
PAM nahtlos in das Tiered-Admin-Modell integrieren
Technische Kontrollen und Nachweise für den IKT-Minimalstandard
Rolle der TECHWAY GmbH
Die TECHWAY GmbH begleitete Lamprecht von der Anforderungsanalyse (inkl. Vergleich mehrerer Hersteller) entlang des IKT-Minimalstandards über die Konzeption bis zur produktiven Einführung von Syteca. Im Zentrum stand die Abstimmung der PAM-Architektur auf das neue Tiered-Admin-Modell: Gemeinsam mit Informationssicherheit und IT-Betrieb wurden die Rollen- und Berechtigungskonzepte je Tier-Ebene definiert, die automatische Passwort-Rotation eingerichtet und interne Administratoren sowie externe Dienstleister in den kontrollierten Zugangsweg eingebunden. Ergänzend setzte TECHWAY die Weiterleitung der Syteca-Metadaten via Syslog an den SOC-Anbieter um, sodass privilegierte Aktivitäten nahtlos in das bestehende Security Monitoring einfliessen. So wurden die Massnahmen nicht nur technisch implementiert, sondern auch organisatorisch im Sicherheitskonzept von Lamprecht verankert.
Fazit
Mit Syteca setzt Lamprecht das Tiered-Admin-Modell technisch durch und schützt privilegierte Accounts wirksam vor Missbrauch durch Insider. Automatische Passwort-Rotation, kontrollierte Zugänge für interne und externe Administratoren und die lückenlose Überwachung von Benutzeraktionen setzen zentrale Massnahmen aus dem IKT-Minimalstandard um. Über die Syslog-Anbindung werden privilegierte Aktivitäten zudem Teil der kontinuierlichen Sicherheitsüberwachung durch den SOC-Anbieter. Damit verfügt Lamprecht über ein belastbares Fundament für Transparenz, Kontrolle und Nachweisbarkeit im Umgang mit privilegierten Zugriffen, das sich mit künftigen regulatorischen Anforderungen weiterentwickeln lässt.
FAQ
Was ist der IKT-Minimalstandard und was empfiehlt er für privilegierte Zugriffe?
Der IKT-Minimalstandard ist eine Empfehlung des Bundes zur Verbesserung der IKT-Resilienz. Erarbeitet wurde er von der wirtschaftlichen Landesversorgung, heute betreut ihn das Bundesamt für Cybersicherheit (BACS). Er basiert auf dem NIST Cybersecurity Framework und richtet sich insbesondere an Betreiber kritischer Infrastrukturen, eignet sich aber für jedes Unternehmen als Orientierungsrahmen. Für privilegierte Zugriffe sind vor allem die Massnahmen zur Verwaltung von Berechtigungen und Zugangsdaten (PR.AC-1), zum Prinzip der geringsten Rechte und der Aufgabentrennung (PR.AC-4), zu Audit- und Log-Aufzeichnungen (PR.PT-1) sowie zur Überwachung von Mitarbeitenden und externen Dienstleistern (DE.CM-3, DE.CM-6) relevant. Syteca setzt diese Massnahmen technisch um und macht ihre Umsetzung nachweisbar, etwa gegenüber internen und externen Auditoren.
Was ist ein Tiered-Admin-Modell und wie unterstützt Syteca dessen Durchsetzung?
Ein Tiered-Admin-Modell trennt administrative Konten nach Systemebenen, typischerweise Tier 0 für die Identitätsinfrastruktur, Tier 1 für Server und Applikationen und Tier 2 für Clients. Privilegierte Zugangsdaten einer höheren Ebene werden nie auf Systemen einer tieferen Ebene eingesetzt, damit Angreifer sie dort nicht abgreifen und für die Ausweitung ihrer Rechte missbrauchen können. Syteca gibt jedem Administrator nur die Accounts frei, die für seine Rolle und Ebene vorgesehen sind, und macht jede privilegierte Sitzung nachvollziehbar.
Wie schützt automatische Passwort-Rotation vor Insider-Angriffen?
Statische Passwörter privilegierter Accounts sind oft mehreren Personen bekannt und bleiben über lange Zeit gültig, auch nach Rollenwechseln oder dem Ende eines Dienstleistungsmandats. Syteca ändert diese Passwörter automatisch nach Zeitplan, auf Knopfdruck oder optional nach jeder Rückgabe eines ausgecheckten Passworts. Werden die Zugangsdaten zudem beim Verbindungsaufbau injiziert, müssen Administratoren sie gar nicht erst kennen. Der Missbrauch einmal bekannter Zugangsdaten wird dadurch deutlich erschwert.
Wie fliessen die von Syteca erfassten Daten in das SOC ein?
Syteca leitet Sitzungsmetadaten, Alarme und Audit-Log-Einträge via Syslog in den Standardformaten CEF oder LEEF an SIEM- und SOC-Plattformen weiter, auf Wunsch TLS-verschlüsselt. Der SOC-Anbieter kann privilegierte Aktivitäten so mit weiteren Ereignisquellen korrelieren und Auffälligkeiten schneller bewerten. Über den mitgelieferten Link zum Session Player lassen sich Meldungen zudem direkt im Kontext der jeweiligen Sitzung prüfen.
Ist die Überwachung privilegierter Sitzungen mit dem revDSG vereinbar?
Grundsätzlich ja, sofern sie richtig ausgestaltet ist. Die Überwachung dient der Informationssicherheit und betrifft gezielt privilegierte Tätigkeiten auf kritischen Systemen, nicht das allgemeine Verhalten der Mitarbeitenden. Entscheidend sind ein klar definierter Zweck, Transparenz gegenüber den Betroffenen, eine verhältnismässige Ausgestaltung und ein restriktiver Zugriff auf die Aufzeichnungen. Syteca unterstützt dies unter anderem mit rollenbasierten Berechtigungen und der Maskierung sensibler Daten in den Aufzeichnungen.