MSP-FAQ: Governance-Checkliste für Fernzugriff nach einer Client-CVE

Jedes Mal, wenn eine kritische Schwachstelle in einem Fernzugriffs- oder RMM-Tool auftritt, stehen MSPs vor zwei Aufgaben gleichzeitig: die konkrete Schwachstelle patchen und die Governance rund um das Tool selbst überprüfen. CISA, die NSA und das Multi-State Information Sharing and Analysis Center (MS-ISAC) haben gemeinsame Leitlinien veröffentlicht, die sich gezielt auf diese zweite Aufgabe konzentrieren.

Warum RMM-Tools ein beliebtes Ziel sind

Die gemeinsame Warnung der Behörden zur böswilligen Nutzung von RMM-Software stellt fest, dass Bedrohungsakteure gezielt die legitimen RMM-Tools ins Visier nehmen, die MSPs und IT-Helpdesks bereits nutzen, da eine einzige kompromittierte MSP-Anmeldung einen großen Teil der Kundenbasis dieses MSPs auf einmal offenlegen kann. Dieselbe Dynamik zeigte sich in großem Maßstab beim Kaseya-VSA-Vorfall 2021, bei dem eine Kompromittierung über MSP-Beziehungen auf mehr als 1.500 nachgelagerte Organisationen übergriff.

Was die Governance-Checkliste abdeckt

Der begleitende „Leitfaden zur Sicherung von Fernzugriffssoftware“ von CISA richtet sich ebenso an die Kunden von MSPs wie an die MSPs selbst und konzentriert sich auf das Zugriffsmodell statt auf eine einzelne CVE: wer privilegierte Fernzugriffsrollen innehat, ob MFA für diesen Zugriff verpflichtend ist, ob die Protokollierung umfassend genug ist, um zu rekonstruieren, was eine Sitzung getan hat, und ob der direkte Zugriff auf Protokollserver außerhalb der Reichweite des RMM-Tools selbst gehalten wird, damit ein Angreifer, der in das Tool gelangt, nicht auch die Beweise löschen kann.

Umsetzung der Leitlinien in eine Post-CVE-Checkliste

• Zuerst den Patch-Status bestätigen, dann separat prüfen, wer derzeit Fernzugriffsrollen für das betroffene Tool innehat.
• MFA für jedes Fernzugriffskonto verpflichtend machen, sowohl für Techniker als auch für kundenorientierte Konten.
• Sicherstellen, dass die Protokollierung Sitzungsbeginn/-ende, ausgeführte Befehle und Dateiübertragungen abdeckt – nicht nur Anmeldeereignisse.
• Protokollspeicher und die Möglichkeit, Protokolle zu löschen oder zu ändern, außerhalb der Reichweite des RMM-Tools selbst halten.
• Die Fernzugriffsrolle jedes Technikers auf die Kundentenants beschränken, die tatsächlich betreut werden.

Eine gepatchte CVE schließt eine Tür; die Governance-Prüfung sorgt dafür, dass die nächste nicht die gesamte Infrastruktur öffnet.

Quellen: CISA/NSA/MS-ISAC — Schutz vor böswilliger Nutzung von RMM-Software, CISA — Leitfaden zur Sicherung von Fernzugriffssoftware.