Schlüsselpunkte

• „Sicherer Browser“ und „unternehmenstauglicher Browser“ sind nicht dasselbe, und die falsche Wahl für den jeweiligen Bedarf verschwendet nicht nur Budget, sondern hinterlässt zugleich Sicherheitslücken.
• Der Browser ist inzwischen zur primären Angriffsfläche im Unternehmen geworden, dennoch verfügen die meisten Unternehmen weiterhin über keine Sicherheitskontrollen auf Sitzungsebene.
• Es lassen sich vier Ansätze für Browser-Sicherheit unterscheiden, nämlich die Verwaltung bestehender Browser, Erweiterungen, Remote-Browser-Isolation und unternehmenstaugliche Browser, wobei die meisten Unternehmen auf mehr als einen dieser Ansätze zurückgreifen müssen.
• Die eigene Browser-Sicherheitsrichtlinie sollte das jeweilige Problem klar definieren, noch bevor überhaupt ein Anbieter oder Produkt bewertet wird.
• Die richtige Strategie ordnet dabei jedes Tool gezielt einer bestimmten Benutzergruppe und einem entsprechenden Risikoniveau zu, anstatt auf eine einzige Lösung für alle zu setzen.

Wahrscheinlich sind Ihnen die Begriffe „Sicherer Browser“ und „unternehmenstauglicher Browser“ bereits in IT-Meetings oder Gesprächen mit Anbietern begegnet, und vermutlich haben Sie sich gefragt, ob damit eigentlich dasselbe gemeint ist. Schließlich müssten doch alle Unternehmen ohnehin einen sicheren Browser einsetzen, oder?

Ganz so einfach ist es jedoch nicht. Es gibt durchaus feine Unterschiede zu beachten, und in diesem Leitfaden erklären wir, was unter einem sicheren Browser zu verstehen ist, wie er sich von einem unternehmenstauglichen Browser unterscheidet und wie sich herausfinden lässt, welcher davon, oder welche Kombination beider, für das eigene Unternehmen tatsächlich die richtige Wahl ist.

Warum der Browser mittlerweile ein Sicherheitsproblem darstellt

Vor gar nicht allzu langer Zeit, genauer gesagt vor etwa 40 Jahren, laut CERN, entstand das World Wide Web und mit ihm der Browser, der ursprünglich lediglich als eine Art „Fenster“ zum Internet diente. Heute hingegen findet dort der Großteil der eigentlichen Arbeit von Beschäftigten statt. Sie melden sich bei SaaS-Anwendungen an, verarbeiten personenbezogene Daten (PII), benutzen KI-Tools und authentifizieren sich bei Finanzsystemen. All dies geschieht innerhalb eines einzigen Browser-Tabs.

Durch diesen Wandel ist der Browser zur zugleich folgenreichsten und am wenigsten geschützten Anwendung im gesamten Unternehmen geworden. Ein Senior Principal Analyst von Gartner bezeichnete Webbrowser sogar als die primäre Zugriffsmethode für die meisten modernen Unternehmensanwendungen, dennoch behandeln viele Unternehmen sie weiterhin wie passive Tools, ohne jegliche Richtliniendurchsetzung auf Sitzungsebene. Klassische Firewalls und frühe VPN-Lösungen etwa waren von Anfang an nie dafür ausgelegt, tatsächlich zu erkennen, was innerhalb einer Browser-Sitzung geschieht. Genau diesen blinden Fleck machen sich Bedrohungsakteure gezielt zunutze.

Browserbasierte Angriffe nehmen dabei deutlich zu. Allein in diesem Jahr waren rund 48 % der untersuchten Vorfälle mit browserbasierter Aktivität verbunden, wie Palo Alto Networks berichtet. Erschwerend kommt hinzu, dass IT-Expert:innen feststellen, dass Cyberkriminelle inzwischen viermal schneller in Unternehmen eindringen als noch im vergangenen Jahr.

Damit wird deutlich, dass der Browser längst zum neuen Perimeter geworden ist. Die eigentliche Frage lautet nun, wie sich dieser wirksam absichern lässt.

Was ist eine Browser-Sicherheitsrichtlinie?

Bevor Sie einzelne Produkte miteinander vergleichen, hilft es zunächst, jenes Konzept zu verstehen, das Ihre Entscheidung eigentlich leiten sollte: die Browser-Sicherheitsrichtlinie.

Im Kern handelt es sich bei einer Browser-Sicherheitsrichtlinie schlicht um ein Regelwerk, das festlegt, wie Browser innerhalb Ihres Unternehmens konfiguriert, überwacht und verwendet werden. Sie umfasst dabei unter anderem, welche Browser zugelassen sind, wie Erweiterungen verwaltet werden, welche Websites Benutzer aufrufen dürfen, ob eine private Synchronisierung zulässig ist, wie mit Downloads und Uploads verfahren wird und was geschieht, sobald ein Benutzer von einem unverwalteten Gerät aus auf eine sensible Anwendung zuzugreifen versucht.

Fehlt eine solche Richtlinie, kaufen IT-Teams häufig bereits Tools ein, bevor das eigentliche Problem überhaupt klar definiert wurde. Das Ergebnis ist dann entweder eine Überdimensionierung, etwa wenn ein vollständiger unternehmenstauglicher Browser eingeführt wird, obwohl striktere Chrome-Einstellungen völlig ausgereicht hätten, oder eine Unterdimensionierung, etwa wenn schlicht angenommen wird, der Standardbrowser sei bereits ausreichend abgesichert, weil er „ja von der IT verwaltet wird“.

Sicherer Browser versus unternehmenstauglicher Browser

Obwohl beide Begriffe häufig synonym verwendet werden, ist ein „Sicherer Browser“ keineswegs dasselbe wie ein „unternehmenstauglicher Browser“.

Was ist ein sicherer Browser?

Ein sicherer Browser ist im Kern ein Browser, der gezielt gegen die Gefahren des offenen Internets abgehärtet wurde. Die zugrunde liegende Philosophie ist dabei denkbar einfach: Das Web stellt eine feindliche Umgebung dar, und die meisten Consumer-Browser wurden von vornherein nicht mit Blick auf die Bedrohungslage in Unternehmen entwickelt. Ein sicherer Browser begegnet diesem Umstand, indem er zusätzliche Schutzschichten direkt in das tägliche Browsing-Erlebnis integriert beziehungsweise darum aufbaut.

In der Praxis kann dies etwa Folgendes umfassen:

• URL- und Inhalts-Filterung, um den Zugriff auf bekanntermaßen schädliche oder unangemessene Webseiten zu blockieren
• Anti-Phishing-Schutz, der vor verschiedenen Angriffen auf Anmeldeinformationen warnt, etwa vor Credential Dumping oder Credential Stuffing.
• Malware-Schutz zur Verhinderung von Drive-by-Downloads.
• Beschränkungen bei Down- und Uploads, um zu begrenzen, wie Dateien innerhalb einer Browser-Sitzung bewegt werden können
• Kontrollen der Zwischenablage, die verhindern, dass sensible Inhalte in nicht vertrauenswürdige Ziele eingefügt werden.

Wichtig dabei ist: Ein Sicherer Browser muss keineswegs ein eigenständiges Produkt sein. Ebenso kann es sich um einen bereits bestehenden Browser wie Chrome oder Edge handeln, der entsprechend konfiguriert, abgesichert und über eines der besten Tools für das Endpunkt-Management durchgesetzt wird. Der entscheidende Unterschied besteht jedoch darin, dass die Kontrollen eines sicheren Browsers vorwiegend nach außen gerichtet sind. Sie schützen Benutzer:innen vor Gefahren aus dem Web, richten ihren Fokus jedoch weniger darauf, was Benutzer:innen innerhalb der von ihnen benutzten Anwendungen tatsächlich tun.

Was ist ein unternehmenstauglicher Browser?

Ein unternehmenstauglicher Browser verfolgt ein deutlich ambitionierteres Konzept. Anstatt Benutzer:innen lediglich vor Bedrohungen aus dem Web zu schützen, verwandelt er den Browser selbst in einen vollständig verwalteten Arbeitsbereich für Unternehmen, in dem IT-Teams zentrale Kontrolle über Zugriff, Datenbewegung, Sitzungsverhalten, Anwendungsbereitstellung und Benutzeraktivität ausüben.

Konkret ermöglichen unternehmenstaugliche Browser unter anderem Folgendes:

• das Einschränken oder Zulassen von Kopieren und Einfügen je Anwendung
• das Blockieren von Screenshots, das auf Betriebssystemebene durchgesetzt wird und nicht lediglich als Richtlinienvorschlag besteht
• das Versehen angezeigter Inhalte mit einem Wasserzeichen, um unbefugte Aufnahmen zu erschweren
• das Steuern von Datei-Downloads und -Uploads anhand präziser, kontextbezogener Regeln
• die Kontrolle über Druckvorgänge
• die Verwaltung von Erweiterungen
• die Bereitstellung interner Anwendungen, ohne dass hierfür ein VPN erforderlich wäre
• die Integration mit unternehmensinternen Identitätsanbietern wie Okta zur Unterstützung von Single-Sign-on und MFA
• die Funktion als Zugriffskontrollebene für Auftragnehmer und BYOD-Benutzer:innen, die andernfalls auf eine VDI-Sitzung oder eine VPN-Verbindung angewiesen wären

Diese Kontrolltiefe ist zweifellos beeindruckend, geht jedoch verständlicherweise mit erheblichen Kompromissen einher. Laut Gartner setzen derzeit weniger als 10 % der Unternehmen einen sicheren, unternehmenstauglichen Browser ein, was sich auf verschiedene Gründe zurückführen lässt, unter anderem darauf, dass Benutzer:innen dafür von Chrome oder Edge abgebracht werden müssten, mit denen viele Mitarbeitende bereits vertraut sind. Dadurch entstehen nicht nur Widerstände bei der Einführung, sondern auch eine beträchtliche anfängliche finanzielle Investition, da Unternehmen kostenlose Consumer-Browser in großem Umfang durch lizenzierte Lösungen ersetzen müssen.

Warum diese Unterscheidung in der Praxis so wichtig ist

Das Verständnis dieser Unterschiede wirkt sich unmittelbar auf Ihr IT-Budget, Ihre Effizienz und Ihre Arbeitsabläufe aus. Ein Unternehmen, das einen unternehmenstauglichen Browser einführt, obwohl eigentlich lediglich strengere Secure-Browser-Einstellungen nötig wären, hat das Problem überdimensioniert und Benutzer:innen damit unnötige Reibung im Arbeitsalltag zugemutet. Umgekehrt hat ein Unternehmen, das sich mit strengeren Chrome-Richtlinien begnügt, obwohl es für seine Auftragnehmer eigentlich einen unternehmenstauglichen Browser bräuchte, das Problem unterdimensioniert und dadurch reale Datenrisiken bestehen lassen.

In der Praxis bedeutet dies, dass die eigentlich entscheidende Frage nicht lautet: „Sollten wir uns für einen sicheren Browser oder einen unternehmenstauglichen Browser entscheiden?“, sondern vielmehr: „Welches Problem wollen wir eigentlich konkret lösen?“

Lautet die Antwort etwa: „Unsere Benutzer:innen klicken auf schädliche Links, und wir haben keinerlei Einblick in die Webaktivität“, dürfte ein sicherer Browser die passendere Wahl sein. Lautet die Antwort hingegen: „Wir haben 500 Auftragnehmer, die von unverwalteten Laptops aus auf Kundendaten zugreifen, und wir haben keine Kontrolle auf Sitzungsebene darüber, was sie dort tun“, eignet sich ein unternehmenstauglicher Browser deutlich besser.

Allerdings zeigt sich in den meisten Unternehmen jeder Größenordnung ehrlicherweise, dass beide Probleme gleichzeitig auftreten, verteilt über unterschiedliche Benutzer:innen, Geräte und Anwendungen. Genau deshalb setzen die ausgereiftesten Strategien für Browser-Sicherheit in der Regel auf eine Kombination verschiedener Ansätze, anstatt sich auf eine einzige Lösung für alle zu verlassen.

Direkter Vergleich

Vier Ansätze zur Browsersicherheit

Grundsätzlich lassen sich vier Ansätze für Browser-Sicherheit unterscheiden, wobei ein Verständnis dafür, welcher Ansatz zum jeweiligen konkreten Anwendungsfall passt, die richtige Entscheidung erheblich erleichtert.

Verwaltung vorhandener Browser

Viele Unternehmen können ihre Browser-Sicherheit deutlich verbessern, ohne Chrome oder Edge dabei vollständig zu ersetzen. Sind die eigenen Geräte bereits über ein MDM oder eine Gruppenrichtlinie verwaltet, lassen sich automatische Updates durchsetzen, nicht mehr unterstützte Browserversionen blockieren, Erweiterungen kontrollieren, die private Synchronisierung einschränken, unternehmensinterne Profile vorschreiben und Download-Regeln festlegen, und all dies ganz ohne ein zusätzliches Produkt.

Dieser Ansatz eignet sich besonders gut, wenn Geräte bereits vollständig verwaltet sind, für sensible Anwendungen bereits bedingter Zugriff besteht und Sicherheitsteams über ausreichende Transparenz hinsichtlich der Browseraktivität verfügen. Da Beschäftigte dabei ihre gewohnten Browser weiterhin benutzen können, ist die Akzeptanzhürde in der Regel besonders gering. Der einzige Haken besteht darin, dass eine konsequente Durchsetzung der Richtlinien sowie verlässliche Prozesse für Berichterstellung und Behebung nötig sind, damit sich dieser Ansatz auch langfristig bewährt.

Sicherheitserweiterungen für den Browser

Sicherheitserweiterungen setzen auf bestehenden Browsern auf und ergänzen diese um eine zusätzliche Sicherheitsebene, ohne dass ein Browserwechsel erforderlich wäre. Solche Erweiterungen können unter anderem Echtzeit-Phishing-Erkennung, DLP-Kontrollen, Transparenz über Schatten-SaaS, die Überwachung der KI-Nutzung sowie Browser-Telemetrie für Sicherheitsteams bereitstellen.

Ihr Vorteil liegt vor allem in der Geschwindigkeit und Flexibilität. Erweiterungen lassen sich deutlich schneller ausrollen als ein vollständiger Browserwechsel und können zudem BYOD- sowie unverwaltete Geräte abdecken, ohne dass hierfür Endpunkt-Agenten erforderlich wären.

Dennoch sollten Erweiterungen nicht als universeller Ersatz für unternehmenstaugliche Browser betrachtet werden. Ihnen fehlt es an Kontrollmöglichkeiten auf Betriebssystemebene, etwa bei Wasserzeichen oder der Blockierung von Screenshots.

Remote-Browser-Isolation (RBI)

Remote-Browser-Isolation lagert die eigentliche Browseraktivität vollständig vom Gerät aus. Ruft ein Benutzer eine Internetseite auf, wird die Seite innerhalb eines cloudbasierten Containers ausgeführt. Auf dem Bildschirm des Benutzers wird lediglich ein sicherer visueller Stream angezeigt, während der eigentliche Webcode das lokale Gerät gar nicht erst erreicht.

Dadurch ist RBI äußerst wirksam gegen Zero-Day-Exploits, Drive-by-Downloads und andere Cybersicherheitsbedrohungen, die auf der lokalen Ausführung von Schadcode beruhen. Besonders gut geeignet ist dieser Ansatz für Benutzer:innen mit hohem Risiko, die auf unverwalteten Geräten arbeiten.

Der Kompromiss besteht jedoch darin, dass RBI zusätzliche Latenz verursachen, Kompatibilitätsprobleme mit komplexen Webanwendungen mit sich bringen und in der Skalierung mit höheren Kosten verbunden sein kann. Die meisten IT-Expert:innen sind sich daher einig, dass sich RBI am besten als gezielte Kontrolle eignet, die ausschließlich auf risikobehaftete Sitzungen angewendet wird, anstatt als übergreifende Lösung für den gesamten Webverkehr.

Unternehmenstaugliche Browser

Unternehmenstaugliche Browser übernehmen die Rendering-Ebene, also jenen Teil des Browsers, der Inhalte tatsächlich auf dem Bildschirm darstellt, wodurch sie eine deutlich tiefere Kontrolle ausüben können, ohne dabei in die zugrunde liegende Anwendung selbst einzugreifen.

Dadurch erweisen sich unternehmenstaugliche Browser als besonders nützlich für Auftragnehmer und externe Anbieter, BYOD-Belegschaften, Callcenter- und BPO-Umgebungen sowie regulierte Benutzer:innen, die mit sensiblen Finanz- oder Gesundheitsdaten arbeiten.

Dennoch liegt die eigentliche Herausforderung in der Einführung selbst. Der Austausch der Browser der Benutzer:innen erfordert eine aufwendige Planung der Bereitstellung, umfassende Kompatibilitätstests, ein höheres Aufkommen beim Helpdesk sowie mit Widerstand seitens der Benutzer:innen. Auch die Kosten für vollständige unternehmenstaugliche Lizenzen können insbesondere für kleinere Unternehmen eine erhebliche Herausforderung darstellen.

Einstellungen für sichere Browser, die jedes Unternehmen standardisieren sollte

Unabhängig davon, für welche Architektur Sie sich letztlich entscheiden, gibt es grundlegende Einstellungen für sichere Browser, deren konsequente Durchsetzung jedem Unternehmen dringend empfohlen wird.

Zu diesen Einstellungen zählen unter anderem:

• Automatische Browser-Updates
• Durchsetzung der Mindestversion
• Zulassungs- und Sperrlisten für Erweiterungen
• Einstellungen für sicheres Surfen und Phishing-Schutz
• Isolierung von Webseiten, sofern sinnvoll
• Anforderungen an verwaltete Profile
• Einschränkungen bei der Browser-Synchronisierung
• Regeln für Passwortspeicherung und automatisches Ausfüllen
• Download-Einschränkungen
• Berechtigungen für Kamera, Mikrofon, Standort und Zwischenablage
• Kontrollen für Pop-ups und Weiterleitungen
• DNS- und Netzwerksicherheitseinstellungen
• Richtlinien für die Anmeldung im Browser
• Kontrollen zum Schutz vor Datenverlust bei sensiblen Anwendungen
• Anforderungen an Protokollierung und Berichterstellung

Diese Einstellungen wirken zunächst grundlegend, dennoch stellen die meisten Unternehmen bei einer tatsächlichen Überprüfung erhebliche Lücken fest.

Die Bedeutung von Integritätsprüfungen bei Browsern

Ein Konzept, das bislang nicht die gebührende Aufmerksamkeit erhält, ist die Browser-Integritätsprüfung, ein Prozess, der überprüft, ob ein Browser die geltenden Sicherheitsanforderungen erfüllt, bevor der Zugriff auf eine sensible Anwendung gewährt wird.

Man kann sich dies als eine Art bedingter Zugriff vorstellen, allerdings auf Browserebene. Bevor ein Benutzer Zugriff auf das Finanzsystem oder das Portal für Patientenakten erhält, prüft das System zunächst, ob ein zugelassener Browser verwendet wird oder ob der Gerätestatus den geltenden Anforderungen entspricht.

Solche Prüfungen können darüber hinaus Folgendes validieren:

• Browser-Version
• Update-Status
• Status des verwalteten Profils
• zugelassener Browsertyp
• Erweiterungsbestand
• riskante oder unbekannte Erweiterungen
• Status der Sicherheitseinstellungen
• Richtlinie zur Passwortspeicherung
• Synchronisierungsstatus des Browsers
• Gerätestatus
• Benutzeridentität
• Risiko der jeweiligen Sitzung
• Richtlinien-Compliance
• ob der Browser vollständig verwaltet, nur eingeschränkt verwaltet oder unverwaltet ist

Browser-Integritätsprüfungen erweisen sich besonders an der Schnittstelle zwischen Identitätsprüfung und der eigentlichen Steuerung von Sitzungen als nützlich. Zero-Trust-Architekturen, die zwar die Identität eines Benutzers überprüfen, die jeweilige Browser-Sitzung selbst jedoch nicht näher untersuchen, weisen dadurch eine bedeutsame Lücke auf, die sich durch solche Integritätsprüfungen wirksam schließen lässt.

Je nach Ergebnis der Prüfung kann dies von einem vollständigen Zugriff über einen eingeschränkten, lesenden Zugriff bis hin zur Weiterleitung der Sitzung über RBI oder einer vollständigen Zugriffsverweigerung reichen. (IT-Teams sollten diese möglichen Ergebnisse bereits im Voraus in ihrer Browser-Sicherheitsrichtlinie klar definieren.)

So wählen Sie den richtigen Ansatz

Die „beste“ Architektur für Browser-Sicherheit besteht in der Regel nicht in einem einzigen Tool, sondern in einer Kombination, die gezielt auf das eigene Risikoprofil und die jeweilige Benutzergruppe abgestimmt ist.

Wir empfehlen, zunächst bei Benutzer:innen mit verwalteten Geräten zu beginnen. Sind Geräte bereits registriert, Richtlinien durchgesetzt und der bedingte Zugriff etabliert, können strenge Browser-Einstellungen in Kombination mit einer Sicherheitserweiterung für den Großteil der Belegschaft bereits ausreichen.

Sobald jedoch Auftragnehmer, externe Anbieter und BYOD-Benutzer:innen hinzukommen, muss die eigene Richtlinie entsprechend angepasst werden. Diese Benutzer:innen greifen häufig von unverwalteten Geräten aus auf Unternehmensanwendungen zu, auf denen sich weder Endpunkt-Agenten installieren noch ein angemessener Gerätestatus durchsetzen lässt. Ein unternehmenstauglicher Browser, der gezielt für diese Benutzergruppe eingesetzt wird, verschafft der IT-Abteilung dabei Kontrollen auf Sitzungsebene, ohne dass hierfür ein vollständiges Geräte-Management notwendig wäre.

Für Benutzer:innen mit hohem Risiko oder Sitzungen mit unbekannten Webinhalten bietet RBI einen zusätzlichen, sinnvollen Schutz. Ebenso können regulierte Teams, etwa im Finanz- oder Gesundheitswesen, von den Kontrollen eines unternehmenstauglichen Browsers oder von strikten, erweiterungsbasierten DLP-Richtlinien profitieren.

Der ausgereifteste Ansatz kombiniert dabei mehrere dieser Optionen. So könnte ein Unternehmen etwa Chrome und Edge für den Großteil der Beschäftigten verwalten, eine Sicherheitserweiterung zur Phishing-Erkennung und zur Transparenz über die KI-Nutzung über die gesamte Belegschaft hinweg einsetzen, RBI für nicht kategorisierte Webseiten benutzen und einen unternehmenstauglichen Browser gezielt für regulierte Benutzergruppen bereitstellen. Entscheidend dabei ist, dass jedes einzelne Tool einem klar definierten Anwendungsfall innerhalb der Browser-Sicherheitsrichtlinie zugeordnet ist.

Kurzcheckliste für Unternehmensteams

Beachten Sie, dass eine korrekt umgesetzte Browser-Sicherheit letztlich einen fortlaufenden Prozess darstellt. Überprüfen Sie diese Checkliste daher regelmäßig, wobei sie zunächst als guter Ausgangspunkt dienen kann.

1. Erfassen Sie sämtliche Browser, die auf verwalteten Geräten im Einsatz sind.
2. Legen Sie je Benutzergruppe und Anwendungsfall fest, welche Browser zugelassen sind.
3. Setzen Sie automatische Updates konsequent durch und blockieren Sie nicht mehr unterstützte Versionen.
4. Überprüfen Sie sämtliche installierten Erweiterungen anhand einer klar definierten Zulassungsliste.
5. Deaktivieren Sie die private Synchronisierung überall dort, wo dadurch ein Risiko für Datenverlust entsteht.
6. Regeln Sie die browserinterne Passwortspeicherung. (Empfehlenswert ist es, das Speichern von Unternehmens-Anmeldeinformationen in privaten Browserprofilen grundsätzlich zu untersagen. Ein sachgerechtes Management der Anmeldeinformationen setzt voraus, dass unternehmensverwaltete Profile ausschließlich für geschäftliche Zwecke benutzt werden.)
7. Wenden Sie bedingten Zugriff auf sensible SaaS-Anwendungen an.
8. Legen Sie für Ihre risikoreichsten Arbeitsabläufe klare Anforderungen an Browser-Integritätsprüfungen fest.
9. Leiten Sie unbekannte oder nicht kategorisierte Webseiten für Benutzer:innen mit hohem Risiko über RBI um.
10. Setzen Sie für Auftragnehmer und regulierte Benutzer:innen gezielt Kontrollen eines unternehmenstauglichen Browsers ein.

Häufige Fehler, die vermieden werden sollten

1. Die Auswahl eines Tools vor der Festlegung einer Richtlinie: Wird ein unternehmenstauglicher Browser angeschafft, ohne zuvor festzulegen, welche Benutzer:innen, Anwendungen und Datenworkflows dieses Kontrollniveau tatsächlich benötigen, deckt die anschließende Einführung häufig nur einen Bruchteil der Belegschaft ab, während zugleich die vollen Kosten der Plattform anfallen.
2. „Sicherer Browser“ und „unternehmenstauglicher Browser“ als dasselbe betrachten: Beide Ansätze lösen unterschiedliche Probleme für unterschiedliche Benutzergruppen. Werden sie miteinander verwechselt, führt dies entweder zu einer Überdimensionierung der Lösung oder hinterlässt reale Sicherheitslücken.
3. Für alle Benutzer dieselben Kontrollen anwenden: Ein/e Entwickler:in, Kundenservice-Mitarbeiter:in, Finanzanalyst:in und ein Auftragnehmer weisen jeweils unterschiedliche Risikoprofile sowie unterschiedliche Anforderungen an die Browser-Sicherheit auf.
4. Browser-Erweiterungen und private Profile außer Acht lassen: Viele IT-Teams investieren erheblich in Netzwerk- und Endpunkt-Sicherheit, lassen dabei jedoch Erweiterungen ungeprüft und ermöglichen es privaten Google- oder Microsoft-Profilen weiterhin, Unternehmenspasswörter mit privaten Geräten zu synchronisieren.
5. Sich auf Browser-Einstellungen verlassen, ohne diese durchzusetzen oder zu überwachen: Fehlt eine Möglichkeit zu überprüfen, ob diese Einstellungen tatsächlich angewendet, überwacht und im Falle einer Abweichung korrigiert werden, existiert die Richtlinie letztlich nur auf dem Papier, nicht jedoch in der Praxis.
6. Auftragnehmer, BYOD-Benutzer:innen und temporäre Mitarbeitende vergessen: Gerade diese Gruppen weisen häufig das höchste Risiko auf, während zugleich die geringste Transparenz über sie besteht.
7. RBI für zu viel Datenverkehr einsetzen: Remote-Browser-Isolation ist zwar bei risikobehafteten Sitzungen äußerst wirksam, führt jedoch bei einer breiten Anwendung auf das alltägliche Browsing zu spürbarer Latenz und Kompatibilitätsproblemen.
8. Browser-Warnmeldungen nicht mit Sicherheits-Workflows verknüpfen: Browser-Telemetriedaten sind nur dann von Nutzen, wenn tatsächlich jemand darauf reagiert. Signale auf Browserebene sollten daher in Ihr SIEM, SOAR oder die bestehenden Workflows des Sicherheitsbetriebs einfließen, anstatt isoliert in einem Dashboard zu verbleiben, das niemand einsieht.
9. Geschäftsanwendungen nicht testen, bevor strenge Einstellungen durchgesetzt werden: Werden Browser-Kontrollen verschärft, ohne zuvor die Kompatibilität mit den Webanwendungen zu prüfen, auf die Ihre Teams tatsächlich angewiesen sind, führt dies zuverlässig zu einer Flut an Helpdesk-Tickets und untergräbt das Vertrauen in das Sicherheitsteam.

Ermittlung des besten Browsertyps für Ihr Unternehmen

Auf die Frage „Was ist besser, ein sicherer Browser oder ein unternehmenstauglicher Browser?“ gibt es keine absolute Antwort. Und das ist im Grunde eine gute Nachricht, denn es bedeutet, dass Sie keineswegs zwingend in die vollständige Einführung eines unternehmenstauglichen Browsers investieren müssen, um Ihre Sicherheitslage bereits deutlich zu verbessern.

Der klügste Ansatz besteht darin, zunächst eine Browser-Sicherheitsrichtlinie zu erstellen und umzusetzen, die klar festlegt, wie sich Browser verhalten sollen, welche Benutzergruppe welches Kontrollniveau benötigt und was geschehen soll, sobald tatsächlich ein Problem auftritt. Sobald diese Richtlinie einmal besteht, lässt sich das passende Tool, oder auch eine sinnvolle Kombination mehrerer Tools, deutlich leichter bestimmen.

Verwandte Themen:

• So aktivieren oder deaktivieren Sie den erweiterten Sicherheitsmodus in Microsoft Edge
• App- und Browsersteuerung in der Windows-Sicherheit unter Windows 10 ein- oder ausblenden
• Was ist die strenge Webseiten-Isolierung in Google Chrome und wie lässt sie sich konfigurieren?

Schlüsselpunkte

• Die Verwaltung von Browser-Richtlinien gewährleistet sichere und einheitliche Browser-Konfigurationen für alle Benutzer:innen, Geräte und Browser im Unternehmen.
• Eine strenge, sichere Richtlinie für Surfen umfasst Erweiterungen, die Speicherung von Passwörtern, Downloads, den Datentransfer und Webseiten-Berechtigungen.
• Mit rollenbasierten Richtliniengruppen können Unternehmen Kontrollmaßnahmen für Mitarbeiter:innen, Administrator:innen, Auftragnehmer und BYOD-Benutzer:innen individuell anpassen, ohne dabei Abstriche bei den Sicherheitsstandards zu machen.
• Durch die Compliance-Berichterstattung wird die Browsersicherheit von einer Annahme zu einer nachweisbaren Tatsache, was Audits und die Reaktion auf Vorfälle unterstützt.
• Zu den häufigsten Verstößen gegen die Browserrichtlinien zählen uneingeschränkte Erweiterungen, nicht nachverfolgte Browserversionen sowie Richtlinien, die nicht mit der Endpunkte- und Identitätsstrategie abgestimmt sind.

Internetbrowser sind für den Arbeitsalltag unverzichtbar, sei es zum Öffnen von E-Mails, zur Verwendung von Kollaborationstools, zur Einsicht in Finanzunterlagen oder für zahlreiche weitere Aufgaben. Das Browser-Richtlinien-Management setzt dabei schützende, vorausschauende Konfigurationen durch, um Unternehmensdaten wirksam abzusichern, und mit den passenden Tools lässt sich dieser Prozess auch für eine große Anzahl an Geräten effizient gestalten.

In diesem Artikel wird erläutert, wie IT-Sicherheitsteams eine Richtlinie für sicheres Surfen ordnungsgemäß umsetzen können.

Ihr Unternehmen durch die Durchsetzung von Browser-Richtlinien absichern

Browser-Management-Plattformen überwachen und aktualisieren die Browsereinstellungen für alle Benutzer:innen und Geräte. Sie legen dabei fest, wie Mitarbeitende und Auftragnehmer auf Webanwendungen und externe Webseiten zugreifen sollten, um eine sichere und einheitliche Internetnutzung zu gewährleisten.

Warum die Durchsetzung von Browser-Richtlinien wichtig ist

Benutzer:innen greifen über ihren Internetbrowser täglich auf zahlreiche Plattformen zu, die sie für ihre Arbeit benötigen. Genau dieselben Web-Tools können sie jedoch ebenso Phishing, schädlichen Downloads, unsicheren Erweiterungen und weiteren webbasierten Angriffen aussetzen.

Die Verwaltung von Browser-Richtlinien standardisiert daher die Einstellungen dieser Web-Tools, wodurch mehr Konsistenz entsteht und sich die gesamte Sicherheitslage entsprechend stärken lässt. Fehlen solche Leitplanken, sind Unternehmen deutlich anfälliger für veraltete Browser, nicht freigegebene Erweiterungen, unkontrollierte Passwortspeicherung und ähnliche Risiken.

Was eine Richtlinie für sicheres Surfen beinhalten sollte

Im Rahmen des Browser-Richtlinien-Managements sollten folgende Punkte klar festgelegt werden:

• Zugelassene Browser
• Zulässige Browserversionen
• Workflows für Browser-Updates
• Genehmigte Erweiterungen
• Blockierte Erweiterungen
• Genehmigungsverfahren für private Profile (falls vorgesehen)
• Genehmigungsverfahren für die Browser-Synchronisierung (falls zutreffend)
• Richtlinie zur Speicherung von Passwörtern
• Einschränkungen beim Download-Typ
• Steuerelemente zum Hochladen von Dateien
• Ausnahmen auf der Webseite
• Richtlinien zu sensiblen Daten
• Richtlinie zum Ereignisprotokoll für Browser
• Workflows für Ausnahmeanfragen
• Anweisungen für verdächtige Internetseiten

Durch Richtlinienverwaltung reduzierte Browser-Sicherheitsrisiken

Das eigene Browser-Richtlinien-Management muss in der Lage sein, jene Risiken zu beseitigen, die in modernen Umgebungen am häufigsten auftreten. Dazu zählen unter anderem:

• Phishing: Durch Social Engineering motivierte Versuche, Informationen zu stehlen
• Böswillige Weiterleitungen: Pop-ups und gefälschte Links, die zu schädlichen Downloads führen
• Malvertising: übermäßige Bildschirmwerbung, die schädliche Links enthält
• Drive-by-Downloads: automatisch ausgelöste Downloads, die ein System infizieren
• Browser-Hijacking: schädliche Downloads, die im Hintergrund Änderungen an der Browserkonfiguration vornehmen
• Diebstahl von Anmeldeinformationen: Versuche, geschäftliche Logins oder private Passwörter zu stehlen
• Übermäßige Berechtigungsanfragen: Webseiten oder Dienste, die einen unverhältnismäßig weitreichenden Zugriff auf das Gerät verlangen
• Schwachstellen im Browser: ungepatchte Web-Tools, die die Angriffsfläche zusätzlich vergrößern
• Persönliche Synchronisierungen: Informationen, die unbeabsichtigt auf unverwaltete private Geräte übertragen werden

Wichtig: Richtlinien für Erweiterungen und Add-ons sollten sich stets an deren tatsächlicher Relevanz für aktuelle Arbeitsabläufe orientieren, die jeweils angeforderten Berechtigungen im Blick behalten und klar festlegen, welche Abteilungen zur Freigabe von Erweiterungen befugt sind.

Achtung: Webseiten-Berechtigungen können durchaus nützlich sein, bergen jedoch ein Risiko, sobald sie zu großzügig vergeben werden. Neue Freigabeeinstellungen sollten daher stets getestet werden, bevor sie tatsächlich zum Einsatz kommen.

Verwaltete Browserrichtlinie für Unternehmensumgebungen

Der Schlüssel zu einem wirksamen Browser-Richtlinien-Management liegt darin, eine sichere Baseline zu schaffen, die sowohl den Bedürfnissen der Benutzer:innen als auch dem jeweiligen Risikoniveau gerecht wird. Da sich Unternehmen aus zahlreichen unterschiedlichen Gruppen zusammensetzen, etwa aus regulären Beschäftigten, IT-Administrator:innen oder Rechtsabteilungen, führt an entsprechenden Richtliniengruppen letztlich kein Weg vorbei.

Auf diese Weise lässt sich das Browser-Erlebnis gezielt an die jeweiligen Anforderungen anpassen. So benötigen Webentwickler:innen unter Umständen einen breiteren Zugriff auf Erweiterungen sowie großzügigere Download-Beschränkungen als etwa Praktikant:innen aus der Personalabteilung, während sich auch bei unterschiedlichen Auftragnehmern jeweils eigene Browsing-Pfade mit entsprechend eigenen Richtlinien anbieten.

Ebenso müssen Standards für das Identitätsmanagement berücksichtigt werden. Ist das Speichern von Passwörtern im Browser überhaupt zulässig? Wie wird beim Offboarding mit den jeweiligen Anmeldeinformationen verfahren? Für Administratorprofile sollten dabei strengere Kontrollen gelten, während die Aktivität regulärer Benutzer:innen fortlaufend mithilfe entsprechender Endpunkt-Tools überwacht wird.

Nicht zuletzt sollte ein Plan für Browser-Richtlinien-Management umgesetzt werden, der unbedenkliche Downloads, vorab freigegebene Uploads sowie Dateiübertragungen von verwalteten Endpunkten konsequent durchsetzt. Dies trägt maßgeblich dazu bei, die Unternehmensinfrastruktur zu schützen, die sich mitunter aus Hunderten oder gar Tausenden Geräten, Servern und Datenbanken zusammensetzt.

Berichterstattung und Einhaltung von Browser-Richtlinien (Compliance)

Schließlich müssen IT-Spezialist:innen die Durchsetzung der Richtlinien dokumentieren, um anderen Techniker:innen mitzuteilen, ob Schutzmaßnahmen angewendet wurden, ob Ausnahmen bestehen, welche Endpunkte von der Compliance abweichen und vieles mehr.

So wird sichergestellt, dass die Endpunkte geschützt bleiben, und Geschäftspartner erhalten die notwendigen Daten, um aktuelle Lösungen für die Verwaltung von Browserrichtlinien zu bewerten.

Sie sollten Folgendes in Ihre Berichte aufnehmen:

Häufige Probleme, mit denen IT-Führungskräfte konfrontiert sind

Uneingeschränkte Erweiterungen zulassen

Erweiterungen fordern standardmäßig weitreichende Berechtigungen an. Ohne eine vorherige Freigabe kann ungeprüfter Drittanbieter-Code ungehindert innerhalb sämtlicher verwalteten Browser ausgeführt werden, wodurch sich die gesamte Sicherheitslage zunehmend verschlechtert.

Browserversionen nicht nachverfolgen

Wird ein Browser nicht aktualisiert, ist er in aller Regel auch nicht mehr ausreichend geschützt. Fehlen sowohl ein Reporting zu den jeweiligen Versionen als auch durchgesetzte Update-Richtlinien, können verwundbare Browser innerhalb der Umgebung erheblichen Schaden anrichten, noch bevor überhaupt eine entsprechende Lösung verfügbar ist.

BYOD und Zugriff durch Auftragnehmer außer Acht lassen

Unverwaltete Geräte verfügen über keine einheitliche Sicherheitsbasis. Greifen Auftragnehmer, BYOD-Benutzer:innen oder andere Personen über nicht überwachte Geräte auf Unternehmensressourcen zu, entstehen dadurch Risiken bei Anmeldeinformationen, die über den eigentlichen Geltungsbereich des Browser-Richtlinien-Managements hinausgehen.

Abweichungen von der Browser-Richtlinie nicht überwachen

Endpunkte können sich im Laufe der Zeit ganz natürlich von den zuvor freigegebenen Sicherheitskonfigurationen entfernen. Solche Compliance-Lücken treten dann häufig erst im Rahmen eines Audits zutage oder verschärfen im Ernstfall die Auswirkungen eines tatsächlichen Sicherheitsvorfalls zusätzlich.

Browser-Richtlinien losgelöst von der Endpunkt- und Identitätsstrategie betrachten

Kontrollen auf Browserebene und Endpunkt-Management gehen naturgemäß Hand in Hand. Verknüpft man die eigenen Richtlinien konsequent mit dem Gerätestatus sowie den jeweiligen Identitätsanbietern, entsteht dadurch eine vollständige Transparenz sowohl auf Geräte- als auch auf Sitzungsebene.

Browser-Richtlinien-Management mit zentralisierten Endpunkt-Tools effizient gestalten

Browser-Richtlinien-Management trägt maßgeblich dazu bei, eine sichere Internetnutzung am Arbeitsplatz zu gewährleisten. Ein guter Ausgangspunkt besteht darin, eine Baseline festzulegen, die sich sowohl an den tatsächlichen Produktivitätsanforderungen orientiert als auch auf die gängigen Risiken vorbereitet ist. In Verbindung mit einer konsistenten Überwachung des Gerätezustands können IT-Teams ihre tägliche Arbeit dadurch erheblich vereinfachen und sich zugleich mehr Freiraum für wachstumsorientierte Projekte schaffen.

Verwandte Themen:

• Was ist die strenge Webseiten-Isolierung in Google Chrome und wie lässt sie sich konfigurieren?
• So aktivieren oder deaktivieren Sie den erweiterten Sicherheitsmodus in Microsoft Edge
• Verwaltung von Website-Ausnahmen für mehr Sicherheit in Microsoft Edge

Schlüsselpunkte

• Viele browserbasierte Angriffe gelingen, weil Browser nicht ordnungsgemäß verwaltet werden, wodurch Anmeldeinformationen, Erweiterungen und Sitzungsdaten ungeschützt bleiben.
• Fünf häufige Sicherheitslücken bei Browsern sind nicht verwaltete Erweiterungen, unkontrollierte Profilsynchronisierung, unsichere Passwortverwaltung, unregelmäßige Updates und eingeschränkte Transparenz beim Browser.
• Eine Richtlinie für verwaltete Browser sorgt für einheitliche Kontrollen in der gesamten Umgebung, einschließlich der Verwaltung von Erweiterungen, Profilregeln, der Speicherung von Passwörtern, der Durchsetzung von Updates und der Überwachung von Browsern.
• Browserrichtlinien funktionieren am besten, wenn sie auf die bestehende Sicherheitsinfrastruktur abgestimmt sind, sodass sich die Kontrollmaßnahmen gegenseitig ergänzen und nicht miteinander in Konflikt stehen.
• Legen Sie den Schwerpunkt zunächst auf die Verwaltung von Benutzer:innen mit Sonderrechten, Teams mit hohem Risiko und nicht verwalteten Geräten, bevor Sie den Umfang auf Systeme mit geringerem Risiko ausweiten.

Browser sind für Beschäftigte das zentrale Tool, um auf jene Tools, Systeme und Plattformen zuzugreifen, die den Arbeitsalltag tatsächlich ausmachen. So verbringt der durchschnittliche Arbeitnehmer 85 % seines Arbeitstages in einem Browser. Trotz dieser zentralen Bedeutung für den täglichen Betrieb dienen Browser jedoch zugleich als mögliche Einstiegspunkte für Session-Hijacking, schädliche Erweiterungen und Angriffe zum Abgreifen von Anmeldeinformationen.

Die meisten browserbasierten Angriffe gelingen dabei nicht etwa aufgrund eines besonders ausgeklügelten Exploits, sondern schlicht deshalb, weil der Browser gar nicht aktiv verwaltet wurde. Dieser Leitfaden stellt Best Practices für Browser-Management vor, mit denen sich genau jene Lücken schließen lassen, die Angreifer gezielt suchen und ausnutzen.

Warum Sicherheitsmanagement für das Web-Browsing wichtig ist

Viele Unternehmen verfügen bereits über ausgereifte Kontrollen für Endpunkte, Identitäten und Netzwerkzugriffe, überlassen jedoch den Browser, obwohl dort der Großteil der eigentlichen Arbeit stattfindet, weiterhin dem Ermessen der einzelnen Benutzer:innen. Browser verwalten dabei Anmeldeinformationen, greifen auf SaaS-Anwendungen zu und interagieren innerhalb einer einzigen Sitzung mit zahlreichen Drittanbieterdiensten, wodurch sie für Angreifer zu einem besonders leicht erreichbaren Ziel werden.

Bleiben Browser unverwaltet, lässt sich kaum noch nachvollziehen, was installiert ist, wie sich Daten bewegen und worauf innerhalb der jeweiligen Sitzungen tatsächlich zugegriffen wird. Eine durchdachte Browser-Management-Strategie hilft Unternehmen dabei, Richtlinien unternehmensweit durchzusetzen, sodass sich Erweiterungen, Profile, Passwörter, Updates und Monitoring durchgängig an den eigenen Anforderungen orientieren.

Tipp Nr. 1: Eine verwaltete Browser-Richtlinie zur Steuerung von Erweiterungen durchsetzen

Erweiterungen lassen sich leicht installieren und steigern die Produktivität der Benutzer:innen, werden jedoch nach der Installation nur selten weiter überprüft. Eine Erweiterung mit weitreichenden Zugriffsrechten kann dabei unbemerkt Seiteninhalte auslesen, Anmeldeinformationen abgreifen, auf den Browserverlauf zugreifen und Aktivitäten über externe Server umleiten.

Für eine wirksame Verwaltung von Erweiterungen empfiehlt sich Folgendes:

• Pflege und zentrale Durchsetzung einer Liste genehmigter und gesperrter Erweiterungen
• Die Verpflichtung der IT-Teams, Anträge auf die Installation von Erweiterungen zu prüfen und zu genehmigen
• Strengere Beschränkungen für die Verlängerung der Arbeitszeit für Teams und Abteilungen mit hohem Risiko
• Regelmäßige Überprüfung des Erweiterungsbestands und Entfernung nicht verwendeter Erweiterungen

Eine wirksame Steuerung von Erweiterungen ist dabei keine einmalige Maßnahme, sondern sollte fester Bestandteil eines fortlaufenden Workflows zur Verwaltung der Browser-Richtlinie sein.

Tipp Nr. 2: Sicherheitsregeln für Browser rund um Profile und Synchronisierung festlegen

Die meisten modernen Browser erlauben Benutzer:innen die Anmeldung mit mehreren Konten und synchronisieren dabei automatisch Browserdaten, darunter Passwörter, Erweiterungen, Lesezeichen und Autofill-Angaben, über sämtliche Geräte hinweg. Für Endbenutzer:innen selbst ist dies zwar komfortabel, für IT-Teams entsteht dadurch jedoch eine erhebliche Kontrolllücke.

In Bring-your-own-device (BYOD)-Umgebungen können Browserdaten eines Unternehmenskontos versehentlich mit einem privaten Profil synchronisiert werden, wodurch sie sich der Kontrolle und Aufsicht des Unternehmens entziehen. Dies kann in weiterer Folge dazu führen, dass Passwörter auf privaten Geräten landen oder sich Erweiterungen ungewollt auf unverwaltete Geräte übertragen.

Um dies zu vermeiden, muss Ihre Browser-Richtlinie Folgendes festlegen:

• Ob private Profile auf Unternehmensgeräten zulässig sind
• Ob sich Benutzer:innen mit Unternehmenskonten authentifizieren müssen
• welche Datentypen, falls überhaupt, geräteübergreifend synchronisiert werden dürfen
• wie Browserdaten im Rahmen des Offboardings behandelt und entfernt werden

Eine klare Trennung zwischen beruflicher und privater Browsernutzung ist letztlich entscheidend dafür, dass Unternehmensdaten innerhalb der Grenzen der verwalteten Browser-Richtlinie verbleiben.

Tipp Nr. 3: Die Sicherheit beim Web-Browsing durch Kontrollen bei Passwörtern und Autofill verbessern

Browser bieten von Haus aus integrierte Funktionen zum Speichern von Passwörtern und zum Autofill, um die wiederholte Eingabe von Anmeldeinformationen überflüssig zu machen. Dies kann jedoch im Widerspruch zu Best Practices für Passwortrichtlinien stehen, insbesondere in Umgebungen, in denen bereits ein freigegebener Passwort-Manager im Einsatz ist.

Speichern Mitarbeitende ihre Anmeldeinformationen im Browser, geht dadurch die Kontrolle und Aufsicht über deren Speicherung, Sicherheit und Aufbewahrungsdauer verloren. Die Autofill-Funktion verschärft dieses Problem zusätzlich, da sie Anmeldeinformationen und sensible Informationen automatisch einträgt, was ebenso auf Phishing-Seiten oder nicht autorisierten Webseiten geschehen kann.

Zu den Best Practices für Passwörter und automatische Ausfüllfunktion zählen:

• Legen Sie eindeutig fest, ob der Passwortspeicher des Browsers oder ein spezieller Passwortmanager für Unternehmen verwendet werden soll.
• Deaktivieren Sie die Speicherung von Passwörtern für privilegierte Konten
• Schränken Sie das automatische Ausfüllen für sensible und risikoreiche Felder ein
• Schreiben Sie Multi-Faktor-Authentifizierung (MFA) für geschäftskritische Anwendungen vor

Schulungen verbessern zwar grundsätzlich den bewussten Umgang mit Passwörtern, dennoch sollten Richtlinien wo immer möglich konsequent technisch durchgesetzt werden, da selbst gut geschulte Benutzer:innen nicht vor Fehlern gefeit sind.

Tipp Nr. 4: Browser-Updates als nicht verhandelbaren Wartungsprozess behandeln

Da Benutzer:innen täglich auf nicht vertrauenswürdige Webseiten zugreifen können, verschärft ein veralteter Browser dieses Risiko zusätzlich. Bekannte Schwachstellen in ungepatchten Browsern werden dabei aktiv katalogisiert, weshalb Angreifer gar keine neuen Techniken entwickeln müssen, solange die alten weiterhin funktionieren.

Sicherheitslücken bei Updates entstehen meist dadurch, dass Benutzer:innen den nach einem Patch erforderlichen Neustart des Browsers hinauszögern, während veraltete Browser zudem häufig auf Legacy-Systemen fortbestehen. Ohne eine zentralisierte Nachverfolgung fehlt der IT-Abteilung schließlich der Überblick darüber, welche Browserversionen tatsächlich in der gesamten Umgebung im Einsatz sind.

Vor diesem Hintergrund sollten verwaltete Browser-Richtlinien Folgendes sicherstellen:

• automatische Updates konsequent durchsetzen
• Mindestanforderungen an die jeweilige Browserversion festlegen
• Berichterstattung über nicht konforme Geräte einbeziehen
• Einstellungen für sicheres Browsing und Anti-Phishing-Schutz einheitlich über die gesamte Umgebung standardisieren

Neben veralteten Browserversionen können jedoch auch uneinheitliche Sicherheitseinstellungen, etwa zu weit gefasste Berechtigungen für Kamera oder Mikrofon, sowie ein unkontrolliertes Download-Verhalten selbst einen vollständig aktualisierten Browser angreifbar machen.

Tipp Nr. 5: Transparenz zum festen Bestandteil der Browser-Sicherheitsstrategie machen

Der Browser verarbeitet täglich Anmeldeinformationen, Datei-Uploads und den Zugriff auf SaaS-Anwendungen, wobei die meisten Unternehmen für all diese Vorgänge über keinen einzigen Audit-Trail verfügen. Trotz dieser fehlenden Aufsicht bleibt der Browser jedoch weiterhin jener Ort, an dem Anmeldeinformationen, Datei-Uploads, der Zugriff auf SaaS-Anwendungen und sensible Daten zusammenlaufen.

Dieser blinde Fleck wirkt sich erheblich auf die Fähigkeit aus, auf browserbasierte Vorfälle angemessen zu reagieren. Wird beispielsweise ein Sicherheitsereignis gemeldet, fehlt es häufig sowohl an einer nachvollziehbaren Spur als auch am nötigen Kontext, um konkret handeln zu können.

Um die Transparenz innerhalb der eigenen Umgebung zu verbessern, empfiehlt sich Folgendes:

• einen Bestand an Browsern und Erweiterungen über sämtliche verwalteten Geräte hinweg pflegen
• Browserversionen überwachen und nicht konforme Geräte entsprechend kennzeichnen
• Warnmeldungen mit Plattformen für IT-Service-Management (ITSM) oder bestehenden Sicherheits-Workflows verknüpfen
• klar definierte Runbooks für browserbasierte Bedrohungen festlegen

Transparenz verschafft letztlich einen klaren Überblick über die Browseraktivitäten innerhalb der gesamten Umgebung. Dadurch lassen sich Probleme frühzeitig erkennen, gezielt beheben und Sicherheitslücken schließen, noch bevor sie tatsächlich ausgenutzt werden können.

Wie eine verwaltete Browser-Richtlinie die Unternehmenssicherheit unterstützt

Zusammen bilden die fünf Best Practices aus diesem Leitfaden das Fundament einer wirksamen Browser-Richtlinie. Eine verwaltete Browser-Richtlinie stellt dabei sicher, dass diese Kontrollen konsistent über sämtliche verwalteten Geräte hinweg angewendet werden.

Durch die zentrale Durchsetzung dieser Kontrollen gelangt man von einer geräteweisen Konfiguration zu einer einheitlichen Baseline, innerhalb der sich Abweichungen, Ausnahmen und Lücken bereits erkennen und beheben lassen, bevor sie sich zu tatsächlichen Vorfällen ausweiten.

Zudem entfaltet eine Browser-Richtlinie ihre volle Wirkung erst dann, wenn sie die bereits vorhandenen Sicherheitstools und Regeln sinnvoll ergänzt, damit nichts durch das Raster fällt. Verfügt ein Unternehmen beispielsweise über einen freigegebenen Passwort-Manager, jedoch über keine Richtlinie zur Passwortspeicherung, besteht weiterhin eine Lücke, da Beschäftigte ihre Anmeldeinformationen dennoch im Browser speichern könnten.

Ziel sollte es sein, eine Browserumgebung zu schaffen, die standardmäßig sicher ist, konsequent durchgesetzt wird und in sich stimmig bleibt, sodass Benutzer:innen nicht auf eigene Workarounds zurückgreifen müssen, die wiederum neue Risiken mit sich bringen könnten.

Sicherheitslücken bei Browsern nach Priorität angehen

Es empfiehlt sich nicht, sämtliche identifizierten Sicherheitslücken bei Browsern gleichzeitig zu beheben, da nicht jede Lücke das gleiche Risiko birgt. Stattdessen sollte die Behebung nach dem jeweiligen Risikograd priorisiert werden.

Das bedeutet, zunächst jene Benutzer:innen in den Blick zu nehmen, die mit sensiblen Daten arbeiten oder sich außerhalb der bestehenden Endpunkt-Kontrollen bewegen. Dazu zählen insbesondere privilegierte Administrator:innen, Teams mit erhöhtem Risiko sowie BYOD-Benutzer:innen.

Im Anschluss lässt sich die Abdeckung schrittweise erweitern, etwa auf ältere Webanwendungen und Workflows mit umfangreichen Dateiübertragungen, bevor schließlich auch die risikoärmeren Bereiche der Umgebung berücksichtigt werden.

Browser-Sicherheit durch aktives Browser-Management gewährleisten

Browser sind der Ort, an dem die eigentliche Arbeit stattfindet, bleiben in vielen Umgebungen jedoch weiterhin ein blinder Fleck und damit ein unbeaufsichtigtes Einfallstor für potenzielle Angriffe. Die fünf Best Practices aus diesem Leitfaden helfen dabei, dies zu vermeiden, indem klare Richtlinien definiert, konsequent durchgesetzt und der Browser als aktiv zu verwaltende Sicherheitsfläche behandelt wird.

Ein strukturierter Ansatz zum Umgang mit Sicherheitslücken bei Browsern besteht darin, zunächst die risikoreichsten Benutzer:innen zu betreuen und die am stärksten exponierten Lücken vorrangig zu schließen, bevor man sich anschließend den risikoärmeren Bereichen zuwendet.

Verwandte Themen:

• So funktioniert das Blockieren von Webseiten auf Android-Geräten
• So listen Sie mit PowerShell alle Browser-Erweiterungen unter Windows auf
• Umfassender Leitfaden zum Eintragen von Browser-Erweiterungen unter macOS
• App- und Browsersteuerung in der Windows-Sicherheit unter Windows 10 ein- oder ausblenden

Schlüsselpunkte

• Eine Browser-Sicherheitsrichtlinie legt fest, wie Unternehmensbrowser innerhalb eines Unternehmens freigegeben, konfiguriert, abgesichert und überwacht werden.
• Am schnellsten lassen sich bekannte Sicherheitslücken schließen, indem automatische Updates konsequent durchgesetzt und Browserversionen über sämtliche Endpunkte hinweg nachverfolgt werden.
• Eine wirksame Steuerung von Erweiterungen erfordert zudem sowohl Zulassungs- als auch Blocklisten, ergänzt durch regelmäßige Überprüfungen der jeweiligen Berechtigungen, um unnötigen Zugriff einzuschränken.
• Sichere Browser-Einstellungen begrenzen die Speicherung von Passwörtern, schränken die Browser-Synchronisierung ein und verlangen für Ausnahmen bei Webseiten-Berechtigungen einen klar benannten Verantwortlichen.
• Kontrollen für sicheres Surfen blockieren den Zugriff auf schädliche Internetseiten und schränken riskante oder nicht verifizierte Downloads ein, bevor daraus tatsächlich Schaden entstehen kann.
• Browser-Integritätsprüfungen validieren schließlich in Echtzeit die Einhaltung der jeweiligen Richtlinie und entscheiden dadurch, ob Benutzer:innen vollständigen, eingeschränkten oder gar keinen Zugriff erhalten.

Die meisten Sicherheitsprogramme in Unternehmen konzentrieren sich vor allem auf den Schutz von Servern, Endpunkten und Netzwerken. So bleiben Browser als stark frequentierte, jedoch verwundbare Eintrittspunkte in das Unternehmen weitgehend außen vor, obwohl sich Beschäftigte genau dort bei SaaS-Tools, Identitätsanbietern, E-Mail-Diensten, Dateispeichern, internen Portalen, KI-Assistenten, Finanzplattformen, Kundendatenbanken und privilegierten Administratorkonsolen anmelden. Verbleiben Browser dabei in ihren Standardeinstellungen, überlassen sie den einzelnen Benutzer:innen deutlich mehr Kontrolle, etwa darüber, welche Erweiterungen installiert werden, ob Passwörter lokal gespeichert bleiben oder ob durch die Synchronisierung Unternehmensdaten in ein privates Konto gelangen.

Um diese Lücke zu schließen, sollten IT-Teams auf eine Checkliste für Browser-Sicherheitsrichtlinien zurückgreifen, die das Verhalten von Browsern nicht länger dem persönlichen Ermessen der Benutzer:innen überlässt, sondern zu etwas macht, das sich klar definieren, durchsetzen und überprüfen lässt. Eine solche Checkliste sollte Updates, Erweiterungen, Passwörter, Synchronisierung, Downloads und Webseiten-Berechtigungen abdecken, damit der Zugriff auf sensible Systeme nicht länger davon abhängt, wer gerade am jeweiligen Gerät sitzt.

Was eine Browser-Sicherheitsrichtlinie ist und warum sie wichtig ist

Eine Browser-Sicherheitsrichtlinie umfasst ein Regelwerk, das festlegt, wie Browser innerhalb eines Unternehmens freigegeben, konfiguriert, abgesichert und überwacht werden, um Browser entsprechend zu kontrollieren. Damit erhalten IT-Teams grundsätzlich die Möglichkeit, ihre eigenen Vorgaben für Governance und Sicherheit über verwaltete Geräte, Remote-Mitarbeitende, gemeinsam genutzte Maschinen und besonders risikobehaftete Rollen hinweg durchzusetzen und messbar zu machen.

Eine gute Richtlinie sollte dabei folgende Punkte berücksichtigen:

• welche Browser und Versionen für den Einsatz zugelassen sind
• wie Updates automatisch ausgerollt werden
• welche Regeln für die Zulassung oder Blockierung von Erweiterungen gelten
• welche Anforderungen an verwaltete Profile und die Browser-Synchronisierung gestellt werden
• wie mit Passwörtern und Autofill-Funktionen umgegangen wird
• welche Schutzmaßnahmen gegen schädliche Internetseiten und unsichere Downloads bestehen
• wie Webseiten-Berechtigungen und entsprechende Ausnahmen verwaltet werden
• wie sich durch Reporting nachweisen lässt, dass all dies auch tatsächlich funktioniert

Fehlt eine solche Struktur, werden Browser rasch zu einem der einfachsten Einstiegspunkte in ein Unternehmen. Veraltete Versionen bleiben dann mitunter ungepatcht, Erweiterungen können sich Zugriffsrechte verschaffen, die sie eigentlich gar nicht benötigen, Unternehmenszugangsdaten lassen sich in private Konten synchronisieren, und alte Ausnahmeregelungen bestehen oft weit länger fort, als es sinnvoll wäre. All dies kann bereits von wenig versierten Angreifern ausgenutzt werden. Genau das verdeutlicht, warum das Verhalten von Browsern ebenso konsequent standardisiert werden sollte wie die Absicherung jedes anderen Endpunkts.

Die 5 Kontrollen, die konsequent umgesetzt werden sollten

1. Browser-Updates und Versionskontrolle

Zahlreiche der größten Angriffsflächen bei Browsern lassen sich letztlich auf veraltete Versionen zurückführen. Da Patches bekannte Schwachstellen bereits mit ihrer Veröffentlichung schließen, entscheidet die Geschwindigkeit, mit der ein Unternehmen Updates ausrollt, unmittelbar darüber, wie lange sich eine bekannte Schwachstelle tatsächlich ausnutzen lässt.

Eine Richtlinie zur Versionskontrolle sollte daher folgende Punkte im Detail regeln:

• welche Browser und Versionen für den Einsatz zugelassen sind
• dass automatische Updates die Standardeinstellung bilden und nicht dem Ermessen der Benutzer:innen überlassen bleiben
• welche maximale Verzögerung toleriert wird, bevor ein Update als überfällig gilt
• welcher schnellere Weg für Notfall- oder kritische Patches vorgesehen ist
• dass Browser, die vom Hersteller nicht mehr unterstützt werden, entfernt oder blockiert werden
• wie regelmäßig berichtet wird, damit die IT den Versionsstatus über sämtliche Endpunkte hinweg im Blick behält

Der letzte Punkt ist dabei besonders wichtig, denn ohne ein entsprechendes Reporting bleibt eine Richtlinie letztlich nur eine Absichtserklärung. Ohne verlässliche Daten hat die IT keine Möglichkeit zu erkennen, ob Geräte tatsächlich konform sind, bis irgendwann ein Vorfall eintritt. Damit würde der eigentliche Zweck der Richtlinie von Anfang an verfehlt.

2. Steuerung von Browser-Erweiterungen und Add-ons

Erweiterungen sind vor allem deshalb praktisch, weil sie tiefgreifenden Zugriff auf das erhalten, was innerhalb des Browsers geschieht. Sie können Seiteninhalte auslesen, Browseraktivitäten protokollieren und sich sogar in Authentifizierungsabläufe einklinken. Genau dadurch werden sie riskant, sobald niemand nachverfolgt, was installiert ist und aus welchem Grund. Dies verdeutlicht zugleich, wie wichtig eine sorgfältige Steuerung von Erweiterungen gerade im Unternehmensumfeld ist.

Eine wirksame Steuerung von Erweiterungen sollte folgende Punkte abdecken:

• zugelassene und blockierte Erweiterungslisten
• einen Antragsprozess für alles, was noch nicht auf der zugelassenen Liste steht
• eine Überprüfung der Berechtigungen, bevor eine Installation überhaupt gestattet wird
• eine dokumentierte geschäftliche Begründung für jede eingesetzte Erweiterung
• einen festen Rhythmus, in dem der installierte Bestand erneut überprüft wird
• einen klar definierten Prozess zum Entfernen von Erweiterungen, die nicht mehr benötigt werden
• Regeln für manuell nachinstallierte (sideloaded) Erweiterungen oder solche im Entwicklermodus

Besonderes Augenmerk sollte dabei den Berechtigungen gelten, da manche Erweiterungen auf jede besuchte Webseiten zugreifen, den Browserverlauf auslesen, Downloads einsehen oder sogar auf die Zwischenablage zugreifen können. Genau davon sollte abhängen, wie genau jede einzelne Zugriffsanfrage vor ihrer Freigabe geprüft wird.

3. Sichere Browsereinstellungen: Passwörter, Synchronisierung und Webseiten-Berechtigungen

Zu den häufigsten Wegen, über die Unternehmensdaten unbemerkt aus dem Browser abfließen, zählen gespeicherte Anmeldeinformationen außerhalb freigegebener Tools sowie Webseiten-Berechtigungen, die einmal erteilt, jedoch nie wieder überprüft wurden. Beide Bereiche sollten daher konsequent abgesichert werden, indem der Browser wie jedes andere System behandelt wird, das Zugriff auf sensible Daten ermöglicht.

Die Browser-Einstellungen sollten dabei folgende Punkte regeln:

• ob der Browser überhaupt Passwörter speichern darf
• die Verwendung eines vorgeschriebenen Passwort-Managers anstelle der integrierten Speicherung
• gegebenenfalls Einschränkungen bei der Autofill-Funktion
• eine Synchronisierung, die ausschließlich auf verwaltete Konten beschränkt bleibt
• ein Verbot der Verwendung privater Profile auf verwalteten Geräten
• das Löschen von Sitzungen auf gemeinsam genutzten Arbeitsplätzen
• Berechtigungen für Kamera, Mikrofon und Standort
• Regeln für Cookies und Tracking durch Drittanbieter
• den Zugriff auf Zwischenablage, USB und Bluetooth
• das Verhalten bei Pop-ups und Weiterleitungen
• Zulassungs- und Blockierungs-Listen für Webseiten

Ausnahmen sollten dabei stets genau geprüft werden. Denn zum einen benötigen ältere oder geschäftskritische Anwendungen mitunter weiterreichende Berechtigungen, um überhaupt funktionsfähig zu bleiben, wobei solche Ausnahmen ihre ursprüngliche Begründung jedoch häufig überdauern. Wichtig ist daher, dass jede Ausnahme einem klar benannten Verantwortlichen zugeordnet ist und über ein Ablaufdatum verfügt, damit sie sich in regelmäßigen Abständen überprüfen lässt.

4. Sichere Surfen-Mechanismen, Downloads und Warnmeldungen

Die meisten modernen Browser verfügen bereits über integrierte Schutzmechanismen gegen Phishing-Seiten, schädliche Webseiten und unsichere Downloads. Diese greifen jedoch nur, solange Benutzer:innen sie nicht eigenständig deaktivieren. Das Ziel der IT-Teams sollte es daher sein, sicherzustellen, dass diese Schutzfunktionen dauerhaft aktiv bleiben.

Die entsprechenden Kontrollen sollten dabei Folgendes festlegen:

• Funktionen für sicheres Surfen beziehungsweise vergleichbaren Schutz vor schädlichen Webseiten
• Seiten-Isolation, sofern der jeweilige Browser dies unterstützt
• Warnhinweise, bevor riskante Downloads vollständig abgeschlossen werden
• Einschränkungen bei unsicheren Inhalten und veralteten Protokollen
• strengere Schutzmaßnahmen für Benutzer:innen in besonders risikobehafteten Rollen
• Beschränkungen beim Zugriff auf nicht kategorisierte oder riskante Internetseiten

Ebenso wichtig ist es, die Möglichkeit zu berücksichtigen, eine Warnmeldung einfach zu übergehen. IT-Teams sollten daher festlegen, wer, wenn überhaupt jemand, weiterhin befugt sein soll, eine solche Warnung zu bestätigen und zu umgehen, und sicherstellen, dass dieser Vorgang protokolliert wird. Auf diese Weise verschwindet ein solcher Bypass nicht einfach unbemerkt im Browserverlauf.

5. Anforderungen an Browser-Integritätsprüfungen

IT-Teams sollten stets in der Lage sein, verlässlich zu überprüfen, ob eine Richtlinie tatsächlich eingehalten wird. Genau hier setzen Integritätsprüfungen an. Anstatt allein davon auszugehen, dass ein Browser regelkonform ist, nur weil eine entsprechende Richtlinie existiert, lässt sich mithilfe einer Integritätsprüfung der tatsächliche, aktuelle Zustand des Browsers verifizieren, noch bevor oder während auf sensible Ressourcen zugegriffen wird.

Eine Integritätsprüfung muss dabei Folgendes validieren:

• zugelassener Browsertyp und zugehörige Version
• Status aktualisieren
• Status des verwalteten Profils
• Erweiterungsbestand im Abgleich mit den zugelassenen Listen
• Einstellungen zur Passwortspeicherung
• Synchronisierungsstatus
• Einstellungen der Webseiten-Berechtigungen
• Einstellungen zum Download-Schutz
• Gerätestatus und Benutzeridentität
• Status aktiver Ausnahmeregelungen

Nach Abschluss der Prüfung sollten die Ergebnisse zudem konsequent bewertet werden. So kann ein Benutzer je nach Ergebnis vollständigen, eingeschränkten, isolierten oder lediglich lesenden Zugriff erhalten, oder aber gar keinen Zugriff. So wird die Integritätsprüfung faktisch zu einem aktiven Kontrollpunkt vor dem Zugang zu sensiblen Systemen. Ergänzend dazu sollte sich auch der Überprüfungsrhythmus am jeweiligen Risiko orientieren.

Dabei bietet sich folgende Taktung für die einzelnen Bereiche an:

• Kritische Kontrollen erfordern, soweit die eingesetzten Tools dies zulassen, eine fortlaufende oder zumindest tägliche Aufmerksamkeit.
• Versionen und Updates rechtfertigen eine wöchentliche oder monatliche Betrachtung.
• Erweiterungen sollten monatlich überprüft werden.
• Ausnahmeregelungen lassen sich in vierteljährlichen Abständen vertretbar prüfen.
• Die gesamte Richtlinie verdient eine jährliche Überprüfung, beziehungsweise früher, sobald sich größere Änderungen an der Plattform ergeben.

Browser-Richtlinien durchsetzbar machen

Der Browser hat sich inzwischen zu einem der am stärksten genutzten Einstiegspunkte in Unternehmenssysteme entwickelt, weshalb er strategisch gezielt gesteuert werden muss. Um die Kontrolle darüber tatsächlich zu behalten, sollte eine Richtlinie umgesetzt werden, die Updates, Erweiterungen, Anmeldeinformationen, Synchronisierung und Webseiten-Berechtigungen nicht länger dem Vertrauen in Standardeinstellungen überlässt, sondern klar definiert. Damit sich eine solche Richtlinie im Alltag tatsächlich durchsetzen lässt, sind zudem Integritätsprüfungen erforderlich, die veraltete Versionen, ungeprüfte Erweiterungen und vergessene Ausnahmen frühzeitig erkennen, noch bevor daraus echte Sicherheitsvorfälle entstehen. Werden diese Maßnahmen konsequent angewendet und regelmäßig überprüft, lassen sich dadurch viele der einfachsten Zugangswege in ein Unternehmen wirksam verschließen.

Verwandte Themen:

• So aktivieren oder deaktivieren Sie den erweiterten Sicherheitsmodus in Microsoft Edge
• Was ist die strenge Webseiten-Isolierung in Google Chrome und wie lässt sie sich konfigurieren?
• Verwaltung von Webseiten-Ausnahmen für mehr Sicherheit in Microsoft Edge

Schlüsselpunkte

• Ein Browser-Eeweiterungs-Audit unterstützt Unternehmen dabei, installierte Erweiterungen zu identifizieren, deren Berechtigungen zu überprüfen und zu entscheiden, ob diese weiterhin zugelassen bleiben sollen.
• Da Browser-Erweiterungen sowohl auf Browseraktivitäten als auch auf Unternehmensdaten zugreifen können, stellen sie einen wichtigen Bestandteil der Unternehmenssicherheit dar.
• Regelmäßige Browser-Erweiterungs-Audits helfen IT-Teams dabei, Risiken oder veraltete Erweiterungen frühzeitig zu erkennen, noch bevor daraus ernsthafte Sicherheitsprobleme entstehen.
• Browser-Erweiterungs-Audits sollten daher als fortlaufender Prozess verstanden werden, da sich Berechtigungen, Eigentumsverhältnisse und Risikopotenzial von Erweiterungen im Laufe der Zeit verändern können.
• Ein vollständiges Browser-Erweiterungs-Audit bezieht zudem sämtliche unterstützten Browser mit ein, anstatt sich ausschließlich auf Chrome zu beschränken.

Laut dem LayerX 2025 Enterprise Browser Extension Security Report haben 99 % der Beschäftigten mindestens eine Browser-Erweiterung installiert. Allein diese Zahl verdeutlicht, wie tief diese Tools inzwischen im Arbeitsalltag verankert sind. Problematisch ist dabei jedoch, dass Browser-Erweiterungen häufig als harmlose Zusatzfunktionen betrachtet werden, obwohl es sich in Wirklichkeit um Software handelt, die je nach Ausprägung unterschiedlich weitreichenden Zugriff auf Browseraktivitäten und Unternehmensdaten hat.

Viele Unternehmen installieren und aktualisieren Erweiterungen, ohne dabei ausreichend Einblick zu haben, worauf diese eigentlich zugreifen können oder ob sie noch den geltenden Sicherheitsanforderungen entsprechen. So entstehen für IT- und Sicherheitsteams Lücken, die sich leicht übersehen lassen, bis es schließlich zu einem tatsächlichen Vorfall kommt.

Dieser Leitfaden erläutert, was ein Browser-Erweiterungs-Audit ist, warum es bedeutsam und worauf IT-Teams bei der Überprüfung von Browser-Erweiterungen innerhalb ihrer Umgebung achten sollten.

Was ist eine Browser-Erweiterung?

Eine Browser-Erweiterung ist ein kleines Software-Add-on, das den Funktionsumfang eines Webbrowsers erweitert. Sie kann neue Funktionen hinzufügen, bestehende verbessern oder den Browser mit Tools und Diensten von Drittanbietern verknüpfen. Auf diese Weise lässt sich das Surferlebnis individuell anpassen, ohne dass dafür eine vollständige Desktop-Anwendung installiert werden müsste.

Viele Browser-Erweiterungen laufen dabei kontinuierlich im Hintergrund weiter oder aktivieren sich automatisch bei bestimmten Browser-Ereignissen, selbst wenn sie gerade nicht aktiv benutzt werden. Sie sind fester Bestandteil des Arbeitsalltags zahlreicher Mitarbeitender und unterstützen etwa bei der Passwortverwaltung, der Grammatikprüfung, bei CRM-Tools, der Workflow-Automatisierung sowie weiteren wiederkehrenden Aufgaben.

Für Unternehmensteams gilt jedoch ein wichtiger Hinweis: Obwohl diese Tools die Produktivität durchaus steigern können, sollten sie keineswegs als einfache Add-ons abgetan werden. Denn wie jede andere Software auch, können Browser-Erweiterungen je nach den ihnen eingeräumten Berechtigungen sowohl auf Browseraktivitäten als auch auf Unternehmensdaten zugreifen.

Was versteht man unter einem Browser-Erweiterungs-Audit?

Sobald klar ist, was Browser-Erweiterungen sind und über welchen Zugriffsumfang sie verfügen können, wird auch verständlich, warum ihre Überprüfung gerade in Unternehmensumgebungen von so großer Bedeutung ist.

Ein Browser-Extension-Audit bezeichnet den Prozess, bei dem sämtliche im Unternehmen genutzten Erweiterungen identifiziert werden. Anschließend wird geprüft, worauf jede einzelne Erweiterung zugreifen kann, wie hoch ihr jeweiliges Risiko einzuschätzen ist und ob ihr weiterer Einsatz demnach gerechtfertigt bleibt.

Im Rahmen eines solchen Audits stellen sich Unternehmen häufig unter anderem folgende Fragen:

Der wesentliche Zweck eines Browser-Erweiterungs-Audits besteht darin, Transparenz zu schaffen und ein klares Verständnis für extensionbezogene Risiken innerhalb der jeweiligen Umgebung zu entwickeln.

Warum Unternehmensteams Audits von Browser-Erweiterungen benötigen

Browser-Erweiterungen werden in der Unternehmenssicherheit häufig vernachlässigt. Dabei können sie, ebenso wie Endpunkte und Netzwerke, durchaus zu einer Angriffsfläche werden, sofern niemand nachverfolgt, was sie tun oder worauf sie zugreifen können. Da sie innerhalb des Browsers laufen, treten sie zudem oft in direkten Kontakt mit Webseiten, SaaS-Anwendungen und sensiblen Unternehmensdaten.

Je nach den ihnen eingeräumten Berechtigungen können Browser-Erweiterungen dabei sowohl auf Daten innerhalb von SaaS-Anwendungen als auch auf Unternehmensdaten und weitere sensible Informationen zugreifen. Erfolgt keine regelmäßige Überprüfung, können riskante oder veraltete Erweiterungen über Monate hinweg unbemerkt im Einsatz bleiben, wodurch sich die Wahrscheinlichkeit eines Sicherheitsvorfalls entsprechend erhöht.

Diese Risiken fallen in Unternehmen mit Remote-Beschäftigten, Auftragnehmern, gemeinsam genutzten Geräten, privilegierten Konten, regulierten Teams oder einer intensiven SaaS-Nutzung noch stärker ins Gewicht.

Wie oft sollten Browser-Erweiterungen überprüft werden?

Ein Browser-Extension-Audit sollte keinesfalls als einmalige Aufgabe verstanden werden. Warum? Der Grund dafür liegt darin, dass sich Erweiterungen im Laufe der Zeit verändern und neue Risiken jederzeit unvermittelt auftreten können. Eine heute noch vertrauenswürdige Erweiterung kann morgen bereits neue Berechtigungen anfordern, den Eigentümer wechseln, keine Updates mehr erhalten oder sogar aus einem offiziellen Erweiterungs-Store entfernt werden.

Unternehmen sollten daher einen wiederkehrenden Audit-Prozess etablieren, der sich an der Sensibilität der eingesetzten Erweiterungen sowie an den Daten orientiert, auf die diese zugreifen können. Ein möglicher Rhythmus könnte dabei folgendermaßen aussehen:

• Installation neuer Erweiterungen: fortlaufend beziehungsweise täglich, sofern die eingesetzten Tools dies ermöglichen
• Warnmeldungen zu Hochrisiko-Erweiterungen: fortlaufend
• Überprüfung des Erweiterungsbestands: monatlich
• Überprüfung von Berechtigungen und Eigentumsverhältnissen: monatlich oder vierteljährlich
• Überprüfung von Ausnahmeregelungen: vierteljährlich
• Vollständiges Browser-Extension-Audit: vierteljährlich oder halbjährlich
• Überprüfung der Richtlinien: jährlich beziehungsweise nach größeren Änderungen bei Browsern, SaaS-Anwendungen oder Compliance-Vorgaben

Häufige Fehler beim Browser-Erweiterungs-Audit

Wer die folgenden Fehler vermeidet, kann blinde Flecken deutlich reduzieren und dadurch einen wirksameren Audit-Prozess aufbauen.

Fehler beim Umfang des Audits

Fehler bei der Bewertung

Fehler im Prozessablauf

Browser-Erweiterungs-Audits als Bestandteil modernen Sicherheitsmanagements

Ein Browser-Erweiterungs-Audit verschafft IT-Teams Transparenz darüber, welche Erweiterungen installiert sind, worauf diese jeweils zugreifen können und ob ihr weiterer Einsatz innerhalb der Umgebung überhaupt noch gerechtfertigt ist. Durch regelmäßige Audits lassen sich Risiken frühzeitig erkennen, sodass sich Browser-Erweiterungen dauerhaft unter Kontrolle halten lassen.

Verwandte Themen:

• So listen Sie mit PowerShell alle Browser-Erweiterungen unter Windows auf
• Wo werden Chrome-Erweiterungen unter Windows, Mac und Linux gespeichert?
• Sichern Sie Ihren Browser: So deaktivieren Sie Erweiterungen in Firefox und entfernen sie

Schlüsselpunkte

• Browser-Management unterstützt MSPs dabei, die Browser ihrer Kunden in großem Maßstab durch standardisierte Konfigurationen über sämtliche Kundenumgebungen hinweg abzusichern und zu verwalten.
• Daher benötigen MSPs eine Browser-Management-Strategie, um browserbezogene Sicherheitsrisiken in großem Umfang zu reduzieren.
• Zugleich ergänzt Browser-Management das Endpunkt-Management, den Sicherheitsbetrieb sowie die Compliance-Workflows.
• Aus diesem Grund sollten MSPs zunächst einheitliche Sicherheitsbaselines für Browser festlegen, bevor sie die Kontrollen anschließend für die einzelnen Kunden individuell anpassen.

Browser-Management ist für MSPs zu einem zentralen Bestandteil beim Schutz von Kundenumgebungen geworden. Diese Entwicklung entspricht gerade heute der Realität, da sich zahlreiche geschäftliche Abläufe neben Desktop-Anwendungen zunehmend in Browsern abspielen. Daraus ergeben sich operative Herausforderungen, etwa die Absicherung von Browser-Instanzen über mehrere Kundenumgebungen hinweg, ohne dass Techniker:innen fortlaufend manuelle Überprüfungen vornehmen müssen.

In diesem Artikel betrachten wir, wie Browser-Management stets mit Sicherheit zusammenhängen sollte und was dieser Prozess im Einzelnen umfasst. Darüber hinaus gehen wir darauf ein, warum dies für Managed Service Provider von Bedeutung ist und wie es sich in eine übergreifende Managed-Services-Strategie einfügt.

Was Browser-Management für MSPs bedeutet

Browser-Management für MSPs bezeichnet die strukturierte Verwaltung von Browser-Einstellungen, -Versionen, -Erweiterungen, -Profilen und -Richtlinien über sämtliche Kundenumgebungen, Geräte und Benutzer:innen, die ein MSP betreut. So entsteht ein einheitlicher Ansatz zur Anwendung und Pflege von Browser-Richtlinien über verschiedene Kundenumgebungen hinweg.

Browser-Management umfasst dabei folgende Bereiche:

• Zugelassene Browser-Standards: Es werden zugelassene Browser sowie die jeweils erforderlichen Mindestversionen festgelegt, damit auf verwalteten Geräten keine veralteten oder nicht mehr unterstützten Browser zum Einsatz kommen.
• Automatische Updates: Browser-Updates werden automatisch eingespielt, um bekannte Schwachstellen zu schließen, noch bevor diese ausgenutzt werden können.
• Konfiguration von Erweiterungen: Erweiterungen werden über Zulassungs- und Blockliste gesteuert, um das Risiko durch unsichere oder unzuverlässige Browser-Add-ons zu begrenzen.
• Profile: Synchronisierungsbeschränkungen sowie verwaltete Browser-Profile werden durchgesetzt, damit sich Unternehmensdaten nicht mit privaten Konten vermischen.
• Einstellungen für die Zugriffsrechte auf die Internetseite: Webseiten-Berechtigungen sowie Beschränkungen für Down- und Uploads werden so konfiguriert, dass sich sowohl der Zugriff von Webseiten auf Browser-Ressourcen als auch die Datenübertragung durch Benutzer:innen gezielt steuern lassen.
• Prüfung der Browserintegrität: Probleme, die sich auf die Sicherheit und Zuverlässigkeit des Browsers auswirken könnten, werden erkannt und gemeldet. So erhalten Techniker:innen einen verlässlichen Überblick über den Sicherheitsstatus der Browser in den jeweiligen Kundenumgebungen.

Warum MSPs eine Browser-Management-Strategie benötigen

MSPs betreuen naturgemäß zahlreiche Kunden gleichzeitig, was eine belastbare Browser-Management-Strategie umso notwendiger macht. Schließlich kann bereits ein einzelner Kunde über Hunderte von Browser-Profilen verfügen, verteilt auf Geräte mit unterschiedlichen Betriebssystemen, wozu auch Geräte von Auftragnehmern und gemeinsam genutzte Workstations zählen. Eine wirksame Browser-Management-Strategie verhindert dabei Folgendes:

• veraltete Browser-Versionen mit bekannten, öffentlich dokumentierten Schwachstellen
• die Installation ungeprüfter Erweiterungen
• die Anmeldung von Beschäftigten mit privaten Browser-Profilen auf Arbeitsgeräten
• das Hochladen von Dateien auf nicht autorisierte SaaS- oder KI-Plattformen
• das gewohnheitsmäßige, unbedachte Übergehen von Sicherheitswarnungen im Browser durch Benutzer:innen

Wo Browser-Management im Service-Modell von MSPs ansetzt

Browser-Management lässt sich in der Regel gut mit Dienstleistungen verknüpfen, die MSPs bereits anbieten. Auf diese Weise werden bestehende Workflows sinnvoll erweitert, wodurch sich die Produktivität steigern lässt, ohne administrativen Aufwand zu verdoppeln oder separate Verwaltungsprozesse aufzubauen.

Browser-Management steht dabei üblicherweise in Verbindung mit folgenden Bereichen:

Endpunkt- und RMM-basierte Überwachung

Endpunkt- und Remote Monitoring und Management (RMM)-Plattformen sind darauf ausgelegt, Geräte zu überwachen. Je nach Plattform und ihrer jeweiligen Konfiguration können Administrator:innen dabei ebenso browserbezogene Informationen im Blick behalten, etwa installierte Versionen, den Update-Status oder die Einhaltung unternehmensinterner Richtlinien.

MDM

Mobile Device Management-Plattformen (MDM) eignen sich besonders gut zur Durchsetzung von Geräterichtlinien, vor allem in mobilen Szenarien sowie im Bring-Your-Own-Device (BYOD)-Umfeld.

Sicherheitsbetrieb

Browseraktivitäten liefern häufig die ersten Hinweise auf eine Kompromittierung. Sicherheitsüberwachungs-Tools und Workflows für die Reaktion auf Vorfälle können diese Indikatoren verwenden, um bei potenziellen Bedrohungen umgehend eine Untersuchung oder Reaktion einzuleiten.

Compliance-Berichte

In regulierten Branchen ist häufig eine Dokumentation der bestehenden Sicherheitskontrollen vorgeschrieben. Browser-Management kann diesem Bedarf entgegenkommen, indem es Einblick in Browser-Einstellungen, Sicherheitskonfigurationen sowie die Einhaltung unternehmensinterner Standards verschafft.

Onboarding und Offboarding

Nicht zuletzt vereinfachen Browser-Management-Strategien Onboarding- und Offboarding-Prozesse, da sie sicherstellen, dass Browser-Profile, Erweiterungen und Zugriffsberechtigungen für neue Benutzer:innen bereitgestellt und für ausscheidende Beschäftigte oder Auftragnehmer zuverlässig wieder entzogen werden.

Browser-Sicherheitskontrollen, die MSPs standardisieren sollten

Ein einheitlich angewendetes Basis-Set an Kontrollen bietet MSPs einen Ausgangspunkt, der sich anschließend für jeden Kunden individuell anpassen lässt. Dazu zählen in der Regel:

• zugelassene Browser sowie die jeweils erforderlichen Mindestversionen
• Automatische Updates
• Zulassungslisten für Erweiterungen, die auf Basis regelmäßiger Überprüfungen aktualisiert werden
• Beschränkungen bei Synchronisierung und automatischem Ausfüllen
• Verwaltete Arbeitsprofile
• Sichere Standardeinstellungen beim Browsing
• Beschränkungen für Down- und Uploads

Welche Baseline letztlich zum Einsatz kommt, sollte sich nach den jeweiligen Compliance-Anforderungen richten. So können etwa Kunden aus stärker regulierten Branchen wie dem Finanz- oder Gesundheitswesen eine strengere Ausprägung derselben Baseline erhalten. Um nicht für jeden Kunden die Konfiguration von Grund auf neu aufbauen zu müssen, können MSPs diese Baselines zudem in wiederverwendbare Vorlagen verpacken.

Browser-Management-Strategien wirksam umsetzen

Browser-Management stellt für MSPs ein bedeutendes Vorhaben dar, da Browseraktivitäten anfällig für Bedrohungen sind und dadurch die Angriffsfläche eines Unternehmens vergrößern. Hinzu kommt, dass Browser zunehmend sensiblere geschäftliche Vorgänge abwickeln, wodurch Sicherheitslücken entstehen können, denen sich mit einem wirksamen Browser-Management wiederum entgegenwirken lässt. MSPs können daher Basiskonfigurationen standardisieren, die sich an das jeweilige Risikoniveau ihrer Kunden anpassen. So lässt sich der operative Aufwand verringern und gleichzeitig sicherstellen, dass Kunden eine sichere Browsing-Umgebung aufrechterhalten.

Verwandte Themen:

• App- und Browsersteuerung in der Windows-Sicherheit unter Windows 10 ein- oder ausblenden
• Was ist der Chrome-Kiosk-Modus und wie richtet man ihn ein?
• Insider-Tipps: Festlegen von Standardbrowsern mithilfe von GPO
• Verwaltung von Website-Ausnahmen für mehr Sicherheit in Microsoft Edge

Schlüsselpunkte

• Sowohl Endpunkt- als auch Browser-Management sind wichtig, da sie unterschiedliche Ebenen derselben Angriffsfläche absichern und eine Lücke in einem der beiden Bereiche den anderen untergräbt.
• Endpunktverwaltung überprüft die Vertrauenswürdigkeit eines Geräts, bevor die Arbeit beginnt. Browser-Management hingegen regelt, wie mit dieser Vertrauenswürdigkeit umgegangen wird, sobald die Arbeit läuft.
• Echte Unternehmenssicherheit entsteht erst, wenn man beide miteinander verknüpft, anstatt sie als separate, voneinander isolierte Tools zu behandeln.

IT-Teams neigen dazu, diese beiden Bereiche gegeneinander auszuspielen, aber IT-Expert:innen benötigen in Wirklichkeit beides. Der Vergleich zwischen Endpunkt-Management und Browser-Management, um die beste Lösung von den beiden auszuwählen, ist also sinnlos.

Die Absicherung eines Geräts gewährleistet nicht automatisch die Sicherheit der Vorgänge im Browser, und die Absicherung eines Browsers ist schwierig, wenn der zugrunde liegende Endpunkt nicht vertrauenswürdig ist. Endpunkt- und Browserverwaltung lösen unterschiedliche, aber miteinander verbundene Probleme.

Endpunkt-Management-Software ermöglicht es IT-Teams, Geräte und Betriebssysteme zu verwalten. Andererseits ermöglichen Lösungen zur Browserverwaltung IT-Teams die Kontrolle über das Browsererlebnis und die Webaktivitäten.

Was ist Endpunkt-Management?

Unter Endpunkt-Management versteht man die Verwaltung und Absicherung aller Endpunkte, die eine Verbindung zu Unternehmenssystemen herstellen, darunter Laptops, Desktop-Computer, Mobilgeräte und virtuelle Endpunkte.

Endpunkt-Management bietet IT-Teams eine einheitliche Datenquelle, die Aufschluss darüber gibt, welche Geräte im Einsatz sind, in welchem Zustand sie sich befinden und ob sie die Anforderungen der Richtlinien erfüllen.

Über das Installieren von Patches und die Softwarebereitstellung hinaus umfasst Endpunkt-Management das Lifecycle-Management von der Bereitstellung bis zur Außerbetriebnahme, die automatisierte Behebung von Problemen, wenn Geräte nicht mehr den Compliance-Anforderungen entsprechen, sowie die Fernfehlerbehebung für dezentralisierte Teams.

Was ist Browser-Management?

Browser-Management regelt, wie sich Browser verhalten, sobald Benutzer:innen mit der Arbeit beginnen. Es geht dabei nicht allein um die Frage, ob das Gerät in einem einwandfreien Zustand ist, sondern ebenso darum, was innerhalb der jeweiligen Sitzung tatsächlich geschieht.

Dazu zählen die Durchsetzung freigegebener Browser und Versionen, die Beschränkung von Erweiterungen, die Begrenzung der Synchronisierung auf private Konten sowie die Kontrolle von Uploads, Downloads und Webseiten-Berechtigungen.

Besonders wichtig wird dies dort, wo Benutzer:innen über SaaS-Anwendungen, interne Portale und Cloud-Speicher auf sensible Daten zugreifen. Denn genau an dieser Stelle kommt es häufig zu Datenabfluss und Schatten-IT, während klassische Endpunkt-Tools solche Vorgänge oft gar nicht erfassen können.

Endpunkt-Management versus Browser-Management

Beide Ansätze lassen sich nicht gleichsetzen, da sie auf unterschiedlichen Ebenen ansetzen und unterschiedliche Fragen beantworten. Endpoint-Management prüft, ob einem Gerät vertraut werden kann, also ob es registriert, aktuell gepatcht, verschlüsselt und regelkonform ist.

Browser-Management hingegen befasst sich mit dem, was geschieht, nachdem Benutzer:innen ihre Arbeit aufgenommen haben: welcher Browser verwendet wird, welche Erweiterungen installiert sind, welche Internetseiten aufgerufen werden und wie sich Daten innerhalb der Sitzung bewegen.

Werden beide Bereiche als ein und dasselbe behandelt, entstehen blinde Flecken. So kann ein vollständig konformes Gerät dennoch über ein unverwaltetes Browserprofil Daten preisgeben, während eine strikte Browser-Richtlinie ein veraltetes, ungepatchtes Betriebssystem darunter nicht auszugleichen vermag.

Unternehmen benötigen folglich beide Kontrollebenen im Zusammenspiel, ohne dass die eine die andere ersetzen kann.

Wo das Endpunkt-Management am stärksten ist

Endpunkt-Management entfaltet seine Wirkung vor allem dann, wenn es um Probleme am Gerät selbst geht: um die Genauigkeit der Bestandsverwaltung, die Einhaltung von Patch-Vorgaben, die Standardisierung von Software, die konsequente Verschlüsselung sowie die groß angelegte Fernbehebung von Problemen.

Es ist diese Ebene, die belegt, dass ein Gerät sicher benutzt werden kann, noch bevor überhaupt eine Browser-Sitzung beginnt, und die damit jenes Grundvertrauen schafft, auf dem sämtliche Browser-Richtlinien anschließend aufbauen.

Ohne Endpunkt-Management fehlt der IT-Abteilung eine verlässliche Grundlage, um einen konformen Laptop von einem kompromittierten oder veralteten Gerät zu unterscheiden. Dadurch steht jede nachfolgende Sicherheitsentscheidung auf wackligerem Boden.

Wo Browser-Management seine Stärken hat

Seine größte Wirkung entfaltet Browser-Management hingegen bei der Steuerung dessen, was Benutzer:innen innerhalb einer Sitzung tun. Dazu zählen etwa die Einschränkung riskanter Erweiterungen, die Steuerung von Synchronisierung und Profilen, die Begrenzung von Downloads sowie die Überwachung der SaaS-Verwendung.

Dabei deckt Browser-Management häufig Vorgänge auf, die Endpunkt-Tools gar nicht erfassen können, etwa den Einsatz von Schatten-KI über Webanwendungen oder das Kopieren von Daten aus einer autorisierten Anwendung in eine private. Gerade am Ort des eigentlichen Datenzugriffs, und nicht nur beim Login, erweist sich Browser-Management als besonders wertvoll für die Durchsetzung von Compliance-Vorgaben.

Wie Endpunkt- und Browser-Management zusammenwirken können

Weder Endpunkt- noch Browser-Management genügt für sich allein. Endpunkt-Tools bestätigen zwar, dass ein Gerät gepatcht und verschlüsselt ist, erfassen jedoch nicht, was innerhalb einer Browser-Sitzung tatsächlich geschieht.

Umgekehrt können Browser-Tools eine strikte Sitzungsrichtlinie durchsetzen, jedoch weder ein ungepatchtes Betriebssystem noch ein darunterliegendes kompromittiertes Gerät beheben.

Am wirkungsvollsten erweist sich daher ein Modell, das beide Ebenen miteinander verknüpft: Der Gerätestatus fließt in Entscheidungen über den Browserzugriff ein, Erkenntnisse aus dem Browser können Behebungsmaßnahmen auslösen, und die Compliance-Berichterstattung stützt sich auf beide Quellen zugleich.

So gewährt etwa eine Finanzanwendung vollständigen Zugriff nur dann, wenn sowohl das Gerät konform ist als auch der Browser die geforderten Richtlinien erfüllt.

Endpunkt- und Browser-Management im Zusammenspiel

Endpunkt- und Browser-Management lösen unterschiedliche Teile desselben Sicherheitsproblems. Während Ersteres die Geräteebene absichert, also Bestandsverwaltung, Patching, Software, Konfiguration und Behebung, sichert Letzteres die Browserebene ab, also Einstellungen, Erweiterungen, Profile, Synchronisierung, Downloads und browserbasierte Datenbewegungen.

Unternehmen benötigen beide Ansätze, da moderne Arbeit auf vertrauenswürdigen Geräten und kontrollierten Browser-Sitzungen beruht. Endpunkt-Management trägt dazu bei zu verifizieren, dass Geräte sicher verwendet werden können, während Browser-Management dabei hilft zu steuern, was Benutzer:innen tun dürfen, sobald sie auf Webanwendungen zugreifen.

Verwandte Themen:

• Was ist Endpunkt-Management? Funktionsweise und Vorteile
• Die dynamische Entwicklung der Endpunktverwaltung
• Was ist autonome Endpunktverwaltung? Ein umfassender IT-Leitfaden

Schlüsselpunkte

• Definition fahrzeugmontierter Geräte: Fahrzeugmontierte Android-Geräte sind Endpunkte, die in dynamischen Transportumgebungen betrieben werden und eine spezialisierte Verwaltung für Sicherheit, Zuverlässigkeit und Compliance erfordern.
• OEMConfig und Android-Management: OEMConfig ermöglicht detaillierte, herstellerspezifische Konfigurationen, die über die Standardfunktionen des Android-Managements hinausgehen.
• Anwendungsfälle von OEMConfig für die Verwaltung fahrzeugmontierter Geräte:
  • OEMConfig ermöglicht es IT-Teams, sicherheitsorientierte Einschränkungen durchzusetzen, die die Ablenkung des Fahrers minimieren und den Transportvorschriften entsprechen.
  • Die Konfiguration des Geräteverhaltens im Hinblick auf die Fahrzeugstromversorgung gewährleistet Zuverlässigkeit trotz Zündungszyklen, Batterieschwankungen und mobiler Nutzungsbedingungen.
  • OEMConfig trägt dazu bei, Konfigurationen über alle Geräte hinweg zu standardisieren, wodurch Inkonsistenzen reduziert, die Fehlerbehebung vereinfacht und die Compliance verbessert werden.

Fahrzeugmontierte Android-Geräte werden in vielen Bereichen eingesetzt, etwa in der Logistik, im öffentlichen Verkehr und im Fuhrparkmanagement. Diese Endpunkte sind, anders als Büro- oder Handgeräte, an die Stromversorgung des Fahrzeugs angebunden und fungieren als zentrale Schnittstelle für kritische Funktionen dieser Fahrzeuge und anderer Transportsysteme. Die Verwaltung dieser Geräte ist von großer Bedeutung, insbesondere im Hinblick auf Sicherheit und die Einhaltung regulatorischer Standards.

Hier kommt OEMConfig ins Spiel: OEMConfig ermöglicht es IT-Teams, herstellerspezifische Konfigurationen anzuwenden, die von den Standardfunktionen des Android-Managements nicht abgedeckt werden.

Was ist OEMConfig?

Zunächst wollen wir klären, was OEMConfig ist und wie es sich bei der Verwaltung mehrerer Fahrzeuge einsetzen lässt.

OEMConfig ist ein standardisiertes Framework, das es Erstausrüstern (Original Equipment Manufacturers, OEMs) ermöglicht, erweiterte Hardware- und Systemkonfigurationskontrollen für MDM-Software bereitzustellen. In der Praxis kann dies bedeuten, das Verhalten über den gesamten Gerätebestand hinweg zu standardisieren, unter anderem in folgenden Bereichen:

• Integration von Scannern und Peripheriegeräten
• Verhalten von Hardware-Tasten
• Konfiguration von Netzwerk-Funkmodulen
• Einstellungen zum Energiemanagement
• Umschaltung auf Firmware-Ebene

Mithilfe von OEMConfig können IT-Teams die Verwaltung fahrzeugmontierter Geräte optimieren und eine deutlich präzisere Kontrolle über die Gerätekonfigurationen erreichen.

Anwendungsfälle für OEMConfig: Wie können IT-Teams OEMConfig zur Verwaltung fahrzeugmontierter Android-Geräte einsetzen?

OEMConfig kann das Android-Geräte-Management verbessern, wenn es in eine EMM- oder MDM-Plattform integriert wird. Zu den häufigsten Anwendungsfällen zählen:

Anwendungsfall Nr. 1: Gestaltung sicherheitsorientierter Geräterichtlinien

Fahrzeugmontierte Geräte dürfen den Fahrer niemals ablenken. Mit OEMConfig können IT-Teams Richtlinien für diese Geräte durchsetzen, die der operativen Sicherheit Vorrang geben. Beispiele für solche Richtlinien sind:

• Einschränkung nicht essenzieller Anwendungen
• Begrenzung der Bildschirminteraktion während der Fahrt
• Steuerung des Benachrichtigungsverhaltens
• Abstimmung des Geräteverhaltens auf Sicherheitsrichtlinien im Transportwesen

Anwendungsfall Nr. 2: Verwaltung von Strom- und Zündungsverhalten

Anders als typische Endgeräte sind fahrzeugmontierte Geräte auf schwankende Stromversorgung im Fahrzeug angewiesen, statt auf eine konstante Netzstromversorgung. Zu den Situationen, mit denen Benutzer:innen konfrontiert werden können, zählen unter anderem:

• Ein- und Ausschaltzyklen der Zündung
• Batterieentladung bei stillstehenden Fahrzeugen
• Automatische Auslöser für Ruhe- und Aufwachzustände
• Ladezustände im angedockten Zustand

Da die Stromquelle dieser Geräte nicht so konstant ist wie bei normalen Endpunkten, müssen besondere Vorkehrungen getroffen werden, um einen zuverlässigen Betrieb fahrzeugmontierter Geräte zu gewährleisten. Mit OEMConfig können Sie die Betriebszuverlässigkeit erhöhen, indem Sie Konfigurationen ermöglichen, die auf das Stromverhalten des Fahrzeugs abgestimmt sind, um Geräteausfälle und Ausfallzeiten zu reduzieren.

Anwendungsfall Nr. 3: Überwachung von Umgebungsbeständigkeit und Hardware

Fahrzeugmontierte Android-Geräte sind einer raueren Umgebung ausgesetzt als gewöhnliche Laptops und Tablets. Häufig sind sie Vibrationen, Temperaturschwankungen und Dauerbetrieb ausgesetzt. Für Unternehmen, die eine Vielzahl fahrzeugmontierter Geräte verwalten, wird eine proaktive Überwachung notwendig, um die operative Widerstandsfähigkeit sicherzustellen.

OEMConfig erleichtert die Governance, da es MDM-Funktionen wie die folgenden ermöglicht:

• Validierung von Firmware-Updates vor der Einführung
• Überwachung der Hardware-Diagnose
• Kontrollierte Update-Zeitfenster
• Möglichkeit zur Fernfehlerbehebung
• Definierte Schwellenwerte für den Geräteaustausch

Anwendungsfall Nr. 4: Standardisierung des Verhaltens über den gesamten Fuhrpark hinweg

Fuhrparks erstrecken sich häufig über mehrere Regionen und Routen. Mit OEMConfig kann Ihre MDM-Lösung Richtlinien anwenden, die den Betrieb an unterschiedlichen Standorten standardisieren. Dies gewährleistet:

• Einheitliche Konfiguration über alle Fahrzeuge hinweg
• Reduzierte Konfigurationsabweichungen
• Vereinfachte Fehlerbehebung
• Zentralisierte Compliance-Überprüfung
• Vorhersehbares Verhalten unter ähnlichen Betriebsbedingungen

Standardisierung bedeutet Konsistenz, was häufig den Bedarf an zusätzlichem Support-Aufwand verringert.

Vereinfachen Sie die Verwaltung fahrzeugmontierter Geräte mit OEMConfig

Die Verwaltung fahrzeugmontierter Android-Geräte erfordert eine Governance, die auf die spezifischen betrieblichen Rahmenbedingungen des Fuhrparks zugeschnitten ist. Durch den Einsatz von OEMConfig für die Kontrolle auf Hardware-Ebene und die Abstimmung der Richtlinien auf Sicherheitsanforderungen und die Stromversorgung der Fahrzeuge können Unternehmen ihre Widerstandsfähigkeit stärken, Betriebsunterbrechungen reduzieren und die Compliance in Transportumgebungen aufrechterhalten.

Verwandte Themen:

• Was ist Android Mobile Device Management (MDM)?
• Was ist Android Enterprise?
• So integrieren Sie robuste und spezialisierte Geräte in Ihre MDM-Governance-Strategie

Schlüsselpunkte

• Die Kernfunktion von MDM besteht darin, Geräte zu verwalten und abzusichern, wodurch es sich eher als Kontrollebene denn als Kommunikationstool positioniert.
• Unternehmen müssen entscheiden, ob die Kommunikation innerhalb der MDM-Plattform oder über bestehende Zusammenarbeits- oder Helpdesk-Plattformen abgewickelt werden soll.
• Integrierte Kommunikationsfunktionen sind vor allem für gemeinsam genutzte Geräte oder Kiosk-Umgebungen relevant, in denen Benutzer:innen keinen Zugriff auf Standardtools haben.
• Die Einbettung von Messaging in MDM bringt Governance-Anforderungen mit sich, etwa hinsichtlich Aufbewahrungsrichtlinien und Überwachungspflichten.
• Entscheidungen zur Kommunikation sollten sich an bestehenden Support-Workflows orientieren, einschließlich der Art und Weise, wie Probleme bearbeitet und dokumentiert werden.

Mobile Device Management (MDM) ist seit langem ein zentrales Instrument für Unternehmen und konzentriert sich auf die Verwaltung und Absicherung von Geräten. Da IT-Umgebungen zunehmend komplexer werden, insbesondere bei dedizierten Geräten, die im Außendienst oder von lokal arbeitenden Belegschaften benutzt werden, positionieren einige Anbieter integrierte Kommunikationsfunktionen als zusätzliche Fähigkeit.

In diesem Zusammenhang bezieht sich „Kommunikation“ auf operative Nachrichten, die an verwaltete Geräte gebunden sind, wie Einsatzbenachrichtigungen, Anweisungen von Vorgesetzten und schichtbezogene Abstimmung.

Dieser Leitfaden zeigt Schritt für Schritt, wie Sie bewerten können, ob integrierte Kommunikationstools für Ihre MDM-Strategie tatsächlich benötigt werden.

Wofür Mobile Device Management konzipiert ist

MDM-Plattformen wurden entwickelt, um die operative Governance zu unterstützen. Mit MDM verfügen IT-Teams über eine zentralisierte Kontrolle über Endpunkte und stellen sicher, dass jedes Gerät einen optimalen Sicherheitsstatus aufweist und die geforderten Sicherheits- und Compliance-Standards erfüllt. Eine MDM-Plattform ist in der Regel für Folgendes verantwortlich:

Geräteregistrierung und Bereitstellung

Wenn einem Mitarbeiter ein neues Gerät zugewiesen wird, nimmt das MDM es in einen verwalteten Zustand auf, sodass organisatorische Richtlinien automatisch angewendet werden können und das Gerät für den operativen Einsatz konfiguriert wird.

Richtliniendurchsetzung und Sicherheitskonfiguration

Übertragen Sie Konfigurationsprofile auf die Geräte, einschließlich Passwortanforderungen, Verschlüsselungsstandards, Einschränkungen und Zugriffskontrollen, damit die Geräte automatisch den Sicherheitsrichtlinien des Unternehmens entsprechen.

Anwendungsbereitstellung und -kontrolle

Ermöglicht IT-Teams, Apps remote auf Geräten zu installieren, zu verteilen, zu aktualisieren und zu entfernen.

Patch- und Update-Management

Erzwingt die neuesten Betriebssystem- und Anwendungsupdates sowie Sicherheitspatches, um die Angriffsfläche durch bekannte Schwachstellen zu verringern.

Compliance-Überwachung und -Berichterstattung

Überwacht, ob Geräte den definierten Sicherheitsbaselines entsprechen, und identifiziert Richtlinienverstöße, die möglicherweise behoben werden müssen.

Funktionen zum Sperren, Löschen und Zurücksetzen aus der Ferne

IT-Teams sollen sofort reagieren können, wenn ein Gerät verloren geht, gestohlen oder kompromittiert wird.

Diese Funktionen positionieren MDM als Steuerungsebene statt als Kooperations-Ebene, wobei sein Erfolg an der betrieblichen Konsistenz gemessen wird.

Warum Anbieter sich für integrierte Kommunikation einsetzen

Das Problem bei der Bereitstellung moderner Geräte besteht darin, dass sie nicht mehr einer typischen Unternehmensumgebung entsprechen. Unternehmen sind mittlerweile mit einer Vielzahl von Szenarien konfrontiert (gemeinsam genutzte Geräte, Endpunkte mit einem einzigen Verwendungszweck, streng eingeschränkte Bereitstellungen), die zu einer Lücke in der betrieblichen Kommunikation führen. Aus diesem Grund bewerben viele Anbieter integrierte Kommunikationssuiten als Teil der MDM-Plattform.

Und nein, das ist weder Slack noch ein generelles Tool für die Zusammenarbeit. Anbieter setzen sich für eine direkte Integration von Kommunikationsfunktionen in MDM ein, um Folgendes zu ermöglichen:

Kommunikation zwischen Vorgesetzten und Beschäftigten

Ermöglicht Vorgesetzten, mit Mitarbeitenden ohne festen Arbeitsplatz zu kommunizieren, ohne auf private Geräte oder Verbraucher-Apps außerhalb der Kontrolle der IT zurückgreifen zu müssen.

Operative Warnmeldungen in Echtzeit

Verbreitet operative Warnmeldungen in Echtzeit über sämtliche verwaltete Geräte.

Kontextübergabe bei Schichtwechsel

Koordiniert schichtbezogene Updates, wenn sich Mitarbeitende gemeinsam genutzte Geräte teilen und zwischen den Sitzungen eine Kontextübergabe benötigen.

App-Ersatz auf stark eingeschränkten Geräten

Stellt integrierte Messaging-Funktionen auf stark eingeschränkten Geräten oder Geräten im Kiosk-Modus bereit, auf denen die Installation von Drittanbieter-Software durch Richtlinien oder Netzwerksegmentierung untersagt ist.

Gerätezentrierte Kommunikationskontrolle

Erhält die Kommunikationskontrolle auf Endpunkten mit einem einzigen Verwendungszweck, bei denen die Geräteidentität und nicht das individuelle Benutzerkonto die primäre Verwaltungseinheit darstellt.

Wie Sie sehen, treten diese Szenarien am häufigsten im Einzelhandel, in der Logistik, im Gesundheitswesen und im Lagerbetrieb auf, wo Geräte häufig von mehreren Benutzer:innen gemeinsam verwendet und streng verwaltet werden.

Die traditionelle Rolle der Kommunikation in der Unternehmens-IT

Bevor Sie bewerten, ob MDM Kommunikationsfunktionen umfassen sollte, hilft es, zunächst zu verstehen, wo Kommunikation in einem typischen Unternehmens-IT-Stack bereits verankert ist. In den meisten ausgereiften Umgebungen sind die Zuständigkeiten auf verschiedene Ebenen verteilt, und Messaging hat in den meisten Fällen bereits einen festen Platz.

Die übliche Aufteilung sieht folgendermaßen aus:

Diese Trennung sorgt für klare Governance-Grenzen und vereinfacht die Auditierung. Sie verhindert außerdem Funktionsüberlappungen und ermöglicht es jedem System, für seine Hauptfunktion optimiert zu bleiben. Allerdings benötigt nicht jedes Unternehmen automatisch ein MDM mit integrierter Kommunikationsebene.

Bevor Sie davon ausgehen, dass dies auch für Ihr Unternehmen zutrifft, stellen Sie sich folgende Fragen:

Benötigt Messaging Audit-Trails und Aufbewahrungsrichtlinien?

Prüfen Sie in diesem Fall, ob Ihre MDM-Plattform diese tatsächlich unterstützt und ob Ihre bestehenden Zusammenarbeits-Tools dies bereits zuverlässig leisten.

Muss es sich in HR- oder Planungssysteme integrieren lassen?

Kommunikation, die an Schichten und Zeitpläne gebunden ist, ist in der Regel eine Frage des Workflows und der Betriebsabläufe, nicht der Geräteverwaltung.

Ist die Live-Fernfehlerbehebung bereits abgedeckt?

Remote-Support-Tools sind für Live-Sitzungen konzipiert. Ist dieser Bedarf bereits gedeckt, dürfte MDM-Messaging kaum einen nennenswerten Mehrwert bieten.

Würde die Einbindung von Messaging in MDM das duplizieren, was Ihr Zusammenarbeits-Stack bereits leistet?

Lautet die Antwort für die meisten Benutzer:innen „Ja“, wird die Begründung für eine integrierte Kommunikationslösung deutlich schwächer.

Wann eine integrierte Kommunikationslösung gerechtfertigt ist

In manchen operativen Umgebungen können integrierte Kommunikationsfunktionen innerhalb der verwalteten Geräteumgebung eine praktische Antwort auf spezifische betriebliche Einschränkungen sein. Im Folgenden finden Sie einige Fälle, in denen eine integrierte Kommunikationslösung sinnvoll sein kann:

• Die Geräte sind Kiosk-Geräte mit einem einzigen Verwendungszweck, ohne Zugriff auf externe Messaging-Apps und ohne Möglichkeit, Drittanbieter-Software zu installieren.
• Die Belegschaft verfügt über keine Unternehmens-E-Mail-Konten oder dauerhaften Benutzeridentitäten.
• Die Geräte werden über Schichten hinweg gemeinsam genutzt, und die Benutzeridentität ändert sich häufig oder bleibt zwischen den Sitzungen nicht bestehen.
• Die Kommunikation muss eng auf operative Nachrichten begrenzt sein, mit wenig Raum für offene oder informelle Diskussionen.
• Netzwerksegmentierung oder Sicherheitskontrollen schränken den Zugriff auf Zusammenarbeits-Plattformen von Drittanbietern ein.

In solchen Umgebungen können einfache Messaging-Funktionen, die an gemeinsam genutzte verwaltete Geräte gebunden sind, dazu beitragen, die operative Kommunikation zwischen Schichten und Mitarbeitenden zu vereinfachen.

Wie Sie bewerten, ob integrierte MDM-Kommunikation zu Ihrer Umgebung passt

Anstatt zu fragen, ob eine MDM-Plattform Kommunikationsfunktionen umfassen sollte, lautet die sinnvollere Frage, ob die Kommunikationsanforderungen Ihres Unternehmens bereits durch vorhandene Systeme erfüllt werden. Ist dies der Fall, kann die Ergänzung von Messaging-Funktionen in der MDM-Umgebung zu unnötigen funktionalen Überlappungen führen.

Gehen Sie die folgenden Bewertungsbereiche durch, um dies herauszufinden:

• Gerätetyp und Nutzungsmuster

Prüfen Sie, ob die Geräte unternehmenseigen sind, von mehreren Benutzer:innen gemeinsam verwendet werden oder als Kiosk-Geräte eingerichtet sind, und wie sich dies auf die Kommunikation mit den Benutzer:innen auswirkt.

• Bestehende Kollaborationsplattform

Prüfen Sie, welche Tools bereits für die Kommunikation benutzt werden (Chat, E-Mail oder Ticketing) und ob diese von Anwender:innen tatsächlich effektiv verwendet werden.

• Regulatorisches Umfeld und Prüfungserwartungen

Stellen Sie fest, ob die Kommunikation Anforderungen hinsichtlich der Aufbewahrung von Nachrichten, der Protokollierung oder der Einhaltung gesetzlicher Vorschriften erfüllen muss, die von der MDM-Plattform möglicherweise nicht vollständig unterstützt werden.

• Abhängigkeiten operativer Arbeitsabläufe

Verstehen Sie, wie Benutzer:innen Anweisungen und Updates erhalten, insbesondere in schichtbasierten oder dezentralisierten Umgebungen.

• Support-Eskalationswege und Dokumentation

Prüfen Sie, wie Probleme gemeldet, eskaliert und dokumentiert werden, und ob Messaging Teil dieses Prozesses ist.

Risiko- und Governance-Überlegungen

Die Ergänzung einer Geräteverwaltungsplattform um integrierte Messaging-Funktionen bringt zusätzliche Verantwortung in den Bereichen Governance, Compliance und Betrieb mit sich, die von Anfang an klar definiert werden sollte.

Sie müssen klären, ob Nachrichten aufbewahrt werden und bei Bedarf überprüft werden können, insbesondere im Hinblick auf Audits oder Untersuchungen. Ebenso wichtig ist es zu verstehen, wie mit Missbrauch umgegangen wird und wo die Daten gespeichert werden, sofern regulatorische Anforderungen gelten.

Hinzu kommt das Risiko von Überlappungen und Fragmentierung. MDM-Messaging kann bestehende Tools duplizieren, wodurch sich Aufzeichnungen aufsplitten und Zuständigkeiten verwischen. Für Managed Service Provider wirkt sich dies auf den Support-Umfang und die Audit-Verantwortlichkeit aus, was die Leistungserbringung ohne klare Grenzen erschwert.

Wann integrierte Kommunikationsfunktionen in MDM-Umgebungen tatsächlich einen Mehrwert bieten

MDM-Plattformen sind dafür konzipiert, Geräte zu verwalten und abzusichern. Sie sind nicht dazu gedacht, die Zusammenarbeits-Tools zu ersetzen, auf die sich Teams bereits verlassen.

Messaging innerhalb von MDM kann in bestimmten Umgebungen funktionieren, etwa bei gemeinsam genutzten Geräten oder stark eingeschränkten Setups. In den meisten Fällen verfügen Unternehmen jedoch bereits über Helpdesk- oder Zusammenarbeits-Systeme, die die Kommunikation abwickeln. Nehmen Sie sich die Zeit, Ihr Setup zu überprüfen, um zu vermeiden, dass Sie ein weiteres Tool einführen, das sich mit dem überschneidet, was Sie bereits haben.

Verwandte Themen:

• Was ist Mobile Device Management? MDM erklärt
• Verwaltung von Mobilgeräten: 6 Funktionen, die Sie in Ihrer MDM-Lösung benötigen
• Warum ist MIB wichtig? 6 Gründe, warum Ihr Unternehmen Mobile Device Management (MDM) braucht
• So wählen Sie eine Mobile Device Management-Lösung (MDM) für Ihr Kleinunternehmen aus

Schlüsselpunkte

• PSD2 ist ein regulatorischer Rahmen der EU, der die Sicherheit von Zahlungen, den Zugang zu Open Banking und den Verbraucherschutz regelt.
• Die starke Kundenauthentifizierung (Strong Customer Authentication) erfordert mindestens zwei unabhängige Verifizierungsfaktoren, um elektronische Transaktionen vor unbefugtem Zugriff zu schützen.
• Open Banking verpflichtet Banken dazu, von Benutzer:innen genehmigte Finanzdaten an lizenzierte Drittanbieter von Zahlungsdiensten weiterzugeben, wodurch das Hardening von APIs, die Validierung von Einwilligungen und der Entzug von Zugriffsrechten zu entscheidenden Kontrollen werden.
• Bewertungen von Drittanbietern, eine kontinuierliche Überwachung und klar definierte Verfahren zur Vorfallsmeldung sind unerlässlich, um das durch Drittparteien entstehende Risiko zu steuern.
• Endpunkt- und Identitätskontrollen bilden das operative Rückgrat einer PSD2-konformen Zahlungsinfrastruktur.
• Kontrollen für Endpunkte und Identitäten bilden das operative Rückgrat einer PSD2-konformen Zahlungsinfrastruktur.

Die Payment Services Directive 2 (PSD2) legt die regulatorischen Vorgaben dafür fest, wie Zahlungsdienste innerhalb der Europäischen Union (EU) betrieben werden. Für Unternehmen, die finanzielle Transaktionen innerhalb des Europäischen Wirtschaftsraums (EWR) abwickeln oder sogenannte One-Leg-Out-Transaktionen verarbeiten, ist die Ausrichtung an den PSD2-Compliance-Anforderungen unerlässlich.

Sollte Ihr Unternehmen in diesen Anwendungsbereich fallen, lesen Sie weiter, denn dieser Leitfaden erläutert, wie Sie IT- und Sicherheitskontrollen an den regulatorischen Vorgaben der PSD2 ausrichten können.

Was ist PSD2: Ein Überblick über Geltungsbereich und Anwendbarkeit

Die PSD2, auch als überarbeitete Zahlungsdiensterichtlinie (Revised Payment Services Directive) bezeichnet, trägt der raschen Entwicklung digitaler Zahlungsdienste Rechnung, einschließlich Open Banking und der wachsenden Bedeutung von Nicht-Bank-Finanzunternehmen.

Der Aufbau der PSD2 ist auf folgende Ziele ausgerichtet:

Während sich die PSD2 primär auf Finanzinstitute innerhalb der EU bezieht, unterliegt auch jedes Unternehmen außerhalb der EU ihren Bestimmungen, sofern es Finanzdienstleistungen für EU-Bürger:innen anbietet. Die Richtlinie erfasst sowohl traditionelle Banken als auch neu entstehende Fintech-Unternehmen, insbesondere:

• Banken, Kreditinstitute und andere Einrichtungen, die Zahlungskonten anbieten oder elektronische Transaktionen verarbeiten.
• Lizenzierte Zahlungsinstitute, die Zahlungstransaktionen durchführen oder Zahlungsauslösedienste anbieten.
• E-Geld-Institute (Electronic Money Institutions, EMIs), die digitale Währungen ausgeben und Geldtransfers ermöglichen.
• Drittanbieter von Zahlungsdiensten (Third-Party Payment Service Providers, TPPs), einschließlich Kontoinformationsdienstleistern und Zahlungsauslösedienstleistern.
• Fintech-Unternehmen, die in der EU tätig sind oder Kunden innerhalb der EU bedienen, unabhängig davon, wo sie ihren Sitz haben.

Unternehmen, die unter eine dieser Kategorien fallen, sind verpflichtet, sich an den Compliance-Anforderungen der PSD2 auszurichten, von der Implementierung von Kontrollen zur starken Kundenauthentifizierung (Strong Customer Authentication, SCA) bis hin zur Aufrechterhaltung sicherer Open-Banking-APIs.

Ausrichtung Ihrer IT-Infrastruktur an den Compliance-Anforderungen der PSD2

Die Erfüllung der Vorgaben der PSD2 erfordert von Finanzinstituten, ihre Systeme in Bezug auf die Authentifizierung von Benutzer:innen, die Steuerung von Drittanbieterzugängen, die Reaktion auf Vorfälle und den Schutz von Übertragungswegen für Daten neu zu überprüfen.

Für manche Unternehmen kann dies bedeuten, die vorhandene Infrastruktur zu überarbeiten, um Lücken zu schließen und sicherzustellen, dass die zahlungsspezifischen Verpflichtungen mit der übergeordneten Sicherheits- und Compliance-Architektur im Einklang stehen.

Die folgenden Abschnitte führen Sie durch die zentralen Bereiche, in denen IT- und Sicherheitskontrollen mit den technischen Vorgaben der PSD2 in Einklang gebracht werden müssen.

SCA-Anforderungen der PSD2

Die heutige digitale Zahlungstechnologie macht es Verbraucher:innen leichter, Produkte bequem von ihrem Bildschirm aus zu kaufen. Um elektronische Zahlungstransaktionen zu schützen, schreibt die PSD2 SCA-Kontrollen vor, die ein Authentifizierungsverfahren mit mindestens zwei unabhängigen Faktoren aus den folgenden Kategorien verlangen:

Die Anforderung, dass mindestens zwei der genannten Faktoren authentifiziert werden müssen, minimiert unbefugten Zugriff und trägt dazu bei, das Betrugsrisiko bei digitalen Transaktionen zu verringern.

Open-Banking und API-Governance

Die Open-Banking-Bestimmung der PSD2 erlaubt lizenzierten Drittanbietern (Third-Party Providers, TPPs), etwa Budgetierungs-Apps, Zahlungsplattformen oder Fintech-Diensten, auf von Benutzer:innen genehmigte Finanzdaten zuzugreifen. APIs bilden dabei die Verbindung zwischen Bankkonten und Drittanwendungen.

Um APIs ordnungsgemäß abzusichern, müssen Finanzunternehmen:

• an jedem API-Endpunkt Verschlüsselungsstandards, Zertifikatsvalidierung und Zugriffskontrollen durchsetzen.
• die Übersicht über verbundene TPPs aufrechterhalten, einschließlich der Frage, auf welche Daten zugegriffen wird und wann der Zugriff erfolgte.
• den API-Zugriff strikt auf den vom Kunden genehmigten Umfang begrenzen.
• die Fähigkeit aufbauen, den Zugriff eines TPP nahezu in Echtzeit zu beenden, sobald die Einwilligung widerrufen wird.
• für sämtliche Open-Banking-Kommunikation einen gegenseitigen TLS-Handshake sowie eIDAS-konforme Zertifikate implementieren.

Ein angemessenes Hardening der APIs stellt sicher, dass Open-Banking-Verfahren gegen unbefugten Zugriff sowie Missbrauch durch externe und nicht konforme Akteure geschützt sind.

Umgang mit dem Risiko durch Drittanbieter

Open-Banking erweitert die Angriffsfläche einer IT-Infrastruktur, da jede TPP-Verbindung einen potenziellen Einstiegspunkt darstellt und die Exposition von Drittanbieterverbindungen das Risikoprofil eines Unternehmens beeinflussen kann.

Die Minimierung des Drittanbieterrisikos im Rahmen der PSD2 sollte Folgendes umfassen:

• Bewertung von Anbieterrisiken: Sorgfältige Prüfung der Sicherheits- und Compliance-Lage eines TPP, bevor Zugriff gewährt wird.
• Sichere API-Authentifizierungskontrollen: Durchsetzung einer starken Identitätsprüfung für jede Drittanbieterverbindung.
• Transparenz über Drittanbieterverbindungen: Eine kontinuierliche Überwachung unterstützt die Echtzeiterkennung verdächtiger Zugriffsmuster, Versuche der Datenexfiltration und Richtlinienverstöße.
• Verfahren zur Vorfallsmeldung: Festlegung klarer Meldewege, um Aufsichtsbehörden und betroffene Parteien bei TPP-bezogenen Vorfällen umgehend zu informieren.

Die Überwachung dieser Bereiche verringert das unternehmensweite Risiko und versetzt IT-Infrastrukturen in die Lage, die Compliance bei behördlichen Prüfungen nachzuweisen.

Ausrichtung von Endpunkt- und Identitätskontrollen an der PSD2-Regulierung

Die PSD2 verpflichtet Finanzunternehmen dazu, eine strenge Identifizierung zu implementieren, um Vertrauen sowohl gegenüber Benutzer:innen als auch gegenüber TPPs herzustellen. Dabei ist es für Techniker:innen entscheidend, die Einhaltung der von der PSD2 vorgeschriebenen Endpunkt- und Identitätskontrollen sicherzustellen, darunter:

• Validierung der Gerätevertrauenswürdigkeit: Bewertet die Integrität eines Geräts zum Zeitpunkt der Authentifizierung, insbesondere bei mobilen Besitzfaktoren.
• Sichere Endpunktauthentifizierung: Stellt sicher, dass nur vertrauenswürdige Geräte Zahlungstransaktionen einleiten oder autorisieren können.
• Sitzungsüberwachung: Überwachung aktiver Sitzungen, um verdächtiges Verhalten zu erkennen, das auf ein kompromittiertes Konto oder eine entführte Sitzung hindeuten kann.
• Zugriffsprotokollierung und Aufbewahrungsrichtlinien: Führung auditierbarer Aufzeichnungen von Authentifizierungsereignissen und Transaktionsautorisierungen gemäß den Aufbewahrungsvorgaben der PSD2.
• Betrugserkennungssysteme: Integration von Echtzeit-Verhaltensanalysen und Engines zur Transaktionsrisikoanalyse (Transaction Risk Analysis, TRA) in die Zahlungskette zur Unterstützung von Sicherheits- und SCA-Kontrollen.

Starke Kontrollen zur Zahlungssicherheit sollten Vertrauen gegenüber den Endbenutzer:innen und den von ihnen verwendeten Geräten schaffen. Schwache Kontrollen auf dieser Ebene können selbst robuste SCA-, API- und TPP-Managementstrategien untergraben.

Integration der PSD2 in ein umfassenderes regulatorisches Umfeld

Finanzinstitute, die in der EU tätig sind, müssen nicht nur die Compliance-Anforderungen der PSD2 erfüllen, sondern auch die geltenden, übergeordneten regulatorischen Rahmenwerke einhalten. Ein einheitlicher Compliance-Ansatz stellt sicher, dass die Ausrichtung an der PSD2 nicht zu Verstößen gegen andere angrenzende Frameworks führt.

So erlaubt die PSD2 zwar die Weitergabe von durch Benutzer:innen genehmigten Finanzdaten, doch müssen diese Datenweitergabeverfahren weiterhin die Anforderungen der DSGVO-Compliance hinsichtlich Einwilligung, Datenminimierung und Meldung von Verstößen erfüllen.

Sich überschneidende Compliance-Anforderungen sollten ausdrücklich dokumentiert werden, um doppelte Kontrollen zu vermeiden, Audits zu vereinfachen und Governance-Lücken zu verringern.

Ausrichtung an den PSD2-Compliance-Anforderungen zur Sicherung von Transaktionen

Die PSD2-Compliance verpflichtet Finanzinstitute und Zahlungsdienstleister (Payment Service Providers, PSPs), die Authentifizierung zu stärken, Open-Banking-APIs abzusichern und das Risiko durch Drittanbieter zu steuern. Die Erfüllung dieser Anforderungen bedeutet, die Identitätsarchitektur, die Endpunktsicherheit und die API-Governance mit den zahlungsspezifischen Vorgaben der PSD2 in Einklang zu bringen.

NinjaOne unterstützt Kunden bei der Erfüllung der PSD2-Compliance durch eine einheitliche Plattform, die die Endpunktverwaltung automatisiert, Sicherheitspatches verwaltet und die Compliance überwacht. Dies trägt zu einer starken Kundenauthentifizierung und einem wirksamen Datenschutz bei und hinterlässt gleichzeitig detaillierte Audit-Protokolle zur Unterstützung der regulatorischen Nachweisbarkeit.

Verwandte Themen:

• Checkliste zur Einhaltung des Digital Operational Resilience Act (DORA)
• DORA vs. DSGVO: Die wichtigsten Unterschiede im Überblick
• Warum sich die Finanzdienstleistungsbranche in Richtung Edge-Netzwerkarchitekturen bewegt