#Authentik

Eine Regel, die nur Externe aussperren soll, kann allen anderen zu viel öffnen, bei uns vier Monate lang. Im Juni hatte ich in Authentik fast jede Anwendung an die Bedingung nicht externe gebunden. Weil eine erfüllte Bedingung genügt, standen damit fünfzehn von achtzehn Anwendungen jedem internen Konto offen, darunter Serververwaltung und n8n. Ich hatte geglaubt und hier sogar geschrieben, ein Konto ohne Gruppe sehe nichts, und lag daneben. Wer nur festlegt, wer draußen bleibt, lässt alle anderen überall herein.

Eine zusätzliche Sperrregel kann tatsächlich mehr Türen öffnen, als sie schließt. In unserem zentralen Login Authentik hängt an fast jeder Anwendung die Regel, dass externe Konten draußen bleiben, und eingestellt ist, dass eine einzige erfüllte Regel genügt. Damit bestand jedes interne Konto allein diese Sperre und war drin, die eigentlichen Gruppenfreigaben liefen ins Leere. Ein Konto ohne jede Gruppe erreichte fünfzehn von achtzehn Anwendungen. Ob eine Regel schützt, zeigt erst das Konto, das nichts dürfen soll.

Mit dem Firmen-Login allein kommt bei uns niemand ins VPN. Die Kollegen melden sich mit ihrem zentralen Login aus Authentik bei unserem selbst betriebenen NetBird an. Nach der ersten Anmeldung gilt jedes Konto aber als wartend und darf kein einziges Gerät verbinden. Erst wenn ich das Konto von Hand freigebe, kommt die Person in eine Gruppe, die genau das Firmennetz erreicht, aber keine Kameras und keine Server-Konsolen. Heute habe ich den ersten von zwei Kollegen freigegeben. Der Login sagt, wer jemand ist, die Freigabe sagt, wohin er darf.

Wenn die Statusseite des Anbieters zur selben Zeit eine Störung meldet, ist er deshalb noch lange nicht schuld. Bei uns fielen an einem Morgen drei Dienste immer wieder aus, darunter unser zentraler Login Authentik. Auf der Statusseite von Hetzner stand gleichzeitig eine DNS-Störung. Unsere eigenen Protokolle zeigten aber eine ganz andere Ursache: Ein Zwischenspeicher von 64 Megabyte war nach fünf Monaten Laufzeit vollgelaufen. Seit wir ihn auf 512 Megabyte vergrößert haben, laufen die Dienste wieder. Ein Ausfall, der zeitgleich passiert, ist ein Verdacht und noch kein Beweis.

Ein VPN für Mitarbeiter sollte nicht das ganze Firmennetz öffnen, sondern nur das, was die Arbeit wirklich braucht. Als wir unser selbst betriebenes NetBird eingerichtet haben, habe ich als Erstes die Standardregel abgeschaltet, die jedem Gerät alles erlaubt. Zwei Kollegen erreichen jetzt den Dateiserver und den Remote-Desktop, aber keine Kameras, keine smarten Steckdosen und keinen Wartungszugang zu den Servern. Jede Erstanmeldung gebe ich außerdem von Hand frei. Ein Tunnel ins Haus ist eine Tür, und eine Tür öffnet man für einen Raum, nicht für das ganze Gebäude.

Per VPN ins Firmennetz darf bei uns nicht automatisch jeder, der einen Firmen-Login hat. Unser VPN habe ich mit NetBird aufgebaut und an den zentralen Login in Authentik gehängt, und trotzdem landet jede Erstanmeldung zuerst in einer Warteschleife, bis ich sie von Hand freigebe. Die ersten zwei Kollegen bekommen danach genau zwei Ziele: den Dateiserver und den Remote-Desktop, keine Kameras, keinen Serverzugang. Ein Login beweist, wer jemand ist, nicht, wohin er darf.

Ein externer Dienstleister sieht bei uns mit seinem eigenen Zugang genau einen Kanal und sonst nichts. In Authentik hängt jede Anwendung an einer Gruppe: Externe bekommen eine eigene, die alles außer dem Support-Chat sperrt, Interne je nach Aufgabe zwei oder drei. Als ich zuletzt einen Zugang anlegte und die Gruppe vergaß, sah der Kollege eine völlig leere Startseite, und genau so soll es sein. Ein Zugang, der von sich aus nichts zeigt, ist der einzige, den man ruhig vergibt.

Ein geändertes Passwort gilt nicht automatisch in allen Firmensystemen, auch wenn es überall dasselbe ist. Unsere Anmeldung über Authentik und das Microsoft-Konto der Mitarbeiter sind technisch nicht gekoppelt: Wer sein Passwort ändert, muss es an zwei Stellen setzen, sonst sperrt ihn die zweite aus. Seitdem steht dieser Hinweis im Notizfeld jedes betroffenen Eintrags, direkt beim Zugang selbst. Wissen, das nur im Kopf eines Einzelnen liegt, ist kein Wissen des Betriebs.

Wenn eine gemeinsam genutzte Ressource ausgeht, trifft es nicht den Verursacher, sondern den, der zufällig zuletzt kommt. An einem Dienstag wurden 66 Anmeldungen über Authentik abgewiesen, weil unsere Datenbank keine freie Verbindung mehr hatte, während die eigentlichen Dauerverbraucher ungestört weiterliefen. Authentik ist bei uns die Anmeldung für fast alles, also stand plötzlich überall die Tür zu. Wer die Ursache am lautesten Symptom sucht, verdächtigt meistens den Falschen.

Postfächer für Maschinen sollten nicht denselben Login bekommen wie Menschen. Unsere Benachrichtigungs-Adressen leben als lokale Konten direkt im Mailserver Stalwart, während jeder Mitarbeiter zusätzlich einen Zugang im zentralen Verzeichnis Authentik hat. So hängt ein nächtlicher Versand nicht am persönlichen Konto eines Menschen, der morgen den Betrieb verlassen könnte. Was automatisch läuft, soll niemandem gehören außer dem Betrieb selbst.

Im Mailprogramm funktioniert das normale Passwort nicht, weil zentraler Login und Postfach zwei verschiedene Türen sind. Bei uns meldet sich der Mensch über Authentik per Single Sign-on an, doch unser Mailserver Stalwart lehnt genau dieses Passwort im Mailprogramm ab. Erst ein eigenes App-Passwort, das nur ein einziges Mal angezeigt wird, lässt das Programm durch. Ein Schlüssel für die Haustür ist eben kein Schlüssel für den Tresor.

Automatisch nur für die eigenen Leute zugänglich ist ein selbst gehosteter Dienst nicht, eine App ohne ausdrückliche Zugriffsregel steht jedem offen. Beim Aufbau unseres Matrix-Support-Systems fiel mir auf, dass vierzehn Anwendungen hinter Authentik ohne Richtlinien-Bindung liefen, und manche legten bei der ersten Anmeldung sogar selbst ein Konto an. Ich habe eine Gruppe externe gebaut und allen vierzehn bis auf eine eine Sperre verpasst. Was keine Regel hat, hat als Regel: alle dürfen herein.

Anmelden heißt noch nicht berechtigen, das sind zwei verschiedene Schritte. Bei uns synchronisiert Authentik die Gruppen sauber ins Dokumenten-Archiv, und trotzdem hatten 1.747 von 1.749 Dokumenten keinen Besitzer hinterlegt, also sah jeder Nutzer jedes Dokument. Die Stufen regelten nur, wer löschen darf, nicht, wer sehen darf. Eine Tür, die jeden hereinlässt, ist keine Tür, auch wenn das Schloss teuer war.

Als zweiter Faktor taugt ein Mailcode nichts, wenn man sich über genau dieselbe Anmeldung erst einloggen muss, um die Mail zu lesen. In Authentik geht der Code an die im Profil hinterlegte Firmenadresse, und auf die kommt unser Mitarbeiter erst nach dem Login, vor dem der Code ihn ja schützen soll. Wir bleiben deshalb bei einer App, die ohne Postfach auskommt. Ein Schlüssel, der hinter der Tür liegt, die er öffnen soll, ist keiner.

Ein Passkey, der nur im iPhone liegt, sperrt am Windows-PC aus, weil er das Apple-Ökosystem nie verlässt. Bei uns hatte ein Mitarbeiter in Authentik als einzige Anmeldemethode einen Apple-Passkey hinterlegt, und am Windows-Rechner bot ihm das System nur den QR-Code für den Geräte-Wechsel an, der zuverlässig nicht funktionierte. Ich habe den Schlüssel gelöscht und auf eine geräteunabhängige Methode umgestellt. Ein zweiter Faktor, der nur an einem Gerät lebt, ist kein Zugang, sondern eine Falle.

Ein zentraler, gut gesicherter Login mit zweitem Faktor. Wir haben unsere Dienste an einen einzigen Identitäts-Anbieter, Authentik, angebunden. Statt zwanzig Passwörtern auf Zetteln gibt es einen Schlüssel, dafür richtig geschützt. Bequemlichkeit und Sicherheit sind kein Gegensatz, wenn man sie zusammen plant.