Der Angriff, den keine Firewall aufhält

Die Projektleiterin öffnet eine Kalkulation, der Aussendienstmitarbeiter eine Offerte, ein Mitglied der Geschäftsleitung genehmigt eine Zahlung. Für sie alle ist das Alltag, und sie sind damit nicht allein: In einer Befragung von 500 Vollzeitbeschäftigten gaben 86 Prozent an, mobile Arbeits-Apps zu nutzen, gut die Hälfte davon auch in öffentlichen WLANs.

Für die IT-Sicherheit sind es drei verschiedene Geräte, drei Netze und drei direkte Zugriffe auf Cloud-Dienste. Viele Verbindungen führen zu Microsoft 365 oder anderen Geschäftsanwendungen, ohne die Firewall am Firmenstandort zu passieren. Der klassische Netzwerkrand reicht nicht mehr aus. Die neue Sicherheitsgrenze entsteht bei jeder Anmeldung, auf jedem Gerät und über jede Verbindung.

Angreifer nehmen den erlaubten Weg

Viele Cyberangriffe sehen wie normale Arbeit aus. Statt eine ­Firewall zu durchbrechen, verwenden Täter gestohlene Konten, gültige Sitzungstokens oder freigegebene Cloud-Anwendungen.

Laut dem Global Threat Report 2026 von Crowdstrike kamen 82 Prozent der 2025 erfassten Erkennungen ohne klassische Schadsoftware aus. Die Angreifer missbrauchten stattdessen gültige Zugangsdaten, legitime Anmeldeabläufe oder zugelassene SaaS-Integrationen. Diese Aktivitäten sehen im Betrieb wie normale Arbeit aus und sind entsprechend schwer zu erkennen.

In gewachsenen Umgebungen verschärft sich das. Je mehr Standorte, Tochtergesellschaften, Dienstleister und Partnerzugänge ein Unternehmen unterhält, desto mehr legitime Wege stehen einem Angreifer offen, ohne dass er auffällt.

Die erste Grenze ist die Identität

Mehrfaktor-Authentifizierung (MFA) gehört auf jedes geschäftliche Konto, und zwar lückenlos: einschliesslich Dienst- und Schnittstellenkonten sowie der Zugänge externer Partner. Genau dort überdauern Ausnahmen am längsten. Für Administratoren, Geschäftsleitung und Finanzabteilung kommen Phishing-resistente Verfahren wie Passkeys oder FIDO2-Sicherheitsschlüssel hinzu.

Passkeys verwenden kryptografische Schlüssel und sind an die echte Website oder Anwendung gebunden. Eine gefälschte Anmeldeseite kann sie deshalb nicht einfach übernehmen und wiederverwenden. Das schützt besser gegen Phishing als Passwörter oder weiterleitbare Einmalcodes.

Doch eine korrekte MFA-Anmeldung ist kein dauerhafter Vertrauensbeweis. Sitzungstokens lassen sich über Phishing-Proxies abfangen oder über Schadsoftware auf dem Gerät auslesen, die gespeicherte Anmeldedaten sammelt. Der Angreifer übernimmt dann eine bereits bestätigte Sitzung und muss die Anmeldung gar nicht mehr durchlaufen. Microsoft beschreibt Token-Diebstahl ausdrücklich als Angriff, der trotz erfüllter MFA funktioniert.

Darum müssen Identität und Kontext zusammenspielen. Conditional Access kann Zugriffe abhängig von Benutzer, Anwendung, Risiko und Gerätestatus erlauben oder blockieren. Sensible Daten lassen sich auf verwaltete, regelkonforme Geräte begrenzen. Dazu kommen wenige dauerhafte Administratorrechte, kon­trollierte App-Berechtigungen, deaktivierte Legacy-Authentifizierung und überwachte Anmeldeprotokolle.

Die zweite Grenze ist das Gerät

Ein sicheres Konto auf einem unsicheren Laptop bleibt ein Risiko. Geschäftlich verwendete Geräte benötigen aktuelle Betriebssysteme, Updates, Verschlüsselung, Endpoint-Schutz, eingeschränkte lokale Administratorrechte und zentrale Verwaltung.

Mobile Device Management hilft, Laptops, Tablets und Smartphones einheitlich zu konfigurieren und ihren Sicherheitsstatus zu prüfen. Ein unbekanntes Gerät sollte dabei nicht dieselben Rechte erhalten wie ein verwaltetes Firmengerät. Das betrifft private Geräte ebenso wie die Notebooks externer Dienstleister, die in der Praxis oft übersehen werden.

Entscheidend ist zudem, dass der Schutz nicht vom Vertrauen in ein Café-, Hotel- oder Heimnetz abhängt. Dieselben Regeln müssen überall greifen.

SASE macht den Netzwerkschutz mobil

Secure Access Service Edge, kurz SASE, stellt Netzwerk- und Sicherheitsfunktionen zentral als Dienst bereit. Sie folgen Benutzern, Geräten und Standorten. So entsteht eine durchgängige Sicherheitslogik für Internetzugriffe, interne Anwendungen und mobiles Arbeiten, statt einer Sammlung von Einzellösungen pro Standort.

Dazu gehören je nach Lösung Firewall-as-a-Service, Web- und DNS-Kontrollen, Malware- und Phishing-Schutz, verschlüsselte Verbindungen und Zero Trust Network Access.

Für Unternehmen mit vielen Standorten ist der Nebeneffekt vor allem organisatorisch: Regeln werden einmal definiert, statt pro Standort gepflegt, und der VPN-Konzentrator verliert seine Rolle als Nadelöhr.

Sicherheit, die eingeschaltet werden muss

Im Büro fragt niemand, ob die Firewall aktiv ist. Sie ist es, weil das Netz so gebaut ist. Niemand startet sie, niemand kann sie versehentlich beenden. Genau diese Eigenschaft geht verloren, sobald ein Gerät den Standort verlässt. Ein Notebook mit Mobilfunkmodul, ein iPad im Aussendienst, ein Firmen-iPhone: Sie hängen direkt am Internet, und der einzige verbliebene Schutz ist Software, die jemand installieren, konfigurieren und am Laufen halten muss. Sicherheit, die man einschalten muss, ist irgendwann nicht eingeschaltet.

Netzintegrierte Ansätze setzen deshalb eine Ebene tiefer an. Bei "beem" von Swisscom ist die Sicherheitsplattform direkt in das Mobil- und Festnetz integriert: Geräte mit Swisscom SIM und "beem"-Benutzerlizenz landen im Mobilfunknetz automatisch im gesicherten "beemNet" statt im öffentlichen Internet, ohne Installation und ohne Zutun des Benutzers. Der Schutz wird damit zur Eigenschaft der Verbindung statt zur Konfiguration auf dem Gerät. Ausserhalb dieses Netzes, im Homeoffice, im Hotel-WLAN oder mit einer Drittanbieter-SIM, übernimmt die "beem"-App dieselbe Aufgabe und wird auf zentral verwalteten Geräten automatisch verteilt.

Im "beemNet" selbst durchläuft der Datenverkehr sämtliche Sicherheitsprüfungen gleichzeitig statt nacheinander, betrieben in Schweizer Rechenzentren mit vierfacher geografischer Redundanz. Je nach Security-Edition kommen Gerätezustandsprüfung, Geräteverwaltung und Zero Trust Network Access hinzu: Jeder Zugriff wird anhand von Identität, Gerät und Kontext beurteilt und nur die benötigte Anwendung freigegeben, nicht das ganze Netzsegment.

Fazit

Die Firewall im Büro bleibt wichtig. Sie ist nur nicht mehr die einzige Grenze des Unternehmens. Moderne Sicherheit entscheidet bei jedem Zugriff neu: Wer greift zu? Ist das Gerät vertrauenswürdig? Darf diese Verbindung auf die gewünschte Anwendung zugreifen?

Identitätsschutz, Geräteverwaltung und SASE beantworten diese Fragen gemeinsam. Wer sie einzeln beantwortet, erhält drei Teillösungen und keine Sicherheitsarchitektur. Die Arbeit ist mobil geworden. Der Schutz muss es auch sein.

Die Reihenfolge entscheidet

Der Umstieg gelingt selten in einem Zug. Wichtiger als das Tempo ist die Reihenfolge.
 

1. Identitäten und Geräte erfassen. Welche Konten, Administratoren, Dienstkonten, Endgeräte, Cloud-Anwendungen und externen Zugänge existieren tatsächlich? Unbekanntes lässt sich nicht wirksam schützen, und in gewachsenen Umgebungen ist diese Inventur regelmässig die unangenehmste Etappe.
2. Anmeldungen härten. MFA gilt ausnahmslos, auch dort, wo Ausnahmen historisch entstanden sind. Für besonders gefährdete Konten folgen Passkeys oder FIDO2-Sicherheitsschlüssel. Nicht ­benötigte Rechte, App-Freigaben und Legacy-Protokolle werden entfernt.
3. Geräte verbindlich verwalten. Updates, Verschlüsselung und Endpoint-Schutz werden zentral durchgesetzt, der Gerätezustand wird beim Zugriff geprüft. Private Geräte und Geräte Dritter erhalten nur eingeschränkten Zugriff.
4. Den Schutz vom Standort lösen. Eine netzintegrierte SASE-­Lösung sorgt dafür, dass zentrale Regeln unabhängig davon greifen, in welchem Netz sich Benutzer und Geräte gerade ­befinden.
5. Erkennen und reagieren. Auffällige Anmeldungen und blockierte Bedrohungen werden überwacht, kompromittierte Konten und laufende Sitzungen gesperrt, die Wiederherstellung wichtiger ­Daten getestet.