OneLogin sorgt für Balance zwischen Flexibilität und Sicherheit

Ein Artikel von red | 11.04.2022 - 11:36

Wie viele schnell wachsende Unternehmen greift Qonto auf eine Kombination aus Mitarbeitern und externen Vertragsnehmern zurück, die den betrieblichen Ablauf unterstützen. Früher bekamen sowohl Mitarbeiter als auch Dritte beim Onboarding mehrere E-Mails mit Passwörtern für die jeweiligen Anwendungen. Tauchten Probleme beim App-Zugriff auf, wussten die Mitarbeiter nicht, an wen sie sich wenden sollten.

Für viele der Teams wurde der Onboarding-Prozess deshalb schnell zu einem exponentiellen Alptraum, da alle zwei Wochen bis zu 20 neue Mitarbeiter zu Qonto stoßen und ihnen das Unternehmen Zugriff auf bis zu 60 Apps gewährt.

Jedem Mitarbeiter ist eine Personalakte zugeordnet, Vertragsnehmer hingegen kommen und gehen. Das stellt Sicherheitsteams vor anders geartete Herausforderungen, wenn es darum geht, App-Zugriff und Anmeldeinformationen zu pflegen.

Herausforderungen setzten sich mit dem Offboarding-Prozess fort

Punktuelle Prüfungen veralten schnell und reichen längst nicht aus, um zu verstehen, wer aktuell für Qonto tätig ist und wer nicht. Außerdem gestaltete es sich für das Sicherheitsteam ausgesprochen kompliziert, einen App-Zugriff in Bereichen zu widerrufen, wo ein gemeinsamer Zugriff (Shared Access) existiert. 

Wie Ayoub El Aassal, Head of Security bei Qonto, erläutert, sind diese und viele weitere Probleme ohne Identity and Access Management (IAM) kaum lösbar. „Sie können Zugriffsrichtlinien durchsetzen und Mitarbeiter dafür sanktionieren, dass sie ihre Anmeldeinformationen nicht auf dem neuesten Stand halten. Aber nur Single Sign-On garantiert Ergebnisse, weil es ein zentrales Identitätsmanagement ermöglicht.“

El Aassal weiß um die unterschiedlichen IAM-Ansätze. „Es ist relativ simpel, die Anforderungen mit mehr Bürokratie und manuellem Aufwand zu bewältigen: E-Mail-Verteiler, um zu kommunizieren, welche Mitarbeiter das Unternehmen verlassen haben oder befördert werden, wöchentliche Kontrollen, um sicherzustellen, dass alle Benutzer in Dutzenden von Apps auf dem neuesten Stand sind, vierteljährliche Überprüfungen der Passwortrichtlinien und so weiter.“ Aber dieser Ansatz lässt sich kaum skalieren und wird ab einem bestimmten Punkt umständlich und ineffizient.

Nur Single Sign-On garantiert im Identity und Accessmanagement Ergebnisse, weil es ein zentrales Identitätsmanagement ermöglicht.

Ayoub El Aassal, Head of Security bei Qonto,

Qonto entschied sich für Automatisierung

Auftritt OneLogin. „Wir haben uns für OneLogin entschieden, weil es die schwierige Gleichung aus Flexibilität, Sicherheit und Automatisierung elegant löst“, fasst El Aassal zusammen.

Dank der soliden Unterstützung für Integrationen innerhalb von OneLogin konnte Qonto innerhalb von drei Monaten 60 Apps einrichten. „Wir sind ein relativ kleines Sicherheitsteam. OneLogin bietet APIs, die die Integration vereinfachen und es erleichtern, OneLogin-Konten zu erstellen und viele der Kernprozesse zu automatisieren", so El Aassal weiter.

Seiner Ansicht nach setzt OneLogin zusätzliche Innovationspotenziale frei. „Wir können ganz einfach skalieren, indem wir zum Beispiel eine App mit 1.000 Benutzern mit nur drei Zeilen Skript verbinden.“

Wenn in der Vergangenheit neue Mitarbeiter den Zugriff auf eine App angefragt haben, wurde für jede Anfrage ein Ticket für den Team Owner des jeweiligen Tools erstellt. Dieses Vorgehen war die Norm und überforderte die Teams mit der Zeit. Jetzt ist es für das Sicherheitsteam eher ungewöhnlich, diese Tickets zu erhalten

Hintergrund: Qonto wurde 2017 von Steve Anavi und Alexandre Prot gegründet, hat über 220.000 Kunden in vier Ländern (Frankreich, Deutschland, Italien und Spanien) und beschäftigt mehr als 500 Mitarbeiter in Paris, Berlin, Mailand und Barcelona. Qonto wurde von der französischen Regierung in den Next40-Index aufgenommen, der die 40 vielversprechendsten Scale-Ups in Frankreich listet.