Administratorrechte richtig vergeben

Warum privilegierte Konten besonders schützenswert sind

Ein Konto mit Administratorrechten kann Systeme verändern, Sicherheitsfunktionen abschalten und auf alle Daten zugreifen. Bei Ransomware-Angriffen versuchen Angreifer deshalb gezielt, solche Rechte zu erlangen, um sich im Netz auszubreiten und Sicherungen zu zerstören. Das BSI nennt in seinen Top-10-Maßnahmen gegen Ransomware ausdrücklich, privilegierte Konten ausschließlich für Administrationsaufgaben zu nutzen und mit Zwei-Faktor-Authentisierung abzusichern.

Im IT-Grundschutz-Kompendium behandeln vor allem die Bausteine OPS.1.1.2 «Ordnungsgemäße IT-Administration» und ORP.4 «Identitäts- und Berechtigungsmanagement» das Thema. Für Active Directory kommt APP.2.2 «Active Directory Domain Services» hinzu.

Grundsätze für Administratorrechte

Least Privilege

Jede Person und jeder Dienst erhält nur die Rechte, die für die Aufgabe nötig sind. Für Anwenderinnen und Anwender heißt das: keine lokalen Administratorrechte auf dem Arbeitsplatzrechner. Software wird zentral oder durch die Administration installiert.

Dasselbe gilt für Cloud-Dienste. Viele bieten abgestufte Verwaltungsrollen, etwa nur für Benutzerverwaltung, Abrechnung oder einzelne Anwendungen. Statt mehreren Personen die höchste Rolle zu geben, sollte jede die Rolle erhalten, die zu ihrer Aufgabe passt. Die höchste Rolle bleibt wenigen Konten vorbehalten.

Trennung von Alltags- und Administrationskonto

Wer administriert, hat zwei Konten: ein normales für E-Mail, Internet und Office und ein separates für Verwaltungsaufgaben. Mit dem Administrationskonto wird weder gesurft noch werden Mails gelesen. So landet ein Phishing-Anhang nicht direkt in einer Sitzung mit vollen Rechten.

Personenbezogene Konten

Gemeinsam genutzte Konten wie «admin» oder «it» machen nicht nachvollziehbar, wer was getan hat, und überleben oft den Weggang der Person, die das Passwort kennt. Administrationskonten sollten personenbezogen sein. Eingebaute Standardkonten werden umbenannt, deaktiviert oder mit einem sehr starken, verwahrten Passwort für Notfälle geschützt.

Zweiter Faktor

Alle Administrationszugänge, besonders zu Cloud-Mandanten, Firewall, Hosting und Fernwartung, erhalten einen zweiten Faktor, bevorzugt einen Hardware-Token.

Administratorrechte in der Praxis vergeben

Bestandsaufnahme

1. Alle Konten mit erhöhten Rechten erfassen: Domänen-Administratoren, lokale Administratoren auf Clients und Servern, globale Administratoren in Cloud-Diensten, Administrationszugänge zu Router, Firewall, NAS, Telefonanlage und Website.
2. Jedem Konto eine verantwortliche Person zuordnen.
3. Konten ohne erkennbaren Zweck oder Verantwortliche sperren und nach einer Frist löschen.

Vergabeprozess

Erhöhte Rechte werden auf Antrag vergeben, von der Leitung oder der zuständigen Person freigegeben und dokumentiert. Bei Aufgabenwechsel und Austritt werden sie sofort entzogen. Zeitlich begrenzte Rechte für einzelne Aufgaben sind besser als dauerhafte.

Externe Dienstleister

IT-Dienstleister brauchen oft weitreichende Rechte. Vertraglich und technisch sollte geregelt sein, welche Personen des Dienstleisters Zugriff haben, wie der Zugang abgesichert ist und dass Zugriffe nachvollziehbar sind. Fernwartungszugänge sollten nicht dauerhaft offen stehen.

Lokale Administratorkonten

Auf vielen Rechnern existiert ein lokales Administratorkonto mit demselben Passwort. Erbeutet ein Angreifer es auf einem Gerät, gilt es auf allen. Lösungen zur automatischen Verwaltung einzigartiger lokaler Administratorpasswörter verhindern das; unter Windows steht dafür etwa LAPS zur Verfügung.

Notfallzugang

Wenn nur eine Person Administratorrechte hat und ausfällt, ist der Betrieb im Ernstfall handlungsunfähig. Deshalb braucht es einen geregelten Notfallzugang: ein separates Konto mit sehr langem, zufälligem Passwort und, wo möglich, einem eigenen Hardware-Token, beides sicher verwahrt, etwa versiegelt im Tresor. Jede Nutzung wird dokumentiert, danach wird das Passwort neu gesetzt. Das Konto sollte im Alltag nie verwendet werden, damit eine Anmeldung damit sofort auffällt.

Überwachung und Überprüfung

Regelmäßige Rezertifizierung

Mindestens einmal im Jahr wird die Liste der privilegierten Konten mit der Leitung durchgegangen: Wer hat welche Rechte, und sind sie noch nötig? Das Ergebnis wird dokumentiert.

Protokollierung

Anmeldungen und Änderungen mit Administrationskonten sollten protokolliert werden. Ungewöhnliche Ereignisse, etwa Anmeldungen zu ungewöhnlichen Zeiten oder neue Administratorkonten, sollten auffallen. In Cloud-Diensten lassen sich dafür Warnungen einrichten.

Plan für kleine Betriebe

1. Liste aller Administrationskonten erstellen, intern und beim Dienstleister.
2. Nicht benötigte Konten sperren.
3. Für jede administrierende Person ein getrenntes Administrationskonto anlegen und das Alltagskonto auf normale Rechte zurückstufen.
4. Zweiten Faktor für alle Administrationskonten einrichten.
5. Lokale Administratorrechte der Anwender entfernen und die Softwareverteilung klären.
6. Notfallzugang einrichten und verwahren.
7. Jährliche Überprüfung als festen Termin eintragen.

Typische Einwände

«Ohne Administratorrechte kann ich nicht arbeiten»: Meist geht es um einzelne Programme oder Updates. Diese lassen sich zentral verteilen oder gezielt freigeben. Bleibt eine Anwendung, die dauerhaft erhöhte Rechte verlangt, sollte das als Ausnahme dokumentiert und technisch eingegrenzt werden.

«Wir sind zu klein dafür»: Gerade in kleinen Betrieben ist der Schaden groß, weil oft ein einziges Konto alles kann. Getrennte Konten und ein zweiter Faktor sind auch mit wenigen Personen schnell eingerichtet.