Berechtigungen und Zugänge verwalten

Begriffe: Zutritt, Zugang, Zugriff

Der IT-Grundschutz unterscheidet drei Ebenen, die im Baustein ORP.4 Identitäts- und Berechtigungsmanagement jeweils eigene Basis-Anforderungen haben:

• Zutritt (ORP.4.A5): das Betreten von Räumen und Gebäuden, etwa über Schlüssel oder Chipkarten.
• Zugang (ORP.4.A6): die Nutzung von IT-Systemen und Netzen, etwa über Anmeldung.
• Zugriff (ORP.4.A7): die Nutzung von Daten und Anwendungen, etwa Lese- oder Schreibrechte auf Ordner.

Für alle drei muss festgelegt werden, welche Berechtigungen welche Personen im Rahmen ihrer Funktion erhalten oder entzogen bekommen. Ausgabe und Entzug von Zutritts- und Zugangsmitteln wie Chipkarten müssen dokumentiert, kompromittierte Mittel ausgetauscht werden. Bei längeren Abwesenheiten sollen Berechtigte vorübergehend gesperrt werden.

Berechtigungsmanagement nach ORP.4

Konten einrichten und löschen (ORP.4.A1)

Es muss geregelt sein, wie Benutzerkonten und -gruppen eingerichtet und gelöscht werden. Jedes Konto muss eindeutig einer Person zugeordnet sein. Länger inaktive Konten sollen deaktiviert werden. Nicht benötigte Konten wie Standard-Gastkonten oder Standard-Administratorkonten müssen deaktiviert oder gelöscht werden. Einrichtung und Löschung erfolgen nur über separate administrative Rollen.

Rechte nach Bedarf (ORP.4.A2)

Kennungen und Berechtigungen dürfen nur aufgrund des tatsächlichen Bedarfs vergeben werden. Der Baustein nennt ausdrücklich das Prinzip der geringsten Berechtigungen (Least Privilege) und das Erforderlichkeitsprinzip (Need-to-know). Bei personellen Veränderungen müssen nicht mehr benötigte Kennungen und Rechte entfernt werden. Rechte über den Standard hinaus gibt es nur nach zusätzlicher Begründung und Prüfung.

Dokumentation und Überprüfung (ORP.4.A3)

Es muss dokumentiert sein, welche Kennungen, Gruppen und Rechteprofile zugelassen und angelegt sind. Diese Dokumentation muss regelmäßig mit dem tatsächlichen Stand abgeglichen und darauf geprüft werden, ob die Rechte noch den Aufgaben entsprechen. Sie muss vor unbefugtem Zugriff geschützt und in die Datensicherung einbezogen werden.

Funktionstrennung (ORP.4.A4)

Unvereinbare Aufgaben, die nach ORP.1 definiert wurden, müssen auch im Berechtigungsmanagement getrennt werden.

Weitere Anforderungen

• Passwortgebrauch und Passwortqualität sind zu regeln (ORP.4.A8, A22), ebenso Identifikation und Authentisierung (A9).
• Konten mit weitreichenden Berechtigungen sollen mit Mehr-Faktor-Authentisierung geschützt werden (A10, Standard).
• Es soll eine Richtlinie für Zugriffs- und Zugangskontrolle mit Standard-Rechteprofilen geben, die den Funktionen der Mitarbeitenden entsprechen, und für jedes System eine schriftliche Zugriffsregelung (A16, Standard).
• Bei erhöhtem Schutzbedarf kommen Mehr-Faktor-Authentisierung allgemein (A21) und das Vier-Augen-Prinzip für administrative Tätigkeiten (A24) hinzu.

Rollen statt Einzelrechte

Statt jedem Konto einzeln Rechte zuzuweisen, werden Rollen definiert, etwa «Buchhaltung», «Vertrieb», «Werkstatt», «Geschäftsführung». Jede Rolle hat ein festes Rechteprofil, und Personen werden Rollen zugeordnet. Das vereinfacht Eintritt und Wechsel, macht Rechte überprüfbar und verhindert schleichende Rechteanhäufung, wenn jemand die Abteilung wechselt und alte Rechte behält.

Eine einfache Matrix genügt: Zeilen sind Rollen, Spalten sind Systeme und Ablagen, die Zellen enthalten «kein Zugriff», «lesen» oder «ändern».

Administrative Konten

Administrationsrechte sind das wertvollste Ziel für Angreifer. Bewährte Regeln:

• getrennte Konten für Administration und für die tägliche Arbeit,
• keine E-Mail- und Internetnutzung mit Administrationskonten,
• zweiter Faktor für alle Administrationskonten,
• möglichst wenige Personen mit Domänen- oder globalen Administrationsrechten,
• Notfallkonto mit sicher hinterlegten Zugangsdaten, dessen Nutzung auffällt.

Überprüfung in der Praxis

Mindestens jährlich, besser halbjährlich, sollten Fachverantwortliche die Rechte in ihrem Bereich bestätigen. Praktischer Ablauf:

1. IT exportiert Konten, Gruppenmitgliedschaften und Freigaben.
2. Fachverantwortliche prüfen, ob die Personen noch da sind und die Rechte noch brauchen.
3. Abweichungen werden korrigiert und die Prüfung dokumentiert.

Besonders prüfen: Konten ausgeschiedener Mitarbeitender, Dienstleisterzugänge, Sammelkonten, Konten ohne Anmeldung seit Monaten, Freigaben «für alle».

Cloud-Dienste

Berechtigungen müssen auch in Cloud-Diensten verwaltet werden: Microsoft 365, Cloud-Speicher, Online-Buchhaltung, Shop-Systeme. Hier entstehen schnell Lücken, weil Freigaben per Link erstellt und vergessen werden oder weil ausgeschiedene Mitarbeitende noch Zugang über ein separates Konto haben. Ein zentrales Benutzerverzeichnis mit Einmalanmeldung erleichtert die Verwaltung, sofern es selbst gut geschützt ist.

Ein einfaches Antrags- und Freigabeverfahren

Damit Rechte nicht auf Zuruf vergeben werden, genügt im kleinen Betrieb ein schlanker Ablauf:

1. Die oder der Vorgesetzte beantragt Rechte für eine Person, am besten durch Zuordnung zu einer Rolle, per E-Mail oder Ticket.
2. Für Rechte über die Rolle hinaus gibt es eine kurze Begründung und die Freigabe durch den Fachverantwortlichen.
3. Die IT setzt um und dokumentiert, wann was vergeben wurde.
4. Befristete Rechte, etwa für ein Projekt, erhalten ein Enddatum.

Dieser Ablauf erfüllt die Anforderungen aus ORP.4.A2 und A3 und macht spätere Überprüfungen deutlich einfacher, weil für jedes Recht nachvollziehbar ist, warum es besteht.

Häufige Schwachstellen

• Sammelkonten wie «empfang» oder «lager», die mehrere Personen nutzen,
• alle Mitarbeitenden mit lokalen Administrationsrechten,
• Konten ausgeschiedener Mitarbeitender, die noch aktiv sind,
• Dienstleisterzugänge ohne zweiten Faktor, dauerhaft freigeschaltet,
• Netzlaufwerke, auf die jeder zugreifen kann.