Grundschutz++ Berechtigung: Identitäten, Zugänge und Rechte (BER)
Grundschutz++ Berechtigung: was die Praktik BER zu Identitäten, Konten, Rechten, Mehr-Faktor-Authentisierung und Passwörtern verlangt und wie Sie anfangen.
Die Grundschutz++ Berechtigung regelt, wer in Ihrem Betrieb worauf zugreifen darf. Die Praktik «Berechtigung» (Kürzel BER) im neuen IT-Grundschutz des BSI beschreibt, wie Benutzerkonten angelegt, Rechte vergeben, Anmeldungen abgesichert und Zugänge beim Ausscheiden wieder entfernt werden.
Warum das wichtig ist
Zu viele Rechte, gemeinsam genutzte Konten und vergessene Zugänge ehemaliger Beschäftigter gehören zu den häufigsten Schwachstellen in kleinen Betrieben. Ein Angreifer, der ein Konto mit Administratorrechten übernimmt, hat freie Bahn. Klare Regeln zu Konten und Rechten begrenzen den Schaden, wenn doch einmal ein Passwort in falsche Hände gerät.
Was verbindlich ist
Verpflichtend ist ein festgelegtes Vorgehen für die Verwaltung von Identitäten und Berechtigungen, das aufgeschrieben, Zuständigen zugewiesen, bekannt gemacht und regelmäßig überprüft wird. Empfohlen sind unter anderem: jede Person ein eigenes Konto, eigene Administrationskonten, Rechte nur nach Bedarf, regelmäßige Überprüfung, Sperrung beim Ausscheiden, Passwortmanager und Mehr-Faktor-Anmeldung für Zugänge von außen und für weitreichende Rechte.
Der erste Schritt
Lassen Sie eine Liste aller Benutzerkonten erstellen, auch in Cloud-Diensten, und gehen Sie sie gemeinsam durch: Gibt es Konten ehemaliger Beschäftigter? Wer hat Administratorrechte, und braucht er sie wirklich? Ist für E-Mail und Fernzugang eine zweite Anmeldestufe aktiv?
Die Praktik «Berechtigung» (BER) fasst im Anwenderkatalog Grundschutz++ Identitätsmanagement, Zugangskonten, Rechtevergabe, Authentisierungsmittel, Passwörter und Schlüsselmanagement zusammen. Der Überblick zur Grundschutz++ Berechtigung beruht auf dem Katalogstand vom 22. Oktober 2026.
Ziel der Praktik
Nach der Katalogbeschreibung stellt BER sicher, «dass ausschließlich autorisierte Personen und IT-Systeme Zugriff auf sensible Informationen und Ressourcen erhalten». Die Praktik ist als zentrale Schnittstelle zu den Praktiken Personal, Dienstleistersteuerung, Asset Management und Gebäudemanagement beschrieben. Sie vereint organisatorische und technische Aspekte der Zugriffsrechte.
Aufbau: sieben Gruppen, 92 Anforderungen
| Gruppe | Inhalt |
|---|---|
| BER.1 Grundlagen | Verfahren und Regelungen, Inventar der Authentifizierungs- und Autorisierungssysteme, Inventar der Berechtigungen |
| BER.2 Identitätsmanagement | eindeutige Identitäten, Stammdatenprüfung, Deaktivierung bei Weggang, Löschen nach Fristablauf |
| BER.3 Zugangskonten | zentrales Management, Autorisierung neuer Konten, Administrationskonten, Single-Sign-On, Sperren bei Fehlversuchen und Inaktivität, Gruppen- und Dienstekonten, Notfallzugang |
| BER.4 Berechtigungsmanagement | geringste Berechtigungen, rollenbasierte Vergabe, Autorisierung und Begründung, regelmäßige Überprüfung, Entzug |
| BER.5 Umgang mit Authentisierungsmitteln | Ausgabe, Zurücksetzung, Widerruf, Mehr-Faktor-Authentisierung, vorkonfigurierte Zugangsdaten, kompromittierte Mittel |
| BER.6 Passwortgebrauch | Passwortmanager, Trivialpasswörter, Qualitätskriterien, anlassbezogener Wechsel, Monitoring von Zugangsdaten |
| BER.7 Schlüsselmanagement | Algorithmen, Schlüssellängen, Erzeugung, Transport, Gültigkeit, Zertifizierungsstelle, Widerruf |
Die verbindlichen MUSS-Anforderungen
BER.1.1 «Berechtigung MUSS Verfahren und Regelungen zum Identitäts- und Berechtigungsmanagement verankern.»
BER.1.1.1 «Berechtigung MUSS die Verfahren und Regelungen dokumentieren.»
BER.1.1.2 «Berechtigung MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben zuständigen Personen oder Rollen zuweisen.»
BER.1.1.3 «Berechtigung MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren.»
BER.1.2 «Berechtigung MUSS die Verfahren und Regelungen regelmäßig und anlassbezogen auf Aktualität überprüfen.»
Alle übrigen Anforderungen sind SOLLTE oder KANN. SOLLTE bedeutet nach der BSI-Definition, dass eine Anforderung normalerweise erfüllt werden muss; Abweichungen sind sorgfältig abzuwägen und stichhaltig zu begründen.
Wichtige SOLLTE-Anforderungen
BER.1.4 «Berechtigung SOLLTE ein Inventar der Berechtigungen mit Personen, Identitäten, Zugangskonten, Berechtigungen und deren jeweiliger Zuordnung dokumentieren.»
BER.2.5 «Berechtigung SOLLTE die zugeordnete Identität bei Weggang von Nutzenden deaktivieren.»
BER.3.6 «Berechtigung für Administrierende SOLLTE separate Zugangskonten für administrative Tätigkeiten (Administrationskonten) verankern.»
BER.3.16 «Berechtigung SOLLTE Gruppenkonten im Regelbetrieb untersagen.»
BER.4.1 «Berechtigung SOLLTE die Vergabe von Berechtigungen nach dem Prinzip der geringsten Berechtigungen einschränken.»
BER.4.4 «Berechtigung SOLLTE vergebene Berechtigungen regelmäßig auf Erforderlichkeit überprüfen.»
BER.5.8 «Berechtigung für Anwendungen von Externe Netzanschlüssen SOLLTE Phishing-resistente Mehr-Faktor-Authentisierung für alle Schnittstellen, auf die von Extern zugegriffen werden könnte, aktivieren.»
BER.5.9 «Berechtigung SOLLTE Mehr-Faktor-Authentisierung für weitreichende Berechtigungen aktivieren.»
BER.6.1 «Berechtigung für Nutzende SOLLTE einen Passwortmanager installieren.»
BER.6.5 «Berechtigung SOLLTE einen Passwortwechsel ausschließlich anlassbezogen ausführen.»
Zwei Punkte fallen auf. BER.5.8 verlangt nicht nur Mehr-Faktor-Authentisierung, sondern ausdrücklich eine phishing-resistente Variante für alle von außen erreichbaren Schnittstellen. Und BER.6.5 sieht Passwortwechsel nur noch aus Anlass vor, etwa bei Verdacht auf Kompromittierung, nicht mehr in festen Zeitabständen.
Normale und erhöhte Sicherheitsstufe
85 Anforderungen gehören zur Standard-Sicherheitsstufe «normal-SdT» (5 MUSS, 80 SOLLTE), nur 7 zur Stufe «erhöht», alle als KANN formuliert. KANN-Anforderungen sind nach BSI keine generelle Verpflichtung, sondern je nach Situation, also nach Risikoanalyse, sinnvoll. BER ist damit eine Praktik, deren Inhalt schon in der Standard-Stufe sehr umfangreich ist.
Zur erhöhten Stufe gehören allgemeine Notfallzugangskonten (BER.3.22; für Verzeichnisdienste ist ein Notfallzugangskonto dagegen schon in der Standard-Stufe als SOLLTE vorgesehen, BER.3.23), alternative Authentifizierungsverfahren (BER.3.24, BER.3.25), Just-in-Time-Berechtigungen für besonders kritische Ressourcen (BER.4.1.2), genau ein Zugangskonto je IT-System (BER.4.7), die Aufteilung von Authentisierungsmitteln auf mehrere Personen (BER.5.12) und die Autorisierung des Exports privater Schlüssel (BER.7.7).
Typische Nachweise
- IT-Betriebskonzept (42 Anforderungen): Regeln zu Konten, Rechten, Mehr-Faktor-Authentisierung, Passwörtern und Schlüsseln
- Inventar Berechtigungen (18): wer welche Identität, welches Konto und welche Rechte hat
- Konfigurationshistorie (11): technische Umsetzung, etwa Sperrgrenzen oder Blockieren von Trivialpasswörtern
- Verzeichnis öffentlicher Schlüssel (6): Schlüssel und Zertifikate
- außerdem Prozess Identitäts- und Berechtigungsmanagement, Anwendungsdokumentation, Prüfplan, Audit Log und ein Inventar der Berechtigungssysteme
Betroffene Zielobjekte
Die meisten Anforderungen von BER gelten ohne Einschränkung auf ein Zielobjekt, also für alle Konten und Berechtigungen im Informationsverbund. Ausdrücklich genannt werden vor allem Anwendungen und IT-Systeme (je 9 Anforderungen), außerdem Nutzende, Administrierende, Hostsysteme, Verzeichnisdienste und externe Netzanschlüsse.
Bezug zum bisherigen IT-Grundschutz
Im Kompendium 2023 war das Thema vor allem im Baustein ORP.4 Identitäts- und Berechtigungsmanagement geregelt, ergänzt um Vorgaben in System- und Anwendungsbausteinen. Grundschutz++ bündelt diese Vorgaben in einer Praktik.
Grundschutz++ Berechtigung im kleinen Unternehmen
- Inventar anlegen: eine Tabelle mit Personen, Konten (lokal, Verzeichnisdienst, Cloud, Fachanwendungen) und Rechten. Das ist die Grundlage für fast alle weiteren Anforderungen.
- Ein- und Austritt regeln: Wer beantragt, wer genehmigt, wer richtet ein, wer sperrt am letzten Arbeitstag? Das deckt BER.2.5, BER.3.2 und BER.4.8 ab.
- Administration trennen: Administratoren arbeiten im Alltag mit einem normalen Konto und nutzen ein separates Administrationskonto nur für Verwaltungsaufgaben.
- Mehr-Faktor-Authentisierung priorisieren: zuerst für E-Mail und Cloud-Dienste, Fernzugang und Administrationskonten. Für BER.5.8 eignen sich phishing-resistente Verfahren wie FIDO2-Sicherheitsschlüssel oder Passkeys.
- Gruppenkonten abschaffen: wo sie technisch unvermeidbar sind, mit Mehr-Faktor-Authentisierung absichern und Passwörter beim Weggang eines Nutzers wechseln (BER.3.17 bis BER.3.19).
- Rechte jährlich prüfen: die Liste einmal im Jahr mit den Fachverantwortlichen durchgehen und das Ergebnis festhalten.
- Notfallzugang für den Verzeichnisdienst einrichten, sicher verwahren und dokumentieren (BER.3.23).
Häufige Fragen
Müssen Passwörter regelmäßig geändert werden?
Nach BER.6.5 nicht. Die Anforderung sieht einen Passwortwechsel ausschließlich anlassbezogen vor, etwa wenn ein Passwort kompromittiert sein könnte. Wichtiger sind Passwortmanager, Qualitätskriterien und das Blockieren von Trivialpasswörtern.
Was bedeutet phishing-resistente Mehr-Faktor-Authentisierung?
Gemeint sind Verfahren, bei denen ein Angreifer die Anmeldung nicht einfach über eine gefälschte Webseite abgreifen kann. Typische Beispiele sind FIDO2-Sicherheitsschlüssel und Passkeys. BER.5.8 empfiehlt sie für alle von außen erreichbaren Schnittstellen.
Dürfen wir noch ein gemeinsames Konto für die Empfangstheke nutzen?
BER.3.16 empfiehlt, Gruppenkonten im Regelbetrieb zu untersagen. Wo das nicht möglich ist, sehen BER.3.17 bis BER.3.19 Mehr-Faktor-Authentisierung, dokumentierte Wechsel und einen Passwortwechsel beim Weggang von Nutzenden vor. Die Abweichung sollten Sie begründen.
Gehört die Schlüsselverwaltung für Türen auch zu BER?
Nein. Physische Schlüssel regelt die Praktik Gebäudemanagement (GEB.7). Das Schlüsselmanagement in BER.7 betrifft kryptografische Schlüssel und Zertifikate. Der physische Zutritt soll aber nach GEB.3.3 im Einklang mit dem Identitäts- und Berechtigungsmanagement geregelt werden.