Identitäts- und Berechtigungsmanagement

Identitäts- und Berechtigungsmanagement (IAM) regelt, welche Personen und Systeme auf welche Informationen, Anwendungen und Räume zugreifen dürfen. Es stellt sicher, dass jeder nur die Rechte erhält, die für seine Aufgaben unbedingt notwendig sind (Prinzip der geringsten Rechte).

Genauer erklärt

Identitäts- und Berechtigungsmanagement, oft als IAM (Identity and Access Management) bezeichnet, ist ein zentraler Prozess der Informationssicherheit. Er umfasst die Verwaltung von digitalen Identitäten (Identitätsmanagement) und die Steuerung ihrer Zugriffsrechte (Berechtigungsmanagement).

Der IT-Grundschutz des BSI fasst diese Aspekte im Baustein ORP.4 «Identitäts- und Berechtigungsmanagement» (Edition 2023) zusammen. Ziel ist es, den Zugriff auf schützenswerte Ressourcen auf berechtigte Benutzer und Systeme zu beschränken. Die Vergabe von Rechten muss nach den Prinzipien der geringsten Berechtigungen (Least Privilege) und der Erforderlichkeit (Need-to-know) erfolgen (Anforderung ORP.4.A2).

Das BSI unterscheidet drei Ebenen der Rechtevergabe:

• Zutritt: Physischer Zugang zu Gebäuden und Räumen (ORP.4.A5).
• Zugang: Anmeldung an IT-Systemen und Netzwerken (ORP.4.A6).
• Zugriff: Nutzung von Daten und Anwendungen, z. B. Lese- oder Schreibrechte (ORP.4.A7).

Ein funktionierendes IAM erfordert klare, dokumentierte Prozesse für die Einrichtung, Änderung und den Entzug von Berechtigungen, insbesondere bei personellen Veränderungen. Alle vergebenen Rechte müssen regelmäßig überprüft werden (ORP.4.A3). Im neuen Grundschutz++ wird das Thema in der Praktik «Berechtigung» (BER) behandelt.

Artikel zum Begriff

• Was ist IT-Grundschutz?Der IT-Grundschutz des BSI im Überblick: woraus er besteht, für wen er gedacht ist und wie Sie als kleiner Betrieb einsteigen, ohne sich zu verzetteln.
• Zwei-Faktor-Authentifizierung im UnternehmenZwei-Faktor-Authentifizierung im Betrieb einführen: welche Verfahren das BSI empfiehlt, welche Konten zuerst dran sind und wie Sie Aussperren vermeiden.
• Administratorrechte richtig vergebenAdministratorrechte im Betrieb sicher regeln: getrennte Konten, wenige Berechtigte, Zwei-Faktor-Schutz und eine Übersicht, wer was verwalten darf.
• Passwortrichtlinie nach BSIEine Passwortrichtlinie nach aktuellen BSI-Empfehlungen: Länge statt Zwangswechsel, Passwortmanager, Zwei-Faktor-Schutz und klare Regeln für den Betrieb.
• IT-Grundschutz-Bausteine im ÜberblickIT-Grundschutz-Bausteine im Überblick: zehn Schichten, Aufbau eines Bausteins und welche Bausteine für kleine Betriebe zuerst wichtig sind.
• Grundschutz++ Berechtigung: Identitäten, Zugänge und Rechte (BER)Grundschutz++ Berechtigung: was die Praktik BER zu Identitäten, Konten, Rechten, Mehr-Faktor-Authentisierung und Passwörtern verlangt und wie Sie anfangen.