Least Privilege

Least Privilege heißt auf Deutsch «Prinzip der geringsten Berechtigungen»: Jede Person und jedes Programm bekommt nur die Rechte, die für die Aufgabe wirklich nötig sind, und nur so lange wie nötig.

Genauer erklärt

Im IT-Grundschutz ist das Prinzip Teil der Basis-Anforderung ORP.4.A2: Benutzerkennungen und Berechtigungen dürfen nur aufgrund des tatsächlichen Bedarfs vergeben werden, ergänzt durch das Erforderlichkeitsprinzip (Need-to-know). Nicht mehr benötigte Rechte sind bei personellen Veränderungen zu entfernen, Rechte über den Standard hinaus nur nach Begründung und Prüfung zu vergeben. Praktisch umgesetzt wird es über Rollen mit festen Rechteprofilen, getrennte Konten für Administration und Alltag sowie regelmäßige Überprüfung der vergebenen Rechte. So begrenzt Least Privilege den Schaden, wenn ein Konto kompromittiert wird.

Artikel zum Begriff

Checkliste IT-Sicherheit für kleine BetriebeCheckliste IT-Sicherheit für kleine Betriebe: 25 Prüfpunkte zu Organisation, Zugängen, Updates, Backup, E-Mail und Notfall, angelehnt an BSI-Empfehlungen.
Server absichern (Härtung)Server-Härtung verständlich: unnötige Dienste abschalten, Zugänge schützen, Updates und Protokollierung. Was die BSI-Bausteine SYS.1.1 und folgende verlangen.
Administratorrechte richtig vergebenAdministratorrechte im Betrieb sicher regeln: getrennte Konten, wenige Berechtigte, Zwei-Faktor-Schutz und eine Übersicht, wer was verwalten darf.
Schutzziele: Vertraulichkeit, Integrität, VerfügbarkeitDie Schutzziele der Informationssicherheit einfach erklärt: Vertraulichkeit, Integrität und Verfügbarkeit, dazu Authentizität, mit Beispielen aus dem Betrieb.
Zero Trust verständlich erklärtZero Trust einfach erklärt: kein Vertrauen ohne Prüfung, minimale Rechte, starke Anmeldung. Was das BSI dazu sagt und wie kleine Betriebe sinnvoll einsteigen.
Berechtigungen und Zugänge verwaltenBerechtigungsmanagement nach IT-Grundschutz: Zutritt, Zugang und Zugriff regeln, Rechte nach Bedarf vergeben, dokumentieren und regelmäßig überprüfen.