Identitäten und Zugriffe ordnen
Von Redaktion techport.ai, IT-Beratung · Zuletzt aktualisiert am
Berechtigungen wachsen in eine Richtung. Wer die Abteilung wechselt, bekommt die neuen Rechte dazu, die alten bleiben. Wer einmal vertretungsweise Zugriff brauchte, behält ihn. Wer ausscheidet, verliert das Konto meist, aber nicht jeden Zugang, insbesondere nicht bei Diensten außerhalb der zentralen Verwaltung.
Nach einigen Jahren hat ein Teil der Belegschaft Zugriff auf Bereiche, die niemand bewusst freigegeben hat. Das ist im Alltag unsichtbar und wird sichtbar bei einem Angriff, bei einer Prüfung oder wenn ein Assistenzsystem plötzlich alles findet, was jemand lesen darf.
Woran Sie es merken
- Zugänge ausgeschiedener Personen sind noch aktiv.
- Neue Mitarbeitende bekommen Rechte, indem sie von einer Kollegin kopiert werden.
- Es gibt Sammelkonten, deren Passwort mehrere Personen kennen.
- Niemand kann für einen Ordner oder ein System sagen, wer darauf zugreifen darf und warum.
Warum das passiert
Berechtigungen werden im Moment der Anfrage vergeben, unter Zeitdruck, mit dem berechtigten Interesse, dass jemand arbeiten kann. Entzogen werden sie nie im Moment der Anfrage, weil niemand fragt. Es gibt keinen Auslöser für den Entzug, außer beim Austritt, und selbst dort ist die Liste der zu entziehenden Zugänge selten vollständig. Solange niemand regelmäßig prüft, wächst der Bestand automatisch.
So gehen wir vor
- Ist-Zustand sichtbar machen. Wir werten aus, welche Personen auf welche Systeme und Datenbereiche zugreifen können, einschließlich der Dienste außerhalb der zentralen Anmeldung. Diese Auswertung ist meist der überzeugendste Teil des Projekts.
- Rollen statt Einzelrechte. Wir bilden Rollen entlang von Tätigkeiten und ordnen ihnen Rechte zu, sodass Ein- und Austritt sowie Wechsel über die Rolle laufen. Einzelrechte bleiben die begründete Ausnahme mit Ablaufdatum.
- Anmeldung absichern. Wir führen Mehrfaktor-Anmeldung ein, beginnend bei allen von außen erreichbaren Zugängen und bei Administratorenkonten, und trennen administrative von normalen Konten. Sammelkonten werden ersetzt oder mit nachvollziehbarer Zuordnung versehen.
- Prozesse und Prüfung verankern. Wir koppeln Ein- und Austritt an einen Ablauf mit Checkliste und Nachweis und richten eine wiederkehrende Prüfung ein, bei der die verantwortlichen Bereiche ihre Berechtigungen bestätigen oder streichen.
Was Sie davon haben
- Deutlich kleinere Angriffsfläche, weil erbeutete Zugangsdaten weniger öffnen.
- Nachweise darüber, wer worauf zugreifen darf, für Prüfungen und Kunden.
- Schnellere Einarbeitung, weil Rechte mit der Rolle kommen statt auf Zuruf.
Aus unseren Projekten
Die Auswertung der tatsächlichen Zugriffe auf Dateiablagen führt fast immer zu Überraschungen, häufig bei Personal-, Kalkulations- oder Vertragsordnern, die für weite Teile der Belegschaft lesbar sind. Ursache sind meist geerbte Rechte aus einer Ordnerstruktur, die vor Jahren angelegt wurde. Der zweite regelmäßige Befund betrifft Administratorenrechte: In vielen Häusern arbeiten technische Mitarbeitende dauerhaft mit erhöhten Rechten, auch beim Lesen von E-Mails. Die Trennung in ein normales und ein administratives Konto ist eine der wirksamsten Einzelmaßnahmen und in wenigen Tagen umzusetzen.
Gut zu wissen
Für personenbezogene Daten verlangt Artikel 32 DSGVO Maßnahmen, die ein dem Risiko angemessenes Schutzniveau gewährleisten, ausdrücklich einschließlich der Zugriffskontrolle. Berechtigungen nach dem Grundsatz der Erforderlichkeit zu vergeben ist damit keine Empfehlung, sondern eine Pflicht, und ihre Umsetzung muss nachweisbar sein. Für Unternehmen im Anwendungsbereich des BSI-Gesetzes gehören Zugriffskontrolle und die Absicherung der Anmeldung zu den Risikomanagementmaßnahmen nach § 30 BSIG. Wenn Berechtigungen ausgewertet werden, um Verhalten von Beschäftigten zu bewerten, ist zusätzlich die Mitbestimmung zu beachten.
Häufige Fragen
Ist Mehrfaktor-Anmeldung nicht zu umständlich für den Alltag?
Sie ist an den richtigen Stellen kaum spürbar, wenn sie sinnvoll eingerichtet wird: für vertrauenswürdige Geräte im eigenen Netz mit längeren Intervallen, für Zugriffe von außen und für Administratorenkonten konsequent. Gemessen am Aufwand ist es die wirksamste einzelne Maßnahme gegen erbeutete Zugangsdaten, und erbeutete Zugangsdaten sind einer der häufigsten Einstiegswege.
Wie oft sollten Berechtigungen geprüft werden?
Für kritische Systeme und Administratorenrechte halbjährlich, für den Rest jährlich. Entscheidend ist, dass die Prüfung von den fachlich verantwortlichen Personen bestätigt wird und nicht von der IT allein, weil nur der Fachbereich beurteilen kann, wer welchen Zugriff für seine Aufgabe braucht.
Sprechen wir über Identitäten und Zugriffe ordnen
Im Erstgespräch klären wir in dreißig Minuten, wo bei Ihnen der größte Hebel liegt und ob wir die Richtigen dafür sind.
Weiterführend
Zurück zum Feld Sicherheit und Resilienz