Was ist Least Privilege?
Least Privilege, auf Deutsch Prinzip der geringsten Rechte oder Minimalprinzip, begrenzt jede Berechtigung auf das, was eine Aufgabe tatsächlich erfordert. Der BSI-Baustein ORP.4 Identitäts- und Berechtigungsmanagement (Edition 2023) schreibt in der Basis-Anforderung ORP.4.A2 vor, dass Kennungen und Berechtigungen nur „aufgrund des tatsächlichen Bedarfs und der Notwendigkeit zur Aufgabenerfüllung“ vergeben werden dürfen. Ein kompromittiertes Konto reicht damit genau so weit, wie ihm vorher Rechte zugestanden wurden. Wie Rechte vergeben, geprüft und entzogen werden, legt das Berechtigungskonzept fest.
Least Privilege und Need-to-know beantworten zwei Fragen
ORP.4.A2 nennt beide Prinzipien nebeneinander, sie begrenzen aber Verschiedenes:
| Prinzip | begrenzt | Beispiel |
|---|---|---|
| Need-to-know | welche Informationen jemand kennen darf | Der Vertrieb sieht die Kundendaten seiner Region. |
| Least Privilege | was jemand mit ihnen tun darf | Er darf sie lesen, aber nicht exportieren oder löschen. |
Erst beide zusammen ergeben ein tragfähiges Rechtekonzept. Wer nur Need-to-know umsetzt, erhält Nutzer mit vollen Änderungsrechten auf einem kleinen Datenausschnitt. Das Gegenstück erklärt der Glossareintrag Need-to-know-Prinzip.
Wo ist das Minimalprinzip verankert?
BSIG, DORA, IT-Grundschutz und ISO/IEC 27001 verankern das Minimalprinzip der Sache nach, jeweils mit eigener Formulierung.
| Regelwerk | Fundstelle | Was dort steht |
|---|---|---|
| BSIG (NIS2-Umsetzung) | § 30 Abs. 2 Satz 2 Nr. 9 BSIG | „Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen“ |
| DORA | Art. 9 Abs. 4 Buchst. c der Verordnung (EU) 2022/2554 | Richtlinien, die den Zugang „ausschließlich auf den Umfang beschränken, der für rechtmäßige und zulässige Funktionen und Tätigkeiten erforderlich ist“, samt gründlicher Verwaltung der Zugangs- und Zugriffsrechte |
| DORA, technische Regulierungsstandards | Art. 21 Buchst. a der Delegierten Verordnung (EU) 2024/1774 | Zuweisung der Zugangsrechte nach Need-to-know, Need-to-use und dem „Grundsatz der minimalen Berechtigung (‚Least privileges‘)“, „auch für den Fern- und Notfallzugang“ |
| BSI IT-Grundschutz | ORP.4.A2 (Basis-Anforderung) | Vergabe nach tatsächlichem Bedarf; nicht mehr benötigte Rechte bei personellen Veränderungen entfernen |
| ISO/IEC 27001:2022 | Anhang A 5.15 bis 5.18 und 8.2, laut BSI-Zuordnungstabelle zu ORP.4 | Regeln für Zugriffe, Vergabe und Entzug von Rechten, administrative Sonderrechte |
Beim Namen nennen das Prinzip ORP.4.A2 und Art. 21 Buchst. a der Delegierten Verordnung (EU) 2024/1774; Art. 9 DORA verlangt dazu die gründliche Verwaltung der Rechte, also den Prozess statt allein den Zustand. Das BSIG verlangt ein Konzept für die Zugriffskontrolle und überlässt dessen Inhalt der Einrichtung.
Privilege Creep: Rechte wachsen schneller, als sie entzogen werden
Privilege Creep bezeichnet den wachsenden Rechtebestand eines Kontos, wenn Rechte schneller vergeben als entzogen werden. Vier Mechanismen treiben ihn:
- Rechte für ein Projekt bleiben nach dessen Ende bestehen.
- Bei Störungen werden Rechte erweitert, um schnell zu helfen, und danach nicht zurückgenommen.
- Rollen werden nach dem Vorbild eines Kollegen kopiert, samt dessen Sonderrechten.
- Standardinstallationen können weitreichende Voreinstellungen und vordefinierte Kennungen mitbringen; ORP.4.A23 verlangt, vordefinierte Kennungen zu ändern.
ORP.4.A2 setzt den Gegenprozess: Bei personellen Veränderungen müssen nicht mehr benötigte Kennungen und Berechtigungen entfernt werden.
Wie setzen Sie Least Privilege schrittweise um?
Der Entzug lokaler Administratorrechte und die Begrenzung globaler Administratoren verkleinern die Reichweite eines kompromittierten Kontos mit wenigen Änderungen.
| Bereich | Zielzustand | Erster Schritt |
|---|---|---|
| Arbeitsplatz | keine lokalen Administratorrechte im Alltagskonto | Ausnahmen erfassen, befristen und begründen |
| Fachanwendungen | Rollen aus Aufgaben abgeleitet, Lese- und Änderungsrechte getrennt | Rollen mit den Fachbereichen aus den Aufgaben ableiten statt fortschreiben |
| Administration | getrennte Administrationskonten, Rechte je System statt global | Zahl der globalen Administratoren erheben und begrenzen |
| Dienste und Schnittstellen | ein technisches Konto je Dienst, minimaler Rechteumfang, benannter Eigentümer | Bestand inventarisieren, Sammelkonten auflösen |
| Notfallzugang | dokumentiert angefordert, zeitlich begrenzt, nachträglich ausgewertet | Verfahren festlegen, bevor es gebraucht wird |
Der Neuschnitt der Fachrollen ist die eigentliche Projektarbeit.
Befristete Rechte statt Dauerrechte
Least Privilege gilt auch für die Zeit: Rechte werden erst bei Bedarf, für einen festgelegten Zeitraum und nach Freigabe erteilt und laufen automatisch ab. Für administrative Tätigkeiten sinkt so die Zahl dauerhaft privilegierter Konten, ohne dass Administratoren handlungsunfähig werden. Voraussetzung ist ein Freigabeverfahren, das schnell genug ist; sonst entstehen Umgehungen. Technisch setzt das ein Privileged Access Management um.
Drei Grenzen sind dabei einzuplanen:
- Verfügbarkeit. Zu enge Rechte ohne funktionierendes Ausnahmeverfahren führen dazu, dass Zugangsdaten geteilt werden.
- Aufwand. Feingranulare Rechte müssen gepflegt werden; den Detailgrad bestimmt der Schutzbedarf der Daten, nicht das technisch Mögliche.
- Altsysteme. Kennt eine Anwendung nur wenige Rechtestufen, begrenzen vorgelagerte Maßnahmen den Zugriff: Netzsegmentierung, Sitzungsprotokollierung, Vier-Augen-Prinzip.
Wie prüfen Auditoren Least Privilege?
Drei Stichproben zeigen, ob das Prinzip eingehalten wird:
- die Zahl der Konten mit weitreichenden administrativen Rechten und ihre Begründung,
- die Rechte einer Person im Vergleich zu ihren Aufgaben laut Stellenbeschreibung,
- den Zeitpunkt, zu dem eine Berechtigung zuletzt genutzt wurde.
Die dritte Stichprobe lässt sich nur mit ausgewerteten Protokollen beantworten. Den Maßstab für die zweite liefert ORP.4.A3: Geprüft werden muss, ob die Rechtevergabe noch „den Sicherheitsanforderungen und den aktuellen Aufgaben der Benutzenden entspricht“.
Wie Rizzqo das Prinzip je System prüfbar macht
In Rizzqo ist ISO/IEC 27002 als Anforderungskatalog hinterlegt, und die Anforderung zur Zugriffssteuerung erscheint an jedem Asset, dessen Kategorie sie betrifft. Der Verantwortliche des Systems beantwortet sie dort mit Begründung und Nachweis und finalisiert sie mit Name und Zeitstempel. Von den primären Assets, die ein System unterstützt, übernimmt es die Vertraulichkeitseinstufung, auch über mehrere Stufen. Der Administrator eines Zwischensystems sieht damit, dass an seiner Rechtevergabe ein Prozess mit hoher Vertraulichkeitsanforderung hängt, und misst die Angemessenheit der Rechte an diesem Maßstab.