Was bedeutet Need-to-know?
Need-to-know bindet die Kenntnis einer Information an eine Aufgabe: Wer sie für seine aktuelle Tätigkeit braucht, darf sie sehen, alle anderen nicht. Der Ausgangszustand ist kein Zugriff, und begründen muss, wer Zugriff will. Entfällt die Aufgabe, entfällt die Berechtigung, auch ohne Stellenwechsel.
Im staatlichen Geheimschutz ist der Grundsatz gesetzlich geregelt. § 4 Abs. 1a SÜG bestimmt: „Von einer Verschlusssache dürfen nur Personen Kenntnis erhalten, die auf Grund ihrer Aufgabenerfüllung Kenntnis haben müssen.“ Eine Sicherheitsüberprüfung öffnet dort einen Geheimhaltungsgrad; welche Dokumente die Person innerhalb dieses Grades sieht, entscheidet der Aufgabenbezug. Im Unternehmen ist es genauso: Die Klassifizierung legt fest, wie streng ein Bestand zu schützen ist, Need-to-know legt fest, wer hineinsehen darf.
Need-to-know und Least Privilege: der Unterschied
Need-to-know regelt, welche Informationen jemand kennen darf; Least Privilege regelt, mit welchen Rechten jemand auf ein System einwirken darf. Beide lassen sich unabhängig voneinander verletzen.
| Frage | Need-to-know | Least Privilege |
|---|---|---|
| Gegenstand | der Informationsbestand | der Rechteumfang auf einem System |
| Wer entscheidet | der fachliche Eigentümer der Information | der Betreiber des Systems |
| Verletzung, Beispiel | ein Lesekonto sieht den gesamten Personalbestand ohne Aufgabenbezug | eine Sachbearbeiterin arbeitet mit Administratorrechten |
| Prüffrage | Warum darf diese Person diesen Bestand kennen? | Warum darf diese Person diese Operation ausführen? |
Ein Konto, das den vollständigen Personalbestand nur lesen kann, ist technisch minimal berechtigt und verstößt trotzdem gegen Need-to-know. Beide Prüfungen gehören deshalb in die Zugriffskontrolle.
Wo ist das Need-to-know-Prinzip vorgeschrieben?
| Rahmen | Fundstelle | Was dort steht |
|---|---|---|
| NIS2, Einrichtungen nach § 30 Abs. 3 BSIG (etwa Cloud-, Rechenzentrums- und Managed-Service-Anbieter) | Anhang Nr. 11.2.2 Buchst. a DVO (EU) 2024/2690 | Zugriffsrechte nach den Grundsätzen „Kenntnis nur, wenn nötig“ (Need-to-know), Nutzungsnotwendigkeit und Aufgabentrennung gewähren und entziehen; Nr. 11.2.3: in geplanten Abständen überprüfen und das Ergebnis dokumentieren |
| NIS2, übrige Einrichtungen | § 30 Abs. 2 Satz 2 Nr. 9 BSIG | Konzepte für die Zugriffskontrolle; den Begriff Need-to-know nennt das Gesetz nicht |
| IT-Grundschutz | ORP.4.A2, Edition 2023 | Kennungen und Berechtigungen nur nach tatsächlichem Bedarf vergeben (Least Privilege und Erforderlichkeitsprinzip, Need-to-know); Basis-Anforderung |
| DSGVO | Art. 25 Abs. 2, Art. 29, Art. 32 Abs. 4 | Voreinstellungen begrenzen auch die Zugänglichkeit auf das Erforderliche; unterstellte Personen verarbeiten Daten nur auf Weisung |
| Geheimschutz | § 4 Abs. 1a SÜG | Kenntnis nur bei Aufgabenbezug |
Finanzunternehmen nach DORA sowie bestimmte Telekommunikations- und Energieunternehmen sind von § 30 BSIG grundsätzlich ausgenommen (§ 28 Abs. 5 und 6 BSIG). Im Datenschutz steht der Begriff selbst nicht; die Sache folgt aus Art. 25 Abs. 2 zusammen mit der Datenminimierung nach Art. 5 Abs. 1 Buchst. c DSGVO.
So prüfen Sie Need-to-know für einen Bestand
Prüfen Sie einen fachlichen Bestand, nicht einen Server: Gehaltsdaten, Bewerbungen, Vertragsentwürfe.
- Benennen Sie den Eigentümer des Bestands im Fachbereich. Die IT setzt um, über den Kreis entscheidet sie nicht.
- Exportieren Sie alle Konten mit Lesezugriff, auch über verschachtelte Gruppen, Berichte, Exporte, Testsysteme und Konten von Dienstleistern.
- Tragen Sie je Konto Rolle und Aufgabengrund ein und lassen Sie den Eigentümer jede Zeile bestätigen oder ablehnen.
- Entziehen Sie abgelehnte Zugriffe, exportieren Sie erneut und vergleichen Sie beide Stände.
Beispiel (fiktiv): Gehaltsdaten im Personalsystem, 14 Konten mit Lesezugriff. Die Zahlen sind frei gewählt.
| Konten | Rolle | Aufgabengrund | Entscheidung des Eigentümers |
|---|---|---|---|
| 6 | Entgeltabrechnung | monatliche Abrechnung | bestätigt |
| 2 | Personalleitung | Gehaltsfestsetzung | bestätigt |
| 3 | Abteilungsleitungen | keiner für Einzelgehälter; Budgetplanung braucht Summen | entzogen, stattdessen Summenbericht je Abteilung |
| 1 | Projektkonto der Systemmigration 2025 | Projekt abgeschlossen | entzogen |
| 2 | Systemadministration | Betrieb des Systems, nicht der Inhalt | Lesezugriff auf Inhalte entzogen, technische Rechte bleiben |
Erwartet nach der Bereinigung: acht Konten, jedes mit bestätigtem Grund. Bewahren Sie beide Exporte und die Entscheidungen mit Name und Datum auf; das ist der dokumentierte Überprüfungsnachweis, den Anhang Nr. 11.2.3 verlangt. Planen Sie die nächste Prüfung und eine anlassbezogene bei jedem Rollenwechsel. Wie diese Prüfung in den Aufbau eines ISMS passt, zeigt der Leitfaden ISMS einführen.
Der Bestand und sein Eigentümer in Rizzqo
In Rizzqo führen Sie den Bestand, für den Sie Need-to-know prüfen, als primäres Asset vom Typ Information. Ein Eigentümer kann ihm zugeordnet werden, etwa die Person, die im Fachbereich über den Kreis der Berechtigten entscheidet; das Asset trägt eine Vertraulichkeitseinstufung und das Merkmal für personenbezogene Daten.
Die Systeme, die den Bestand halten, sind unterstützende Assets und erben genau diese beiden Angaben. An ihnen erscheinen über Asset-Kategorie und Unterkategorie die Anforderungen aus den Katalogen ISO/IEC 27001 und ISO/IEC 27002. Der Eigentümer beantwortet sie und finalisiert die Antwort mit Name und Zeitstempel; eine finalisierte Antwort „nicht erfüllt“ ist eine Lücke, und Rizzqo rechnet die Abdeckung aus den finalisierten Antworten.