Was ist Zugriffskontrolle?
Zugriffskontrolle entscheidet, was eine angemeldete Person, ein Gerät oder ein Dienstkonto mit einer Ressource tun darf: lesen, ändern, löschen, exportieren oder freigeben. In der Lohnabrechnung sieht eine Mitarbeiterin so ihre eigene Abrechnung, aber nicht die ihrer Kollegin.
Der BSI-Baustein ORP.4 Identitäts- und Berechtigungsmanagement beschreibt das Ziel: Benutzende greifen ausschließlich auf die Ressourcen und Informationen zu, die sie für ihre Arbeit benötigen und für die sie autorisiert sind. Umsetzungshinweise zu den Maßnahmen aus Anhang A der ISO/IEC 27001 gibt ISO/IEC 27002.
Zutritt, Zugang, Zugriff: drei Ebenen
Die deutsche Fachsprache trennt drei Ebenen, die im Englischen alle „access control“ heißen. ORP.4 regelt sie in getrennten Anforderungen: Zutritt in A5, Zugang in A6, Zugriff in A7. Nennen Sie in Richtlinien und Übersetzungen deshalb immer die Ebene.
| Ebene | Schützt vor | Beispiele |
|---|---|---|
| Zutrittskontrolle | unbefugtem Betreten von Räumen | Schließanlage, Ausweisleser, Besucherregelung |
| Zugangskontrolle | unbefugter Nutzung von Systemen | Anmeldung, Multi-Faktor-Authentifizierung, Sperrbildschirm |
| Zugriffskontrolle | unbefugtem Lesen, Ändern oder Löschen von Daten | Rollenkonzept, Mandantentrennung, Protokollierung |
Anmeldung beweist noch keine Berechtigung
Die Anmeldung prüft, wer jemand ist. Die Zugriffskontrolle prüft, ob dieses Konto diese Aktion an diesem Objekt ausführen darf. MFA stärkt nur den ersten Schritt: Ob ein angemeldeter Beschäftigter Kundendaten exportieren oder Zahlungen freigeben darf, entscheidet eine eigene Regel.
Setzen Sie diese Regel auf dem Server bei jeder Anfrage durch und lehnen Sie alles ab, was keine Regel erlaubt. Ein ausgeblendeter Button verhindert keinen direkten Aufruf derselben Funktion.
DAC, MAC, RBAC und ABAC im Vergleich
| Modell | Wer oder was entscheidet | Beispiel |
|---|---|---|
| DAC (Discretionary Access Control) | der Eigentümer eines Objekts | Die Autorin einer Datei gibt einem Kollegen Schreibrechte. |
| MAC (Mandatory Access Control) | zentrale Regeln, die Nutzer nicht ändern können | Ein eingestuftes Dokument verlangt die passende Freigabestufe. |
| RBAC (Role-Based Access Control) | die Rolle, der ein Nutzer zugeordnet ist | Die Rolle „Lohnbuchhaltung“ darf Gehälter abrechnen. |
| ABAC (Attribute-Based Access Control) | Attribute zu Nutzer, Objekt und Kontext | Der Support liest den Datensatz eines zugewiesenen Kunden nur vom verwalteten Gerät. |
Die Modelle lassen sich kombinieren. Unabhängig vom Modell gilt das Prinzip der geringsten Berechtigung: Rollen leiten sich aus Aufgaben ab, nicht aus Rechten, die jemand über Jahre gesammelt hat. ORP.4.A4 verlangt außerdem, unvereinbare Funktionen zu trennen.
Ein Berechtigungstest, den Sie übernehmen können
Beispiel (fiktiv): In einer Reisekostenanwendung lesen Beschäftigte ihre eigenen Anträge. Führungskräfte geben Anträge ihres Teams frei, aber nicht ihre eigenen. Getestet wird mit Testkonten und erfundenen Datensätzen.
| Testfall | Erwartetes Ergebnis | Nachweis |
|---|---|---|
| Beschäftigte A öffnet ihren eigenen Antrag | Antrag wird angezeigt | Testkonto, Antrags-ID, Antwort der Anwendung |
| Beschäftigte A ruft den Antrag von B direkt über die Schnittstelle ab | keine Daten von B | bereinigte Anfrage und Antwort |
| Führungskraft gibt den Antrag eines Teammitglieds frei | Freigabe wird gespeichert | neuer Status und freigebende Person |
| Führungskraft gibt ihren eigenen Antrag frei | Freigabe wird abgelehnt, Antrag bleibt offen | Antwort und unveränderter Status |
Bestanden ist der Test nur, wenn die erlaubten und die verbotenen Fälle stimmen. Eine Anwendung, die alles ablehnt, schützt die Daten und ist trotzdem unbrauchbar.
Halten Sie Version oder Konfiguration, Testdatum und Prüfer fest. Schlägt ein Fall fehl, benennen Sie einen Verantwortlichen, korrigieren die Regel und wiederholen die betroffenen Fälle.
Was BSIG, ISO 27001, DORA und DSGVO verlangen
| Vorgabe | Fundstelle | Was verlangt wird |
|---|---|---|
| BSIG | § 30 Abs. 2 Satz 2 Nr. 9 BSIG | Konzepte für die Zugriffskontrolle bei besonders wichtigen und wichtigen Einrichtungen |
| ISO/IEC 27001:2022 | Anhang A 5.15 bis 5.18, 8.2, 8.3 | Maßnahmen zur Steuerung von Zugriffen und Berechtigungen; die BSI-Zuordnungstabelle ordnet sie ORP.4 zu |
| DORA | Art. 9 Abs. 4 Buchst. c der Verordnung (EU) 2022/2554 | physischen und logischen Zugang auf das für rechtmäßige Tätigkeiten Erforderliche beschränken |
| DSGVO | Art. 32 Abs. 1 und 4 DSGVO | dem Risiko angemessenes Schutzniveau; unterstellte Personen verarbeiten Daten nur auf Anweisung |
Rechte veralten bei jedem Wechsel
ORP.4.A2 verlangt, nicht mehr benötigte Berechtigungen bei personellen Veränderungen zu entfernen, ORP.4.A3 eine regelmäßige Prüfung, ob die Dokumentation den tatsächlichen Stand wiedergibt.
Beziehen Sie Dienstkonten, administrative Konten und Schnittstellen ein. Beim Austritt genügt es nicht, ein Konto zu sperren: Prüfen Sie auch offene Sitzungen und Tokens der angebundenen Anwendungen. Eine Struktur für Rollen, Freigaben und Prüfungen bietet die Berechtigungskonzept-Vorlage.
Zugriffsanforderungen am einzelnen System
Rizzqo führt Zugriffskontrolle als Anforderung am einzelnen System: An jedem unterstützenden Asset erscheinen die Zugriffskontroll-Anforderungen, die der hinterlegte Katalog nach ISO/IEC 27002 seiner Kategorie zuordnet. Der Eigentümer des Systems belegt sie, etwa mit dem Rollenkonzept und dem Protokoll des letzten Berechtigungstests, und finalisiert die Antwort mit Name und Zeitstempel.
Die Vertraulichkeitseinstufung und das Merkmal für personenbezogene Daten übernimmt das System von den primären Assets, die es trägt. Die Abdeckung rechnet Rizzqo aus den finalisierten Antworten.