In Sicherheitsvorfällen erscheint die Zugriffskontrolle häufiger als Ursache als jede andere Maßnahme, meist nicht, weil sie fehlte, sondern weil sie über Jahre nicht nachgezogen wurde. Sie besteht aus drei Teilen, die nur gemeinsam wirken: einer Regel, ihrer technischen Durchsetzung und dem Nachweis, dass sie eingehalten wurde.
Zutritt, Zugang, Zugriff
Die deutsche Fachsprache unterscheidet drei Ebenen, die im Englischen alle unter access control fallen. Die Dreiteilung stammt aus der Anlage zum früheren Bundesdatenschutzgesetz; die DSGVO hat sie nicht übernommen, in der deutschen Praxis ist sie aber weiterhin gebräuchlich und in Prüfungen anschlussfähig.
| Ebene | Schützt vor | Typische Maßnahmen |
|---|---|---|
| Zutrittskontrolle | unbefugtem Betreten von Räumen und Gebäuden | Schließanlage, Ausweisleser, Besucherregelung, Sicherheitszonen |
| Zugangskontrolle | unbefugter Nutzung von Systemen | Authentifizierung, Mehr-Faktor-Verfahren, Sperrbildschirm, Netzsegmentierung |
| Zugriffskontrolle | unbefugtem Lesen, Ändern oder Löschen von Daten | Rollen- und Rechtekonzept, Mandantentrennung, Protokollierung |
Die Unterscheidung ist mehr als Terminologie: Ein Angreifer, der die Zugangskontrolle überwindet, trifft auf die Zugriffskontrolle als zweite Schicht, sofern sie ausdifferenziert wurde. Wo alle angemeldeten Nutzer alles sehen, bricht mit einem Konto der gesamte Bestand weg.
Modelle
| Modell | Prinzip | Eignung |
|---|---|---|
| DAC | Der Eigentümer eines Objekts vergibt Rechte selbst | kleine Umgebungen, Dateifreigaben; schwer nachweisbar |
| MAC | Zentral vorgegebene Regeln, Nutzer können sie nicht ändern | hohe Vertraulichkeitsanforderungen, abgegrenzte Umgebungen |
| RBAC | Rechte hängen an Rollen, Nutzer werden Rollen zugeordnet | Standard in Unternehmensanwendungen |
| ABAC | Entscheidung anhand von Attributen: Nutzer, Objekt, Kontext, Zeit | dynamische und Cloud-Umgebungen, feingranulare Regeln |
In der Praxis dominiert RBAC, ergänzt um attributbasierte Bedingungen für Kontext wie Standort, Gerätezustand oder Uhrzeit. Wichtiger als die Wahl des Modells ist, dass Rollen aus Aufgaben abgeleitet werden und nicht aus dem, was einzelne Personen historisch angesammelt haben.
Von der Regel zur Umsetzung
Ein belastbares Vorgehen umfasst fünf Schritte: die Zugriffsregeln in einer Richtlinie festlegen, Rollen aus Geschäftsprozessen ableiten, ein geregeltes Verfahren für Beantragung und Freigabe etablieren, die Rechte technisch durchsetzen und die Vergabe regelmäßig überprüfen. Über die Wirksamkeit entscheidet die Überprüfung: Die übrigen vier Schritte lassen sich einmalig erledigen, dieser nicht.
Zur Durchsetzung gehört die Protokollierung. Ohne Aufzeichnung erfolgreicher und abgelehnter Zugriffe auf schutzbedürftige Daten lässt sich weder ein Vorfall aufklären noch die Wirksamkeit der Regel belegen. Protokolle müssen dabei selbst zugriffsgeschützt sein und dürfen von den überwachten Personen nicht veränderbar sein.
Regulatorische Einordnung
Art. 32 DSGVO verlangt ein risikoangemessenes Schutzniveau; die Beschränkung des Zugriffs auf das Erforderliche ist dafür eine der Standardmaßnahmen und wird in Prüfungen der Aufsichtsbehörden regelmäßig abgefragt. ISO/IEC 27002 beschreibt Zugangs- und Zugriffssteuerung als eigenes Maßnahmenfeld mit Umsetzungshinweisen von der Zugriffsrichtlinie über die Verwaltung privilegierter Rechte bis zur sicheren Anmeldung.
Typische Schwachstellen
- Gemeinsam genutzte Konten, deren Handlungen keiner Person zuzuordnen sind
- Administrative Rechte im täglich genutzten Arbeitskonto
- Rechte, die bei Abteilungswechseln ergänzt, aber nie entzogen wurden
- Weitreichende Berechtigungen in Testsystemen, die produktive Daten enthalten
- Dienste- und Schnittstellenkonten ohne Eigentümer und ohne Ablaufdatum
Wie Rizzqo Zugriffsregeln an das System bindet
Eine Zugriffsregel gilt nicht für ein Unternehmen, sondern für ein System. In Rizzqo folgt daraus die Zuordnung: Sobald ein Asset einer Kategorie und Unterkategorie zugewiesen ist, erscheinen an ihm die Anforderungen, die für diese Klassifizierung hinterlegt sind, darunter die Zugriffskontroll-Anforderungen aus ISO/IEC 27002. Wird ein System umklassifiziert, passt sich seine Anforderungsliste an; neu zutreffende Anforderungen kommen hinzu, nicht mehr zutreffende entfallen.
Beantwortet wird jede Anforderung vom Verantwortlichen des Assets, mit Begründung und Beleg am Objekt, etwa einem Rollenkonzept oder dem Ergebnis einer Rezertifizierung. Für die Bewertung der Angemessenheit ist der vererbte Schutzbedarf maßgeblich: Ein System erbt ihn von den primären Werten, die es trägt, sodass die Strenge der Regel an dem gemessen wird, was tatsächlich daran hängt.