Access Control / Least Privilege

Hintergrund und normative Einordnung

Zugriffskontrolle ist kein neues Konzept, aber ihre normative Verbindlichkeit ist in den vergangenen Jahren deutlich gestiegen. Bereits in frühen IT-Sicherheitsmodellen, dem Bell-LaPadula-Modell (MAC, 1973) und dem Graham-Denning-Modell (DAC, 1972), wurden die theoretischen Grundlagen für Mandatory Access Control und Discretionary Access Control gelegt. Das Role-Based Access Control (RBAC)-Modell, formalisiert durch NIST in SP 800-207 und NIST RBAC-Standards, wurde zum Industriestandard und ist heute in nahezu allen Enterprise-Infrastrukturen das operative Fundament. Neuere Modelle, Attribute-Based Access Control (ABAC, definiert in NIST SP 800-162) und Policy-Based Access Control (PBAC), ermöglichen granularere, kontextabhängige Zugriffsentscheidungen und bilden die technische Basis für Zero-Trust-Architekturen nach NIST SP 800-207. Das Least-Privilege-Prinzip durchzieht alle diese Modelle als universeller Grundsatz: Zugriff ist immer die Ausnahme, nicht die Regel.

In der deutschen Compliance-Landschaft ist Zugriffskontrolle über mehrere Regelwerke verbindlich verankert. BSI IT-Grundschutz Baustein ORP.4 (Identitäts- und Berechtigungsmanagement, Edition 2023) ist ein MUSS-Baustein für alle Organisationen, die nach IT-Grundschutz vorgehen, und behandelt den vollständigen Identity-Lifecycle: Vergabe, Änderung und Entzug von Zugriffsrechten, Trennung administrativer und produktiver Konten sowie die regelmäßige Überprüfung von Berechtigungen. ISO/IEC 27001:2022 adressiert Zugriffskontrolle über sechs Annex-A-Controls: 5.15 (Access Control), 5.16 (Identity Management), 5.17 (Authentication Information), 5.18 (Access Rights), 8.2 (Privileged Access Rights) und 8.3 (Information Access Restriction). NIS-2 (Richtlinie 2022/2555, Art. 21 Abs. 2 lit. i) verpflichtet wesentliche und wichtige Einrichtungen zu expliziten Konzepten für Zugriffskontrolle und Anlagenmanagement. KRITIS-Betreiber unterliegen nach §8a BSIG zusätzlich der Anforderung, den Stand der Technik einzuhalten, zu dem Zugriffskontrollmaßnahmen gehören. Organisationen, die eine ISO 27001 Zertifizierung anstreben, müssen alle sechs zugriffsbezogenen Annex-A-Controls im Statement of Applicability bewerten und mit Implementierungsnachweisen belegen.

Normative Bezüge:

Vorgehen in der Praxis

Die Implementierung eines normkonformen Zugriffskontrollkonzepts folgt einem vierstufigen Ablauf, der auf den Anforderungen von ISO/IEC 27001:2022 Annex A 5.15–5.18 und 8.2–8.3, BSI IT-Grundschutz ORP.4 (Edition 2023) sowie NIST SP 800-53 Rev. 5 Controls AC-2, AC-3, AC-5 und AC-6 aufbaut. Der Ablauf gilt unabhängig davon, ob die Organisation nach ISO 27001 zertifiziert ist oder NIS-2-Pflichten unterliegt.

Abgrenzung zu verwandten Begriffen

Typische Fehler und wie ihr sie vermeidet

• Right-Drift: Berechtigungen kumulieren über die Karriere: Bei jedem Stellenwechsel erhalten Mitarbeiter neue Rechte für die neue Rolle, ohne dass Altrechte aus früheren Positionen entzogen werden. Nach einigen Jahren verfügt ein Mitarbeiter damit über akkumulierte Zugriffsrechte aus allen bisherigen Tätigkeiten, die weit über das Least-Privilege-Prinzip hinausgehen. BSI ORP.4 verlangt die explizite Dokumentation und regelmäßige Überprüfung von Zugriffsrechten; ISO/IEC 27001:2022 Annex A 5.18 fordert einen formalisierten Prozess für Rechteentzug bei Rollenwechsel. Ohne einen gesteuerten Mover-Prozess im Joiner-Mover-Leaver-Framework ist Right-Drift systematisch vorprogrammiert.
• Admin-Konten als Standard-Arbeitsaccount: Administratoren melden sich täglich mit ihrem privilegierten Admin-Account an und erledigen auch reguläre Arbeitsaufgaben, E-Mail, Browsernutzung, Dokumentenbearbeitung, unter diesem Account. Jede Phishing-Mail, jede kompromittierte Webseite, jede manipulierte Datei, die in dieser Session geöffnet wird, läuft unmittelbar mit Administratorrechten. MITRE ATT&CK Mitigation M1026 (Privileged Account Management) und ISO/IEC 27001:2022 Annex A 8.2 verlangen die strikte Trennung privilegierter und regulärer Konten: Administratoren verwenden für die tägliche Arbeit unprivilegierte Accounts und eskalieren nur für konkrete administrative Aufgaben. BSI ORP.4 nennt die Trennung administrativer und produktiver Konten als explizite Anforderung.
• Fehlende Re-Zertifizierung: Zugriffsrechte werden nie überprüft: Einmal vergebene Berechtigungen bleiben dauerhaft bestehen, weil kein Prozess existiert, der sie regelmäßig validiert. Mitarbeiter, die das Unternehmen verlassen haben, behalten aktive Konten; Konten von externen Dienstleistern bleiben nach Projektende offen; Service-Accounts aus abgelösten Projekten existieren weiter. ISO/IEC 27001:2022 Annex A 5.18 und BSI ORP.4 verlangen explizit die regelmäßige Überprüfung aller Zugriffsrechte. MITRE ATT&CK weist Valid Accounts (T1078), also die Nutzung legitimer, aber nicht mehr benötigter Konten, als einen der meistgenutzten Initial-Access-Vektoren aus.
• Service-Accounts ohne Lifecycle und mit überhöhten Rechten: Service-Accounts, für Anwendungen, Backup-Jobs, Monitoring-Agenten, Deployment-Pipelines, werden mit überhöhten Rechten ausgestattet (häufig Domain-Admin oder lokaler Administrator) und anschließend nie wieder überprüft. Passwörter werden selten rotiert, der Eigentümer des Accounts ist unbekannt, und bei Systemablösung wird der Account nicht deaktiviert. NIST SP 800-53 Rev. 5 Control AC-2 (Account Management) verlangt die vollständige Dokumentation aller Accounts inklusive Service-Accounts sowie die Definition von Verantwortlichen. ISO/IEC 27001:2022 Annex A 8.2 (Privileged Access Rights) schließt Service-Accounts mit erhöhten Rechten explizit ein. MITRE ATT&CK Mitigation M1026 empfiehlt für Service-Accounts dedizierte, nicht-interaktive Konten mit minimalem Berechtigungsumfang und erzwungener Passwortrotation.

Relevanz im regulatorischen Kontext

Die Richtlinie (EU) 2022/2555 (NIS-2) macht Zugriffskontrolle zu einer expliziten Rechtspflicht für wesentliche und wichtige Einrichtungen. Artikel 21 Absatz 2 Buchstabe i verlangt Konzepte und Verfahren für den Einsatz von Zugriffskontrolle und Anlagenmanagement. Buchstabe j fordert den Einsatz von Multi-Faktor-Authentifizierung oder kontinuierlicher Authentifizierung für alle schutzbedürftigen Zugangswege, was privilegierte Accounts und Remote-Zugänge einschließt. Organisationen, die unter NIS-2 fallen, müssen dokumentieren, wie ihr Zugriffskontrollkonzept diese Anforderungen erfüllt. DSGVO Art. 32 Abs. 1 lit. b konkretisiert für die Verarbeitung personenbezogener Daten die Pflicht zu technisch-organisatorischen Maßnahmen, zu denen Zugriffskontrolle und Pseudonymisierung gehören, eine fehlende oder mangelhafte Zugriffskontrolle auf personenbezogene Daten kann nach Art. 83 DSGVO bußgeldpflichtig sein.

Für KRITIS-Betreiber ist nach §8a BSIG der Stand der Technik verbindlich, zu dem umfassende Zugriffskontrolle nach ISO/IEC 27001:2022 Annex A 5.15–5.18 und 8.2–8.3 sowie BSI IT-Grundschutz ORP.4 gehören. ISO/IEC 27001-zertifizierte Organisationen sind verpflichtet, alle sechs zugriffsbezogenen Annex-A-Controls (5.15, 5.16, 5.17, 5.18, 8.2, 8.3) im Statement of Applicability (SoA) zu bewerten, zu begründen und ihre Implementierung nachzuweisen. Für die Zertifizierungs-Auditierung bedeutet das: Access-Control-Policy, dokumentierter Prozess für Rechtevergabe/-änderung/-entzug, Nachweise für Re-Zertifizierungszyklen und PAM-Implementierungsnachweise sind prüfungsrelevante Dokumente. NIST SP 800-53 Rev. 5 Access-Control-Familie (AC-1 bis AC-25) gilt für US-Bundesbehörden verbindlich und ist international ein anerkannter Referenzrahmen für die Ausgestaltung von Zugriffskontrollmaßnahmen.

Häufige Fragen