Least Privilege: So funktioniert die sparsame Berechtigungsvergabe

Das Least Privilege Prinzip sieht vor, dass Benutzer nur zwingend erforderliche Rechte erhalten sollten, die für ihre Arbeit unbedingt notwendig sind. Durch das Einschränken des Zugriffs auf möglichst wenige Rechte wird Missbrauch vorgebeugt und der Schaden minimiert, den ein Angreifer im schlimmsten Fall anrichten kann,

Als wichtige Grundlage für die Datensicherheit zählt Least Privilege zu den Best Practices der IT-Security und ist Teil zahlreicher Sicherheitsstandards und gesetzlicher Vorgaben, wie der DSGVO, NIS2 oder ISO 27001.

Aufgaben ändern sich im Laufe der Zeit. Zum Beispiel, weil ein Benutzer die Abteilung wechselt, einem Projekt zugewiesen wird oder einen abwesenden Kollegen vertritt. Um seine Aufgaben erfüllen zu können, erhält er dabei laufend neue Rechte.

Gleichzeitig gibt es jedoch alte Rechte, die der User in seiner neuen Rolle nicht mehr benötigt. Werden diese alten Rechte nicht entfernt, sammeln sich mit der Zeit so mehr und mehr überflüssige Berechtigungen an.

Dieser Prozess wird auch als Privilege Creep bezeichnet: Die schleichende Ansammlung nicht benötigter Rechte. Das Problem an der Sache? Diese überflüssigen Berechtigungen können in falschen Händen eine Gefahr werden. Zum Beispiel, wenn ein Hacker in das Konto eindringt.

Das Least Privilege Prinzip hat Vorteile für den IT-Betrieb, die Datensicherheit in der Organisation und die Compliance.

Least Privilege wird im Alltag oft synonym mit Begriffen wie vertraulich oder Need-to-Know verwendet. Der Unterschied zwischen den Konzepten liegt darin, dass Need-to-Know ausschließlich auf menschlichen Zugriff gilt, während Least Privilege auch Anwendungen und Dienstkonten abdeckt.

Teilweise stellt sich auch die Frage, wie Least Privilege mit dem modernen Sicherheitskonzept Zero Trust zusammenhängt. Tatsächlich ist Least Privilege ein Bestandteil von Zero Trust. Allerdings geht Zero Trust über Least Privilege hinaus und sieht etwa die Segmentierung des Netzwerks und laufende Evaluierung aktiver Zugriffe vor.

Das Konzept der Funktionstrennung sieht vor, dass Aufgaben, die zu einem Interessenskonflikt führen könnten, nicht einer einzelnen Person anvertraut werden dürfen. Zum Beispiel darf nicht die gleiche Person eine Spesenabrechnung einreichen und diese anschließend freigeben. Man spricht auch vom Vier-Augen-Prinzip. Auch Berechtigungen, die dem Least Privilege Prinzip entsprechen, können dabei zum Problem werden, wenn die notwendige Kontrolle durch eine weitere Person nicht gewährleistet ist.

Nach dem Least Privilege Prinzip erhalten Benutzer nur Rechte, die sie wirklich brauchen. Aber welche Rechte sind das genau? Wer Zugriff auf welche Ressourcen braucht, hängt von der Struktur der Organisation und den Aufgaben des Benutzers ab. Als erster Schritt muss daher geklärt werden, welche Daten und Systeme die eigene IT-Umgebung umfasst sowie welche Personen worauf Zugriff benötigen.

Dabei empfiehlt es sich, ein Rollenmodell für Berechtigungen bzw. ein Berechtigungskonzept zu erstellen, dass den vorgesehenen Zugriff abhängig von Faktoren wie Abteilung oder Standort regelt. Aufgaben, Anforderungen und Strukturen unterscheiden sich von Organisation zu Organisation. Einige Grundregeln sind dennoch zu beachten:

Die Ursache für überflüssige Berechtigungen ist fast immer die manuelle Administration von Rechten. Denn diese ist ungenau und führt leicht zu Fehlern. Schon beim Anlegen neuer Benutzer schießen Admins oft über das Ziel hinaus, wenn sie z.B. einen Referenz-User kopieren – samt vielen historischen Rechten.

Noch schwieriger gestaltet sich der Entzug nicht mehr benötigter Rechte. Denn anders, als wenn ihnen Rechte fehlen, schlagen Benutzer nicht Alarm, wenn sie mehr Zugriff haben als notwendig. Alte und überflüssige Rechte werden deshalb leicht vergessen, frei nach dem Prinzip: Aus den Augen, aus dem Sinn.

Durch die Automatisierung des User Lifecycle ist sichergestellt, dass die Berechtigungen des Users zu jeder Zeit seinen aktuellen Aufgaben entsprechen – so, wie es das Least Privilege Prinzip vorsieht. Automatisches Lifecycle Management stattet neue User mit allen notwendigen Rechten aus, passt den Zugriff an, wenn sich ihre Rolle ändert, und schließt Zugänge, sobald die Person das Unternehmen verlässt.

Vertrauen ist gut, Kontrolle ist besser: Der einzige Weg, die Einhaltung von Least Privilege langfristig sicherzustellen, ist es die regelmäßige Kontrolle aller Zugriffsrechte. Dabei wird überprüft, ob alle Rechte den Anforderungen an minimalen Zugriff entsprechen. Dieser Prozess wird auch als Rezertifizierung oder User Access Review bezeichnet.

Standardrechte können anhand der Rolle eines Benutzers automatisch vergeben und entzogen werden (siehe Role-Based Access Control). Im Arbeitsalltag benötigen Mitarbeiter jedoch immer wieder individuelle Zusatzrechte, die per Zugriffsanfrage angefordert werden. In diesem Fall sollte dieselbe Person, die eine Berechtigung freigibt, diese später auf Aktualität prüfen.

Um die Kontrolle der Zugriffsrechte möglichst schnell abschließen zu können, empfiehlt sich auch hier eine geeignete Governance-Lösung. Die Entscheidung, ob ein Benutzer Zugriff braucht, kann nur ein Mensch treffen. Doch die passende Software erleichtert diesen Prozess durch das Benachrichtigen der Prüfer, die zentrale Übersicht ausstehender Kontrollen und die automatische Umsetzung der Ergebnisse.

Als IAM-Lösung hilft tenfold Ihnen dabei, IT-Berechtigungen von Grund auf nach dem Least Privilege Prinzip aufzubauen: Von automatischem On- & Offboarding über Self-Service Anfragen und Freigabe-Workflows bis hin zu detailliertem Reporting und regelmäßigen Access Reviews.

Anders als vergleichbare Plattformen setzt tenfold dabei auf maximalen Komfort: Dank seiner fertigen Plugins lässt sich tenfold in wenigen Wochen in Betrieb nehmen und kann dabei vollständig über die benutzerfreundliche No-Code Oberfläche konfiguriert und bedient werden – ohne aufwändiges Scripting!

Überzeugen Sie sich selbst und lernen Sie tenfold bei einem persönlichen Demo-Termin näher kennen. Unsere IAM-Experten beraten Sie gerne!