Berechtigungskonzept: wer darf welche Ordner sehen

Und hinterher kommt der zweite: Bisher ist ja nichts passiert.

Gewachsen ist das über Jahre. Einer brauchte kurz die Buchhaltung, eine andere hat die Abteilung gewechselt, für die Aushilfen gibt es ein gemeinsames Konto. Weggenommen hat nie jemand etwas.

Das Bundesamt für Sicherheit in der Informationstechnik hat dafür einen Namen. Es schreibt von „Wildwuchs in der Rechtevergabe“ und davon, dass Benutzende „Berechtigungen auf Zuruf erhalten“.

Das BSI nennt drei Wege dorthin.

Der erste: Der IT-Betrieb erfährt von personellen Veränderungen nichts, „so dass beispielsweise Konten von ausgeschiedenen Mitarbeitenden nicht gelöscht werden“.

Wer den Betrieb verlassen hat, kommt weiter an die Daten. Was sonst noch ansteht, wenn jemand den Betrieb verlässt, haben wir in einer Liste der Zugänge gesammelt.

Der zweite ist der Wechsel im Haus. Wer in eine andere Abteilung versetzt wird, behält seine alten Rechte.

Der dritte fällt erst im Ernstfall auf. Die Konten einer Person sind über mehrere Systeme verstreut. Dann ist es „nicht möglich, bei einem Angriff oder einem Passwortdiebstahl in einem Arbeitsschritt alle Konten der betroffenen Mitarbeitenden zu deaktivieren“.

Keiner der drei Punkte ist das Versäumnis einer einzelnen Person. Es fehlt die Stelle, an der steht, wer was darf und warum. Genau das ist ein Berechtigungskonzept.

Einen Baustein mit diesem Namen gibt es im IT-Grundschutz übrigens nicht. Der Baustein heißt ORP.4 Identitäts- und Berechtigungsmanagement, das Wort selbst steht an 29 Stellen in zwölf verschiedenen Bausteinen.

Vorausgesetzt wird es dafür an vielen Stellen. Die zentrale Verwaltung von Handys und Tablets braucht eins, der Dateiserver verweist darauf, die Telefonanlage ebenso.

Zwei Systeme brauchen zusätzlich ein eigenes Konzept: die Postfächer in Exchange und das Active Directory, also das Verzeichnis, in dem Ihre Benutzerkonten stehen. Wer bei einem dieser Themen anfängt, landet am Ende hier.

Was gemeint ist, steht in der Definition des BSI kürzer als in jeder Broschüre. Berechtigungsmanagement sind die Vorgänge „für Zuweisung, Entzug und Kontrolle der Rechte“.

Rechte zuweisen macht jeder Betrieb. Der Entzug und die Kontrolle sind die zwei, die in kleinen Betrieben fehlen.

Das BSI stellt drei Basis-Anforderungen nebeneinander, die fast gleich aussehen: Vergabe von Zutrittsberechtigungen, Vergabe von Zugangsberechtigungen, Vergabe von Zugriffsrechten.

Bei allen dreien heißt es, es MUSS festgelegt werden, welche Berechtigungen „an welche Personen im Rahmen ihrer Funktion vergeben bzw. ihnen entzogen werden“.

Zutritt ist der Raum, in dem der Server steht. Zugang ist die Anmeldung. Zugriff ist der Ordner. Wer nur die Ordner regelt, hat ein Drittel.

Das Ziel dahinter ist genau die Frage aus der Überschrift. Benutzende sollen „ausschließlich auf die IT-Ressourcen und Informationen zugreifen können, die sie für ihre Arbeit benötigen und für die sie autorisiert sind“.

Der Grundsatz dazu ist hart formuliert. Berechtigungen „DÜRFEN NUR aufgrund des tatsächlichen Bedarfs und der Notwendigkeit zur Aufgabenerfüllung vergeben werden“.

Bei personellen Veränderungen müssen die nicht mehr benötigten wieder weg.

Einen Satz weiter steht der, der im Alltag am meisten ändert. Beantragt jemand Rechte, die über den Standard hinausgehen, „DÜRFEN diese NUR nach zusätzlicher Begründung und Prüfung vergeben werden“.

Ein Sonderrecht auf Zuruf ist damit keine Kleinigkeit. Es verstößt gegen eine Basis-Anforderung.

Das BSI sagt auch, woran man sich beim Vergeben entlanghangelt. Es „SOLLTEN Standard-Rechteprofile benutzt werden, die den Funktionen und Aufgaben der Mitarbeitenden entsprechen“.

In der Praxis heißt das Rolle. Buchhaltung, Vertrieb, Werkstatt, Geschäftsführung. Rechte hängen an der Aufgabe und nicht am Namen.

Dazu gehört, dass jede Kennung „eindeutig einer Person zugeordnet werden“ kann. Konten, die länger inaktiv sind, sollen deaktiviert werden. Gastkonten und mitgelieferte Administrierendenkennungen gehören weg.

Und es soll kontrolliert werden, „dass nicht mehrere Benutzende unter der gleichen Kennung arbeiten“.

Das gemeinsame Konto für die Aushilfen fällt damit durch.

Fünf Vorgänge nennt das BSI für das Identitäts- und Berechtigungsmanagement: „Richtlinien verwalten, Identitätsprofile verwalten, Benutzendenkennungen verwalten, Berechtigungsprofile verwalten sowie Rollen verwalten“.

Zusammen sind sie das, was in der Praxis Rollen- und Berechtigungskonzept heißt.

Ein Punkt steht als Muss im Regelwerk: Aufgaben, die nicht zusammengehören, müssen über die Berechtigungen getrennt werden. Wer Rechnungen erfasst, und wer Zahlungen freigibt, sind zwei Rechtestände.

Aufgeschrieben werden muss das Ganze auch. Es „MUSS dokumentiert werden, welche Benutzendenkennungen, angelegte Benutzendengruppen und Rechteprofile zugelassen und angelegt wurden“.

Dieses Dokument muss regelmäßig daraufhin geprüft werden, ob es den tatsächlichen Stand abbildet. Was sonst noch schriftlich vorliegen sollte, mit Schutz und Datensicherung, steht auf unserer Seite zur IT-Dokumentation.

Für jedes IT-System und jede IT-Anwendung soll außerdem eine schriftliche Zugriffsregelung existieren. Eine Tabelle für alles wird dem nicht gerecht.

Konten mit weitreichenden Berechtigungen sollen zusätzlich einen zweiten Faktor bekommen. Wie das für Admin-Zugänge in Microsoft 365 aussieht, steht auf einer eigenen Seite.

Und einer kostet nichts. Alle Mitarbeitenden sollen „in den korrekten Umgang mit dem Authentisierungsverfahren eingewiesen werden“, und es soll „verständliche Richtlinien“ dafür geben.

Eine Regel, die niemand erklärt bekommen hat, hält im Alltag nicht.

Eine Betriebsgröße, ab der all das anfängt, nennt das BSI nirgends.

Bei erhöhtem Schutzbedarf kommt ein Satz dazu, den man auch sonst ernst nehmen sollte. Das Berechtigungskonzept soll „weiterhin anwendbar sein, wenn das Identitäts- und Berechtigungsmanagement-System ausgefallen ist“.

Ein Berechtigungskonzept, das nur in den Einstellungen eines Servers steht, fällt mit dem Server aus.

So weit, wie das Konto schreiben darf, das er erwischt.

Das BSI schreibt es im Baustein zum Dateiserver hin: „Viele Ausprägungen von Ransomware suchen nach Netzlaufwerken mit Schreibzugriff, auf denen alle Daten ebenfalls verschlüsselt werden.“

Betroffen ist dann auch, was zentral liegt und worauf viele Rechner zugreifen dürfen. Im Baustein zur Datensicherung steht derselbe Satz ein zweites Mal.

Damit ist die Rechtefrage keine Frage der Ordnung im Haus. Sie entscheidet, wie groß der Schaden an dem Tag wird, an dem etwas passiert.

Zwei Gefährdungen nennt das BSI an dieser Stelle, und sie hängen aneinander. Die eine heißt „Fehlendes oder unzureichendes Zugriffsberechtigungskonzept“, die andere „Unstrukturierte Datenhaltung“.

Gibt niemand die Ablage vor, landen Dateien in Verzeichnissen, „die Dritten zugänglich gemacht werden“.

Wer nichts findet und wer alles sieht, hat dieselbe Ursache: eine Ablage, die niemand vorgegeben hat.

Deshalb gehört die Ablage zur Rechtefrage dazu. Es „SOLLTE eine Struktur festgelegt werden, nach der Daten abzulegen sind“.

Und es soll schriftlich feststehen, welche Daten lokal gespeichert werden dürfen und welche auf dem Dateiserver. Wo Dateien in Microsoft 365 hingehören, steht auf der Seite zu OneDrive oder SharePoint.

Zum Schluss des Abschnitts zwei Sätze aus demselben Baustein. Mitgeschrieben werden sollen „mindestens nicht-autorisierte Zugriffsversuche auf Dateien und Änderungen von Zugriffsrechten“.

Das ist die Antwort auf die Frage, wie Sie überhaupt merken, dass jemand an die Zahlen geht.

Und der schärfste Satz steht als Verbot da: „Arbeitsplatzrechner DÜRFEN NICHT als Fileserver eingesetzt werden.“

Wenn die gemeinsamen Ordner bei Ihnen auf einem Rechner im Büro liegen, fangen Sie dort an.

Was Art. 32 DSGVO von Ihrem Betrieb verlangt, steht auf einer eigenen Seite: TOM nach Art. 32 DSGVO.

Dort stehen auch die Punkte, die üblicherweise in der Anlage mit den technischen und organisatorischen Maßnahmen auftauchen.

Rechtsfragen gehören zu Ihrem Datenschutzberater. Wir geben keine Rechtsberatung.

Offene oder fehlerhafte Berechtigungen gehören zu den häufigsten Fehlern, die wir bei einer Übernahme finden. Was dort fehlt, ist eine richtige Berechtigungsstruktur, und dann sieht jeder alles im Netz.

Wir hatten schon Kunden, die wir übernommen haben und bei denen wir uns das Netzwerk erst einmal anschauen mussten, weil es keine gute Übergabe gab. Dabei haben wir festgestellt, dass selbst die Azubis auf die Ordner der Geschäftsleitung zugreifen konnten. Dort liegen sensible Daten, und die konnten sie einlesen.

Bei einem anderen Betrieb sollten die Netze laut Dienstleister getrennt sein. Über das Gastnetz hatte man, sobald man einmal eingeloggt war, kompletten Zugriff auf die Freigabestruktur. Bei manchen Kunden kam man an die Backup-Verzeichnisse.

Und einmal hatte ein Geschäftsführer Urlaubsfotos in seinem privaten Laufwerk abgelegt. Die Azubis haben das entdeckt und die Fotos im Netzwerk herumgeschickt. Das ist bis zu uns eskaliert, obwohl es eine Altlast war.

Auf so etwas kommt man auf zwei Wegen. Entweder wird das Ganze von externen Sicherheitsberatern getestet, nicht einmal durch uns, sondern durch ein Partnerunternehmen. Oder wir übernehmen die Netze, sind in der Einarbeitungsphase und gucken hinter die Fassade. Solche und ähnliche Dinge gibt es immer wieder mal.

Wie wir Konten und Zugänge betreuen, und warum das BSI beim externen Dienstleister keine Ausnahme macht, steht auf der Seite zu Domain Controller und Benutzerkonten.

Wenn Sie den Satz vom Anfang über Ihren eigenen Betrieb schon einmal gesagt haben, ist das ein guter erster Punkt fürs Erstgespräch. Was Sie danach ordnen lassen, entscheiden Sie.