Zugriffskontrolle: So verhindern Sie unerlaubte Datenzugriffe

Was ist die Zugriffskontrolle?

Mit der Zugriffskontrolle können Sie sicherstellen, dass auf Daten, Dokumente und EDV-Programme ausschließlich Personen den Zugriff erhalten, die auch tatsächlich befugt sind. Wer welche Daten sehen, bearbeiten oder kopieren kann, ergibt sich aus der Organisation Ihres Unternehmens und aus den Aufgaben des jeweiligen Mitarbeiters.

Zum Beispiel besitzt nicht immer der Vorgesetzte dieselben Zugriffsberechtigungen wie seine Mitarbeiter. Denn es muss sichergestellt sein, dass während der Verarbeitung kein unbefugtes Verändern, Kopieren oder Löschen der Daten möglich ist. Auch die Speicherung oder Datennutzung durch unbefugte Personen verhindert man mit der Zugriffskontrolle, weshalb sie eine wichtige Rolle einnimmt.

Mit einem Berechtigungskonzept dokumentiert man, welcher Mitarbeiter Zugriff auf welche Programme und Daten hat. Besonders dann, wenn man mobile Geräte oder Datenträger verwendet, ist eine ausgereifte Zugriffskontrolle zu entwickeln. Das wird zum Beispiel durch die Verwendung eines Verschlüsselungsverfahrens erreicht.

Welche Maßnahmen umfasst die Zugriffskontrolle?

Welche genauen Maßnahmen im Rahmen der Zugriffskontrolle erforderlich und umsetzbar sind, ist von Unternehmen zu Unternehmen unterschiedlich. Jedoch können unter anderem folgende Maßnahmen ergriffen werden:

• Berechtigungskonzepte unter Umsetzung des Minimalprinzips: Das Minimalprinzip besagt, dass Benutzer nur die notwendigen Berechtigungen erhalten sollten, um ihre Aufgaben zu erfüllen, um das Sicherheitsrisiko zu minimieren. Zugriffskontrollen werden so gestaltet, dass Benutzer keine unnötigen Privilegien haben, was den Schutz sensibler Daten verbessert.
• Vergabe und Entzug von Berechtigungen gemäß Richtlinie: Richtlinien legen fest, wer welche Zugriffsrechte erhalten darf und unter welchen Bedingungen. Die Berechtigungsvergabe und -entzug erfolgt gemäß diesen Richtlinien, um die Einhaltung der Datenschutz- und Sicherheitsvorgaben sicherzustellen.
• Protokollierung von Zugriffen bei sensiblen Datenverarbeitungen: Bei sensiblen Datenverarbeitungen werden alle Zugriffe aufgezeichnet und protokolliert. Diese Protokolle dienen dazu, die Zugriffsaktivitäten zu überwachen und bei Bedarf nachzuvollziehen.
• Prüfung von Protokollen: Die Protokolle werden regelmäßig auf verdächtige oder ungewöhnliche Aktivitäten hin überprüft. Diese Prüfungen helfen dabei, Datenschutzverstöße oder Sicherheitslücken zu erkennen und angemessen darauf zu reagieren.
• Automatische Erkennung von Anomalien: Automatisierte Systeme werden eingesetzt, um Anomalien oder ungewöhnliche Verhaltensweisen im Zugriffsmuster zu erkennen. Solche Anomalien können auf Sicherheitsverletzungen hinweisen und ermöglichen eine frühzeitige Reaktion, um Datenintegrität und Datenschutz zu gewährleisten.

Wie erfolgt die Umsetzung der Zugriffskontrolle?

Die technische Implementierung der Zugriffskontrolle in Unternehmen ist ein kritischer Schritt, um den Schutz sensibler Informationen sicherzustellen. Hier sind einige wichtige Aspekte der technischen Implementierung:

• Berechtigungsmanagement-Systeme (Role Based Access Control (RBAC)): Unternehmen verwenden spezielle Softwarelösungen für das Management zur Autorisierung, um Zugriffsrechte für Benutzer zu verwalten. Diese RBAC-Systeme ermöglichen es, Benutzerrollen zu erstellen, Berechtigungen zuzuweisen und sicherzustellen, dass Rechte für die Autorisierung für bestimmte Ressourcen den Unternehmensrichtlinien entsprechen.
• Authentifizierungssysteme: Die Implementierung sicherer Systeme für die Authentifizierung ist entscheidend. Dies kann die Verwendung von Benutzername und Passwort, Mehrfaktor-Authentifizierung, Smart Cards oder biometrischen Verfahren wie Fingerabdruck- oder Gesichtserkennung umfassen.
• Verschlüsselung: Die Datenverschlüsselung spielt eine wichtige Rolle, um sicherzustellen, dass sensible Informationen und Ressourcen während der Speicherung und Übertragung geschützt sind. Unternehmen verwenden Verschlüsselungsprotokolle und -algorithmen, um Daten zu sichern.
• Zugriffskontrolllisten (Access Control): Access-Control-Listen, auch ACLs, werden in Netzwerken und Dateisystemen eingesetzt, um zu steuern, wer auf bestimmte Ressourcen zugreifen kann. Dies ermöglicht es, Zugriffsrechte auf Datei- oder Verzeichnisebene festzulegen.
• Benutzer- und Identitätsmanagement-Systeme: Diese Systeme dienen zur Verwaltung von Benutzerkonten, zur Aktualisierung von Zugriffsrechten und zur Verfolgung von Benutzeraktivitäten.

7 Tipps für eine benutzerbasierte Zugriffskontrolle

Ziel der benutzerbasierten Zugriffskontrolle ist es, das interne Bedrohungsrisiko in den Griff zu bekommen. Dabei erfolgt eine Zugriffskontrolle, die auf Benutzerdaten beruht. Damit ist es möglich zu erkennen, welcher Mitarbeiter welche Anwendungen im Netzwerk genutzt und dabei welche Daten übertragen hat. Die benutzerbasierte Zugriffskontrolle kann bei richtiger Anwendung die Zeit der Reaktion reduzieren und damit die Sicherheit erhöhen. Mit den sieben folgenden Tipps lässt sich die Zugriffskontrolle optimal nutzen.

Tipp 1: Unternehmensstruktur und Benutzer-Umgebung analysieren

Jedes Unternehmen ist anders, es kann sogar sein, dass bei Betrieben mit unterschiedlichen Standorten verschiedene Authentifizierungsmethoden Verwendung finden. Unterschiede gibt es zum Beispiel darin, ob sich die Mitarbeiter bei einem Verzeichnis-Server anmelden oder sich an Network-Access-Control-Geräten, VPN-Systemen oder WLAN-Controllern autorisieren. Auch das verwendete Betriebssystem ist wichtig, denn es gibt Unterschiede zwischen Windows, Linux und Mac. Außerdem müssen Sie analysieren, wie sich im Netzwerk die Endpunkte anmelden und wie diese identifiziert und authentifiziert werden.

Tipp 2: Zentrales Repository implementieren

In der Regel werden Benutzerrechte in separaten Zugriffslisten für Datenbanken, Inhalte und Anwendungen manuell eingepflegt. Dahingegen werden Regelungen für den Umgang mit sicherheitsrelevanten Daten an anderen Orten vorgehalten. Durch die fehlende Automatisierung und durch eine dezentrale Zugriffsverwaltung können schnell Fehler auftauchen. Daher ist es erforderlich, dass Sie ein einheitliches Repository mit klar definierten Richtlinien für die Zugriffsrechte aufbauen.

Tipp 3: Einheitliche, automatisierte Implementierung von Zugriffsrechten einrichten

In vielen Unternehmen erfolgt die Implementierung der Zugriffsrichtlinien auf Basis von datenbank- und anwendungsspezifischen Tools sowie mit eigenentwickelten Skripten. Skripte sind jedoch aus sicherheitstechnischen Gründen sehr unzuverlässig, da sie nicht untrennbar mit den Sicherheitsrichtlinien verknüpft sind. Um eine effektive Zugangskontrolle sicherzustellen, ist es erforderlich, dass eine automatisierte und einheitliche Implementierung der Zugriffsrichtlinien erfolgt.

Tipp 4: Die Zugriffskontrolle flexibilisieren

Zugriffsparameter müssen kontextbezogen eingesetzt werden. Damit ist es zum Beispiel möglich, einem Mitarbeiter abhängig von seinem Aufenthaltsort strengere oder freiere Zugriffsrechte einzuräumen. Hierfür ist es erforderlich, dass ein Rechte-Management-System Verwendung findet, das in Echtzeit und automatisch auf jeden Sitzungskontext reagiert und eine Identifizierung durchführt.

Tipp 5: Auch an die künftig ausscheidenden Mitarbeiter denken

Um eine entsprechende Sicherheit zu gewährleisten, müssen Mitarbeitern direkt nach Aussprache der Kündigung normalerweise alle Rechte entzogen werden. Dies ist allerdings in der Praxis kaum möglich. In vielen Fällen ist ein Mitarbeiter noch während der Kündigungsfrist beschäftigt und benötigt weiterhin die ihm zugeteilten Rechte, um seine Aufgaben bis zum tatsächlichen Austrittstermin erfüllen zu können. Außerdem fehlt vielen Unternehmen die hierfür erforderliche Automatisierung. So ist es nicht selten, dass sogar noch nach Ausscheiden des Mitarbeiters die Zugriffsrechte bestehen bleiben. Verknüpfen Sie daher Ihr System für die Rechteverwaltung mit einem anderen System, um so bei Beendigung eines Arbeitsverhältnisses auch gleichzeitig die Sperrung der Daten-Zugriffsrechte einzuleiten. Eine Möglichkeit wäre zum Beispiel die Verzahnung mit einer HR-Anwendung.

Tipp 6: Cloud-Dienste berücksichtigen

Cloud-Anwendungen aktivieren manchmal Mitarbeitern ohne Einschaltung der IT. Dadurch besteht an dieser Stelle ein kritisches Sicherheitsrisiko. Aus dem Grund ist es erforderlich, dass die IT beim Hinzufügen neuer Cloud-Anwendungen einen konsistenten Prozess nutzt, der automatisch zum Hinzufügen zum Repository führt. Es sollte in jedem Unternehmen eine Regelung geben, die verbietet, dass Mitarbeiter ohne Einschaltung der IT z. B. Cloud-Anwendungen aktivieren oder Programme installieren.

Tipp 7: Automatisches und regelbasiertes Rechtemanagement verwenden

Mit den heute verwendeten Tools ist es sehr einfach, Nutzer zu beschränken und Ressourcen hinzuzufügen. Hierfür sollten Sie ein automatisches und regelbasiertes Rechtemanagement verwenden, das in der Lage ist, sich selbst zu dokumentieren. Die Zugriffssteuerung muss unternehmensübergreifend sein, damit werden gleichzeitig auch alle erforderlichen Informationen geliefert, die für ein erfolgreiches Security Audit erforderlich sind.

Need-to-know-Prinzip: Checkliste für eine gute Zugriffskontrolle

Das Need-to-know-Prinzip definiert ein Sicherheitsziel im Umgang mit vertraulichen Informationen. Selbst wenn eine Person grundsätzlich berechtigt ist, auf Daten oder Informationen dieser Sicherheitsstufe zuzugreifen, besagt das Need-to-know-Prinzip, dass der Zugriff untersagt ist, wenn die Informationen nicht unmittelbar für die Erfüllung einer spezifischen Aufgabe dieser Person erforderlich sind.

Effektives Berechtigungsmanagement gewährleistet, dass jeder Mitarbeiter ausschließlich die Berechtigungen erhält, die für die Erfüllung seiner beruflichen Aufgaben notwendig sind. Anhand der nachstehenden Checkliste können Sie überprüfen, ob Ihre Zugriffsrechte dem Need-to-know-Prinzip entsprechen und erfahren so, ob eine Anpassung der Zugriffskontrolle nötig ist.