Eine der goldenen Regeln der Informationssicherheit ist das so genannte Need-to-Know-Prinzip: Jeder Benutzer (und auch jeder Administrator) sollte nur auf jene Datenbestände zugreifen und jene Programme ausführen dürfen, die er für seine tägliche Arbeit auch wirklich benötigt. In der Praxis bedeutet dies allerdings zusätzlichen administrativen und technischen Aufwand. Daher haben die meisten Mitarbeiter Zugriff auf eine Vielzahl sensitiver Daten und Programme, die sie nicht benötigen.
Berechtigungsanalyse und Zugriffsoptimierung
Da die Arbeitsplatz-PCs und Server einer Organisation in der Regel alle untereinander vernetzt sind, kann ohne geeignete Zugriffsbeschränkungen oftmals auf die Daten anderer Benutzer bzw. Rechner zugegriffen werden (Stichworte: Berechtigungsanalyse). Den jeweiligen „Besitzern“ dieser Daten ist das häufig nicht bewusst. Die weitreichenden Berechtigungen können so versehentlich, durch Unkenntnis oder beabsichtigt missbraucht werden.
Lizenzmanagement als Basis einer funktionierenden Netzwerkverwaltung
Tatsächlich sind es oft Fehler bei der Administration (und nicht bei der Software), die für Sicherheitslücken sorgen. Würden die in Standardsoftware vorhandenen Sicherheitsfunktionalitäten vollständig und richtig ausgenutzt, so wäre das Sicherheitsniveau in Unternehmen weitaus höher. Dies setzt natürlich ein funktionierendes Lizenzmanagement im Unternehmen voraus. Die Komplexität von Standard-Büroanwendungen steigt von Jahr zu Jahr. Sicherheit ist für Administratoren nur eine unter vielen, teils konkurrierenden Anforderungen in der täglichen Arbeit. Sie sind de facto kaum noch in der Lage, falsche (unsichere) Parametereinstellungen vollständig zu vermeiden. Vielen Betroffenen ist dieses Dilemma bewusst, doch es wird viel zu selten angegangen.
Vom Berechtigungskonzept zum IT-Konzept
In den meisten Fällen fehlt schlicht ein durchdachtes und umfassendes Berechtigungskonzept bzw. ein IT-Konzept. Damit lässt sich genau festlegen, wer bestimmte Daten lesen, ändern, löschen oder versenden darf. Zunächst wird festgelegt, welche Daten und Programme jeder Mitarbeiter für seine tägliche Arbeit braucht. Zugriffsberechtigungen werden gemäß dem Need-to-Know-Prinzip nur für diese Daten erteilt. Hilfreich hierfür ist die jeweilige Stellen- und Funktionsbeschreibung des Mitarbeiters. Berechtigungen sollten nicht nur aufgrund einer gewissen Hierarchiestufe vergeben werden. Danach können weitergehende Berechtigungen (Lese- und Schreibrechte) vergeben werden. In jedem Fall muss gewährleistet sein, dass Daten nicht unbefugt gelöscht werden können. Eine professionelle Software gewährleistet, dass die Übersicht über die vergebenen Berechtigungen jederzeit aktuell ist.
Quelle: Bundesamt für Sicherheit in der Informationstechnik BSI.
