Berechtigungen wachsen von selbst. Mitarbeitende wechseln die Abteilung und behalten alte Rechte, Projekte enden und Freigaben bleiben bestehen, Dienstleister erhalten Zugänge, die niemand mehr entzieht. Ein Berechtigungskonzept bringt Ordnung in diese Entwicklung.
Inhalt
Rollen, die sich an Aufgaben orientieren statt an Personen; pro Rolle die Rechte in den relevanten Systemen; ein Ablauf für Antrag, Genehmigung und Vergabe; Regeln für privilegierte Konten wie Administratoren; ein Verfahren für Eintritt, Wechsel und Austritt; und eine periodische Überprüfung, ob die vergebenen Rechte noch nötig sind.
Minimale Rechte
Jede Person erhält nur die Rechte, die sie für ihre Aufgabe braucht, und nur so lange wie nötig. Das ist der Kern von Zero Trust und eine der wirksamsten Massnahmen gegen die Folgen übernommener Konten. Es verlangt Disziplin, weil zusätzliche Rechte bequemer sind als ein Antrag.
Bezug zum Datenschutz
DSG und DSGVO verlangen eine dem Risiko angemessene Datensicherheit. Das Berechtigungskonzept ist der Nachweis, dass Personendaten nur jenen zugänglich sind, die sie brauchen, und gehört deshalb zu den TOM. In Web-Anwendungen setzt Row Level Security dasselbe Prinzip auf Datenbankebene um.
Typische Fehler
Rechte an Personen statt an Rollen vergeben. Überprüfungen planen, aber nie durchführen. Austritte nicht mit der IT verbinden. Und Kollaborationsplattformen vergessen, in denen Freigaben am Konzept vorbei entstehen. Gerade vor der Einführung von KI-Assistenten, die alles Zugängliche durchsuchen, ist eine Bereinigung der Berechtigungen der wichtigste Schritt.