21.01.2022 Least-Privilege-Prinzip

Weniger ist mehr

Von: Helmut Semmelmayer

Wie verhindert man den Missbrauch von Zugriffsrechten? Indem man sie löscht. Helmut Semmelmayer, Senior Manager Channel Sales bei Tenfold, erklärt im Kommentar, wie das Least-Privilege-Prinzip Unternehmen schützt.

Helmut Semmelmayer fordert standardisierte Prozesse und automatische Lösungen.

Trotz ihrer wichtigen Rolle für Informationssicherheit und Datenschutz erleben Benutzer Zugriffsrechte meist als lästiges Hindernis. Um solche Unannehmlichkeiten zu verhindern, opfern viele Firmen Sicherheit im Namen der Bequemlichkeit: Berechtigungen werden vorsorglich vergeben, nur für den Fall, dass man sie später braucht.

Natürlich muss die eigene Belegschaft im angemessenen Umgang mit digitalen Bedrohungen geschult werden. Doch selbst die beste Sicherheitsstrategie bietet keinen hundertprozentigen Schutz. Angesichts immer komplexerer Social-Engineering-Attacken und der wachsenden Bedrohung durch Ransomware müssen Unternehmen auf das Schlimmste vorbereitet sein.

Die beste Möglichkeit, den Missbrauch von Zugriffsrechten zu verhindern, ist diese einzuschränken. So lässt sich das Sicherheitskonzept des Least-Privilege-Prinzips zusammenfassen. Durch das Schließen unnötiger Konten sinkt die Angriffsfläche für identitätsbasierte Attacken. Ebenso hilft das Entfernen überflüssiger Berechtigungen, die potenziellen Folgen eines Angriffs zu minimieren, da so wenige Systeme wie möglich davon betroffen sind. In Kombination mit klassischen Sicherheitsmaßnahmen bietet das Least-Privilege-Prinzip optimalen Schutz.

Dies ist ein Artikel aus unserer Print-Ausgabe 12/2021. Bestellen Sie ein kostenfreies Probe-Abo.

Das Problem an überflüssigen Konten und Berechtigungen ist, dass diese im Alltag praktisch unsichtbar sind. Während fehlende Berechtigungen schnell störend auffallen, würde kein User bei der IT anrufen, um zu melden, dass sie noch immer auf den Ordner eines abteilungsübergreifenden Projekts zugreifen kann. Um überflüssige Zugriffsrechte effektiv zu bekämpfen, braucht es daher standardisierte Prozesse und automatische Lösungen. Mit einer passenden „Identity and Access Management“-Software (IAM) lassen sich etwa temporäre Rechte vergeben, die nach Ablauf der vorgesehenen Frist automatisch erlöschen. Vor allem aber schützt die automatische Verwaltung über eine zentrale Plattform vor chaotischen Strukturen. So sorgt IAM nicht nur für Ordnung und Sicherheit.

Bildquelle: Tenfold