Nach dem Prinzip der minimalen Rechte erhalten Personen und Systeme nur die Zugriffsrechte, die sie für ihre Aufgaben tatsächlich benötigen – nicht mehr und nicht länger als nötig.
Warum minimale Rechte schützen
Je weniger Rechte ein Konto hat, desto geringer ist der Schaden bei Fehlbedienung, Missbrauch oder einem kompromittierten Zugang. Ransomware kann sich zum Beispiel deutlich schlechter ausbreiten, wenn normale Benutzer keine Administratorrechte haben.
Least Privilege in der ISO/IEC 27001
Anhang A 5.15 verlangt Regeln zur Zugangssteuerung auf Basis geschäftlicher und sicherheitsrelevanter Anforderungen – in der Praxis nach den Grundsätzen „Need to know“ und „Least Privilege“. Anhang A 5.18 regelt Vergabe, Überprüfung und Entzug von Zugangsrechten, Anhang A 8.2 die besonders kritischen privilegierten Zugangsrechte.
Praxisbeispiel
Administratoren eines Unternehmens arbeiten im Alltag mit einem normalen Benutzerkonto und nutzen ein separates Administratorkonto nur für Verwaltungsaufgaben. Rechte für Projektordner werden zum Projektende automatisch entzogen.
Typische Fehler im Audit
- Rechte werden bei Abteilungswechseln hinzugefügt, alte aber nicht entfernt.
- Viele Benutzer haben lokale Administratorrechte „weil es einfacher ist“.
Bezug zur Norm: ISO/IEC 27001:2022, Anhang A 5.15, 5.18 und 8.2
← Alle Begriffe mit L