Zugriffskontrolle: Wer darf was im Unternehmen

Wer darf welche Datei öffnen, welches System bedienen, welchen Ordner sehen? Genau das regelt die Zugriffskontrolle. Sie entscheidet, wer im Unternehmen was darf. Und zwar bei jedem Login, bei jedem Dateiaufruf, bei jedem Zugriff auf eine Anwendung. Somit greift sie ständig, oft ohne dass es jemand bemerkt. Deshalb ist sie eine der wichtigsten Stellschrauben für die Sicherheit. Ein Angreifer, der ein Passwort erbeutet, kommt nämlich nur so weit, wie die Rechte dieses Kontos reichen.

Dieser Beitrag erklärt die Zugriffskontrolle von Grund auf. Zunächst geht es um die Begriffe und die vier gängigen Modelle. Danach um den konkreten Nutzen für ein KMU. Zum Schluss zeigen wir den geordneten Weg zu klaren Berechtigungen. Das Ziel ist ein System, in dem jede Person genau die Rechte hat, die sie braucht. Also nicht mehr und nicht weniger.

Was Zugriffskontrolle bedeutet

Zugriffskontrolle ist der geregelte Prozess, der Anfragen auf Daten und Systeme erlaubt oder verweigert. Das NIST definiert sie als das Gewähren oder Verweigern von Zugriffen. Zudem geht es nicht nur um Türen und Schlösser. Gemeint ist vor allem der digitale Zugriff. Also die Frage, welches Konto welche Ressource nutzen darf.

Ein Alltagsbeispiel macht das klar. In einem Betrieb sieht die Buchhaltung die Gehaltsdaten. Der Vertrieb sieht sie hingegen nicht. Der Lagermitarbeiter kommt zudem an die Warenwirtschaft, aber nicht an die Personalakte. Jede dieser Grenzen ist eine Regel der Zugriffskontrolle. Somit sehen Menschen nur das, was zu ihrer Arbeit gehört.

Drei Bausteine: Identifikation, Authentifizierung, Autorisierung

Jede Zugriffskontrolle stützt sich auf drei Schritte. Zunächst die Identifikation: Ein Nutzer gibt an, wer er ist, etwa mit einem Namen. Danach die Authentifizierung: Das System prüft, ob das stimmt, etwa per Passwort. Zum Schluss die Autorisierung: Das System entscheidet, was der Nutzer darf. Erst alle drei zusammen ergeben eine echte Kontrolle. Wie die Prüfung im Detail abläuft, zeigt unser Beitrag zu den Methoden der Authentifizierung.

Die Authentifizierung wird oft mit der Zugriffskontrolle verwechselt. Sie ist jedoch nur ein Teil davon. Ein starkes Passwort und eine Zwei-Faktor-Authentifizierung beweisen, wer jemand ist. Sie sagen allerdings nichts darüber, was diese Person danach tun darf. Insbesondere diese Frage klärt die Autorisierung. Deshalb reicht ein sicheres Login allein nicht aus.

Die Zugriffskontrolle wirkt still im Hintergrund. Man bemerkt sie meist erst, wenn sie fehlt. Etwa wenn ein ausgeschiedener Mitarbeiter noch Zugang hat. Ebenso wenn ein einfaches Konto plötzlich an sensible Daten kommt. Solche Lücken entstehen zudem fast immer schleichend. Deshalb lohnt sich ein bewusster Umgang mit dem Thema. Und zwar bevor ein Vorfall die Schwäche sichtbar macht.

Die vier Modelle: RBAC, ABAC, MAC und DAC

Für die Zugriffskontrolle haben sich vier Modelle etabliert. Sie unterscheiden sich darin, woran die Rechte hängen. Nämlich an einer Rolle, an Merkmalen, an einer Einstufung oder am Eigentümer. Für ein KMU ist vor allem das erste Modell wichtig. Die anderen sollten Sie dennoch kennen, um Angebote und Fachbegriffe einordnen zu können.

Rollenbasiert (RBAC) und attributbasiert (ABAC)

Die rollenbasierte Zugriffskontrolle (RBAC) knüpft Rechte an Rollen statt an einzelne Personen. Eine Rolle wie "Buchhaltung" bündelt somit alle nötigen Rechte. Wer neu in die Buchhaltung kommt, bekommt die Rolle und damit sofort die passenden Zugriffe. Das NIST beschreibt RBAC als den Ansatz, der die zentrale Verwaltung von Rechten überhaupt erst praktikabel macht. Für die meisten Betriebe ist RBAC die richtige Basis.

Die attributbasierte Zugriffskontrolle (ABAC) geht hingegen feiner vor. Sie prüft Merkmale wie Abteilung, Standort, Uhrzeit oder Gerätestatus. Beispielsweise gilt der Zugriff nur aus dem Firmennetz und nur zur Arbeitszeit. ABAC ist somit mächtiger, aber auch aufwendiger. In der Praxis kombinieren viele Firmen beides: RBAC als Grundgerüst, ABAC für einzelne heikle Fälle.

Verpflichtend (MAC) und benutzerbestimmt (DAC)

Die verpflichtende Zugriffskontrolle (MAC) arbeitet mit festen Einstufungen. Daten und Nutzer bekommen Stufen wie "intern" oder "streng vertraulich". Das System erzwingt die Regeln, niemand kann sie eigenmächtig ändern. MAC findet man deshalb vor allem im Militär und in Behörden. Für die meisten KMU ist es hingegen zu starr.

Die benutzerbestimmte Zugriffskontrolle (DAC) ist das Gegenteil. Hier vergibt der Eigentümer einer Datei die Rechte selbst. Wer einen Ordner anlegt, entscheidet, wer hineinschauen darf. Das ist flexibel, aber unübersichtlich. Rechte wuchern nämlich schnell, wenn jeder frei verteilt. Deshalb setzen geordnete Betriebe lieber auf Rollen. Die folgende Tabelle stellt die vier Modelle gegenüber.

Kein Modell ist per se das beste. Es kommt vielmehr auf den Betrieb an. Ein kleines Team fährt mit sauberem RBAC schon sehr gut. Wächst die Firma, kommen zudem ABAC-Regeln für einzelne Systeme dazu. Wichtig ist, dass eine bewusste Entscheidung dahintersteht. Nicht ein historisch gewachsenes Durcheinander. Insbesondere dieses Durcheinander ist in vielen KMU der Ausgangspunkt.

Was Zugriffskontrolle fürs KMU wirklich bedeutet

Für ein KMU bringt eine saubere Zugriffskontrolle drei handfeste Vorteile. Nämlich weniger Schaden bei einem Vorfall, mehr Nachvollziehbarkeit und Schutz vor Innentätern. Jeder dieser Punkte hat einen direkten Bezug zum Geschäft. Deshalb ist das Thema keine reine IT-Frage. Es betrifft Haftung, Betriebsablauf und Vertrauen.

Weniger Schaden, mehr Nachvollziehbarkeit

Der wichtigste Effekt ist die Begrenzung von Schäden. Erbeutet ein Angreifer die Zugangsdaten eines Mitarbeiters, kommt er nämlich nur an dessen Rechte. Hat dieses Konto wenig Rechte, bleibt der Schaden klein. Hat es hingegen zu viele, kann der Angreifer die ganze Firma lahmlegen. Genau hier entfaltet die Zugriffskontrolle ihre Wirkung. Sie zieht die Grenze, an der ein Angriff stoppt.

Der zweite Effekt ist die Nachvollziehbarkeit. Wird jeder Zugriff protokolliert, lässt sich später klären, wer was getan hat. Das hilft nach einem Vorfall, aber auch im Alltag. Etwa wenn eine Datei plötzlich fehlt oder verändert wurde. Ohne Protokoll bleibt nur Rätselraten. Mit Protokoll gibt es hingegen eine belastbare Spur.

Schutz vor Innentätern und Pflichten aus Recht und Norm

Nicht jede Gefahr kommt von außen. Ein verärgerter Mitarbeiter mit zu vielen Rechten ist ein reales Risiko. Ebenso ein Konto, das nach einer Kündigung offen bleibt. Eine gute Zugriffskontrolle begrenzt somit beides. Sie stellt sicher, dass Rechte nur so lange gelten, wie sie gebraucht werden. Das schützt folglich vor dem klassischen Innentäter.

Dazu kommen rechtliche Pflichten. Die DSGVO verlangt in Artikel 32 angemessene technische Maßnahmen, um personenbezogene Daten zu schützen. Eine geregelte Zugriffskontrolle gehört ausdrücklich dazu. Auch NIS2 nennt sie als Pflichtmaßnahme im Risikomanagement. Wer diese Vorgaben erfüllt, braucht eine dokumentierte Zugriffskontrolle. Wie das mit anderen technischen Maßnahmen zusammenspielt, zeigt unser Beitrag zur IT-Härtung. Ergänzend ordnet die Zugriffskontrolle sich in ein sauberes Risikomanagement ein.

Ein Rechenbeispiel zeigt den Wert. Ein Ransomware-Angriff verschlüsselt oft alles, worauf das befallene Konto zugreifen kann. Hat ein normaler Nutzer Zugriff auf sämtliche Netzlaufwerke, trifft es die ganze Firma. Ist der Zugriff hingegen auf die eigene Abteilung begrenzt, bleibt ein großer Teil verschont. Diese Begrenzung kostet zudem nichts außer Sorgfalt. Sie kann aber den Unterschied zwischen einem Ärgernis und einem Totalausfall bedeuten. Wie Sie sich darauf vorbereiten, lesen Sie im Ratgeber zur Ransomware-Readiness.

Woran man fehlende Kontrolle im Betrieb erkennt

Fehlende Zugriffskontrolle zeigt sich an typischen Mustern. Man muss dafür kein Fachmann sein. Oft genügt nämlich ein ehrlicher Blick auf den Alltag. Zeigen sich mehrere der folgenden Zeichen, besteht Handlungsbedarf. Sie deuten nämlich auf gewucherte oder unkontrollierte Rechte hin.

Typische Warnzeichen

• Sammelkonten: Mehrere Personen teilen sich ein Login. Dann lässt sich kein Zugriff mehr einer Person zuordnen.
• Karteileichen: Konten von längst ausgeschiedenen Mitarbeitern sind noch aktiv. Niemand hat sie deaktiviert.
• Rechte-Erbe: Wer die Abteilung wechselt, behält die alten Rechte und bekommt neue dazu. Über die Jahre sammelt sich so viel zu viel an.
• Alle sind Administrator: Aus Bequemlichkeit haben viele Nutzer volle Adminrechte. Das ist einer der häufigsten und gefährlichsten Fehler.
• Kein Überblick: Niemand kann auf Anhieb sagen, wer auf die sensibelsten Daten zugreifen darf.

Besonders das übermäßige Vergeben von Rechten ist ein Klassiker. In vielen KMU haben Konten nämlich Rechte angesammelt, die niemand mehr braucht. Diesen Effekt nennt man Rechte-Wildwuchs. Er entsteht, weil das Geben von Rechten leicht ist, das Wegnehmen aber Mühe macht. Deshalb wächst der Berg an Rechten still weiter. Bis ein Vorfall oder ein Audit ihn sichtbar macht.

Wie ein Test die Lücken aufdeckt

Manche Schwächen bemerkt man erst im Ernstfall. Genau das simuliert ein Penetrationstest. Ein Pentest prüft nämlich, wie weit ein Angreifer mit einem gekaperten Konto käme. Zudem zeigt sich oft, dass ein einfaches Konto viel zu weit reicht. Eine Schwachstellenanalyse ergänzt diesen Blick. Sie deckt technische Lücken auf, bevor ein Angreifer sie findet. Beides gibt ein klares Bild vom eigenen Rechte-Stand.

Ein einfacher Selbsttest hilft schon weiter. Nehmen Sie einen typischen Mitarbeiter und fragen Sie: Auf welche Systeme kommt dieses Konto? Braucht es all das wirklich? In den meisten Betrieben fällt die Antwort ernüchternd aus. Kaum jemand hat die Rechte nämlich je systematisch aufgeräumt. Genau dieser Selbsttest ist oft der Startpunkt für eine bessere Zugriffskontrolle.

In sechs Schritten zur sauberen Zugriffskontrolle

Eine gute Zugriffskontrolle entsteht in geordneten Schritten. Man braucht dafür kein großes Projekt. Ein KMU kann somit in überschaubaren Etappen viel erreichen. Die folgenden sechs Schritte haben sich in der Praxis bewährt. Sie führen von der Bestandsaufnahme bis zur laufenden Pflege.

Rollenkonzept und Least Privilege

Zunächst brauchen Sie ein Rollenkonzept. Halten Sie fest, welche Rollen es im Betrieb gibt und welche Rechte jede Rolle braucht. Das klingt aufwendig, schafft aber Ordnung. Somit vergeben Sie Rechte ab dann über Rollen, nicht mehr einzeln. Der zweite Grundsatz ist das Least-Privilege-Prinzip. Es besagt: Jedes Konto bekommt nur die minimal nötigen Rechte. Warum das der wichtigste Hebel ist, vertieft unser Beitrag zu Privilegien und Least Privilege.

Least Privilege ist das Herzstück jeder Zugriffskontrolle. Im Zweifel gibt man weniger Rechte, nicht mehr. Fehlt später etwas, lässt es sich schnell nachreichen. Der umgekehrte Weg ist hingegen viel schwerer, weil niemand gern Rechte wegnimmt. Deshalb ist die sparsame Vergabe von Anfang an der bessere Weg. Sie hält das System dauerhaft schlank.

Trennung, Protokollierung und Rezertifizierung

• Aufgaben trennen: Kritische Vorgänge braucht das Vier-Augen-Prinzip. Wer eine Zahlung anlegt, sollte sie nicht allein freigeben dürfen.
• Zugriffe protokollieren: Wichtige Systeme sollten festhalten, wer wann was getan hat. Das Protokoll ist die Basis jeder Nachvollziehbarkeit.
• Rechte rezertifizieren: Prüfen Sie regelmäßig, meist einmal im Jahr, ob jedes Konto seine Rechte noch braucht. Nicht Benötigtes wird entzogen.
• Ein- und Austritt regeln: Legen Sie einen festen Ablauf fest, der Konten beim Eintritt anlegt und beim Austritt sofort sperrt.

Die Rezertifizierung wird oft unterschätzt. Sie ist nämlich der Mechanismus, der Rechte-Wildwuchs verhindert. Einmal im Jahr geht die Leitung mit den Verantwortlichen die Rechte durch. Was niemand mehr braucht, fliegt raus. Dieser kurze Termin hält somit das System sauber. Ohne ihn wächst der Rechteberg unweigerlich wieder. Deshalb gehört die Rezertifizierung fest in den Jahreskalender.

Zwei-Faktor-Authentifizierung ergänzt diese Schritte technisch. Sie macht nämlich ein gestohlenes Passwort weitgehend wertlos. Deshalb sollte jeder Zugriff auf sensible Systeme einen zweiten Faktor verlangen. In Kombination mit Least Privilege entsteht somit ein robuster Schutz. Ein Angreifer scheitert dann oft schon am Login. Und selbst wenn nicht, reichen die Rechte des Kontos nicht weit. Eine gelebte Zugriffskontrolle wirkt so auf zwei Ebenen zugleich.

Einordnung ins ISMS und wie SecTec unterstützt

Die Zugriffskontrolle ist kein isoliertes Werkzeug. Sie ist vielmehr ein fester Baustein eines Informationssicherheits-Managementsystems (ISMS). In der ISO 27001 ist sie zudem als eigenes Themenfeld verankert. Der Standard verlangt eine dokumentierte Regel dafür, wer auf welche Informationen zugreifen darf. Deshalb zahlt jede Verbesserung bei den Rechten direkt auf ein ISMS ein.

Bezug zu ISO 27001 und zu anderen Maßnahmen

In der ISO 27001 gehört die Zugriffskontrolle zu den technischen und organisatorischen Kontrollen. Der Standard fordert unter anderem eine Regel zur Zugriffssteuerung, die Verwaltung von Rechten und die Grenze für privilegierte Konten. Wer ein ISMS nach ISO 27001 aufbaut, arbeitet diese Punkte ohnehin ab. Die Zugriffskontrolle ist dabei einer der ersten und wirksamsten Schritte. Sie verbindet sich mit anderen Maßnahmen wie der Netzwerksegmentierung, die den Zugriff zusätzlich auf Netzebene begrenzt.

Auch der europäische Rahmen der ENISA und die Bausteine des BSI IT-Grundschutz behandeln die Zugriffskontrolle als Grundpfeiler. Sie ist damit international anerkannter Standard, nicht nur eine Empfehlung. Für kleinere Betriebe bündelt die österreichische Initiative onlinesicherheit.gv.at praktische Hilfen. Damit steht auch KMU ein verständlicher Einstieg offen.

Wie SecTec Sie dabei begleitet

SecTec unterstützt österreichische KMU beim Aufbau einer sauberen Zugriffskontrolle. Zunächst verschaffen wir uns im Rahmen eines IT-Security-Audits ein klares Bild vom Ist-Zustand. Zudem prüfen wir, wo Rechte gewuchert sind und wo Lücken klaffen. Danach entwickeln wir gemeinsam ein passendes Rollenkonzept. Ebenso definieren wir, wer welche Zugriffe wirklich benötigt. Wir setzen dabei auf herstellerunabhängige Beratung, ohne ein bestimmtes Produkt zu verkaufen.

Fehlt intern das Know-how oder die Zeit, übernimmt ein externer CISO die Steuerung. Er sorgt dafür, dass Rollenkonzept, Least Privilege und Rezertifizierung dauerhaft gelebt werden. Der ganze Aufbau fügt sich in Ihre Cybersicherheit als KMU ein. So wird aus einzelnen Maßnahmen ein stimmiges Ganzes. Und die Zugriffskontrolle entfaltet ihren vollen Nutzen.

Der Einstieg ist einfacher, als viele denken. Oft reicht nämlich ein erster Workshop, um die größten Lücken zu benennen. Danach folgen die Maßnahmen in machbaren Etappen. So wird aus einem unübersichtlichen Rechte-Chaos ein geordnetes System. Wichtig ist nur, dass der erste Schritt gemacht wird. Denn jede aufgeräumte Berechtigung senkt das Risiko sofort.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Was ist der Unterschied zwischen Authentifizierung und Zugriffskontrolle?

Die Authentifizierung prüft, wer jemand ist, etwa über Passwort und zweiten Faktor. Die Zugriffskontrolle entscheidet danach, was diese Person darf. Somit ist die Authentifizierung ein Teil der Zugriffskontrolle. Erst beide zusammen ergeben folglich einen echten Schutz.

Welches Zugriffsmodell ist für ein KMU am besten?

Für die meisten KMU ist die rollenbasierte Zugriffskontrolle (RBAC) die richtige Basis. Sie knüpft Rechte an Rollen statt an einzelne Personen und bleibt so übersichtlich. Bei einzelnen heiklen Systemen ergänzt man sie um attributbasierte Regeln (ABAC). MAC und DAC sind für den Mittelstand meist ungeeignet.

Was bedeutet das Least-Privilege-Prinzip?

Least Privilege bedeutet, dass jedes Konto nur die minimal nötigen Rechte erhält. Fehlt später etwas, lässt es sich schnell nachreichen. Der Vorteil: Wird ein Konto gekapert, bleibt der Schaden klein. Somit ist es der wichtigste Grundsatz jeder Zugriffskontrolle.

Wie oft sollte man Berechtigungen überprüfen?

In der Regel genügt eine Rezertifizierung einmal im Jahr. Dabei prüft die Leitung mit den Verantwortlichen, ob jedes Konto seine Rechte noch braucht. Nicht Benötigtes wird entzogen. So verhindern Sie den schleichenden Rechte-Wildwuchs.

Verlangt die DSGVO eine Zugriffskontrolle?

Ja, mittelbar. Artikel 32 DSGVO fordert angemessene technische Maßnahmen zum Schutz personenbezogener Daten. Eine geregelte Zugriffskontrolle gehört ausdrücklich dazu. Wer sie nicht dokumentiert, riskiert bei einer Datenpanne zusätzlichen Ärger mit der Behörde.

Was ist Rechte-Wildwuchs und wie verhindert man ihn?

Rechte-Wildwuchs meint das stille Anwachsen von Berechtigungen über die Jahre. Er entsteht, weil Rechte oft hinzugefügt, aber selten entzogen werden. Verhindern lässt er sich durch ein Rollenkonzept, das Least-Privilege-Prinzip und die jährliche Rezertifizierung.

Gehört die Zugriffskontrolle zur ISO 27001?

Ja, die Zugriffskontrolle ist in der ISO 27001 als eigenes Themenfeld verankert. Der Standard verlangt eine Zugriffssteuerungs-Richtlinie, die Verwaltung von Zugangsrechten und die Beschränkung privilegierter Konten. Damit ist sie ein fester Baustein jedes ISMS.

Fazit: Klare Rechte schützen das Geschäft

Die Zugriffskontrolle regelt, wer im Unternehmen was darf. Sie stützt sich auf Identifikation, Authentifizierung und Autorisierung. Für die meisten KMU ist ein rollenbasiertes Modell mit konsequentem Least Privilege der richtige Weg. Ergänzt um Protokollierung und eine jährliche Rezertifizierung entsteht ein System, das Rechte-Wildwuchs verhindert. So bleibt der Schaden klein, wenn ein Konto doch einmal in falsche Hände gerät.

Der beste Zeitpunkt für den ersten Schritt ist jetzt. Denn jede aufgeräumte Berechtigung senkt das Risiko sofort und ohne große Kosten. Wer die Zugriffskontrolle sauber aufsetzt, erfüllt zugleich Pflichten aus DSGVO, NIS2 und ISO 27001.

SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren