Rollen und Administratorkonten: getrennte Konten, geringste Rechte, zwei Notfallzugänge

Der IT-Grundschutz formuliert den Grundsatz in ORP.4.A2 unmissverständlich: „Benutzendenkennungen und Berechtigungen DÜRFEN NUR aufgrund des tatsächlichen Bedarfs und der Notwendigkeit zur Aufgabenerfüllung vergeben werden“ – das Prinzip der geringsten Berechtigungen, englisch Least Privilege. Wer Berechtigungen über den Standard hinaus beantragt, bekommt sie nur nach zusätzlicher Begründung und Prüfung.

Das BSI beschreibt in seinem Positionspapier zu Zero Trust dasselbe Prinzip als Kern einer ganzen Architektur: ausgehend von der Annahme, dass ein Angreifer bereits im Netz sein könnte, und auf Grundlage minimaler Rechte für alle Nutzer, Geräte und Systeme. Für ein mittelständisches Haus muss das keine neue Architektur bedeuten. Es beginnt mit einer Liste: Wer hat heute welche Rechte – und braucht er sie?

Zwei Notfallzugänge

Was passiert, wenn das einzige Administratorkonto gesperrt ist, der Administrator im Urlaub ist oder eine Richtlinie für bedingten Zugriff versehentlich alle aussperrt? Microsoft empfiehlt, mindestens zwei Konten für den Notfallzugriff zu verwalten, die phishing-beständige Anmeldeverfahren nutzen, etwa FIDO2-Sicherheitsschlüssel – und zwar andere als die der normalen Administratorkonten. Für jede Verwendung eines Notfallkontos sollen Warnungen eingerichtet werden.

Der IT-Grundschutz verlangt in ORP.4.A20 bei erhöhtem Schutzbedarf Vorkehrungen, um bei einem ausgefallenen Identitäts- und Berechtigungsmanagement weiterhin arbeitsfähig zu sein. Die zwei Notfallkonten sind die einfachste Form davon. Ihre Schlüssel liegen getrennt, etwa im Tresor der Geschäftsführung und beim IT-Dienstleister, und ihre Nutzung wird protokolliert.