Zugriffskontrolle & Authentifizierung#
Zugriffskontrolle stellt sicher, dass nur berechtigte Personen auf Systeme und Daten zugreifen können — sie besteht aus Authentifizierung (Wer bist du?) und Autorisierung (Was darfst du?).
AAA — Authentication, Authorization, Accounting#
| Begriff | Frage | Beispiel |
|---|---|---|
| Authentication | Wer bist du? | Passwort-Login, Fingerabdruck |
| Authorization | Was darfst du? | Lesezugriff auf Ordner X, kein Schreibzugriff |
| Accounting | Was hast du getan? | Protokollierung von Zugriffen (Logging) |
Authentifizierungsfaktoren#
| Faktor | Beispiel |
|---|---|
| Wissen | Passwort, PIN |
| Besitz | Smartphone (App/SMS-Code), Hardware-Token |
| Inhärenz (biometrisch) | Fingerabdruck, Gesichtserkennung |
Multi-Faktor-Authentifizierung (MFA) kombiniert mindestens zwei dieser Faktoren — z. B. Passwort (Wissen) + Smartphone-Code (Besitz). Das erhöht die Sicherheit erheblich: Ein gestohlenes Passwort allein reicht nicht mehr für den Zugriff.
flowchart LR
A[Passwort<br/>Wissen] --> C{Zugriff}
B[App-Code<br/>Besitz] --> C
C -->|beide korrekt| D[Zugriff gewährt]RBAC (Role-Based Access Control)#
Statt jedem Benutzer einzeln Rechte zuzuweisen, werden Rechte an Rollen gebunden, und Benutzer erhalten Rollen zugewiesen.
Benutzer → Rolle → Berechtigungen
Anna → "Buchhaltung" → Lesen/Schreiben: Rechnungen
Tom → "IT-Admin" → Vollzugriff: Server, Netzwerk
Lisa → "Praktikant" → Nur Lesen: allgemeine Dokumente| Vorteile | Nachteile |
|---|---|
| Übersichtlich bei vielen Benutzern | Rollenmodell muss sorgfältig geplant werden |
| Rollenwechsel = einfacher Rechtewechsel | Ausnahmen (Einzelrechte) durchbrechen das Prinzip |
| Prinzip der minimalen Rechtevergabe leicht umsetzbar | Pflege bei sehr granularen Anforderungen aufwendig |
Prinzip der minimalen Rechtevergabe (Least Privilege)#
Jeder Benutzer/Prozess erhält nur die Rechte, die er für seine Aufgabe tatsächlich benötigt — nicht mehr. Reduziert den Schaden bei kompromittierten Konten und begrenzt Fehler.
Berechtigungskonzept in der Praxis#
| Baustein | Beschreibung |
|---|---|
| Benutzergruppen | Bündeln Berechtigungen für ähnliche Nutzer (z. B. AD-Gruppen) |
| Regelmäßige Rezertifizierung | Prüfen, ob Berechtigungen noch benötigt werden |
| Vier-Augen-Prinzip | Kritische Aktionen erfordern Freigabe durch zwei Personen |
| Protokollierung (Logging) | Nachvollziehbarkeit, wer wann worauf zugegriffen hat |
Prüfungsbeispiele#
„Ein Unternehmen möchte verhindern, dass ein gestohlenes Passwort allein für den Zugriff auf das Firmennetz ausreicht. Welche Maßnahme ist geeignet?"
→ Multi-Faktor-Authentifizierung (MFA) — ein zweiter, unabhängiger Faktor (z. B. App-Code) wird zusätzlich zum Passwort benötigt.
„Erklären Sie das Prinzip von RBAC an einem Beispiel."
→ Statt jedem Mitarbeiter individuell Rechte zu vergeben, werden Rollen definiert (z. B. “Buchhaltung”, “IT-Admin”) mit festgelegten Berechtigungen. Mitarbeiter erhalten passende Rollen zugewiesen — ein Abteilungswechsel erfordert nur den Wechsel der Rolle, nicht die Neuvergabe einzelner Rechte.
„Was besagt das Prinzip der minimalen Rechtevergabe?"
→ Jeder Nutzer/Prozess bekommt nur die Berechtigungen, die für seine konkrete Aufgabe nötig sind — dadurch wird der potenzielle Schaden bei einem kompromittierten Konto minimiert.
Selbstkontrolle#
❓ Wofür steht das 'A' für Accounting im AAA-Modell?
❓ Welche Kombination erfüllt die Anforderungen an Multi-Faktor-Authentifizierung?
❓ Was besagt das Prinzip der minimalen Rechtevergabe (Least Privilege)?
Siehe auch#
- firewall dmz — Netzwerkseitige Zugriffskontrolle als Ergänzung
- dsgvo — Zugriffskontrolle als technische Maßnahme zum Datenschutz
- schutzbedarfsanalyse ISMSLF4 — Zugriffskontrolle im ISMS-Kontext
- verschluesselung — Authentifizierung mittels digitaler Signatur
Ressourcen#
- Wikipedia: Zugriffskontrolle
- Wikipedia: Multi-Faktor-Authentisierung
- Wikipedia: Role-Based Access Control
- SimpleClub: Authentifizierung und Autorisierung auf YouTube suchen