Rechte und minimale Verwaltung

Modul 7: Zugang, Dienstleister und Cloud · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie Zugriffsrechte nach dem Prinzip „so wenig wie möglich“ einrichten: jeder ein eigenes Konto, Administratorrechte getrennt, externe Parteien zeitlich befristet und beschränkt, sowie ein festes Vorgehen für Eintritt, Funktionswechsel und Austritt.
Kernbegriffe: Least Privilege, persönliches Konto, gemeinsames Konto, Administratorkonto, Funktionstrennung, Eintritt, Wechsel und Austritt, Zugriffsübersicht

Das Prinzip: so wenig wie möglich

Least Privilege (zu Deutsch: minimale Rechte) bedeutet, dass jeder genau den Zugang erhält, der für seine Arbeit nötig ist, und nicht mehr. Das NIST beschreibt es als ein Prinzip, nach dem Nutzer nur die Rechte haben, die für ihre Aufgaben minimal erforderlich sind.

Warum ist das wichtig? Weil jedes Konto früher oder später übernommen werden kann: durch Phishing (Modul 3), ein geleaktes Passwort (Lektion 1.4) oder einen infizierten Laptop. Was ein Angreifer dann anstellen kann, hängt vollständig von den Rechten dieses Kontos ab. Das Konto eines Praktikanten, der nur Social Media betreut, bringt wenig. Das Konto von jemandem, der „der Einfachheit halber“ überall Administrator ist, bringt alles: E-Mail, Zahlungen, die Website, die Backups.

Minimale Rechte verringern also nicht die Wahrscheinlichkeit eines Einbruchs, wohl aber den Schaden. Es ist derselbe Gedanke wie bei den Schlüsseln eines Gebäudes: die Reinigungskraft hat einen Schlüssel zur Eingangstür, nicht zum Tresor.

Jeder ein eigenes Konto

Ein gemeinsames Konto ist ein Konto, bei dem sich mehrere Personen mit demselben Passwort anmelden: „wir melden uns alle mit info@example.com bei der Buchhaltungssoftware an“. Das fühlt sich praktisch an, hat aber vier große Nachteile:

1. Sie wissen nicht, wer was getan hat. Im Protokoll steht nur „info“. Wurde eine Zahlung geändert, können Sie nicht nachvollziehen, von wem.
2. Sie können niemanden einzeln aussperren. Verlässt jemand das Unternehmen, müssen Sie das Passwort für alle ändern, und das passiert in der Praxis oft nicht.
3. Zwei-Faktor-Authentifizierung funktioniert schlecht. Der Code kommt auf ein einziges Telefon, also wird 2FA ausgeschaltet oder der Code wird herumgeschickt.
4. Das Passwort kursiert über WhatsApp, Zettel und E-Mail und ist damit nicht mehr geheim.

Ein persönliches Konto löst all das: eigener Zugang, eigene 2FA, eigenes Protokoll, einzeln abschaltbar. Fast jeder geschäftliche Dienst unterstützt mehrere Benutzer mit eigenen Rechten. Eine gemeinsame E-Mail-Adresse wie info@ darf durchaus als Adresse bestehen bleiben; lassen Sie die Personen, die sie lesen, dann über ihr eigenes Konto Zugriff darauf bekommen, falls Ihr E-Mail-System das unterstützt.

Administratorrechte getrennt

Ein Administratorkonto kann Benutzer anlegen, Rechte ändern, Einstellungen anpassen und oft auch Daten löschen. Gerade deshalb nutzen Sie es so wenig wie möglich.

• Arbeiten Sie täglich mit einem gewöhnlichen Konto und melden Sie sich nur dann als Administrator an, wenn Sie wirklich etwas verwalten müssen. Das gilt auch für Ihren Laptop (Lektion 5.2).
• Sorgen Sie bei den wichtigsten Diensten für mindestens zwei Personen mit Administratorrechten oder ein gut aufbewahrtes Notfallkonto. Ist der einzige Administrator krank oder abwesend, sitzen Sie fest.
• Aber auch nicht mehr als nötig. Fünf Administratoren in einem Unternehmen mit acht Mitarbeitenden sind vier zu viel.
• Aktivieren Sie auf jedem Administratorkonto Zwei-Faktor-Authentifizierung, bevorzugt phishingresistent (Lektion 2.4).

Funktionstrennung geht noch einen Schritt weiter: Eine Person darf eine sensible Handlung nicht allein von Anfang bis Ende durchführen. Das bekannteste Beispiel sahen Sie in Lektion 1.2: Wer eine neue IBAN eines Lieferanten einträgt, genehmigt nicht auch selbst die Zahlung. In einem kleinen Unternehmen lässt sich das einfach lösen: die eine Person bereitet die Zahlung vor, die andere genehmigt sie in der Banking-App.

Externe Parteien: zeitlich befristet und beschränkt

Webentwickler, Buchhalter, IT-Unternehmen und Freelancer benötigen oft Zugang. Der klassische Fehler ist, ihnen das eigene Passwort zu geben. Dann können sie alles, was Sie können, und Sie wissen hinterher nicht mehr, wer noch hineinkommt.

Besser:

• Geben Sie ein eigenes Konto mit nur den nötigen Rechten. Ein Buchhalter kommt mit Rechnungen aus; ein Webentwickler mit den Dateien einer einzigen Website.
• Geben Sie Zugang mit Enddatum, wenn es sich um einen Auftrag handelt. Viele Systeme können ein Konto oder einen Schlüssel automatisch ablaufen lassen.
• Beschränken Sie, wo möglich, von welchem Netzwerk aus jemand sich anmelden darf.
• Halten Sie fest, wer welchen externen Zugang hat und warum.

Eintritt, Wechsel und Austritt

Rechte wachsen von selbst. Jemand beginnt im Verkauf, hilft einige Monate in der Verwaltung aus und wechselt dann in die Produktion. Passt niemand auf, hat diese Person nach zwei Jahren die Rechte aller drei Funktionen. Deshalb regeln Sie Rechte zu drei Zeitpunkten:

Beim Austritt ist die Reihenfolge wichtig. Erst übergeben, dann deaktivieren, erst später löschen. Löschen Sie ein Konto sofort, verschwinden bei vielen Diensten auch die Dateien, Kalender und E-Mails dieser Person. Bei manchen Cloud-Diensten ist das nach einer kurzen Frist endgültig: Microsoft 365 speichert das OneDrive eines gelöschten Benutzers laut eigener Dokumentation standardmäßig 30 Tage lang. Deaktivieren bewahrt die Daten und schließt den Zugang.

Vergessen Sie beim Weggang auch: Weiterleitungsregeln, die die Person eingerichtet hat (Lektion 2.5), App-Passwörter, Zugang zur Banking-App, sozialen Medien und dem Registrar Ihrer Domain sowie Schlüssel oder Ausweiskarten des Gebäudes.

Die Zugriffsübersicht

Eine Zugriffsübersicht ist eine einfache Tabelle: pro Dienst, wer Zugang hat, mit welchen Rechten, und ob es sich um ein eigenes oder ein externes Konto handelt. Gehen Sie diese Liste mindestens zweimal im Jahr durch, und immer nach einem Austritt. Bei jeder Zeile stellen Sie eine Frage: Braucht diese Person das heute noch?

In der Praxis: so sieht es aus

In der Beispielumgebung Mein WebOké laden Sie eine Kollegin, einen Buchhalter oder einen Webentwickler als Benutzer ein. Diese Person meldet sich mit eigenen Daten an, und Sie haken pro Berechtigung ab, was sie darf, zum Beispiel nur Rechnungen für den Buchhalter. Nur der Inhaber des Kontos kann Benutzer einladen und Rechte ändern, und mit einem Klick ziehen Sie den Zugang wieder zurück. In DirectAdmin können Sie einem Webentwickler ein eigenes FTP-Konto für einen einzigen Ordner geben, oder einen Anmeldeschlüssel mit Ablaufdatum, beschränkten Befehlen und nur von bestimmten IP-Adressen aus.

In Nextcloud wählen Sie bei einer ausscheidenden Kollegin zunächst Deaktivieren: Sie kann sich nicht mehr anmelden, aber die Dateien bleiben erhalten. Die Anleitung ist eindeutig: Löschen Sie den Benutzer erst, wenn alles übernommen wurde, denn ein gelöschter Benutzer ist mitsamt allen Dateien endgültig verschwunden. In anderen Systemen funktioniert das ähnlich, aber die Namen und Fristen unterscheiden sich; prüfen Sie das, bevor jemand das Unternehmen verlässt.

Zusammenfassung

• Minimale Rechte begrenzen den Schaden, wenn ein Konto übernommen wird.
• Jeder ein eigenes Konto: dann wissen Sie, wer was getan hat, und können jemanden einzeln aussperren.
• Administratorrechte nutzen Sie nur, wenn nötig, für eine kleine Anzahl Personen, mit starker 2FA.
• Externe Parteien erhalten ein eigenes, beschränktes und wo möglich befristetes Konto, niemals Ihr Passwort.
• Regeln Sie Rechte bei Eintritt, Wechsel und Austritt; beim Weggang: übergeben, deaktivieren, später löschen.

Quiz

Aufgabe

Aufgabe A7.1: Wer bekommt welchen Zugang? Sie erhalten eine Reihe von Situationen aus einem kleinen Unternehmen (ein neuer Buchhalter, ein Webentwickler für einen Auftrag, eine ausscheidende Kollegin, ein Praktikant). Wählen Sie pro Situation die beste Art, Zugang zu gewähren oder zu entziehen. Das Programm prüft Ihre Wahl und erklärt, warum.

Aufgabe D7.1: Ihre Zugriffsübersicht. Erstellen Sie eine Zugriffsübersicht Ihrer fünf wichtigsten Dienste: wer hat Zugang, mit welchen Rechten, eigenes oder gemeinsames Konto, intern oder extern. Entfernen Sie mindestens ein überflüssiges Recht oder gemeinsames Konto und schreiben Sie Ihre Austrittsliste für das nächste Mal, wenn jemand das Unternehmen verlässt.

Weiterführende Links

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• WebOké Anleitung 11.3: Benutzer einladen und Berechtigungen vergeben
• Nextcloud-Anleitung 14.2: Benutzer anlegen, bearbeiten, deaktivieren und löschen
• Nextcloud-Anleitung 14.7: Rechte: Wer verwaltet was in Ihrer Nextcloud?
• Nextcloud-Anleitung 16.7: Kollege verlässt das Unternehmen: Dateien, Kalender und freigegebene Ordner sicher übernehmen
• DirectAdmin Anleitung 3.5: Anmeldeschlüssel: Anmeldung für Skripte und Programme
• DirectAdmin Anleitung 11.6: FTP-Konten erstellen und verwalten
• NIST, Glossary: least privilege (Englisch): https://csrc.nist.gov/glossary/term/least_privilege
• Microsoft, OneDrive retention and deletion (Englisch): https://learn.microsoft.com/en-us/sharepoint/retention-and-deletion