Eine Mitarbeiterin der Personalabteilung hat Lesezugriff auf die Gehaltsdaten aller Beschäftigten — technisch notwendig für ihre Aufgabe in der Lohnabrechnung. Eines Tages durchsucht sie gezielt die Gehaltsdaten der Geschäftsführung und der neuen Kollegin, mit der sie im Streit liegt. Der Zugriff ist technisch erlaubt, aber zweckfremd — ein klassischer Berechtigungsmissbrauch.
Missbrauch von Berechtigungen (G 0.32) gehört zu den Insider-Bedrohungen, die besonders schwer zu erkennen sind. Die handelnde Person hat gültige Zugangsdaten, bewegt sich innerhalb der technisch erlaubten Grenzen und hinterlässt Protokolleinträge, die auf den ersten Blick unauffällig wirken.
Was steckt dahinter?
Personen erhalten Berechtigungen, um bestimmte Aufgaben zu erfüllen. Missbrauch liegt vor, wenn diese Möglichkeiten vorsätzlich außerhalb des vorgesehenen Rahmens genutzt werden — sei es, um sich persönliche Vorteile zu verschaffen, Neugier zu befriedigen oder einer Organisation oder Person zu schaden.
Begünstigende Faktoren
- Historisch gewachsene Rechte (Privilege Creep) — Bei Abteilungswechseln werden neue Rechte vergeben, alte aber nicht entzogen. Nach mehreren Wechseln verfügt eine Person über ein Vielfaches der tatsächlich benötigten Berechtigungen.
- Fehlende Feingranularität — Je gröber das Berechtigungsmodell, desto größer der Spielraum für Missbrauch. Wenn „Leserecht auf alle HR-Daten” statt „Leserecht auf Lohnabrechnungsdaten der eigenen Organisationseinheit” vergeben wird, entsteht eine unnötige Angriffsfläche.
- Schwache Protokollierung — Wenn Zugriffe nicht oder nicht auswertbar protokolliert werden, fehlt die Abschreckung und die Möglichkeit zur Aufklärung.
- Mangelnde Funktionstrennung — Wenn dieselbe Person Berechtigungen vergeben, nutzen und kontrollieren kann, fehlt jede Kontrollinstanz.
Schadensausmass
Der Schaden hängt direkt von der Reichweite der missbrauchten Berechtigungen ab. Ein Sachbearbeiter, der unbefugt Kundendaten einsieht, verursacht einen begrenzten Vertraulichkeitsbruch. Ein Administrator, der seine Root-Rechte für Datendiebstahl oder Sabotage nutzt, kann existenzbedrohenden Schaden anrichten. In beiden Fällen ist das Vertrauen der Organisation in die eigene Zugriffskontrolle erschüttert.
Praxisbeispiele
IT-Administrator kopiert Kundendatenbank. Ein Administrator mit Vollzugriff auf die Produktionsdatenbanken erstellt regelmäßig vollständige Datenbankexporte — offiziell für Backup-Zwecke. Tatsächlich speichert er Kopien der Kundendatenbank auf einem privaten Datenträger. Der Missbrauch fällt erst auf, als er das Unternehmen verlässt und bei einem Wettbewerber Kundenlisten auftauchen.
Ehemaliger Projektleiter behält Zugriffsrechte. Ein Projektleiter wechselt in eine andere Abteilung. Seine Projektrechte — einschließlich Zugang zu vertraulichen Finanzplanungen — werden nicht entzogen. Monate später greift er auf Projektdokumente zu, die für seine neue Rolle irrelevant sind, und teilt Informationen über anstehende Budgetkürzungen mit Kollegen im Projektteam.
Zugriffsrechte in gemeinsam genutzter Anwendung. Eine Fachanwendung speichert Zugriffsrechte in einem Systembereich, auf den auch andere Benutzer zugreifen können. Ein technisch versierter Mitarbeiter entdeckt dies und ändert seine eigenen Berechtigungen, um auf Daten zuzugreifen, die eigentlich der Geschäftsführung vorbehalten sind.
Relevante Kontrollen
Die folgenden ISO-27001-Kontrollen wirken dieser Gefährdung entgegen. (Die vollständige Liste der 38 zugeordneten Kontrollen findest du unten im Abschnitt „Abdeckende ISO-27001-Kontrollen”.)
Prävention:
- A.5.18 — Zugangsrechte: Formaler Prozess für Vergabe, Änderung und Entzug — einschließlich Rezertifizierung.
- A.8.3 — Beschränkung des Informationszugangs: Least-Privilege-Prinzip auf Anwendungsebene.
- A.5.3 — Aufgabentrennung: Funktionstrennung verhindert, dass eine Person alle Schritte eines kritischen Prozesses kontrolliert.
- A.6.6 — Vertraulichkeits- oder Geheimhaltungsvereinbarungen: Vertraglich verankerte Pflichten zur vertraulichen Behandlung von Informationen.
- A.5.15 — Zugangssteuerung: Dokumentiertes Zugangssteuerungskonzept als Grundlage für alle Berechtigungsentscheidungen.
Erkennung:
- A.8.15 — Protokollierung: Detaillierte Protokollierung aller Zugriffe, insbesondere auf sensible Datenbestände.
- A.8.16 — Überwachungsaktivitäten: User-Behaviour-Analytics erkennt Zugriffsmuster, die vom normalen Arbeitsverhalten abweichen.
Reaktion:
- A.5.24 — Planung der Informationssicherheitsvorfallreaktion: Verfahren für den Umgang mit Insider-Vorfällen, einschließlich arbeitsrechtlicher und forensischer Aspekte.
- A.6.4 — Maßregelungsverfahren: Definierte Konsequenzen bei nachgewiesenem Berechtigungsmissbrauch.
BSI IT-Grundschutz
G 0.32 verknüpft der BSI-Grundschutzkatalog mit den folgenden Bausteinen:
- ORP.4 (Identitäts- und Berechtigungsmanagement) — Anforderungen an feingranulare Berechtigungsmodelle und regelmäßige Überprüfung.
- DER.2.3 (Bereinigung weitreichender Sicherheitsvorfälle) — Verfahren für den Umgang mit Insider-Angriffen.
- ORP.2 (Personal) — Personalmaßnahmen bei Missbrauch, einschließlich arbeitsrechtlicher Konsequenzen.
- OPS.1.1.5 (Protokollierung) — Anforderungen an die Nachvollziehbarkeit von Zugriffen.
Quellen
- BSI: Die Lage der IT-Sicherheit in Deutschland — Jahreslagebericht mit Erkenntnissen zu Insider-Bedrohungen
- BSI IT-Grundschutz: Elementare Gefährdungen, G 0.32 — Originalbeschreibung der elementaren Gefährdung
- ISO/IEC 27002:2022 Abschnitt 5.18 — Umsetzungshinweise zu Zugangsrechten