Berechtigungskonzept: Ein Berechtigungskonzept legt fest, wer in welchen Systemen auf welche Daten und Funktionen zugreifen darf, nach welchem Prinzip Rechte vergeben werden und wie sie dokumentiert, überprüft und bei Bedarf entzogen werden.
Kern eines Berechtigungskonzepts ist eine Rollen- und Rechte-Matrix, die festlegt, welche Funktion welche Zugriffe benötigt – nach dem Prinzip der geringsten Rechte (Least Privilege) und dem Need-to-know-Grundsatz. Kritische Rechte, etwa Admin-Zugänge oder Zahlungsfreigaben, werden häufig zusätzlich an ein Vier-Augen-Prinzip gekoppelt, damit keine einzelne Person unkontrolliert weitreichende Änderungen vornehmen kann.
| Prinzip | Bedeutung |
|---|---|
| Least Privilege | Nur die Rechte, die für die Aufgabe nötig sind |
| Need-to-know | Zugriff nur auf tatsächlich benötigte Informationen |
| Rollenbasierung (RBAC) | Rechte an Funktionen statt an Personen gebunden |
| Vier-Augen-Prinzip | Kritische Rechte nur mit zweiter Freigabe |
Neben der Vergabe gehört zu einem vollständigen Berechtigungskonzept ein klarer Genehmigungsprozess (wer darf Rechte freigeben), eine regelmäßige Überprüfung bestehender Zugriffe (Access Review) sowie ein definierter Entzugsprozess bei Rollenwechsel oder Austritt aus dem Unternehmen. Gerade die zeitnahe Deprovisionierung ausgeschiedener Mitarbeitender ist in der Praxis eine häufige Schwachstelle, ebenso vergessene Testkonten oder Sammel-Logins ohne Zuordnung zu einer Person.
Ein Berechtigungskonzept ist außerdem kein statisches Dokument, sondern muss mit jeder neuen Anwendung, jedem neuen Standort oder jeder Reorganisation der Zuständigkeiten mitwachsen. Viele Unternehmen ordnen die Pflege deshalb fest einer Rolle zu, etwa dem Informationssicherheitsbeauftragten oder der IT-Leitung, statt sie zwischen mehreren Abteilungen unklar zu verteilen.
Relevanz für die Zertifizierung
Für eine ISO 27001 Zertifizierung bei KCERT gehört das Berechtigungskonzept zu den Nachweisen, die im Stufe-2-Audit besonders genau geprüft werden – Anhang A der ISO 27001:2022 fordert unter A.5.15 und A.5.18 eine dokumentierte Zugriffssteuerung. Häufigster Befund bei Auditoren ist nicht das Fehlen eines Konzepts, sondern die Lücke zwischen Dokument und Praxis: Rechte ausgeschiedener Mitarbeitender, die nicht zeitnah entzogen wurden, oder Admin-Zugänge ohne nachvollziehbare Begründung. Ein Berechtigungskonzept, das tatsächlich gelebt und regelmäßig überprüft wird, ist deshalb wirksamer als ein nur theoretisch vollständiges Dokument im Ordner, das im Alltag niemand konsequent anwendet.
Häufige Fragen zu Berechtigungskonzept
Ja, faktisch schon. Anhang A.5.15 und A.5.18 der ISO 27001:2022 fordern eine dokumentierte Zugriffssteuerung. Für praktisch jedes Unternehmen mit IT-Systemen und personenbezogenen oder geschäftskritischen Daten ist ein Ausschluss dieser Controls im Statement of Applicability kaum begründbar und würde im Stufe-2-Audit von KCERT kritisch hinterfragt.
Eine Rollen- und Rechte-Matrix nach dem Prinzip der geringsten Rechte, ein klarer Genehmigungsprozess für neue Zugriffe, ein Entzugsprozess bei Rollenwechsel oder Austritt sowie eine regelmäßige Überprüfung bestehender Berechtigungen. Kritische Rechte wie Admin-Zugänge sollten zusätzlich einem Vier-Augen-Prinzip unterliegen und klar begründet dokumentiert sein.
ISO 27001 schreibt kein festes Intervall vor. In der Praxis gilt eine jährliche Überprüfung als auditfestes Minimum, bei besonders kritischen Systemen oder hoher Personalfluktuation empfiehlt sich ein halbjährlicher Rhythmus. Entscheidend ist, dass Austritte und Rollenwechsel zusätzlich anlassbezogen sofort nachgezogen werden, nicht erst beim nächsten planmäßigen Review.