Zugriffskontrolle: Zugriffskontrolle ist im Kontext der ISO/IEC 27001:2022 die Steuerung, wer auf welche Informationen, Systeme und Anwendungen in welchem Umfang zugreifen darf – geregelt in Control 5.15 (Access control) des Anhangs A, basierend auf einer dokumentierten Richtlinie und dem Need-to-know-Prinzip.
Control 5.15 verlangt eine themenspezifische Zugriffskontrollrichtlinie, die auf Basis von Geschäfts- und Sicherheitsanforderungen festlegt, welche Zugriffsarten (Lesen, Schreiben, Ausführen, Löschen) welchen Rollen zustehen. Mehrere weitere Controls im Anhang A ergänzen dieses Thema direkt:
- 5.16 Identitätsmanagement: eindeutige Identitäten über den gesamten Lebenszyklus verwalten
- 5.17 Authentifizierungsinformationen: sichere Vergabe und Verwaltung von Zugangsdaten
- 5.18 Zugriffsrechte: Vergabe, Überprüfung und Entzug von Rechten, insbesondere beim Ein- und Austritt von Mitarbeitenden (Joiner-Mover-Leaver-Prozess)
- 8.2 Privilegierte Zugriffsrechte: zusätzliche Kontrollen für Administratorkonten
- 8.5 Sichere Authentifizierung: Multi-Faktor-Authentifizierung für kritische Systeme
In der Praxis setzen die meisten Organisationen auf rollenbasierte Zugriffskontrolle (Role-Based Access Control, RBAC): Rechte werden nicht individuell, sondern über definierte Rollen vergeben, was die Nachvollziehbarkeit erhöht und den Pflegeaufwand bei Personalwechseln reduziert. Zugriffsrechte müssen zudem in regelmäßigen Abständen überprüft werden, um verwaiste Konten und übermäßige Berechtigungen aus früheren Aufgabenbereichen zu erkennen.
Ein häufiger Schwachpunkt in der Praxis ist die verzögerte Deaktivierung von Konten beim Austritt von Mitarbeitenden oder externen Dienstleistern: Ohne einen verbindlichen, dokumentierten Offboarding-Prozess bleiben Zugänge oft Wochen über das Vertragsende hinaus aktiv. Ein einfacher Abgleich der Personalabteilung mit der IT-Abteilung, ausgelöst durch das letzte Arbeitstagsdatum, schließt diese Lücke zuverlässig und lässt sich auch in kleinen Unternehmen ohne eigene IT-Abteilung organisatorisch umsetzen.
Relevanz für die Zertifizierung
Für Unternehmen mit ISO-27001-Zertifizierung ist Zugriffskontrolle eines der Themen, das Auditoren am gründlichsten prüfen: Sie verlangen konkrete Stichproben aus dem Berechtigungssystem, etwa den Nachweis, dass ein ausgeschiedener Mitarbeitender fristgerecht deaktiviert wurde. Eine gepflegte Zugriffskontrollrichtlinie mit dokumentiertem Berechtigungskonzept und regelmäßiger Rezertifizierung der Rechte ist damit Grundvoraussetzung für ein erfolgreiches ISMS-Audit.
Häufige Fragen zu Zugriffskontrolle
Zentral ist Control 5.15 (Access control), ergänzt um 5.16 Identitätsmanagement, 5.17 Authentifizierungsinformationen, 5.18 Zugriffsrechte sowie 8.2 privilegierte Zugriffsrechte und 8.5 sichere Authentifizierung. Zusammen bilden sie ein zusammenhängendes System aus Richtlinie, Rollen, Rechtevergabe und technischer Absicherung, das im Audit als Ganzes bewertet wird.
Mitarbeitende erhalten nur Zugriff auf Informationen und Systeme, die sie für ihre konkrete Aufgabe tatsächlich benötigen, nicht mehr. Das reduziert das Schadenspotenzial bei kompromittierten Konten und ist eine der Grundanforderungen, die ISO 27001 an jede Zugriffskontrollrichtlinie stellt, unabhängig von der Unternehmensgröße.
Die Norm schreibt keine feste Frist vor, in der Praxis hat sich eine Überprüfung mindestens einmal jährlich etabliert, ergänzt um anlassbezogene Prüfungen bei Rollenwechseln oder Austritt aus dem Unternehmen. Auditoren verlangen dafür einen dokumentierten Nachweis der letzten Rechteüberprüfung mit Datum und Ergebnis.