Zugriffskontrolle

Was ist Zugriffskontrolle in einfachen Worten

Zugriffskontrolle ist eine Gesamtheit von Regeln, Methoden und Technologien, die bestimmt, wer Zutritt zu physischem Territorium oder Zugriff auf Informationsressourcen erhalten darf. In einfachen Worten ist es ein System, das die Fragen beantwortet: „Wer sind Sie?“, „Bestätigen Sie, dass Sie es sind“ und „Was dürfen Sie tun?“.

Stellen Sie sich ein gewöhnliches Büro vor: Am Eingang steht ein Sicherheitsdienst, der Ausweise prüft. Dies ist die physische Zugriffskontrolle. In der digitalen Welt ist alles gleich: Wenn Sie einen Login und ein Passwort für den Zugriff auf ein System eingeben, durchlaufen Sie die digitale Zugriffskontrolle. Ohne dieses System könnte jeder in Ihr Konto oder Ihre Räumlichkeiten gelangen, und die Sicherheit wäre gefährdet.

Die Zugriffskontrolle ist ein grundlegender Mechanismus zur Gewährleistung der Informationssicherheit neben Identifikation, Authentifizierung und Audit. Diese Prozesse sind eng verbunden: Zuerst identifiziert das System den Benutzer (bestimmt, wer er ist), dann authentifiziert es ihn (prüft die Echtheit) und erst danach autorisiert es ihn (erlaubt oder verweigert den Zugriff auf bestimmte Ressourcen).

Eine effektive Zugriffskontrolle ermöglicht es, unbefugten Zugriff auf Informationen zu verhindern, kritische Ressourcen zu schützen und die Einhaltung der Anforderungen der Regulierungsbehörden zu gewährleisten. Ohne Zugriffskontrolle ist eine moderne Unternehmens-IT-Infrastruktur oder ein physisches Sicherheitssystem nicht vorstellbar.

Modelle der Zugriffskontrolle

• Diskretionäre Zugriffskontrolle (DAC): Der Eigentümer einer Ressource vergibt die Zugriffsrechte selbst. Dies ist das flexibelste Modell, erfordert aber die aktive Beteiligung des Eigentümers an der Rechteverwaltung. Wird in kleinen Organisationen und in Systemen mit geringen Sicherheitsanforderungen verwendet.
• Mandatorische Zugriffskontrolle (MAC): Zugriff auf der Grundlage von Sicherheitsstufen, die Objekten und Subjekten zugewiesen sind. Wird in staatlichen Systemen und Systemen mit hohen Sicherheitsanforderungen verwendet, wo eine strenge Hierarchie der Zugriffsebenen erforderlich ist.
• Rollenbasierte Zugriffskontrolle (RBAC): Rechte werden Rollen zugewiesen, nicht einzelnen Benutzern. Dies ist das gebräuchlichste Modell in Unternehmenssystemen, da es die Zugriffsverwaltung in großen Organisationen vereinfacht. Zum Beispiel haben die Rollen „Buchhalter“ und „Leiter“ unterschiedliche Rechte im System.
• Attributbasierte Zugriffskontrolle (ABAC): Zugriff auf der Grundlage von Attributen des Subjekts, Objekts, der Aktion und der Umgebung. Dies ist das flexibelste und modernste Modell, das die Erstellung komplexer Zugriffsregeln ermöglicht. Zum Beispiel kann der Zugriff nur während der Arbeitszeit, von einem Unternehmensgerät und aus dem Büronetz erlaubt werden.

Die Wahl des Modells hängt von den Sicherheitsanforderungen, der Systemarchitektur und der Größe der Organisation ab. Große staatliche Systeme verwenden häufig kombinierte Ansätze, zum Beispiel RBAC mit Elementen von ABAC für eine flexiblere Zugriffsverwaltung.

Darüber hinaus gibt es spezialisierte Modelle, wie granulare Zugriffskontrolle (Zugriff auf der Ebene einzelner Datensätze oder Felder) und dynamische Zugriffskontrolle (Rechte können sich je nach aktueller Situation ändern). Die Wahl eines konkreten Modells sollte auf einer gründlichen Analyse von Bedrohungen und Sicherheitsanforderungen basieren.

Implementierungswerkzeuge

• Software-Werkzeuge: Active Directory, LDAP (Lightweight Directory Access Protocol), Identitäts- und Zugriffsmanagementsysteme (IAM). Sie ermöglichen die zentrale Verwaltung von Konten und Zugriffsrechten.
• Hardware-Werkzeuge: Zutrittskontrollsysteme (ZKS), Controller, Lesegeräte. Sie gewährleisten die physische Zugriffskontrolle an Objekten.
• Biometrische Systeme: Biomark (Fingerabdrücke), Biovizum (Gesichtserkennung). Sie bieten ein hohes Sicherheitsniveau, da biometrische Merkmale nicht gefälscht oder an eine andere Person übertragen werden können.
• Arbeitsplätze zur Dokumentverifizierung: APM-1, APM-2, die an Kontrollpunkten und in Identitätsverifizierungssystemen eingesetzt werden.

Diese Werkzeuge können getrennt oder zusammenarbeiten und ein einheitliches Zugriffskontrollsystem bilden. Zum Beispiel kann eine große Organisation gleichzeitig Active Directory für die digitale Zugriffskontrolle und ein ZKS mit Biometrie für die physische Zugriffskontrolle auf Räumlichkeiten verwenden.

Der Planungsdienst umfasst die Wahl des Modells, die Entwicklung von Richtlinien und die Integration aller Komponenten in ein einheitliches System. Dies ist eine komplexe Aufgabe, die die Berücksichtigung vieler Faktoren erfordert: von Sicherheitsanforderungen bis zu Budget und Architektur der bestehenden IT-Infrastruktur. Mehr über Ansätze lesen Sie im Abschnitt Technologien.