Was ist das Principle of Least Privilege?
Beim Principle of Least Privilege (PoLP) geht es darum, dass Benutzer und Anwendungen genau die Berechtigungen erhalten, die sie für ihren Aufgabenbereich brauchen und nicht mehr.
Beispielsweise benötigt die IT-Leitung nicht unbedingt Zugriff auf Finanzdaten, während die Vertriebsleitung keine administrativen Firewall-Rechte benötigt. Jeder in einem Unternehmen sollte nur genau so viele Rechte bekommen, wie die Person benötigt.
Was für Vorteile bietet das Principle of Least Privilege?
Das Principle of Least Privilege bietet viele Vorteile und das in ganz unterschiedlichen Bereichen.
1. IT-Sicherheit
Viele Angriffe beginnen mit einem Social Engineering-Versuch. Mit dem PoLP lässt sich etwaiger Schaden begrenzen. Stellen wir uns dazu zwei Szenarien vor:
Szenario 1: Ein HR-Manager hat häufiger E-Mail Kontakt mit Bewerbern und Personen, die dem Unternehmen unbekannt sind. In unserem Beispiel fällt ein der Manager auf eine Phishing-Mail herein. In unserem Szenario gibt es weder ein komplettes Zero-Trust-System noch ein Principle of Least Privilege. Das bedeutet, im schlimmsten Fall kann sich der Angreifer innerhalb kürzester Zeit Zugriff auf alle System des Unternehmens verschaffen. Er erhält damit nicht nur die Daten potentieller Bewerber und Mitarbeiter, sondern auch die Daten sämtlicher Kunden, finanzielle Informationen, Zugriff auf die Konten des Unternehmens, die Backup-Systeme, die Produktion und kann alle weiteren Sicherheitsmechanismen ausschalten. Dies kann für das Unternehmen ein wirtschaftlicher Totalschaden bedeuten.
Szeanrio 2: Auch in diesem Beispiel öffnet der HR-Manager eine Phishing-Mail. Allerdings hat hier die IT-Abteilung vorgesorgt und Rechte nach dem Principle of Least Privilege vergeben. Der Mitarbeiter hat somit lediglich Zugriff auf die Bereiche, die er für das tägliche Arbeiten benötigt. Der Hacker hat es über die Phishing-Mail geschafft den Computer des Mitarbeiters unter seine Kontrolle zu bringen. Er hat nun Zugriff auf die Daten von potentiellen Bewerbern oder Mitarbeitenden. Aber um an andere Daten zu gelangen, benötigt er weitere Zugriffsrechte. Diese erhält er nicht ohne weiteres. Er steckt also erst einmal auf dem System fest, in das er einbrechen konnte. Wird der Sicherheitsvorfall nun erkannt, kann die IT-Abteilung den befallenen PC nun von allen anderen Systemen weiter isolieren. Man könnte sogar einfach das komplette Gerät austauschen und die Daten aus einem Backup wiederherstellen. Der Schaden, der in diesem Fall entstanden ist, ist erst einmal hauptsächlich ein reiner Datenschutzvorfall, da die Daten von Mitarbeitenden und Bewerbern durch einen Fremden eingesehen werden konnten. Zwar kann auch dies ein Unternehmen viel Geld kosten, aber es sind andere Kosten als eine stillgelegte Produktion oder der Zugriff auf sämtliche Konten und Kundendaten.
2. Reduktion interner Datenschutzfälle
Die menschliche Neugier ist eine Antriebsfeder und in vielen Bereichen durchaus wichtig. Allerdings kann sie in einem Unternehmen auch zu Problemen führen. Beispielsweise hat die HR-Abteilung oft Zugriff auf viele personenbezogene Daten von Mitarbeitenden. Neben Adressen, Familienstand sind teilweise auch Gesundheitsdaten hinterlegt. All diese Daten sind durch die DSGVO geschützt und andere Mitarbeitende sollten diese nicht einsehen dürfen. Interner Datenschutz wird in vielen Firmen häufig nicht sehr hoch priorisiert und in der Tat fallen solche Lücken meist erst dann auf, wenn ein Problem entstanden ist. Beispielsweise dann wenn ein Mitarbeiter bei einem anderen ungefragt vor der Haustür steht, da er die Adresse einsehen konnte. Ebenso kann es passieren, dass die chronische Erkrankung eines Mitarbeiters bekannt wird und er sich dadurch bloßgestellt fühlt. Solche Vorfälle lassen sich reduzieren, wenn das Principle of Least Privilege umgesetzt wird und nicht jeder Mitarbeitende Zugriff auf alle anderen Daten hat.
3. Reduktion menschlicher Fehler
Die menschliche Neugier führt nicht nur dazu, dass Daten eingesehen werden, die vom Datenschutz geschützt sind, sondern auch von andere Betriebsbereichen. Vielleicht wollte ein Mitarbeiter nur mal schauen, was im nächsten Newsletter thematisiert wird. Dabei vernichtet er versehentlich das mühsam erstellte Layout der Marketing-Abteilung oder es wird nachgeschaut, wie die Produktion läuft und nebenbei werden falsche Aufträge erzeugt. Schlussendlich ist es immer gut, wenn nur Menschen mit ihrer eigenen fachlichen Expertise Einsicht in die eigenen Bearbeitungen haben.
Ebenso verhält es sich mit Administratoren-Rechten. Fehlende Administratoren-Rechte verhindern nicht nur, dass Hacker problemlos Programme installieren können, sondern auch eine sogenannte „Schatten-IT“. Bei dieser werden Programme ohne Rücksprache „mal eben schnell“ installiert und nicht richtig einkategorisiert. Vielen Mitarbeitenden ist nicht bewusst, dass dadurch etwaige Schadprogramme und Sicherheitslücken versehentlich mitinstalliert werden können. Bei erfolgreicher Anwendung des Principle of Least Privileges müssen Mitarbeitende Programme mit der zuständigen Abteilung absprechen. Was für die Mitarbeitenden vielleicht erst einmal als störend empfunden wird, dient als zusätzlicher Sicherheitsmechanismus und reduziert die Fehleranzahl und die Anzahl an unsicheren Programmen erheblich.
4. Zertifizierungen
Für viele Sicherheitszertifikate ist ein Principle of Least Privilege eine Grundvoraussetzung. Möchte man langfristig beispielsweise eine ISO 27001 Zertifizierung erreichen, sollte man sich darauf einstellen ein PoLP etablieren zu müssen. Es schadet also nicht, dieses bereits frühzeitig einzurichten und dabei alle wesentlichen Punkte zu dokumentieren. So spart man sich den doppelten Aufwand. Auch für eine Cyberversicherung ist ein solches Prinzip oft eine Grundvoraussetzung.
Was bedeutet Principle of Least Privilege auf Anwendungen und Systeme bezogen?
Nicht nur Mitarbeitende sollten eingeschränkt Zugriff auf verschiedene Bereiche im Unternehmen haben. Auch Anwendungen und der Zugriff von Systemen untereinander sollte reguliert werden. Auf diese Weise verhindert man, dass Programme kompromittiert werden und eventuell Daten verwenden, auf die sie eigentlich keinen Zugriff haben sollten.
Beispielsweise könnte man Apps den Zugriff auf das Internet limitieren oder sie nicht auf das Netzwerk zugreifen lassen. Zudem kann man einschränken, ob ein Programm andere Daten löschen darf oder nicht. Vor allem in den letzten Monaten hat es vermehrt Fälle gegeben bei denen KI-Agenten zu viel Rechte hatten und Daten (teilweise samt Backup) gelöscht hatten. Dies hätte mit einem PoLP verhindert werden können.
Wie lässt sich das Principle of Least Privilege im Unternehmen umsetzen?
Das Konzept wirkt auf den ersten Blick einfach und auch sehr stimmig. Die Umsetzung hingegen ist je nach Unternehmen häufig sehr komplex. Zunächst muss man sich Gedanken darüber machen, wie man das PoLP umsetzt und die Privilegien verteilt. Werden diese nach Rollen vergeben oder Sicherheitsstufen erstellt? Teilt man die Rechte nach den Abteilungen auf und benötigen die einzelnen Abteilungen noch einmal Unterstufen? In einer kleinen Firma besteht die IT-Abteilung vielleicht nur aus drei Leuten, dann könnten alle die gleichen Rechte haben. In einem größeren Unternehmen gibt es dagegen vielleicht zwei IT-Leiter, 5 Mitarbeitende, eine Auszubildende und ein Praktikant. Sollte der Praktikant die gleichen Zugriffsrechte haben wie der IT-Leiter? Solche Fragen müssen vorab geklärt werden. Anschließend müssen die Rechte verteilt werden. Dabei sollte der laufende Betrieb am besten so wenig wie möglich beeinflusst werden. Nach der ersten Einrichtung sollten die Rechte regelmäßig überprüft werden. Ein Unternehmen ist selten statisch. Neue Mitarbeitende kommen und alte gehen, mal wurden jemandem kurzfristig Rechte erteilt und mal gab es ein Update für ein Programm und es muss neu kategorisiert werden. Regelmäßige Prüfungen und eine gute Dokumentation sind damit nahezu verpflichtend.
Wie kann die ISCL GmbH beim Principle of Least Privilege unterstützen?
KSchlussendlich kann man sagen, dass es für jedes Unternehmen erst einmal sinnvoll ist, die Rechte und IT-Hierarchien nach diesem System auszurichten. Vor allem aber die erste Einrichtung und Dokumentation ist mit sehr viel Aufwand verbunden. Die eigene IT-Abteilung hat aber in der Regel bereits ihren festen Aufgabensatz, den es tagtäglich zu bewältigen gilt. Hinzu kommt, dass sie ein Teil des System ist, den es zu reglementieren gilt. Hier hilft häufig ein externer Berater. Wir von der ISCL GmbH unterstützen mit einem qualifizierten Außenblick ein strukturiertes Zero-Trust-System nach dem Principle of Least Privilege zu implementieren. Zusätzlich bieten wir eine regelmäßige Revision und Prüfung der vorhandenen Regeln an. Ziel ist es, dass Sie sich ganz auf ihre täglichen Prozesse konzentrieren können und wir die andere Arbeit übernehmen. Dadurch erhöhen Sie ihre IT-Sicherheit mit möglichst geringem eigenen Aufwand und Einschränkungen im normalen Arbeitsalltag.