Zugriffskontrollen

Zugriffskontrollen regeln, wer auf welche Ressourcen zugreifen darf. Sie schützen Systeme, Anwendungen, Daten und Netzwerke vor unbefugtem Zugriff, Diebstahl oder Änderun­gen und bilden eine zentrale Schutzschicht in IT-Sicherheitsarchitekturen.

Kernbegriffe sind Identität und Authentifizierung, die feststellen, wer vorliegt, sowie Autorisierung, die entscheidet, welche Aktionen erlaubt sind. Der Zugriff wird anhand Berechtigungen, Rollen oder Attributen gewährt und oft nach dem Prinzip der geringsten Privilegien vorgesehen. Need-to-know-Prinzip und Zero-Trust-Ansätze ergänzen diese Modelle.

Modelle und Mechanismen umfassen Discretionary Access Control (DAC) und Mandatory Access Control (MAC) als grundlegende Konzepte; rollenbasierte Zugriffskontrolle (RBAC) und attributbasierte Zugriffskontrolle (ABAC) als verbreitete Ansätze. Technisch kommen Zugriffskontrolllisten (ACLs), Berechtigungsmatrizen oder Capabilities zum Einsatz, oft umgesetzt durch Richtlinien-Engines.

Einsatzgebiete reichen von Betriebssystemen über Datenbanken bis zu Cloud-Diensten und Netzwerken. Typische Beispiele sind Dateisystemberechtigungen in Linux und Windows, ACLs, RBAC in Anwendungen und ABAC- bzw. policybasierte Zugriffskontrollen in Cloud-Umgebungen.

Herausforderungen umfassen das Management großer Berechtigungsbestände, Auditing, Logging und regelmäßige Überprüfung der Berechtigungen, um Überprivilegierung zu vermeiden. Zu den Best Practices gehören das Prinzip des geringsten Privilegs, regelmäßige Rechteprüfungen, Trennung von Funktionen und die Umsetzung von Zero-Trust-Konzepten.