Zugriffsverwaltung

Zugriffsverwaltung, auch Zugriffskontrolle genannt, bezeichnet die Gesamtheit von Prozessen, Richtlinien und technischen Mitteln, mit denen festgelegt wird, wer auf welche Ressourcen zugreifen darf und unter welchen Bedingungen. Sie umfasst Authentifizierung, die Identifikation einer Entität, sowie Autorisierung, die Feststellung der Berechtigungen für eine Ressource. Ziel ist der Schutz von Daten, Systemen und Betrieb durch angemessene Zugriffskontrolle.

Gängige Modelle der Zugriffsverwaltung sind die rollenbasierte Zugriffskontrolle (RBAC), die attributbasierte Zugriffskontrolle (ABAC) und Zugriffskontrolllisten (ACLs) bzw. Capabilities. In modernen IT-Umgebungen erfolgen Berechtigungen oft über Identitäts- und Zugriffsmanagement-Systeme (IAM) sowie Verzeichnisse wie LDAP oder Active Directory. Cloud-Dienste setzen oft separate oder integrierte IAM-Funktionen.

Wichtige Prozesse sind Provisioning und Deprovisioning von Benutzern, regelmäßige Berechtigungsprüfungen, Privileged Access Management (PAM) für besonders sensible Konten sowie Geheimnis- und Session-Management. Protokollierung und Auditing unterstützen Compliance und forensische Untersuchungen.

Zu den Best Practices gehören das Prinzip der geringsten Privilegien (Least Privilege), Trennung von Aufgaben (SoD), Zero-Trust-Ansätze, Just-in-Time- oder zeitlich begrenzter Zugriff sowie regelmäßige Überprüfungen und automatisierte Ent- und Deaktivierung abgelaufener Berechtigungen.

Herausforderungen sind Fehlkonfigurationen, veraltete oder zu weitreichende Berechtigungen sowie Insider-Bedrohungen. Normen und Standards wie ISO/IEC 27001, NIST SP 800-53 oder Datenschutzvorgaben beeinflussen Zugriffsverwaltungsprozesse, ebenso Audits, Zertifizierungen und Datenschutzanforderungen.