Zutrittsberechtigungen

Zutrittsberechtigungen bezeichnen die Berechtigung, bestimmte Bereiche zu betreten oder auf Systeme zuzugreifen. Sie betreffen physische Zugriffe auf Gebäude, Räume und Einrichtungen sowie logische Zugriffe auf IT-Systeme, Anwendungen und Daten. Zugangsrechte werden in Organisationen zentral verwaltet, um Sicherheit, Compliance und Betriebsabläufe zu gewährleisten.

Zu den gängigen Zugriffsmodellen gehören rollenbasierte Zugriffskontrolle (RBAC), attributbasierte Zugriffskontrolle (ABAC) sowie, seltener, mandatorische (MAC) oder diskretionäre Zugriffskontrolle (DAC). Bei RBAC werden Berechtigungen über Rollen zugeteilt; ABAC berücksichtigt Merkmale wie Abteilung, Standort oder Sicherheitsstufe. Beide Ansätze dienen dem Prinzip der geringsten Privilegien.

Die Umsetzung erfolgt durch Zutrittskontrollsysteme wie Schließanlagen, Kartenleser, biometrische Verfahren, PINs oder mobile Berechtigungen. Ergänzend werden mehrstufige Authentifizierung und Zeitfenster für den Zugriff festgelegt. Physische Zutrittskontrollen werden oft mit logischen Kontrollen verknüpft, etwa beim Zugriff auf sensible IT-Ressourcen.

Der Prozess der Berechtigungsverwaltung umfasst Provisioning und Deprovisioning, regelmäßige Überprüfungen, und Entzug von Rechten bei Rollenwechsel oder Austritt. Das Prinzip der geringsten Privilegien, die Trennung von Aufgaben und regelmäßige Zugriffsaudits erhöhen die Sicherheit.

Zu den begleitenden Maßnahmen gehören Auditlogs, Monitoring und Vorfallreaktion. Datenschutzaspekte beachten je nach Rechtsraum die Erhebung und Verarbeitung von personenbezogenen Daten, insbesondere bei biometrischen Merkmalen und Standortdaten.

Typische Risiken sind Fehlkonfigurationen, Weitergabe von Zugangsdaten, Tailgating und Phishing-Angriffe. Bewährte Praktiken umfassen zeitlich befristete Zugänge, regelmäßige Reviewzyklen, Multi-Faktor-Authentisierung, Schulungen der Mitarbeitenden und klare Verantwortlichkeiten.