Compliance abhaken: Jetzt mit SECJUR durchstarten und ab Januar 2024 zahlen.
.svg)
.svg)
Least Privilege (Prinzip der minimalen Rechte) besagt, dass jede Person, jedes Konto und jeder Prozess nur genau die Berechtigungen erhalten soll, die zur Erfüllung der jeweiligen Aufgabe erforderlich sind, und nur so lange, wie sie benötigt werden.
Das Prinzip begrenzt den Schaden, den ein kompromittiertes Konto anrichten kann. Wer nur auf drei Systeme zugreifen darf, kann auch bei übernommenem Zugang nur dort Schaden anrichten.
In der Praxis bedeutet das: Rechte werden aufgabenbezogen und nicht vorsorglich vergeben, administrative Tätigkeiten laufen über getrennte Konten statt über das Alltagskonto, erhöhte Rechte werden zeitlich befristet (Just-in-Time-Zugriff), und bestehende Berechtigungen werden regelmäßig rezertifiziert.
Need-to-know betrifft den Zugang zu Informationen, Least Privilege den Umfang von Rechten an Systemen und Funktionen. Beide Prinzipien ergänzen sich und werden in ISO/IEC 27001:2022 über die Controls A.5.15 und A.8.2 adressiert. Zero Trust baut auf Least Privilege auf, ergänzt es aber um die fortlaufende Überprüfung jeder Zugriffsanfrage.
.svg){kind=icon}