Azubi-Effekt

Was fordert der IT-Grundsatz?

29.2.2016 von Thomas Bär und Frank-Michael Schlede

ca. 1:35 Min
Business-it
VG Wort Pixel
  1. Benutzer-Management: Virtualisierung in allen Bereichen
  2. Was fordert der IT-Grundsatz?
  3. Muss es immer der Administrator sein?
  4. Ähnliches Problem - Zugrifssrechte

Glücklicherweise müssen sich IT-Verantwortliche in Deutschland nicht nur auf die Aussagen der Hersteller von Sicherheitsprodukten verlassen. Das Bundesamt für Sicherheit in der Informationstechnik bietet mit den "IT-Grundschutz-Katalogen" eine Grundlage, auf die sich der IT-Leiter berufen kann. Wer über die Forderungen des BSIs hinausgehen möchte, kann dies jederzeit tun - der Grundschutz ist an der Stelle so etwas wie der "kleinste gemeinsame Nenner".

Soll ein Benutzerkonto deaktiviert oder gelöscht werden, muss anhand der Dokumentation der Zugriffsberechtigungen überprüft werden, welche Berechtigungen das Konto in der IT-Umgebung hat und für welche Authentisierungsvorgänge es benötigt wird. So heißt es im Grundschutz im Abschnitt M 2.371 zur Deaktivierung von Konten weiter: Muss ein Benutzerkonto gelöscht werden, ist anhand der Dokumentation zu überprüfen, welche Zugriffsrechte das Benutzerkonto hat. Vor dem Löschen des Kontos muss geprüft werden, auf welche Objekte (zum Beispiel Dateifreigaben) die Berechtigungen gesetzt sind. Nach dem Löschen ist sicherzustellen, dass die Konten bzw. deren Sicherheitskennung aus den Zugriffsberechtigungslisten (Access Control List, ACL) entfernt worden sind.

Anmeldearbeitsstationen
Sofern nicht-personifizierte Windows-Konten unbedingt erforderlich sind, sollte der Administrator zumindest die Anmeldung auf die erforderlichen Arbeitsstationen begrenzen.
© Screenshot WEKA / PC-Magazin

Das BSI spricht sich somit für eine Dokumentation der Zugriffsberechtigungen aus und gleichzeitig für eine Überprüfung der Maßnahme durch eine geeignete Person - hier dem Administrator. Dem Systemverantwortlichen müssen diese Möglichkeiten jedoch erst einmal zur Verfügung stehen. Mit den Bordmitteln, beispielsweise von Microsoft Windows, ist dies gar nicht ganz so einfach und erfordert zusätzliche Dokumentationen.

Hinsichtlich der Initiierung des Vorgangs zur Löschung oder Deaktivierung von Konten weist das BSI auf drei verantwortliche Personenkreise hin: IT-Sicherheitsbeauftragter, Leiter IT, Personalabteilung. Insbesondere die Personalabteilung gilt es an dem Prozess, der gemäß dem BSI von Administratoren oder Fachverantwortlichen ausgeführt werden sollte, zu beteiligen. Administratoren wissen in den seltensten Fällen wann Mitarbeiter das Unternehmen verlassen, somit können sie auch nicht zum passenden Zeitpunkt mit der Stilllegung der Zugänge beginnen

Weiter zur Startseite  

Mehr zum Thema

Cloud Plan

Für kleine und mittlere Firmen

SAAS: Clouddienste als Alternative für Unternehmen

Muss es für kleine Firmen der eigene Mail-Server oder eine lokale Storage-Farm sein? SAAS-Dienste in der Cloud sind eine Alternative .

Am Laptop

Business-Sicherheits-Suiten

Antivirus Test 2017: Der beste Virenscanner für Unternehmen

Die Anforderungen an Virenscanner steigen im Unternehmenseinsatz. Im Antivirus-Test 2017 für Unternehmen schauen wir uns sechs Sicherheits-Suiten an.

Lexware hausverwalter Plus 2018 Test

Verwaltungssoftware

Lexware hausverwalter plus 2018 im Test: Vermieters Liebling

94,0%

Mit dem hausverwalter plus 2018 von Lexware behält man als Vermieter den Überblick über bis zu 250 Wohneinheiten.

Haufe Fremdpersonal Manager

Software im Personalwesen

Haufe Fremdpersonal Manager im Test

94,0%

Der Haufe Fremdpersonal Manager ist ein Nachschlagewerk mit Recherchefunktion, das Arbeitshilfen und Fachliteratur mitbringt. Wir haben die Software…

Lexware archivierung

Cloud-Software

Lexware Archivierung im Test

84,0%

Die Cloud, die das Finanzamt mag: Wir haben Lexware Archivierung für die GoBD-konforme Archivierung im Test unter die Lupe genommen.