Bundesamt für Sicherheit in der Informationstechnik

G 5.19 Missbrauch von Benutzerrechten

Eine missbräuchliche Nutzung liegt vor, wenn man vorsätzlich recht- oder unrechtmäßig erworbene Möglichkeiten ausnutzt, um dem System oder dessen Benutzern zu schaden.

In nicht wenigen Fällen verfügen Anwender aus systemtechnischen Gründen über höhere oder umfangreichere Zugriffsrechte, als sie für ihre Tätigkeit benötigen. Diese Rechte können zum Ausspähen von Daten verwendet werden, auch wenn Arbeitsanweisungen den Zugriff verbieten.

Beispiele:

  • Auf vielen Unix-Systemen ist die Datei /etc/passwd für jeden Benutzer lesbar, so dass er sich Informationen über dort eingetragene persönliche Daten verschaffen kann. Außerdem kann er mit Wörterbuchattacken (siehe G 5.18 Systematisches Ausprobieren von Passwörtern ) versuchen, die verschlüsselten Passwörter zu erraten. Bei zu großzügiger Vergabe von Gruppenrechten, insbesondere bei den Systemgruppen wie z. B. root, bin, adm, news oder daemon, ist ein Missbrauch wie z. B. das Verändern oder Löschen fremder Dateien leicht möglich.
  • Ein für die Verwaltung der Festplatten in z/OS -Systemen zuständiger Storage-Administrator konnte dank des Attributes Operations, das er für die Ausführung seiner Tätigkeit von der RACF -Administration erhalten hatte, Kundendateien einsehen. Er nutzte dieses Zugriffsrecht aus, um unerlaubt Kopien zu erstellen.

Stand: 6. EL Stand 2004