Bundesamt für Sicherheit in der Informationstechnik

M 4.355 Berechtigungsverwaltung für Groupware-Systeme

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator

Die Sicherheit der in einem Groupware-System verarbeiteten Geschäftsdaten wird stark durch die eingestellten Berechtigungen für Benutzer und Administratoren bestimmt. Diese legen fest, welche Daten eingesehen bzw. verändert werden können. Daher sind die konfigurierten Berechtigungen und deren Verwaltung ein sehr wichtiger Bestandteil der Systemsicherheit. Die vergebenen Berechtigungen, vor allem die privilegierten Berechtigungen, müssen regelmäßig gegenüber dem Berechtigungskonzept überprüft und bei Aufgabenänderungen zeitnah angepasst werden. Das Berechtigungskonzept muss dem Schutzbedarf angemessen sein und alle betriebenen Groupware-Komponenten umfassen.

Für die Verwaltung von Berechtigungen sollten die folgenden Empfehlungen berücksichtigt werden. Die Liste ist an die lokalen Bedürfnisse und Anforderungen anzupassen und zu erweitern.

Rechtevergabe

Berechtigungen sollten grundsätzlich möglichst restriktiv vergeben werden. Dies gilt vor allem in Bezug auf die Groupware-Administratoren: Jeder Administrator sollte nur diejenigen Rechte erhalten, die zur Wahrnehmung seiner Aufgaben notwendig sind. Alle Rechtezuordnungen sind zu dokumentieren.

Es wird empfohlen, administrative Tätigkeiten auf Betriebssystemebene und Groupware-Anwendungsebene soweit wie möglich zu trennen. Es sollte jedoch beachtet werden, dass dies nicht uneingeschränkt möglich ist. Für einige Aufgaben benötigen Groupware-Administratoren auch lokale Administratorrechte (so z. B. zum Starten und Stoppen von Diensten).

Schulung

Administratoren, die für die Verwaltung von Benutzerkennungen, Rollen, Profilen oder Berechtigungen verantwortlich sind, müssen zwingend Schulungen zum Berechtigungskonzept und zur Berechtigungsverwaltung (Vorgehen, Werkzeuge, richtige Verwendung) erhalten oder die entsprechenden Kenntnisse nachweisen. Nur so wird erreicht, dass die Berechtigungsverwaltung versiert durchgeführt werden kann (siehe auch M 3.74 Schulung zur Systemarchitektur und Sicherheit von Groupware-Systemen für Administratoren ).

Rollentrennung bei der Administration

Das Verwaltungskonzept muss so ausgelegt sein, dass die Verantwortlichkeiten möglichst getrennt werden. Folgendes sollte dabei beachtet werden:

  • Es sollte ein Benutzeradministrator vorgesehen werden. Dieser sollte Benutzerkennungen anlegen, verändern und Rollen zuordnen können. Das Anlegen oder Verändern von Rollen oder Profilen darf dem System-Administrator nicht erlaubt sein.
  • Es sollte ein Profiladministrator vorgesehen werden. Dieser darf für vorhandene Rollen Profile generieren, die keine privilegierten System-Berechtigungen enthalten.

Durch die Trennung (sofern technisch richtig umgesetzt) wird erreicht, dass sich die Administratoren nicht selbst Berechtigungen zuordnen können und für sie auf diese Weise nur die ihnen zugeordneten Aufgaben ausführbar sind.

In kleineren Unternehmen oder Behörden kann es aufgrund eingeschränkter Personalverfügbarkeit vorkommen, dass keine Trennung vorgenommen werden kann und alle Aufgaben durch eine Person ausgeführt werden. Alle Daten im Groupware-System können dann durch den Administrator unbemerkt eingesehen und verändert werden. Generell ist dies als sicherheitskritisch zu bewerten, so dass zusätzliche Kontrollen notwendig sind. Gleiches gilt allgemein auch im Kontext bei der Verarbeitung personenbezogener Daten, wo beispielsweise eine entsprechende Funktionstrennung vorhanden sein muss. Kann diese nicht erreicht werden, müssen geeignete Kontrollen auf organisatorischer Ebene definiert und deren Durchführung sichergestellt werden. Die von der Groupware-Software vorgegebenen und ausgelieferten Rollen sind sorgfältig gegen die eigenen Anforderungen zu prüfen und anzupassen.

Prüffragen:

  • Ist ein angemessenes Berechtigungskonzept für die betriebenen Groupware-Komponenten vorhanden?

  • Wurden die Groupware-Administratoren in der Anwendung der Berechtigungsverwaltung geschult?

Stand: 12. EL Stand 2011