# 17.3 Benutzer, Gruppen, Rechte und Zugriffskontrolle in der Praxis In der Systemadministration müssen Benutzer, Gruppen, Rollen und Berechtigungen sauber verwaltet werden. Ziel ist: Benutzer sollen genau die Zugriffe bekommen, die sie für ihre Arbeit benötigen. Nicht mehr. Nicht weniger. Merksatz: Rechteverwaltung sorgt dafür, dass Benutzer nur auf erlaubte Systeme, Dienste und Daten zugreifen können. --- **Warum Rechteverwaltung wichtig ist** Fehlerhafte Rechte können zu schweren Sicherheitsproblemen führen. Mögliche Folgen: unberechtigter Datenzugriff versehentliches Löschen Manipulation von Daten Missbrauch von Adminrechten Datenabfluss Datenschutzverletzung Ransomware-Ausbreitung fehlende Nachvollziehbarkeit Merksatz: Falsche Rechte sind ein Sicherheitsrisiko. --- **Benutzerkonto** Ein Benutzerkonto ist eine digitale Identität in einem System. Es enthält typischerweise: Benutzername Kennwort oder andere Anmeldemethode Gruppenmitgliedschaften Rollen Berechtigungen Profilinformationen Anmeldeinformationen Status aktiv oder deaktiviert Merksatz: Benutzerkonto = digitale Identität eines Benutzers. --- **Persönliche Benutzerkonten** Jeder Benutzer sollte ein eigenes Konto haben. Vorteile: Aktionen sind nachvollziehbar. Rechte können gezielt vergeben werden. Offboarding ist einfacher. Passwörter müssen nicht geteilt werden. Sicherheitsvorfälle lassen sich besser untersuchen. Merksatz: Ein Benutzer, ein persönliches Konto. --- **Sammelkonten** Sammelkonten sind Konten, die von mehreren Personen gemeinsam genutzt werden. Beispiele: admin support praktikant lager service teamkonto Probleme: keine eindeutige Zuordnung Passwortweitergabe schwieriges Offboarding schlechte Protokollierung höheres Missbrauchsrisiko Merksatz: Sammelkonten vermeiden, besonders bei administrativen Zugängen. --- **Gruppen** Gruppen fassen Benutzer zusammen. Beispiel: Alle Benutzer der Buchhaltung kommen in Gruppe Buchhaltung. Dann können Rechte der Gruppe gegeben werden, statt jedem Benutzer einzeln. Vorteile: übersichtlich leichter zu verwalten einfacher bei neuen Benutzern einfacher bei Rollenwechsel weniger Einzelberechtigungen Merksatz: Rechte möglichst über Gruppen vergeben. --- **Rollen** Eine Rolle beschreibt eine Aufgabe oder Funktion. Beispiele: Helpdesk Netzwerkadministrator Serveradministrator Datenbankadministrator Backup-Operator Standardbenutzer Abteilungsleitung Leser Bearbeiter Prüfer Merksatz: Rolle beschreibt Aufgabe, Gruppe kann Rechte technisch bündeln. --- **Rollenbasierte Zugriffskontrolle** Rollenbasierte Zugriffskontrolle wird abgekürzt: RBAC RBAC steht für: Role-Based Access Control Dabei werden Rechte über Rollen vergeben. Beispiel: Rolle Helpdesk darf Passwörter zurücksetzen. Rolle Backup-Operator darf Backups prüfen. Rolle Netzwerkadministrator darf Switches verwalten. Merksatz: RBAC vergibt Rechte nach Rollen. --- **Attributbasierte Zugriffskontrolle** Attributbasierte Zugriffskontrolle wird abgekürzt: ABAC ABAC steht für: Attribute-Based Access Control Dabei werden Zugriffe anhand von Eigenschaften entschieden. Beispiele für Attribute: Abteilung Standort Gerätetyp Uhrzeit Sicherheitsstatus des Geräts Datenklassifizierung Benutzerrolle Merksatz: ABAC entscheidet nach Eigenschaften und Bedingungen. --- **RBAC und ABAC vergleichen** | Modell | Grundlage | Beispiel | |---|---|---| | RBAC | Rolle | Helpdesk darf Passwörter zurücksetzen | | ABAC | Attribute | Zugriff nur aus Firmennetz und mit verwaltetem Gerät | Merksatz: RBAC arbeitet mit Rollen. ABAC arbeitet mit Eigenschaften. --- **Berechtigung** Eine Berechtigung beschreibt, was ein Benutzer oder Dienst tun darf. Beispiele: Datei lesen Datei schreiben Datei löschen Benutzer anlegen Passwort zurücksetzen Server neu starten Firewall-Regel ändern Datenbank abfragen Backup wiederherstellen Merksatz: Berechtigung = erlaubte Aktion auf ein Ziel. --- **Recht und Rolle unterscheiden** Recht: einzelne Erlaubnis Rolle: Bündel aus mehreren Rechten für eine Aufgabe Beispiel: Recht: Benutzer darf Ticket lesen. Rolle: Supportmitarbeiter darf Tickets lesen, bearbeiten und schließen. Merksatz: Rechte sind einzelne Erlaubnisse. Rollen bündeln Rechte. --- **Least Privilege** Least Privilege bedeutet: Jeder Benutzer, Dienst und Prozess erhält nur die Rechte, die wirklich benötigt werden. Beispiele: Standardbenutzer ohne lokale Adminrechte Dienstkonto nur mit Zugriff auf benötigte Datenbank Praktikant nur mit Zugriff auf Schulungsunterlagen Backup-Operator darf Backups prüfen, aber keine Benutzer verwalten Merksatz: So wenig Rechte wie möglich, so viele wie nötig. --- **Need to Know** Need to Know bedeutet: Zugriff nur auf Informationen, die für die Aufgabe erforderlich sind. Beispiel: Personalabteilung darf Personalakten sehen. IT-Support muss nicht automatisch Gehaltsdaten sehen. Projektteam sieht nur Projektdaten. Merksatz: Nicht jeder muss alles sehen können. --- **Trennung von Aufgaben** Aufgabentrennung bedeutet: kritische Aufgaben werden auf mehrere Personen oder Rollen verteilt. Beispiele: Eine Person beantragt Änderung. Andere Person gibt Änderung frei. Eine Person erstellt Zahlung. Andere Person bestätigt Zahlung. Eine Person richtet Backup ein. Andere Person prüft Restore-Test. Merksatz: Aufgabentrennung reduziert Fehler und Missbrauch. --- **Vier-Augen-Prinzip** Beim Vier-Augen-Prinzip prüft oder genehmigt mindestens eine zweite Person eine kritische Aktion. Typische Aktionen: Adminrechte vergeben Firewall nach außen öffnen Backup löschen Produktivsystem ändern Benutzer mit hohen Rechten anlegen kritische Daten exportieren Merksatz: Kritische Änderungen nicht allein freigeben. --- **Administrative Konten** Administrative Konten haben erhöhte Rechte. Beispiele: lokaler Administrator Domänenadministrator Cloud-Administrator Firewall-Administrator Datenbankadministrator Backup-Administrator Root-Konto Merksatz: Administrative Konten sind besonders schützenswert. --- **Admin- und Alltagskonto trennen** Administratoren sollten zwei Konten haben: normales Benutzerkonto für Alltag separates Adminkonto für Administration Vorteile: weniger Risiko bei Phishing weniger Malware-Schaden bessere Nachvollziehbarkeit weniger dauerhafte Rechte klarere Trennung von Aufgaben Merksatz: Nicht dauerhaft mit Adminrechten arbeiten. --- **Lokale Adminrechte** Lokale Adminrechte auf Clients sind riskant. Risiken: Malware kann mehr Schaden anrichten. Benutzer kann Sicherheitssoftware deaktivieren. Programme können ungeprüft installiert werden. Einstellungen können verändert werden. Angreifer kann Rechte ausnutzen. Merksatz: Lokale Adminrechte nur vergeben, wenn sie wirklich nötig sind. --- **Domänenadministrator** Ein Domänenadministrator hat sehr weitreichende Rechte in einer Windows-Domäne. Risiko: Kompromittierung kann das gesamte Netzwerk betreffen. Schutz: nur wenige Personen MFA getrennte Admin-Konten keine Nutzung für Alltag Protokollierung regelmäßige Rechteprüfung sichere Admin-Arbeitsstationen Merksatz: Domänenadminrechte gehören zu den kritischsten Rechten. --- **Root** Root ist das höchste Benutzerkonto auf vielen Unix- und Linux-Systemen. Root kann: Dateien ändern Benutzer verwalten Dienste steuern Rechte setzen Systemkonfiguration ändern Sicherheitsmechanismen beeinflussen Merksatz: Root hat volle Kontrolle über das System. --- **sudo** sudo erlaubt, einzelne Befehle mit erhöhten Rechten auszuführen. Vorteile: keine dauerhafte Root-Sitzung nötig Aktionen besser nachvollziehbar Rechte können gezielter vergeben werden direkte Root-Anmeldung kann vermieden werden Merksatz: sudo ermöglicht kontrollierte Rechteerhöhung. --- **Dienstkonto** Ein Dienstkonto ist ein Konto, das von einem Dienst, einer Anwendung oder einem automatisierten Prozess genutzt wird. Beispiele: Datenbankzugriff einer Webanwendung Backupdienst Monitoring-Agent Synchronisationsdienst API-Integration geplante Aufgabe Merksatz: Dienstkonten sind technische Identitäten für Dienste. --- **Risiken bei Dienstkonten** Dienstkonten sind oft kritisch, weil sie dauerhaft laufen. Risiken: zu viele Rechte Passwort läuft nie ab Passwort wird im Klartext gespeichert Konto wird nicht überwacht Konto bleibt nach Projektende aktiv Nutzung ist schwer nachvollziehbar Schlüssel oder Tokens werden nicht rotiert Merksatz: Dienstkonten müssen genauso verwaltet werden wie Benutzerkonten. --- **Dienstkonten sicher betreiben** Maßnahmen: nur notwendige Rechte eindeutiger Zweck Dokumentation keine interaktive Anmeldung, wenn nicht nötig starke Geheimnisse Secret Manager nutzen regelmäßige Rotation Monitoring Deaktivierung nach Nutzungsende keine gemeinsamen Allzweckkonten Merksatz: Dienstkonto immer zweckgebunden und rechtearm einrichten. --- **Gruppenrichtlinien** Gruppenrichtlinien werden in Windows-Umgebungen genutzt, um Einstellungen zentral zu verwalten. Beispiele: Passwortregeln Bildschirmsperre Firewall-Einstellungen Laufwerkszuordnung Softwareverteilung Sicherheitsoptionen Einschränkung von Makros lokale Administratoren Update-Einstellungen Merksatz: Gruppenrichtlinien setzen zentrale Regeln für Benutzer und Computer. --- **Verzeichnisdienst** Ein Verzeichnisdienst verwaltet Identitäten und Ressourcen zentral. Typische Inhalte: Benutzer Gruppen Computer Rollen Organisationseinheiten Richtlinien Zugriffsrechte Beispiele: Active Directory LDAP-basierte Verzeichnisse Cloud-Verzeichnisdienste Merksatz: Verzeichnisdienst = zentrale Verwaltung von Identitäten und Objekten. --- **Active Directory** Active Directory ist ein Verzeichnisdienst von Microsoft. Es wird häufig genutzt für: Benutzerverwaltung Gruppenverwaltung Computerverwaltung zentrale Anmeldung Gruppenrichtlinien Rechteverwaltung Domänenstruktur Merksatz: Active Directory verwaltet Benutzer, Gruppen, Computer und Richtlinien zentral. --- **LDAP** LDAP steht für: Lightweight Directory Access Protocol LDAP ist ein Protokoll, mit dem Verzeichnisdienste abgefragt und genutzt werden können. Beispiele: Benutzer suchen Gruppen prüfen Anmeldung gegen Verzeichnisdienst Informationen aus Verzeichnis abrufen Merksatz: LDAP ist ein Protokoll für den Zugriff auf Verzeichnisdienste. --- **Authentifizierung** Authentifizierung bedeutet: Nachweis der Identität. Frage: Wer bist du? Beispiele: Anmeldung mit Passwort Anmeldung mit Zertifikat Anmeldung mit MFA Anmeldung per Smartcard Anmeldung mit SSH-Schlüssel Merksatz: Authentifizierung prüft die Identität. --- **Autorisierung** Autorisierung bedeutet: Prüfung der Berechtigung. Frage: Was darfst du? Beispiele: Darf Benutzer Datei öffnen? Darf Benutzer Drucker verwalten? Darf Benutzer Server neu starten? Darf Benutzer Adminbereich nutzen? Darf Benutzer Datenbank ändern? Merksatz: Autorisierung prüft die erlaubten Aktionen. --- **Authentifizierung und Autorisierung unterscheiden** | Begriff | Frage | Beispiel | |---|---|---| | Authentifizierung | Wer bist du? | Benutzer meldet sich an | | Autorisierung | Was darfst du? | Benutzer darf Datei lesen | Merksatz: Erst Identität prüfen, dann Rechte prüfen. --- **ACL** ACL steht für: Access Control List Eine ACL ist eine Zugriffskontrollliste. Sie legt fest, wer auf ein Objekt zugreifen darf und welche Aktionen erlaubt sind. Beispiele: Datei lesen Ordner schreiben Freigabe nutzen Netzwerkverkehr erlauben Drucker verwalten Merksatz: ACL legt Zugriffsrechte auf Objekte fest. --- **Dateirechte** Dateirechte bestimmen, wer Dateien oder Ordner nutzen darf. Typische Rechte: lesen schreiben ausführen ändern löschen Besitz übernehmen Rechte ändern Merksatz: Dateirechte schützen Daten vor unberechtigtem Zugriff. --- **Lesen, Schreiben und Ausführen** Lesen: Dateiinhalt anzeigen Schreiben: Datei verändern oder erstellen Ausführen: Programm oder Skript starten Merksatz: Lesen sieht Daten. Schreiben verändert Daten. Ausführen startet Code. --- **Vererbung von Rechten** Rechte können von übergeordneten Ordnern an Unterordner und Dateien vererbt werden. Vorteil: weniger Einzelkonfiguration Risiko: falsche Rechte können sich auf viele Dateien auswirken. Merksatz: Vererbte Rechte erleichtern Verwaltung, können aber große Wirkung haben. --- **Freigaberechte und NTFS-Rechte** In Windows-Umgebungen gibt es oft: Freigaberechte und NTFS-Rechte Freigaberechte: gelten beim Zugriff über Netzwerkfreigabe NTFS-Rechte: gelten auf Dateisystemebene Wichtig: Beim Netzwerkzugriff wirkt die restriktivere Kombination. Merksatz: Freigaberechte und NTFS-Rechte zusammen betrachten. --- **Besitz von Dateien** Der Besitzer einer Datei oder eines Ordners hat besondere Bedeutung. Er kann je nach System Rechte beeinflussen oder ändern. Wichtig: Besitzrechte nicht unkontrolliert vergeben. Merksatz: Besitz kann Rechteverwaltung beeinflussen. --- **Umask** Umask ist ein Konzept in Unix- und Linux-Systemen. Sie legt fest, welche Standardrechte bei neuen Dateien oder Ordnern entfernt werden. Beispielprinzip: Neue Datei erhält nicht automatisch alle möglichen Rechte, weil umask bestimmte Rechte wegnimmt. Merksatz: umask beeinflusst Standardrechte neuer Dateien und Ordner. --- **chmod** chmod ist ein Befehl unter Unix- und Linux-Systemen, um Dateirechte zu ändern. Rechtearten: lesen schreiben ausführen für: Besitzer Gruppe andere Merksatz: chmod ändert Dateirechte. --- **chown** chown ist ein Befehl unter Unix- und Linux-Systemen, um Besitzer und Gruppe einer Datei oder eines Ordners zu ändern. Merksatz: chown ändert Besitzer oder Gruppe. --- **Dateirechte unter Linux: Grundidee** Linux unterscheidet bei Dateirechten typischerweise: Besitzer Gruppe Andere Rechte: r = read = lesen w = write = schreiben x = execute = ausführen Merksatz: Linux-Dateirechte bestehen aus Besitzer, Gruppe, Andere und den Rechten r, w, x. --- **Beispiel für Linux-Rechte** Beispiel: rwxr-x--- Bedeutung: Besitzer: lesen, schreiben, ausführen Gruppe: lesen, ausführen Andere: keine Rechte Merksatz: Linux-Rechte werden für Besitzer, Gruppe und Andere getrennt betrachtet. --- **Besondere Linux-Rechte** Neben normalen Rechten gibt es besondere Rechte. Beispiele: SetUID SetGID Sticky Bit Diese Rechte können sicherheitskritisch sein, weil sie Ausführung, Gruppenzuordnung oder Löschverhalten beeinflussen. Merksatz: Sonderrechte unter Linux bewusst prüfen. --- **SetUID** SetUID bewirkt, dass ein Programm mit den Rechten des Dateibesitzers ausgeführt wird. Risiko: Wenn ein SetUID-Programm unsicher ist, kann es Rechteausweitung ermöglichen. Merksatz: SetUID kann Rechte erhöhen und ist sicherheitskritisch. --- **SetGID** SetGID kann bewirken, dass ein Programm mit Gruppenrechten ausgeführt wird oder dass neue Dateien in einem Ordner eine bestimmte Gruppe erhalten. Merksatz: SetGID beeinflusst Gruppenrechte. --- **Sticky Bit** Sticky Bit wird häufig bei gemeinsam genutzten Verzeichnissen verwendet. Es sorgt dafür, dass Benutzer dort nicht beliebig Dateien anderer Benutzer löschen können. Beispiel: /tmp Merksatz: Sticky Bit schützt Dateien in gemeinsamen Verzeichnissen vor fremdem Löschen. --- **Rechteprüfung in der Praxis** Bei Zugriffsproblemen prüfen: Welcher Benutzer ist angemeldet? In welchen Gruppen ist der Benutzer? Welche Rechte hat die Datei? Welche Rechte hat der Ordner? Gibt es vererbte Rechte? Gibt es Freigaberechte? Gibt es NTFS-Rechte? Gibt es ACLs? Gibt es lokale oder zentrale Gruppen? Gibt es Deny-Regeln? Gibt es Sonderrechte? Merksatz: Zugriffsprobleme immer systematisch von Benutzer, Gruppe, Objekt und Regel prüfen. --- **Deny-Regeln** Deny bedeutet: Zugriff ausdrücklich verweigern. Deny-Regeln können erlaubende Rechte übersteuern. Risiko: falsch gesetzte Deny-Regeln verursachen schwer erkennbare Zugriffsprobleme. Merksatz: Deny-Regeln sparsam und bewusst verwenden. --- **Zugriff verweigert** Wenn ein Benutzer „Zugriff verweigert“ erhält, kann das viele Ursachen haben. Mögliche Ursachen: Benutzer nicht in richtiger Gruppe fehlende Dateirechte fehlende Freigaberechte Deny-Regel falscher Besitzer Vererbung unterbrochen falsche Anmeldung abgelaufenes Konto gesperrtes Konto fehlende Lizenz Anwendung prüft eigene Rechte Merksatz: Zugriff verweigert ist nicht automatisch ein Passwortproblem. --- **Onboarding** Onboarding bedeutet: neue Benutzer erhalten benötigte Zugänge, Geräte und Rechte. Gutes Onboarding enthält: persönliches Benutzerkonto passende Gruppen passende Rollen MFA-Einrichtung Geräteausgabe Schulung Passwortmanager Sicherheitsrichtlinien Dokumentation Merksatz: Onboarding vergibt Zugänge kontrolliert nach Aufgabe. --- **Rollenwechsel** Bei einem Rollenwechsel müssen Rechte angepasst werden. Beispiel: Benutzer wechselt von Support zu Einkauf. Dann müssen alte Rechte entfernt und neue Rechte vergeben werden. Wichtig: Rechte nicht nur hinzufügen, sondern auch nicht mehr benötigte entfernen. Merksatz: Rollenwechsel braucht Rechteentzug und Rechtevergabe. --- **Offboarding** Offboarding bedeutet: Zugänge werden entfernt, wenn Benutzer ausscheiden oder keinen Zugriff mehr benötigen. Zu prüfen: Benutzerkonto deaktivieren Gruppen entfernen VPN-Zugang entfernen E-Mail-Zugriff regeln Cloud-Zugänge entfernen SSH-Schlüssel löschen API-Tokens widerrufen Geräte zurückgeben lokale Adminrechte entfernen Weiterleitungen prüfen Merksatz: Offboarding verhindert alte, vergessene Zugänge. --- **Regelmäßige Rechteprüfung** Rechte sollten regelmäßig überprüft werden. Zu prüfen: aktive Benutzer deaktivierte Benutzer Adminrechte Gruppenmitgliedschaften Dienstkonten externe Dienstleister lokale Administratoren Cloud-Rollen Freigaben SSH-Schlüssel Merksatz: Rechte altern und müssen regelmäßig geprüft werden. --- **Rezertifizierung von Rechten** Rezertifizierung bedeutet: Verantwortliche bestätigen regelmäßig, ob Rechte noch benötigt werden. Beispiel: Abteilungsleiter prüft, ob seine Mitarbeitenden noch Zugriff auf bestimmte Daten brauchen. Merksatz: Rezertifizierung verhindert angesammelte Altberechtigungen. --- **Rechteausweitung** Rechteausweitung bedeutet: Ein Benutzer oder Angreifer erhält höhere Rechte als vorgesehen. Arten: vertikale Rechteausweitung: normaler Benutzer wird Administrator horizontale Rechteausweitung: Benutzer greift auf Daten anderer Benutzer gleicher Ebene zu Merksatz: Rechteausweitung ist Zugriff über das erlaubte Maß hinaus. --- **Privilegieneskalation** Privilegieneskalation bedeutet: Rechte werden erhöht, zum Beispiel von normalem Benutzer zu Administrator. Ursachen: Schwachstelle Fehlkonfiguration unsichere Dienste falsche Dateirechte zu breite sudo-Regeln unsichere Dienstkonten Merksatz: Privilegieneskalation ist Erhöhung von Rechten. --- **Horizontale Rechteausweitung** Horizontale Rechteausweitung bedeutet: Ein Benutzer greift auf Daten eines anderen Benutzers mit ähnlicher Rolle zu. Beispiel: Benutzer 1001 sieht Rechnung von Benutzer 1002, obwohl er nur eigene Rechnungen sehen darf. Merksatz: Horizontal bedeutet: Zugriff auf fremde Daten gleicher Ebene. --- **Vertikale Rechteausweitung** Vertikale Rechteausweitung bedeutet: Ein Benutzer erhält höhere Rechte. Beispiel: normaler Benutzer kann Adminfunktion ausführen. Merksatz: Vertikal bedeutet: Zugriff auf höhere Berechtigungsstufe. --- **Auditierung von Rechten** Auditierung bedeutet: Rechte und Zugriffe werden geprüft und dokumentiert. Ziele: Missbrauch erkennen alte Rechte entfernen Compliance erfüllen Datenschutz verbessern Nachvollziehbarkeit schaffen Merksatz: Rechte müssen nicht nur vergeben, sondern auch geprüft werden. --- **Typische Praxisfehler bei Benutzerrechten** Häufige Fehler: Rechte direkt auf einzelne Benutzer vergeben zu viele lokale Adminrechte Sammelkonten alte Benutzer aktiv Dienstkonten mit zu vielen Rechten keine Dokumentation keine regelmäßige Prüfung Admin- und Alltagskonto nicht getrennt Gruppen unübersichtlich Deny-Regeln falsch gesetzt Rechte bei Rollenwechsel nur hinzugefügt Merksatz: Rechteverwaltung wird unsicher, wenn sie nicht gepflegt wird. --- **Checkliste: Rechte sauber verwalten** Persönliche Konten verwenden. Sammelkonten vermeiden. Gruppen statt Einzelrechte nutzen. Rollen definieren. Least Privilege anwenden. Need to Know beachten. Admin- und Alltagskonto trennen. Dienstkonten dokumentieren. Dienstkonten rechtearm einrichten. Onboarding standardisieren. Rollenwechsel prüfen. Offboarding konsequent durchführen. Rechte regelmäßig prüfen. Adminrechte besonders kontrollieren. Audit-Logs aktivieren. Notfallkonten absichern. Merksatz: Gute Rechteverwaltung ist dauerhaft gepflegt, dokumentiert und nachvollziehbar. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist ein Benutzerkonto? - Warum sind persönliche Benutzerkonten wichtig? - Warum sind Sammelkonten problematisch? - Warum sollte man Rechte über Gruppen vergeben? - Was ist eine Rolle? - Was bedeutet RBAC? - Was bedeutet ABAC? - Was ist der Unterschied zwischen Authentifizierung und Autorisierung? - Was bedeutet Least Privilege? - Was bedeutet Need to Know? - Warum sollten Admin- und Alltagskonto getrennt werden? - Was ist ein Dienstkonto? - Warum sind Dienstkonten kritisch? - Was ist ein Verzeichnisdienst? - Was ist Active Directory? - Was ist LDAP? - Was ist eine ACL? - Was ist der Unterschied zwischen Freigaberechten und NTFS-Rechten? - Was bedeutet chmod? - Was bedeutet chown? - Was ist SetUID? - Was ist Offboarding? - Warum ist regelmäßige Rechteprüfung wichtig? --- **Typische Prüfungsfallen** Authentifizierung und Autorisierung nicht verwechseln. Benutzerkonto ist Identität, Berechtigung ist erlaubte Aktion. Rechte möglichst über Gruppen vergeben. Rollen bündeln Rechte. Sammelkonten vermeiden. Least Privilege bedeutet minimale notwendige Rechte. Need to Know bezieht sich auf Informationsbedarf. Admin- und Alltagskonto trennen. Lokale Adminrechte erhöhen Risiko. Dienstkonten sind technische Identitäten. Dienstkonten brauchen klare Rechtebegrenzung. Active Directory ist ein Verzeichnisdienst. LDAP ist ein Protokoll für Verzeichniszugriff. ACL ist Zugriffskontrollliste. Freigaberechte und NTFS-Rechte zusammen betrachten. Deny-Regeln können erlaubende Regeln übersteuern. Zugriff verweigert kann viele Ursachen haben. Rollenwechsel bedeutet alte Rechte entfernen. Offboarding muss alle Zugänge entfernen. Rechte regelmäßig prüfen. SetUID ist sicherheitskritisch. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Benutzerkonto | digitale Identität eines Benutzers | | persönliches Konto | Konto für genau eine Person | | Sammelkonto | gemeinsam genutztes Konto | | Gruppe | Zusammenfassung von Benutzern | | Rolle | Aufgabe mit passenden Rechten | | RBAC | rollenbasierte Zugriffskontrolle | | ABAC | attributbasierte Zugriffskontrolle | | Berechtigung | erlaubte Aktion | | Recht | einzelne Erlaubnis | | Least Privilege | minimale notwendige Rechte | | Need to Know | Zugriff nur bei Informationsbedarf | | Aufgabentrennung | kritische Aufgaben trennen | | Vier-Augen-Prinzip | Prüfung durch zweite Person | | Adminkonto | Konto mit erhöhten Rechten | | lokaler Administrator | Admin auf einem einzelnen System | | Domänenadministrator | Admin mit weitreichenden Domänenrechten | | Root | höchstes Konto auf Unix/Linux | | sudo | kontrollierte Rechteerhöhung | | Dienstkonto | technische Identität für Dienste | | Gruppenrichtlinie | zentrale Windows-Einstellung | | Verzeichnisdienst | zentrale Verwaltung von Identitäten | | Active Directory | Microsoft-Verzeichnisdienst | | LDAP | Protokoll für Verzeichnisdienste | | Authentifizierung | Identität prüfen | | Autorisierung | Berechtigung prüfen | | ACL | Zugriffskontrollliste | | Dateirechte | Rechte auf Dateien und Ordner | | Vererbung | Weitergabe von Rechten | | Freigaberechte | Rechte auf Netzwerkfreigabe | | NTFS-Rechte | Rechte auf Windows-Dateisystemebene | | umask | Standardrechte unter Unix/Linux beeinflussen | | chmod | Dateirechte ändern | | chown | Besitzer oder Gruppe ändern | | SetUID | Ausführung mit Besitzerrechten | | SetGID | Ausführung oder Dateien mit Gruppenbezug | | Sticky Bit | Schutz in gemeinsamen Verzeichnissen | | Deny | ausdrückliche Verweigerung | | Onboarding | geregelte Zugangsvergabe | | Offboarding | geregelter Rechteentzug | | Rezertifizierung | regelmäßige Bestätigung von Rechten | | Rechteausweitung | Zugriff über erlaubtes Maß hinaus | | Privilegieneskalation | Erhöhung von Rechten | | Auditierung | Prüfung und Dokumentation | --- **IHK-sichere Kurzformulierung** Benutzer-, Gruppen- und Rechteverwaltung sorgt dafür, dass Personen und Dienste nur die Zugriffe erhalten, die sie für ihre Aufgaben benötigen. Benutzer sollten persönliche Konten verwenden, Sammelkonten sollten vermieden werden. Rechte werden möglichst über Gruppen und Rollen vergeben, zum Beispiel nach dem RBAC-Prinzip. Authentifizierung prüft die Identität eines Benutzers, Autorisierung prüft seine Berechtigungen. Wichtige Grundsätze sind Least Privilege, Need to Know, Trennung von Admin- und Alltagskonto, kontrollierte Dienstkonten, regelmäßige Rechteprüfung und konsequentes Offboarding. Dateirechte, ACLs, Freigaberechte, NTFS-Rechte und Linux-Rechte müssen systematisch geprüft werden, wenn Zugriffsprobleme auftreten. --- **Merksätze** Rechteverwaltung schützt Daten und Systeme. Benutzerkonto = digitale Identität. Ein Benutzer, ein persönliches Konto. Sammelkonten vermeiden. Rechte möglichst über Gruppen vergeben. Rolle beschreibt Aufgabe. RBAC vergibt Rechte nach Rollen. ABAC entscheidet nach Eigenschaften. Berechtigung = erlaubte Aktion. Rechte sind einzelne Erlaubnisse. Rollen bündeln Rechte. Least Privilege = minimale notwendige Rechte. Need to Know = Zugriff nur bei Bedarf. Adminrechte besonders schützen. Admin- und Alltagskonto trennen. Lokale Adminrechte vermeiden. Root hat volle Kontrolle. sudo ermöglicht kontrollierte Rechteerhöhung. Dienstkonten sind technische Identitäten. Dienstkonten rechtearm betreiben. Gruppenrichtlinien setzen zentrale Regeln. Verzeichnisdienste verwalten Identitäten zentral. Active Directory ist ein Verzeichnisdienst. LDAP ist ein Protokoll für Verzeichniszugriff. Authentifizierung fragt: Wer bist du? Autorisierung fragt: Was darfst du? ACL legt Zugriffe fest. Lesen sieht Daten. Schreiben verändert Daten. Ausführen startet Code. Freigaberechte und NTFS-Rechte zusammen prüfen. Linux-Rechte bestehen aus Besitzer, Gruppe, Andere und r, w, x. chmod ändert Rechte. chown ändert Besitzer oder Gruppe. SetUID ist sicherheitskritisch. Deny-Regeln bewusst einsetzen. Zugriff verweigert hat viele mögliche Ursachen. Onboarding vergibt Rechte kontrolliert. Rollenwechsel braucht Rechteentzug. Offboarding entfernt alte Zugänge. Rechte regelmäßig prüfen. Rezertifizierung verhindert Altberechtigungen. Privilegieneskalation erhöht Rechte. Gute Rechteverwaltung ist nachvollziehbar, dokumentiert und regelmäßig geprüft.