PrinzipKapitel III · Security · Baustein 3 von 7
Least Privilege
Least Privilege weist einer Identität nur die Rechte zu, die eine Aufgabe benötigt. Getrennte Rollen und kurze Geltungsbereiche begrenzen die Wirkung kompromittierter Zugangsdaten.
Von Michael Meierhoff · Meierhoff Systems
- 1AufgabenbezugNur Rechte für den Arbeitsauftrag.
- 2WirkungsradiusBegrenzt den Schaden bei Missbrauch.
- 3PrüfbarkeitFehlende Rechte zeigen sich als Fehler.
Einordnung
Warum das wichtig ist
Wird ein Zugang übernommen oder fehlerhaft genutzt, richtet er genau so viel an, wie seine Rechte erlauben. Breite Rechte machen aus einem kleinen Vorfall einen großen. Vertiefend helfen Authentifizierung, Secrets und das Bedrohungsmodell.
Dieser Baustein behandelt Rechteumfang und Rollen. Authentifizierung prüft Identität; Secrets schützt Zugangsdaten während ihres Lebenszyklus.
Auf einen Blick · Nur die nötigen Rechte
Welche Rechte braucht der Worker?
Der Rechnungsworker liest Bestelldaten und schreibt Rechnungsdateien. Er benötigt keine Berechtigung, Preise oder Konten im Shop zu ändern.
So liest du das Bild
- 1Aufgabenbezug Als „nötig“ markiert: Bestellungen lesen und eigene Rechnungen schreiben.
- 2Wirkungsradius Liste „Bei übernommenem Worker möglich“ wächst mit jedem gesetzten Recht.
- 3Prüfbarkeit Meldung „Aufgabe scheitert“ erscheint, sobald ein nötiges Recht abgeschaltet wird.
Bei übernommenem Worker möglich
- Alle Bestell- und Kundendaten auslesen
- Rechnungsdateien überschreiben oder fälschen
- Bestellungen wie B-1042 umschreiben oder stornieren
- Preise wie 49,90 € manipulieren
- Konten anlegen, ändern und exportieren
- Fremde Dateien lesen und löschen
Zusätzliche Rechte vergrößern den Schaden, den ein übernommener Worker anrichten kann.
Nutzen & Grenzen
Hilft, wenn
- Abgegrenzte technische und menschliche Aufgaben benötigen auf ihre Ressourcen begrenzte Berechtigungen.
- Kleine getrennte Wirkungsbereiche begrenzen Folgen von kompromittiertem Zugang oder Fehlgebrauch.
Grenzen
- Zu fein geschnittene Rechte sind fehleranfällig und schwer zu pflegen; bündele sie nach stabilen Aufgaben.
- Geteilte oder dauerhaft privilegierte Konten erschweren Zuordnung und Entzug; nachvollziehbare Identitäten und befristete Ausnahmen helfen.
- Enge Rechte begrenzen den Schaden, verhindern den Einbruch aber nicht; die Identität prüft Authentifizierung, den Schlüssel schützen Secrets.
In der Praxis
- Aufgaben und benötigte Zugriffe erfassen. Liste Ressourcen und Operationen für jede Identität und Umgebung auf. Trenne notwendige Rechte von historisch übernommenen Berechtigungen. Das Ergebnis ist eine nachvollziehbare Grundlage für ein enges Rollenprofil.
- Berechtigungen begrenzen und zuweisen. Verknüpfe eine persönliche oder technische Identität mit den notwendigen Aktionen und begrenze Reichweite sowie Dauer. Halte Sonderfreigaben mit Besitzer und Ablauf fest. Damit sind reguläre und erhöhte Zugriffe unterscheidbar.
- Überbreite Rechte erkennen. Prüfe Zugriffsprotokolle, Negativfälle und Rollenänderungen in regelmäßigen Abständen. Entziehe ungenutzte Rechte nach einem definierten Verfahren und bestätige ihre Wirkung. Das Ergebnis ist ein dokumentierter Rechtebestand, der zur tatsächlichen Aufgabe passt.
Ausführliche Erklärung lesen
Least Privilege leitet Berechtigungen aus einer konkreten Aufgabe ab. Identitäten erhalten nur die Aktionen auf Ressourcen, die sie dafür benötigen; Lese-, Schreib- und Administrationsrechte werden getrennt betrachtet. Technische Workloads und Menschen brauchen zuordenbare Identitäten. Das Prinzip ergänzt Authentifizierung & Autorisierung durch die Begrenzung erreichbarer Rechte und hängt eng mit dem Umgang von Secrets zusammen.
Rechte können an Rollen, Ressourcen, Umgebungen und Zeiträume gebunden werden. Kurzlebige Freigaben verkleinern die Dauer erhöhter Zugriffe. Zu feine Richtlinien erschweren Pflege und können Fehler erzeugen; unklare Sammelkonten erschweren dagegen Zuordnung und Entzug. Nutzungsdaten, Negativtests und regelmäßige Rezertifizierung helfen, überbreite oder ungenutzte Berechtigungen zu erkennen.
Das Prinzip geht auf Jerome Saltzer und Michael Schroeder zurück, die es 1975 beschrieben haben.
Selbst prüfen
Teste dich in drei Stufen
1AblesenIm Bild nachsehen
Schalte alle Rechte an. Welche Rechte sind als „nicht nötig“ markiert?
Lösung mit Begründung ansehen
Bestellungen ändern, Preise ändern, Benutzer verwalten und beliebige Dateien verwalten. Sie vergrößern nur die Liste möglicher Schäden.
2AnwendenAuf eine neue Lage übertragen
Der Worker soll zusätzlich die Versandadresse von B-1042 auf die Rechnung drucken. Welche Rechte brauchst du dafür?
Lösung mit Begründung ansehen
Keine neuen: Bestellungen lesen deckt die Adresse ab. Schreibrechte auf Bestellungen bleiben ausgeschaltet.
3BewertenEine Alternative abwägen
Breite Rechte sparen das Pflegen von Rollen. Wie bewertest du das gegen enge Rechte?
Lösung mit Begründung ansehen
Vorteil breit: weniger Pflege. Nachteil: Ein übernommener Worker könnte Preise, Konten und Dateien ändern. Empfehlung: enge Rechte, dazu Tests, dass ein fehlendes Recht sofort auffällt.
Vertiefen
Diese Bausteine führen die Gedanken dieser Seite weiter.
Quellen
- OWASP – Authorization Cheat Sheet (öffnet in neuem Tab)Beschreibt minimale Berechtigungen, Deny-by-default und Prüfungen pro Anfrage.
- AWS IAM – Security best practices (öffnet in neuem Tab)Zeigt die praktische Vergabe und fortlaufende Reduktion von Berechtigungen.
- Kubernetes – RBAC Good Practices (öffnet in neuem Tab)Konkretisiert minimale Rechte und typische Eskalationspfade in Kubernetes.
Weiter im Lernpfad
Als Nächstes in Security & Risiken: Authentifizierung & Autorisierung.
7 Bausteine
Weiter mitAuthentifizierung & Autorisierung