Rollen und minimale Rechte

Die meisten Websiteplattformen und Onlinedienste haben Rollen: Administrator, Redakteur, Autor, Betrachter. Eine Rolle bestimmt, was eine Person tun kann. Wenn alle Administratoren sind, kann jedes einzelne gestohlene Passwort und jeder einzelne Fehler den größtmöglichen Schaden anrichten.

Das Prinzip heißt minimale Rechte (Least Privilege). Die Cybersecurity Performance Goals der CISA formulieren es so: Alle Benutzerkonten, Systemrollen und Prozesse arbeiten mit den minimalen Rechten, die zur Erfüllung ihrer Aufgaben nötig sind (Ziel 3.H).

Rollen in einer typischen Website

WordPress, mit dem viele öffentliche Websites betrieben werden, hat fünf Standardrollen:

• Administrator: alles, einschließlich der Installation von Plugins, der Änderung von Einstellungen und der Verwaltung von Benutzern.
• Redakteur (Editor): veröffentlicht und verwaltet alle Inhalte, auch die anderer Personen.
• Autor (Author): veröffentlicht und verwaltet die eigenen Inhalte.
• Mitarbeiter (Contributor): schreibt und bearbeitet eigene Entwürfe, kann aber nicht veröffentlichen.
• Abonnent (Subscriber): verwaltet nur das eigene Profil.

Multisite-Installationen haben zusätzlich einen Super Admin über dem Administrator. Drupal und andere Systeme lassen Administratoren eigene Rollen festlegen, oft mit Namen wie Content Editor oder Site Manager. Das Prinzip ist dasselbe.

Die Rolle an die Aufgabe anpassen

• Die für die Website verantwortliche Person und eine Vertretung: Administrator.
• Kommunikationsteam, das die Inhalte der gesamten Website verwaltet: Redakteur.
• Eine Redaktionsperson einer Abteilung, die ihre eigenen Seiten pflegt: Autor, oder eine eigene Rolle, die auf ihren Bereich beschränkt ist, wenn Ihr System das unterstützt.
• Jemand, der Entwürfe schreibt und eine Prüfung braucht: Mitarbeiter.
• Ein Dienstleister: nur die Rolle, die seine Aufgabe erfordert, und nur so lange, wie er sie braucht. Lektion 5 behandelt Dienstleister.

Dasselbe Muster gilt außerhalb der Website. Geben Sie in sozialen Medien den meisten Personen eine Rolle, mit der sie posten, aber keine anderen Personen hinzufügen oder entfernen können. Beim Registrar brauchen überhaupt nur zwei Personen Zugang.

Wenige Administratoren

Mindestens zwei Personen sollten auf jedem kritischen Konto die Administratorrolle haben, damit die Einrichtung nie ausgesperrt ist. Darüber hinaus ist jeder weitere Administrator ein weiterer Zugang, der Software installieren, Inhalte löschen, den Zugang anderer ändern oder Sicherheitseinstellungen abschalten kann. Fragen Sie: „Wer muss das tun, und wie oft?“

Ein eigener Zugang für Administrationsarbeit

Das Ziel 3.G der CISA besagt, dass Administratoren getrennte Benutzer- und privilegierte Konten führen. In der Praxis eines kleinen Büros heißt das:

• Ihr alltäglicher Website-Zugang hat die Rolle Redakteur und dient der routinemäßigen Veröffentlichung.
• Ihr Administrator-Zugang ist davon getrennt, mit eigenem starkem Passwort und eigener zweistufiger Anmeldung, und dient nur für Einstellungen, Plugins und Änderungen an Benutzern.

Wenn Ihr Alltagspasswort durch Phishing abgegriffen wird, erhält der Angreifer die Rechte eines Redakteurs, nicht die eines Administrators.

Standardpasswörter ändern

Neue Systeme werden oft mit einem Standardpasswort für den Administrator geliefert: Router, Kameraanlagen, Technik in Besprechungsräumen, manche Website-Installationsprogramme. Das Ziel 3.A der CISA verlangt, Standardpasswörter des Herstellers zu ändern. Ändern Sie sie am ersten Tag und tragen Sie das Konto in Ihr Inventar ein.

Rollen jetzt überprüfen

Öffnen Sie die Benutzerliste Ihrer Website. Fragen Sie bei jeder Person:

1. Arbeitet sie noch hier oder noch mit uns?
2. Braucht sie überhaupt noch Zugang?
3. Ist ihre Rolle die kleinste, die zu ihrer Aufgabe passt?

Setzen Sie zu hohe Rollen herab. Entfernen Sie Personen, die keinen Zugang mehr brauchen. Lektion 6 macht daraus eine vierteljährliche Gewohnheit.