Least-Privilege-Prinzip

Das Least-Privilege-Prinzip (Prinzip der minimalen Rechtevergabe) ist ein zentraler Grundsatz der Informationssicherheit. Es fordert, dass jeder Akteur in einem System - ob menschlicher Benutzer, technischer Dienst, Anwendung oder Prozess - ausschließlich die Berechtigungen erhält, die zur Wahrnehmung der jeweiligen Aufgabe zwingend erforderlich sind. Rechte, die über den konkreten Bedarf hinausgehen, werden grundsätzlich nicht vergeben oder zeitnah wieder entzogen. Auf diese Weise wird die Angriffsfläche reduziert: Wird ein Konto oder ein Dienst kompromittiert, bleibt der potenzielle Schaden auf den eng begrenzten Berechtigungsumfang dieses Akteurs beschränkt.

Das Prinzip wird eng mit dem Need-to-know-Grundsatz und der rollenbasierten Zugriffskontrolle (RBAC) verzahnt: Berechtigungen werden nicht individuell und dauerhaft, sondern aufgaben- und rollenbezogen vergeben und regelmäßig überprüft. Besondere Bedeutung kommt privilegierten Konten (Administratoren, Service-Accounts) zu, die über Privileged-Access-Management abgesichert, temporär (Just-in-Time) freigeschaltet und protokolliert werden sollten. Eine konsequente Umsetzung umfasst zudem die Funktionstrennung, die regelmäßige Rezertifizierung von Berechtigungen sowie den geordneten Entzug von Rechten bei Rollenwechsel oder Austritt (Joiner-Mover-Leaver-Prozesse).

Rechtlich und normativ ist das Least-Privilege-Prinzip fest verankert. Der BSI IT-Grundschutz adressiert die minimale Rechtevergabe insbesondere im Baustein zur Identitäts- und Berechtigungsverwaltung (ORP.4), und die ISO/IEC 27001 verlangt in Annex A eine bedarfsgerechte Steuerung von Zugriffsrechten. Im Anwendungsbereich der NIS2-Richtlinie und ihrer nationalen Umsetzung gehört eine angemessene Zugriffssteuerung zu den geforderten technischen und organisatorischen Risikomanagementmaßnahmen. Auch aus Sicht des Datenschutzes stützt das Prinzip die nach Art. 32 DSGVO geforderten geeigneten technischen und organisatorischen Maßnahmen zur Sicherheit der Verarbeitung.