Need-to-Know-Prinzip

Das Need-to-Know-Prinzip ist ein grundlegender Baustein der Informationssicherheit und besagt, dass eine Person nur auf jene Informationen zugreifen darf, die sie zur Erledigung ihrer konkreten Aufgabe tatsächlich benötigt. Maßgeblich ist nicht die hierarchische Stellung oder eine allgemeine Berechtigung, sondern der nachweisbare dienstliche Bedarf im Einzelfall. Damit begrenzt das Prinzip die Angriffsfläche, reduziert das Risiko von Datenabfluss und Innentäterschaft und ist eng mit dem Prinzip der geringsten Rechte (Least Privilege) verwandt.In der Praxis wird das Need-to-Know-Prinzip über Zugriffskontrolle, rollenbasierte Berechtigungskonzepte (RBAC) und eine saubere Informationsklassifizierung umgesetzt. Zugriffe werden restriktiv vergeben (Deny by default), regelmäßig überprüft (Rezertifizierung) und beim Wegfall des Bedarfs – etwa bei Aufgaben- oder Stellenwechsel – wieder entzogen. Eine lückenlose Protokollierung sorgt dafür, dass Zugriffe nachvollziehbar bleiben und Verstöße erkannt werden können.Rechtlich und normativ ist das Need-to-Know-Prinzip fest verankert. Die ISO/IEC 27001 fordert in Anhang A eine bedarfsgerechte Zugangssteuerung, der BSI IT-Grundschutz adressiert es im Baustein zur Identitäts- und Berechtigungsverwaltung, und die NIS2-Richtlinie verlangt risikoangemessene Konzepte für Zugriffskontrolle. Auch die DSGVO setzt das Prinzip über die Grundsätze der Datenminimierung und der Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f, Art. 32 DSGVO) sowie über Vertraulichkeitsverpflichtungen mittelbar voraus.