Least Privilege ist das Prinzip, jedem Nutzer, Dienst und Prozess nur genau die Berechtigungen zu geben, die für seine Aufgabe nötig sind, und diese so kurz wie möglich zu gewähren.
Das Prinzip der minimalen Rechte (Least Privilege) verlangt, dass jede Identität, ob Mensch, Dienstkonto oder Anwendung, nur die Berechtigungen besitzt, die für ihre konkrete Aufgabe erforderlich sind, und nicht mehr. Ein Buchhalter braucht keine lokalen Administratorrechte, ein Backup-Dienst keinen Domänen-Admin, eine Webanwendung keinen Vollzugriff auf die Datenbank. Rechte sollen zudem zeitlich begrenzt sein: erteilt, wenn sie gebraucht werden, entzogen, wenn die Aufgabe erledigt ist.
Das Prinzip ist Jahrzehnte alt und in jedem Standard verankert, vom BSI-IT-Grundschutz über ISO 27001 bis zu NIS2. In der Praxis wird es dennoch regelmäßig verletzt, weil großzügige Rechte bequem sind und Fehler vermeiden, die im Tagesgeschäft auffallen würden.
So wird Least Privilege umgesetzt
- Rollenbasierte Vergabe: Rechte hängen an Rollen, nicht an Personen; der Wechsel der Abteilung ändert die Rolle und damit die Rechte.
- Getrennte Konten: Administratoren arbeiten mit einem normalen Konto und nutzen ein separates, nur für Administration bestimmtes Konto, idealerweise von einem gehärteten Admin-Arbeitsplatz.
- Tiering: Konten, die Domänencontroller verwalten (Tier 0), melden sich nie an Servern (Tier 1) oder Arbeitsplätzen (Tier 2) an. So können Zugangsdaten der höchsten Stufe nicht auf einem Client abgegriffen werden.
- Just-in-Time und Just-Enough: Privilegierte Rechte werden auf Antrag für eine begrenzte Zeit aktiviert (Privileged Access Management).
- Dienstkonten mit Mindestrechten: Dienstkonten erhalten exakt die Rechte, die die Anwendung braucht, mit verwalteten, langen Passwörtern.
- Regelmäßige Rezertifizierung: Fachverantwortliche bestätigen periodisch, dass bestehende Rechte noch nötig sind.
Bedeutung für Unternehmen
Überprivilegierte Konten sind der Treibstoff der Privilege Escalation. Das CISA-Advisory AA23-059A beschreibt einen Red-Team-Einsatz bei einer als reif eingestuften Organisation, in der unter anderem weit verbreitete lokale Administratorrechte und Klartext-Zugangsdaten den Weg zum Domain Admin ebneten. Jede überflüssige Berechtigung ist ein Geschenk an den Angreifer, der sie findet.
Was wir in Einsätzen sehen: Die Gruppe der Domänen-Administratoren hat Dutzende Mitglieder, darunter Dienstkonten und ehemalige Mitarbeitende. Helpdesk-Konten dürfen Passwörter von Administratoren zurücksetzen. Dieselben lokalen Administrator-Zugangsdaten gelten auf hunderten Arbeitsplätzen. Backup- und Monitoring-Dienste laufen mit Domänen-Admin-Rechten auf Systemen, die jeder Nutzer erreichen kann. Jeder dieser Befunde verkürzt den Weg vom ersten kompromittierten Client zum Ziel erheblich.
Praxis: Umsetzung und Prüfung
- Privilegierte Gruppen leeren: Beginnen Sie bei Domain Admins, Enterprise Admins und vergleichbaren Cloud-Rollen. Ziel sind wenige, benannte, personengebundene Admin-Konten mit MFA.
- Lokale Admin-Rechte entfernen: Für Nutzer grundsätzlich, für Administratoren über individuelle, rotierende Passwörter je Gerät.
- Dienstkonten inventarisieren: Welche gibt es, wer verantwortet sie, welche Rechte haben sie, wo melden sie sich an? Alles ohne Eigentümer ist ein Kandidat für Stilllegung.
- Pfade statt Einzelrechte betrachten: Angriffspfad-Analysen im Active Directory zeigen Rechteketten, die einzeln harmlos wirken, zusammen aber zum Domain Admin führen.
- Mit dem Red Team messen: Im Assumed Breach starten wir mit den Rechten eines normalen Nutzers. Wie viele Schritte und wie viel Zeit bis zum Ziel nötig sind, ist ein direkter Indikator dafür, wie konsequent Least Privilege umgesetzt ist.