Berechtigungen & IT-Sicherheit

NTFS- vs. Freigabeberechtigungen

Unter Windows gibt es zwei getrennte Berechtigungssysteme, die bei einem Netzwerkzugriff auf eine Freigabe gemeinsam greifen. Sie werden häufig verwechselt, sind aber prüfungsrelevant klar zu unterscheiden.

Regel: Restriktivste Berechtigung gilt

Greift ein Nutzer über das Netzwerk auf eine Freigabe zu, werden beide Berechtigungssätze ausgewertet. Es gilt: Zuerst wird innerhalb jedes Systems (NTFS bzw. Freigabe) die Kombination aus mehreren Gruppenmitgliedschaften gebildet, wobei Deny immer Allow übersticht. Danach wird zwischen NTFS-Ergebnis und Freigabe-Ergebnis die restriktivere (einschränkendere) Berechtigung angewendet.

Beispiel: Ein Ordner hat NTFS-Berechtigung Vollzugriff für den Benutzer, die Freigabe ist aber nur mit Lesen berechtigt. Beim Netzwerkzugriff kann der Benutzer die Datei trotz NTFS-Vollzugriff nur lesen, weil die Freigabeberechtigung restriktiver ist. Greift derselbe Benutzer lokal am Server an, zählt nur NTFS — dort hat er Vollzugriff.

ACLs und Vererbung

Eine Access Control List (ACL) ist eine Liste von Zugriffssteuerungseinträgen (Access Control Entries, ACEs), die festlegt, welches Subjekt (Benutzer oder Gruppe) welche Aktion (Lesen, Schreiben, Löschen, Ausführen) auf ein Objekt (Datei, Ordner, Netzwerkressource) ausführen darf oder nicht. Jeder ACE besteht aus einem Trustee (Wem?), einer Berechtigung (Was?) und dem Typ (Allow/Deny).

Vererbung im Verzeichnisbaum

Berechtigungen, die auf einem übergeordneten Ordner gesetzt werden, vererben sich standardmäßig automatisch auf alle Unterordner und Dateien. Das spart Verwaltungsaufwand, da nicht jede Datei einzeln konfiguriert werden muss. Wichtige Punkte dazu:

• Vererbte Berechtigungen sind in der Zugriffssteuerungsliste eines Objekts grau hinterlegt und lassen sich dort nicht direkt löschen, nur überschreiben.
• Explizit auf einem Unterordner gesetzte Berechtigungen haben Vorrang vor vererbten Berechtigungen.
• Die Vererbung lässt sich pro Ordner unterbrechen ("Vererbung deaktivieren"), z. B. um einen Unterordner besonders restriktiv abzusichern.
• Eine explizite Deny-Berechtigung schlägt praktisch immer eine geerbte oder explizite Allow-Berechtigung, unabhängig von der Ebene im Baum.

Das Konzept der ACLs ist nicht auf Windows-NTFS beschränkt: Auch Firewalls, Router (Zugriffslisten für Pakete) und Datenbanksysteme nutzen ACL-ähnliche Mechanismen zur Zugriffssteuerung.

Gruppenrichtlinien als Sicherheitswerkzeug

Über Gruppenrichtlinienobjekte (GPOs) lassen sich Sicherheitseinstellungen zentral in Active Directory definieren und automatisch auf verknüpfte Organisationseinheiten (OUs), Domänen oder Standorte anwenden. Das ersetzt die manuelle Konfiguration jedes Einzelrechners und sorgt für ein einheitliches Sicherheitsniveau.

Typische sicherheitsrelevante GPO-Einstellungen:

• Passwortrichtlinien: Mindestlänge, Komplexitätsanforderungen, maximales/minimales Kennwortalter, Kennworthistorie (Wiederverwendung verhindern), Kontosperrung nach fehlgeschlagenen Anmeldeversuchen.
• Softwareeinschränkungsrichtlinien (SRP) bzw. AppLocker: Legen fest, welche ausführbaren Dateien, Skripte oder Installer auf einem Client überhaupt gestartet werden dürfen — schützt vor unautorisierter oder schädlicher Software.
• Anmeldeskripte: Werden beim Login automatisch ausgeführt, z. B. zum Verbinden von Netzlaufwerken, Drucker-Mapping oder Setzen von Umgebungsvariablen — zentral steuerbar statt manuell pro Rechner.
• Bildschirmsperre/Wartezeit: Automatische Sperrung nach Inaktivität, um unbeaufsichtigte Sitzungen abzusichern.
• Zuweisung von Benutzerrechten: Wer darf sich lokal anmelden, wer darf sich per Remotedesktop verbinden, wer darf Systeme herunterfahren.

GPOs werden in der Reihenfolge Lokal → Standort → Domäne → OU (von außen nach innen, kurz "LSDOU") angewendet, wobei die zuletzt verarbeitete Einstellung (meist die OU-Ebene, näher am Objekt) im Konfliktfall gewinnt, sofern sie nicht per Erzwingen oder Vererbung blockieren anders gesteuert wird.

Least Privilege & Rollenkonzept

Das Prinzip der geringsten Rechte (Least Privilege) besagt: Jeder Benutzer und jeder Prozess erhält nur genau die Rechte, die für seine Aufgabe zwingend notwendig sind — nicht mehr. Das reduziert die Angriffsfläche erheblich, denn ein kompromittiertes Konto mit minimalen Rechten kann deutlich weniger Schaden anrichten als ein Konto mit weitreichenden Zugriffen.

Warum Gruppen statt Einzelrechte?

In der Praxis werden Berechtigungen nicht direkt an einzelne Benutzerkonten vergeben, sondern an Gruppen (Rollen), denen dann Benutzer zugeordnet werden. Vorteile:

• Wartbarkeit: Ändert sich die Aufgabe eines Mitarbeiters, wird er einfach aus einer Gruppe entfernt und einer anderen hinzugefügt — die zugrunde liegenden ACLs bleiben unverändert.
• Übersichtlichkeit: Bei hunderten Benutzern ist es praktisch unmöglich, Einzelrechte konsistent zu pflegen; Gruppen bilden klare, dokumentierbare Rollen ab (z. B. "Buchhaltung-Lesen", "IT-Admins").
• Nachvollziehbarkeit: Audits und Berechtigungsprüfungen sind einfacher, wenn man Gruppenmitgliedschaften statt tausender Einzelberechtigungen kontrollieren muss.
• Fehlervermeidung: Weniger Gefahr, dass beim Ausscheiden eines Mitarbeiters vergessene Einzelrechte bestehen bleiben ("Rechteleichen").

Mehrfaktor-Authentifizierung (MFA)

Bei der Multi-Faktor-Authentifizierung muss ein Nutzer seine Identität durch mindestens zwei voneinander unabhängige Faktoren aus unterschiedlichen Kategorien nachweisen. Das erhöht die Sicherheit deutlich, weil ein Angreifer nicht nur einen, sondern mehrere unabhängige Faktoren überwinden müsste.

Wichtig für die Prüfung: Zwei Passwörter zählen nicht als Zwei-Faktor-Authentifizierung, da beide aus derselben Kategorie ("Wissen") stammen. Erst die Kombination aus zwei unterschiedlichen Kategorien, z. B. Passwort (Wissen) plus Einmalcode aus einer App (Besitz), erfüllt echtes MFA.

Bedrohungsanalyse & Gegenmaßnahmen

Typische Angriffsvektoren

• Phishing / Social Engineering: Angreifer manipulieren Menschen statt Technik, z. B. über gefälschte E-Mails, um Zugangsdaten oder Schadsoftware-Ausführung zu erschleichen.
• Ransomware: Schadsoftware verschlüsselt Daten und erpresst Lösegeld für die Entschlüsselung; verbreitet sich oft über E-Mail-Anhänge, kompromittierte Downloads oder ungesicherte Remote-Zugänge.
• Unpatchte Systeme: Bekannte, aber nicht geschlossene Sicherheitslücken in Betriebssystemen oder Anwendungen werden gezielt ausgenutzt (Exploits).

Gegenmaßnahmen als Gesamtkonzept

• Patch-Management: Systematisches, zeitnahes Einspielen von Sicherheitsupdates für Betriebssysteme und Anwendungen, idealerweise über zentrale Werkzeuge (z. B. WSUS) mit Test- und Rollout-Phase.
• Monitoring & Logging: Kontinuierliche Überwachung von Systemen und Netzwerken sowie Protokollierung sicherheitsrelevanter Ereignisse (Anmeldungen, Fehlversuche, ungewöhnlicher Datenverkehr), um Angriffe frühzeitig zu erkennen und nachzuvollziehen.
• Backup-Strategie nach der 3-2-1-Regel: 3 Kopien der Daten (Original plus zwei Sicherungen), auf 2 unterschiedlichen Speichermedien (z. B. lokale Festplatte und Bandlaufwerk/NAS), davon 1 Kopie räumlich extern gelagert (Offsite oder Cloud) — schützt zusätzlich vor lokalen Katastrophen wie Brand oder eben auch vor Ransomware, die vernetzte Backups mitverschlüsselt.
• Sensibilisierung/Schulung: Regelmäßige Awareness-Maßnahmen gegen Social Engineering, da der Mensch häufig das schwächste Glied der Sicherheitskette ist.