Immer wieder eine Frage und in der Umsetzung ein Spagat: Wann bekommt wer welche Rechte in IT-Systemen? Neue Mitarbeiter sollen produktiv mitarbeiten, Auszubildende sollen praktisch lernen und auch produktiv mitarbeiten. Gerne geben Ausbilder einfache Standardaufgaben ab. Welche Probleme und Risiken ergeben sich bei welchen Handlungsweisen?
Wer Rechte hat, kann diese missbrauchen. Ein Missbrauch kann, der seltene Fall, böswillig erfolgen. Viel häufiger ist der irrtümliche Missbrauch, ein Fehler, ein gut gemeinten falsches Handeln. Ein Auszubildender an einer Drehmaschine kann den Drehmeißel ins Futter fahren. Die Drehbank hat ggf. nur noch Schrottwert, der Meißel wird ggf. aus der Halterung grissen, fliegt durch die Halle und kann einen Menschen schwer verletzen, töten. Der Ausbilder wird daher den Auszubildenen in der ersten Zeit genau anleiten, unterweisen und so lange nicht alleine drehen lassen, bis er sich sicher ist, dass die Maschine beherrscht wird, keine schwerwiegenden Fehler vorkommen.
In der Finanzbuchhaltung kann falsch verbucht werden, Fehler dort führen evtl. zu erheblichem Mehraufwand, ggf. falschen Jahresabschlüssen, Stafzahlungen. Jeder Ausbilder wird einen Auszubildenen mit den Buchungsregeln sehr vertraut machen, Buchungen gegenprüfen, Checks durchführen. Finanzwirksame Buchungen, Überweisungen etc. unterliegen einem Vier-Augen-Prinzip, um Fehler zu vermeiden. Rechte werden sehr granular vergeben. Selbst das Schreddern von Papieroriginalen wäre kein entgültiger Schaden, Duplikat könnten, mit viel Aufwand, beschafft werden.
Und in der IT?
To err is human, but to really foul things up you need a computer.
Paul R. Ehrlich, Biologe
In der IT werden für viele Standardaufgaben sogenannte „erweiterte Rechte“, Administrationsrechte benötigt. Üblicherweise hat ein „Pseudobenutzer“, der „Administrator“, diese Rechte. Die Frage ist nun: arbeitet der Mitarbeiter, der administriert, als Benutzer „Administrator“?
Die Möglichkeiten
Vorab: Seien Sie sich als Verantwortlicher, stets bewusst: Der Administrator kann, insbesondere in einem kleineren oder mittelständischen Beitieb, mit einem einzigen Befehl mehr Schaden anrichten, als die Geschäftsführung.
Generelles Arbeiten als Administrator
Früher die verbreiteste Art des Arbeitens in der IT und immer schon die schlechteste Variante: das generelle Arbeiten mit administrativen Rechten. Jeder eingegebene Befehl, jeder Klick wird mit administrativen Rechten durchgeführt, jeder Befehl, jeder Klick kann schlimmste Folgen haben. Klickt man auf den Virus, darf dieser sofort alles – auch wenn man in der Mittagspause eigentlich nur beim News-Lesen geklickt hat. Fazit: Nein, so arbeitet man nicht. Wer grundsätzlich mit administrativen Rechten ausgestattet ist und damit arbeitet, handelt grob fahrlässig. Ein solches Verhalten ist nicht zu entschuldigen.
Temporäre Nutzung des Administrator-Benutzers
Dieses Verhalten ist das im Mittelstand übliche Nutzungsverhalten. Der IT-Administrator arbeitet üblicherweise als „normaler“ Benutzer und wird temporär für jegliche administrative Aufgaben zum globalen Administrator. Zur Zeit, wenn er Administrator ist, besteht ein entsprechend hohes Risiko, es wird „ohne Netz“ gearbeitet, dürfen keine Fehler gemacht werden. Soll „nur“ ein neuer Benutzer angelegt werden, können auch irrtümlich (durch Fehlklicks), alle Benutzer oder Daten gelöscht werden.
Temporäre Rechteerhöhung
Sehr vergleichbar ist die temporäre Rechererhöhung. Für die konkrete Tätigkeit und nur für diese werden Rechte temporär erhöht und danach sofort wieder herunter gestuft. Im Beispiel würde also bei jedem Schritt einzeln von den Systemen gefragt, ob die Rechte erhöht werden sollen: zwei Klicks, zwei Nachfragen, aufwändiger aber sicherer. Im Zeitpunkt der temporären Recherhöhung kann jedoch wieder alles, nicht nur die geplante Aufgabe, gemacht werden.
Beschränkte Maximalrechte mit temporärer Rechterhöhung
Der Datenschutz und die Grundregeln der IT-Sicherheit erfordern „eigentlich“ dieses Vorgehen: Es sind im konkreten Fall nur genau die Rechte vorhanden, die zur Aufgabenerfüllung erforderlich sind. Soll ein Adminisator einen neuen Benutzer anlegen, so hat er genau die dafür notwendigen Rechte, nicht mehr. Wenn er sich verklickt, wird also evtl. der neue Benutzer falsch angelegt, mehr kann jedoch nicht passieren.
In er Praxis ist eine solche Umsetzung jedoch sehr aufwändig und daher problematisch: Der Administrator muss, ggf. zu unterschiedichen Zeitpunkten, sowohl Benutzer anlegen als auch löschen. Sollen hierfür daher unterschiedliche Rechteerhöhungen definiert werden oder doch nur die eine, die Rechteerhöhung zur Benutzerverwaltung? Und wie sieht es aus, wenn der Adminisrator auch andere Administrationsaufgaben wahrnimmt? Wird er dann ggf. doch zum „Universaladministrator“? In der Praxis ist also der zusätzliche Verwaltungsaufwand gegen das Risiko, Fehler zu machen, abzuwägen.
Der zweite, der dritte und der vierte Teil
Im zweiten Teil erfahren Sie, wie Rechte grundsätzlich sinnvollerweise beim Einsatz von Auszubildenden, Praktikanten etc. vergeben werden können, im dritten Teil wird beschrieben, wie wir in der ima konkret vorgehen. Der vierte Teil richtet sich dann an Auszubildende und Praktikanten, Sie erfahren, was Sie bei einer Ausbildung oder einem Praktikum bei uns erwartet.