ISO 27001:2022 · A.8.2 · A.8 Technologische Maßnahmen
Privilegierte Zugangsrechte
Die Zuteilung und Nutzung privilegierter Zugangsrechte muss eingeschränkt und gesteuert werden.
ISO 27001NIS2TISAXBSI
Was fordert dieses Control?
Die Zuteilung und Nutzung privilegierter Zugangsrechte muss eingeschränkt und gesteuert werden.
Warum ist das wichtig?
Privilegierte Konten sind das wertvollste Ziel für Angreifer. Ihre Einschränkung, Trennung und Überwachung begrenzt den Schaden bei Kompromittierung erheblich.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| NIS2 | § 30 Abs. 2 BSIG | Zugriffskontrolle | Direkt |
| TISAX | 4.1.1 | Privilegierte Zugriffe | Direkt |
| BSI | ORP.4.A9 | Privilegierte Berechtigungen | Direkt |
Was der Auditor erwartet
- Restriktive Vergabe privilegierter Rechte
- Getrennte Admin-Konten und MFA
- Überwachung privilegierter Aktivitäten
Audit-Checkliste
Dokumente
Konzept privilegierter ZugriffeVergabe, Trennung und Überwachung von Admin-Rechten
Nachweise
Liste privilegierter KontenWer welche Admin-Rechte hat und warum
RezertifizierungsprotokollNachweis der halbjährlichen Überprüfung privilegierter Rechte
MFA-Nachweis für AdminsBestätigung aktivierter MFA für alle privilegierten Konten
Technisch
Admin-Konten-KonfigurationGetrennte Konten, MFA und Protokollierung
Praxis-Tipps zur Umsetzung
Konten trennenSeparate Admin-Konten ohne Mail/Surfen, getrennt vom Tagesbenutzer.
Just-in-TimePrivilegien nur temporär und bei Bedarf gewähren (PAM/PIM).
Lückenlos protokollierenPrivilegierte Aktionen vollständig loggen und überwachen.
Häufige Fehler
DaueradminNutzer arbeiten ständig mit Adminrechten im Alltagskonto.
Keine MFA für AdminsGerade die kritischsten Konten sind nur passwortgeschützt.
Zu viele Global AdminsStatt 2-4 Global Admins mit Break-Glass-Konto existieren zu viele Vollrechte.
Häufig gestellte Fragen
Was ist Just-in-Time-Administration?
Erhöhte Rechte werden nur bei Bedarf und zeitlich begrenzt gewährt, statt dauerhaft.
Brauchen wir eine PAM-Lösung?
Für größere Umgebungen sehr sinnvoll. Kleine Organisationen können mit getrennten Konten und PIM starten.
Wie überwacht man privilegierte Zugriffe?
Über vollständige Protokollierung und Auswertung privilegierter Aktionen (siehe A.8.15/A.8.16).
So hilft CompliantDesk bei A.8.2
Dokumentieren Sie privilegierte Konten als Kontrolle, planen Sie deren Review und weisen Sie MFA über die M365-Integration nach.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten