Nutzerzugriffsprüfungen, die jeden Auditor überzeugen

Nur wenige Kontrollen sind so universell verbreitet oder scheitern so häufig wie Nutzerzugriffsprüfungen. Jedes Framework erwartet, dass jemand regelmäßig prüft, ob jede Person den Zugriff, den sie hat, weiterhin benötigt. Die meisten Organisationen führen die Prüfung durch. Deutlich weniger können einem Auditor nachweisen, dass sie vollständig und unabhängig war und Konsequenzen hatte.

Was die Frameworks verlangen

Framework	Zugriffskontrolle	Verknüpfung
NIST CSF 2.0	PR.AA-01PR.AA-05	Themendefinition
ISO 27001	A.5.15A.5.16A.5.18A.8.3	Crosswalk
CIS v8.1	CIS 5.1CIS 6.1CIS 6.2CIS 6.7CIS 6.8CIS 3.3CIS 5.2CIS 5.3CIS 5.5CIS 5.6CIS 6.6CIS 12.5	Crosswalk
SOC 2	CC6.1CC6.2CC6.3	Redaktionell
PCI DSS	7.2.17.2.27.2.48.2.1	Crosswalk
CMMC	AC.L2-3.1.1AC.L2-3.1.2	Crosswalk
800-53	AC-2AC-3	Crosswalk
HIPAA	§164.308(a)(4)§164.312(a)§164.312(a)(2)(i)§164.312(d)	Crosswalk
GDPR	Art.25(2)Art.32(1)(b)	Redaktionell
NIS2	11.111.211.5	Crosswalk
Essential Eight	—	Keine Zuordnung in unseren Daten

Vollständige Details und die Begründung für jede Verknüpfung: Zugriffskontrolle über Frameworks hinweg →

PCI DSS ist das einzige Framework mit einer festen Frequenz: Alle Nutzerkonten und Berechtigungen müssen mindestens alle sechs Monate überprüft werden (7.2.4), ebenso Anwendungs- und Systemkonten (7.2.5.1). SOC 2-Auditoren prüfen, ob der Zugriff angemessen autorisiert, geändert und entzogen wird (CC6.2, CC6.3), und suchen nach regelmäßigen Überprüfungen als Nachweis. ISO 27001 verlangt, dass Zugriffsrechte in regelmäßigen Abständen überprüft werden (A.5.18). HIPAA verlangt Informationszugriffsmanagement und die Überprüfung von Aktivitäten (§164.308(a)(4)). CMMC erwartet, dass der Zugriff auf autorisierte Nutzer und Funktionen beschränkt ist (AC.L2-3.1.1, 3.1.2) sowie das Least-Privilege-Prinzip.

Eine Prüfung, die besteht

1. Vollständige Grundgesamtheit. Die Nutzerliste direkt aus dem System exportieren (kein Tabellenblatt, das jemand pflegt), einschließlich Dienst- und gemeinsam genutzter Konten.
2. Der richtige Prüfer. Der System- oder Datenverantwortliche bzw. der Vorgesetzte jedes Nutzers, nicht der Administrator, der den Zugriff gewährt hat.
3. Ausreichend Kontext. Prüfer sehen die Rolle und Zugriffsstufe jedes Nutzers, damit „Genehmigen“ eine informierte Entscheidung ist.
4. Eine Entscheidung pro Konto. Beibehalten, ändern oder entfernen, mit Name und Datum des Prüfers.
5. Änderungen tatsächlich umgesetzt. Tickets für Entziehungen anlegen und den Nachweis der Umsetzung aufbewahren.
6. Nachweise aufbewahren. Export, Entscheidungen, Tickets und Freigabe gemeinsam abgelegt.

Häufigkeit

Nutzen Sie die sechs Monate aus PCI DSS als Basis für alle Systeme im Geltungsbereich und prüfen Sie privilegierte Zugriffe quartalsweise. Wenn Sie einen SOC 2 Type II haben, stellen Sie sicher, dass mindestens eine Prüfung (idealerweise zwei) in jeden Beobachtungszeitraum fällt.

Was Auditoren feststellen

• Pauschale Genehmigung: Jedes Konto wird in Minuten von jemandem genehmigt, der es nicht beurteilen kann.
• Unvollständige Grundgesamtheiten: Die Prüfung deckte die Anwendung, aber nicht die Datenbank ab, oder menschliche Konten, aber keine Dienstkonten.
• Selbstprüfung: Administratoren genehmigen ihren eigenen Zugriff.
• Entziehungen nicht abgeschlossen: Die Prüfung sah das Entfernen vor; das Konto existiert Monate später noch.
• Ausgeschiedene Mitarbeiter fallen bei der Prüfung auf: ein Zeichen dafür, dass Ihr Offboarding-Prozess versagt, was Auditoren gesondert testen werden.

Wichtigste Erkenntnisse

• Prüfungen scheitern in Audits an Nachweisen, nicht am Aufwand: unvollständige Grundgesamtheiten, Selbstprüfung und nie abgeschlossene Entziehungen.
• Verwenden Sie einen Systemexport, den richtigen Prüfer, eine Entscheidung pro Konto und Nachweise für Änderungen.
• Halbjährliche Prüfungen (die Regel von PCI DSS) und quartalsweise Prüfungen für privilegierte Zugriffe erfüllen alle Frameworks.
• Beschränken Sie den Umfang auf relevante Systeme und automatisieren Sie die Abläufe.

Nachhaltig gestalten

Automatisieren Sie den Export und die Erinnerungen, prüfen Sie nach System statt nach Nutzer und beschränken Sie den Umfang auf relevante Systeme: Produktion, Kundendaten, privilegierte Werkzeuge und alles im Geltungsbereich eines Frameworks. Eine kleinere, gut belegte Prüfung ist besser als eine umfangreiche, die immer zu spät kommt.

Sehen Sie sich die Themenseiten Access Control und Privileged Access an, um alle Anforderungen mit ihrer Quelle zu finden, sowie unseren Beitrag Nachweise über SOC 2, ISO 27001 und PCI DSS hinweg wiederverwenden.

Fragen

Wie oft muss der Nutzerzugriff überprüft werden?

PCI DSS verlangt, dass Nutzerkonten und Zugriffsrechte mindestens alle sechs Monate überprüft werden (7.2.4). Die meisten anderen Frameworks fordern eine regelmäßige Überprüfung in einer von Ihnen festgelegten Häufigkeit; quartalsweise für privilegierte Zugriffe und halbjährlich für alle übrigen gilt als gängige Basis.

Wer sollte eine Zugriffsprüfung durchführen?

Der Verantwortliche für das System oder die Daten oder der Vorgesetzte des Nutzers, nicht der Administrator, der den Zugriff gewährt hat. Auditoren achten auf Unabhängigkeit und einen informierten Prüfer.

Müssen Dienstkonten überprüft werden?

Ja. Auditoren beziehen zunehmend Dienst-, gemeinsam genutzte und API-Konten in die Prüfgesamtheit ein; PCI DSS verlangt ausdrücklich eine regelmäßige Überprüfung von Anwendungs- und Systemkonten (7.2.5.1).