Need-to-Know-Prinzip

Das Need-to-know-Prinzip beschreibt ein Sicherheitsziel für vertrauliche Informationen. Der Zugriff sollte nur dann für einen Benutzer freigegeben werden, wenn die Information unmittelbar für die Erfüllung einer Aufgabe benötigt wird.

Das Wichtigste in Kürze

Das Need-to-know-Prinzip beschreibt ein Sicherheitsziel, um den Zugang zu vertraulichen Informationen auf das absolut Notwendige zu beschränken.
Das Prinzip ist in vielen rechtlichen Vorgaben und auch Standards referenziert wie ISO/IEC 27001/2, BSI IT-Grundschutz, DSGVO, PCI-DSS, u.a.
Die Umsetzung des Need-to-Know Prinzips für Daten und dem Prinzip der minimalen Rechte für IT-Konten führt nicht nur zu Vorteilen in der Compliance sondern auch zu einer deutlich wiederstandsfähigeren IT-Landschaft gegenüber aktuellen Bedrohungen wie beispielsweise Ransomware und andere Malware.

1. Was ist das Need-to-Know Prinzip?

Das Need-to-Know Prinzip besagt, dass ein Benutzer nur Zugang zu den Informationen haben darf, die seine berufliche Funktion gerade eben erfordert.

Vollständig umgesetzt, mit einem Need-to-Know in Echtzeit, erfüllt dieses Zugriffsprinzip sogar geheimdienstliche und militärische Erfordernisse.

In Unternehmen und in den meisten öffentlichen Stellen genügt man sich üblicherweise mit einer

restriktiven Vergabe von Zugriffsrechten,
einer zeitnahen Korrektur der Zugriffsrechte bei Veränderungen sowie
einer regelmäßigen Prüfung des Zugangs zu Daten.

In der Praxis kann man damit ausreichend sicherzustellen, dass die Benutzer nur auf Daten zugreifen können, unbedingt aus legitimen Gründen benötigt werden.

2. Need to Know vs. Prinzip der minimalen Rechte

Der Unterschied zwischen Need to Know und dem Prinzip der minimalen Rechte liegt im Anwendungsbereich: Beim Need-to-know-Prinzip geht es um die Personen die bestimmte vertrauliche oder geheime Informationen einsehen dürfen. Das Prinzip der minimalen Rechte bezieht sich auf die privilegierten Zugriffsberechtigungen von Benutzern und technischer Konten.

3. Need to Know im Einsatz (Auswahl)

DSGVO: Für die Verarbeitung personenbezogener muss die Integrität und Vertraulichkeit gewahrt sein (Art 5 (1f) DSGVO). Zur Umsetzung gehört die Beschränkung des Zugriffs auf personenbezogenen Daten auf Mitarbeiter, die diesen Zugriff zur Wahrnehmung ihrer Aufgaben zwingend benötigen, was exakt dem Need-to-Know Prinzip entspricht.
ISO/IEC 27001/27002: Im Code of Practice der ISO/IEC 27002 wird die Umsetzung des Need-to-know-Prinzip in Abschnitt 9.1.1 Access control policy gefordert.
BSI IT-Grundschutz: Der IT-Grundschutz fordert ein Identitäts- und Berechtigungsmanagement unter Einhaltung des Need-to-Know sowie dem Prinzip der Minimalen Rechte (Least Privilege)
PCI DSS: Auch PCI-DSS erfordert einen Zugriffsschutz auf Kartendaten auf Basis von Need-to-Know.
weitere: Auch weitere Good-Practices und Compliance-Normen erwarten die Umsetzung des Need-to-Know Prinzips / Prinzip der minimalen Rechte.

4. Warum ist das Need-to-Know Prinzip wichtig?

Aus der konsequenten Umsetzung des Need-to-Know Prinzips bzw. des Prinzips der minimalen Rechte ergeben sich deutliche Vorteile in der Widerstandsfähigkeit der IT-Umgebung gegen interne und externe Angreifer.

Reduktion des Schadens bei Ransomware-Vorfällen: Der Schaden bei einem Ransomware-Befall entsteht durch die Verschlüsselung/Zerstörung der zugreifbaren Daten verbunden mit dem Abfluss der Daten in Internet. Mit einer konsequenten Umsetzung des Need-to-Know Prinzips lässt sich dieser Schaden im Falle eines Falles minimieren.
Minimierung des Schades bei Sicherheitsvorfällen mit Insidern: Mit dem Need-to-Know-Prinzip ergibt sich der Vorteil, dass im Falle eines bösartigen Bedrohung durch einen Insider die Menge an Daten die aus dem Unternehmen abfließen kann minimiert wird.
Stoppt die Verbreitung von Malware: Malware-Angriffe werden stark ausgebremst oder können auch direkt auf dem Endgerät bereits enden, wenn dort nur Benutzer mit minimalen Rechten und minimalem Zugriff vorhanden sein. Wenn eine Eskalation der Privilegien nicht stattfinden kann, ist die Bewegung im Netzwerk (Lateral Movement) sehr schwierig oder gar unmöglich.
Reduktion der Möglichkeiten für Cyberangriffe: Die meisten komplexen Angriffe basieren heute auf dem Missbrauch von privilegierten Zugangsdaten. Die Anwendung des Prinzips der minimalen Rechte durch Einschränkung der Privilegien von Administratoren reduziert diese Angriffsfläche.
Umsetzung von Compliance-Vorgaben:. Viele interne Richtlinien und gesetzliche Vorschriften verlangen die Umsetzung des Need-to-Know Prinips bzw. des Prinzips der minimalen Rechte.

5. Umsetzung des Need-to-Know Prinzips im Unternehmen

Um das Need-to-Know- Prinzip im Unternehmen effektiv einzuführen sind eine Reihe von Maßnahmen umzusetzen die primär die Kontrolle der Zugriffsrechte der Benutzer sowie die Verwaltung von administrativen Konten betreffen.

Sicherstellung der Vergabe minimaler Zugriffsrechte auf Daten

Ein Rechte- und Rollenkonzept (RBAC) ist zu etablieren, dass die Vergabe und Kontrolle der Zugriffsrechte auf gemeinsam genutzte Daten praktikable handhabbar machen. Eine angemessene Trennung nach Fachbereich und der Zuständigkeiten der Team-Mitglieder muss sichergestellt sein.
Regelmäßige Kontrolle, ob die Zugriffsrechte auf den gemeinsam genutzten Datenablagen noch korrekt sind.
Umgehende Sperrung von Zugängen im Falle des Ausscheidens eines Mitglieds aus dem Team oder dem Unternehmen.
Der Schreibzugriff auf kritische Konfigurationsdateien und kritische Bereiche des Dateisystems muss für normale Benutzer unterbunden werden.

Sicherstellung der Vergabe minimaler Zutrittsrechte auf sensitive Gebäudebereiche

Der Zutritt zu den Servern und dem IT-Sicherheitsbereich ist stark einzuschränken. Es wäre nicht das erste Mal, dass die Reinigungsfirma am Freitagnachmittag den Serverraum „durchlüftet“.

Minimale Rechtevergabe für Konten.

Inventarisieren der gesamte IT-Umgebung nach privilegierten Konten vor Ort, in der Cloud, in DevOps-Umgebungen, auf IoT-Geräten und anderen Endgeräten
Beseitigen von unnötigen lokalen administrativen Privilegen von Benutzern
Beschränkung des Zugriffs über Wartungsschnittstellen
Reduktion der Rechte der technischen Benutzer auf das zwingend notwendige
Trennen von administrativen und normalen Zugangskonten
Isolation der privilegierten Konten (über Jump-Server; auch über AD-Konfiguration)
Falls kurzfristig privilegierte Rechte benötigt werden, beispielsweise zur Installation von Software, dann darf diese nur kurzfristig und für genau diesen einen Zweck nutzbar sein.

Darüberhinausgehend sollten auch hinreichend starke Authentisierungs- und Autorisierungskonzepte umgesetzt sein.

Häufig gestellte Fragen

Das Need-to-Know-Prinzip ist ein Sicherheitsgrundsatz, der den Zugriff auf vertrauliche Informationen auf das absolut Notwendige beschränkt. Ein Benutzer erhält nur Zugang zu den Daten, die er unmittelbar zur Erfüllung seiner konkreten Aufgabe benötigt.

Das Need-to-Know-Prinzip regelt, welche Personen bestimmte vertrauliche Informationen einsehen dürfen. Das Prinzip der minimalen Rechte (Least Privilege) bezieht sich auf die privilegierten Zugriffsberechtigungen von Benutzern und technischen Konten. Beide ergänzen sich zu einer sicheren Zugriffssteuerung.

Das Need-to-Know-Prinzip wird unter anderem in der DSGVO, in ISO/IEC 27001/27002 (Abschnitt 9.1.1), im BSI IT-Grundschutz und in PCI DSS gefordert. Diese Vorgaben verlangen, den Zugriff auf sensible Daten auf die wirklich benötigten Personen zu beschränken.

Das Need-to-Know-Prinzip erhöht die Widerstandsfähigkeit der IT gegen interne und externe Angriffe. Es reduziert den Schaden bei Ransomware- und Insider-Vorfällen, bremst die Ausbreitung von Malware und verkleinert die Angriffsfläche für den Missbrauch privilegierter Zugangsdaten.

Zentral sind ein Rechte- und Rollenkonzept (RBAC), die regelmäßige Kontrolle der Zugriffsrechte und die sofortige Sperrung beim Ausscheiden von Mitarbeitern. Hinzu kommen minimale Rechte für administrative und technische Konten, deren Trennung und Isolation sowie eine streng begrenzte, temporäre Vergabe privilegierter Rechte.

Da Ransomware nur die Daten verschlüsseln oder abfließen lassen kann, auf die das kompromittierte Konto zugreifen darf, begrenzt ein konsequent umgesetztes Need-to-Know-Prinzip den möglichen Schaden. Weniger Zugriffsrechte bedeuten weniger betroffene Daten im Ernstfall.