Quelltext der Seite Zugriffskontrolle

{{Dieser Artikel|beschreibt die Zugriffskontrolle in der Informationstechnologie allgemein; zu dem Gebrauch in der Programmierung siehe [[Zugriffsmodifikator]].}}

'''Zugriffskontrolle''' ist die Überwachung und Steuerung des Zugriffs auf bestimmte [[Ressource]]n. Überwiegend wird der Begriff in Bezug auf den Zugriff auf Daten verwendet. Das Ziel der Zugriffskontrolle ist dann die Sicherstellung der Integrität, Vertraulichkeit und Verfügbarkeit von Informationen. Heute spielt die Zugriffskontrolle auf digitale [[Ressource#Informatik|Ressourcen]] und Daten eine zunehmend größere Rolle, siehe auch ''[[Zugangskontrolle (Informatik)]]''.

Eine der wichtigsten Grundlagen der [[Informationssicherheit]] ist die Art und Weise, wie auf Ressourcen zugegriffen werden kann und wie diese Ressourcen durch die Zugriffsmechanismen geschützt werden. Somit handelt es sich bei der Zugriffskontrolle nicht nur um technische Hilfsmittel.

Die Aufteilung der drei Gebiete administrative, physische und technische Zugriffskontrolle wird als komplementär angesehen. Das heißt, dass sich die Gebiete durch ein Schichtenmodell beschreiben lassen, in dem sich die einzelnen Schichten gegenseitig ergänzen.

{{TOC limit|2}}<!-- beschränkt das Inhaltsverzeichnis wegen den vielen kleinen Überschriften unter === adminstatrive Zugriffskontrolle ===; Genaueres findet sich bei [[ Vorlage:TOC limit ]] -->

== Administrative Zugriffskontrolle ==
Die administrativen Kontrollen stehen zuoberst in der Hierarchie. Sie beschreiben, wie eine Organisation mit dem Zugriff auf ihre Informationen umgehen will. Aspekte der Zugriffskontrolle auf dieser Ebene sind:

=== Sicherheitsvorschriften und Prozeduren ===
* Die Sicherheitsvorschrift kann Vorgaben an die Zugriffskontrolle machen, muss dies aber nicht zwingend. Zur Erstellung der Sicherheitsvorschriften muss eine Organisation feststellen, welche Informationen schützenswert sind und welchen z.&nbsp;B. finanziellen Wert die jeweilige Ressource hat (beispielsweise Firmengeheimnisse wie Konstruktionspläne im Automobilsektor, Kontodaten im Banksektor usw.). Weiterhin wird die Sicherheitsvorschrift auch durch regulatorische Vorgaben (Datenschutzgesetz, Bankgeheimnis, zu erfüllende Normen etc.) geprägt. Je nach Branche, in welcher die Organisation agiert, kommen Patentschutz, IP ([[Geistiges Eigentum|Intellectual Property]]) oder Ähnliches dazu.
[[Datei:Marienburg Schatzkammer Schloss.jpg|mini|Ein historisches Beispiel für Zugriffskontrolle bietet das dreifache Schloss an der Schatzkammer der [[Marienburg (Ordensburg)|Marienburg]]: Die drei benötigten Schlüssel hatten verschiedene Besitzer, die die Tür somit nur gemeinsam öffnen konnten. Hier galt also ein 3-Hände-Prinzip.]]

=== Zugriffskontrolle für die Mitarbeiter ===
* Welche Rollen getrennt werden müssen ([[Vier-Augen-Prinzip|4-Augen-Prinzip]], [[Segregation of Duties]])
* Welche Rollen und Personen Zugriff auf welche Informationen besitzen
* Welche Eigenschaften diese Personen erfüllen müssen, um den Zugang zu erhalten
* Wie diese Eigenschaften regelmäßig verifiziert werden können
* Wie einer Person die Rechte wieder entzogen werden können

=== Kontrollstruktur einer Organisation ===
* Wer welche Daten auf Integrität kontrolliert
* Welche Indikatoren zur Steuerung verwendet werden können
* Wer für welche Aktionen in einer Organisation verantwortlich ist

=== Testbarkeit der Zugriffskontrollen ===
* Wie die spezifizierten Kontrollen verifiziert werden können (Audit)

== Physische Zugriffskontrolle ==
Physische Zugriffskontrollen stützen sich auf Menschen, Tiere oder nicht-digitale Komponenten, die aber elektronisch angesteuert werden können:

* Bauteile oder bauliche Maßnahmen an Gebäuden oder Grundstücken, die der [[Zugangskontrolle|Zugangs-]] oder [[Zutrittskontrolle]] dienen
* Technische Objekte wie Schlösser, die mit Schlüsseln oder elektronisch per [[RFID]] oder [[Bluetooth]] oder [[Biometrie|biometrisch]] bedient werden, und den Zutritt zu Räumen (Serverräume, [[Tresor]]e) gewähren
* [[Alarmanlage]]n oder [[Videoüberwachung]]
* Schutz- oder [[Wachdienst]], Wachhunde, Zäune etc.

Die physische Aufteilung eines Netzwerkes kann auch zur physischen Zugriffskontrolle gerechnet werden, da physisch eine räumliche Teilung eines Netzwerkes erfolgt und so der Zugang zum Netzwerk geschützt wird. Wenn das Backup eines Systems in einem brandsicheren Tresor verwahrt wird, handelt es sich auch um eine physische Kontrolle, nämlich um den Zugriffsschutz vor Feuer und Diebstahl.

== Technische Zugriffskontrolle ==
Technische Zugriffskontrolle, manchmal auch ''logische Zugriffskontrolle'' genannt, ist die Restriktion des Zugriffes durch Software und Hardware. Dabei handelt es sich um Komponenten von Betriebssystemen, Software Applikationen, Netzwerkgeräte oder Protokolle.

Dies geschieht mittels Autorisierung und Vergabe von [[Zugriffsrecht]]en. Die Kontrolle wird normalerweise über [[Passwort|Passwörter]], die Gewährung von Privilegien oder das Bereitstellen von Attributen erreicht (vgl. [[Dateiattribut]]e).
Es müssen dazu drei Fragen beantwortet werden:
* Granularität: Was ist die kleinste schützbare Einheit? Eine [[Datei]] oder eine Menge von Dateien?
* Operationen: Zwischen welchen Operationen (Lesen, Schreiben, Löschen, Ausführen usw.) kann bei der Vergabe von Rechten unterschieden werden?
* Zugang: Wie wird die Autorisierung durchgeführt? Gängige Methoden nach erfolgreicher [[Authentifizierung]] sind: Vergabe einer [[Benutzerkennung]] und Zuordnung zu einer [[Benutzerklasse]].

Technisch wurden diverse Zugriffsmodelle implementiert, die auch für organisatorische sowie physische Zugriffskontrolle verwendet werden können.

=== Alternativen ===
Die zur Zugriffskontrolle notwendigen Informationen könnten in einer Zugriffsmatrix abgelegt sein. Zugriffsmatrizen sind jedoch für eine Implementierung ungeeignet, da sie sehr groß und im Allgemeinen dünn besetzt sind. Eine Alternative könnte eine Tripelliste sein, bei der es für jedes vergebene Recht eines Benutzers auf ein Objekt einen Eintrag gibt.

== Beispiele ==
* Grundmodelle:
** [[Discretionary Access Control]] (DAC)
** [[Mandatory Access Control]] (MAC)
*** [[Type Enforcement]] (TE)
*** [[Multi-Level Security]] (MLS)
** [[Role Based Access Control]] (RBAC)
** [[Attributbasierte Zugriffskontrolle|Attribute-based access control]] (ABAC)
** [[Context-Based Access Control]] (CBAC)
* Methoden und Standards:
** [[Access Control List]] (ACL)
** [[Password Authentication Protocol]] (PAP), <nowiki>RFC&nbsp;1334</nowiki><ref>{{RFC-Internet |RFC=1334 |Titel=PPP Authentication Protocols |Datum=1992-10}}</ref>
** [[Extensible Authentication Protocol]] (EAP), <nowiki>RFC&nbsp;3748</nowiki><ref>{{RFC-Internet |RFC=3748 |Titel=Extensible Authentication Protocol (EAP) |Datum=2004-06}}</ref>
** [[Challenge Handshake Authentication Protocol]] (CHAP), <nowiki>RFC&nbsp;1994</nowiki><ref>{{RFC-Internet |RFC=1994 |Titel=PPP Challenge Handshake Authentication Protocol (CHAP) |Datum=1996-08}}</ref>
** [[Authentication Header Protocol]] (AH), [[IPsec]]
** [[Encapsulated Security Payload]] (ESP), IPsec
** [[Internet Key Exchange]] (IKE), IPsec
** [[Lightweight Extensible Authentication Protocol]] (LEAP)
** [[Link Control Protocol]] (LCP)
** [[Host Access Protocol]] <nowiki>RFC&nbsp;802</nowiki><ref>{{RFC-Internet |RFC=802 |Titel=The ARPANET 1822L Host Access Protocol |Datum=1981-11}}</ref>
** [[Port Based Network Access Control]] [[IEEE 802.1X]]
** [[EXtensible Access Control Markup Language]] (XACML)
* [[Media Access Control]]
** [[Sensor Media Access Control]]
** [[Berkeley Media Access Control]]
** [[Timeout Media Access Control]]
** [[Zebra Media Access Control]]
* [[Basic Access Control]] – bei Reisedokument

== Siehe auch ==
* [[Authentifizierung]]: Sicherstellen der Identität des Zugreifenden
* [[Berechtigungskonzept]]: System, das die Struktur und die Verfahren für Zugriffsrechte und die Zugriffskontrolle beschreibt
* [[Unix-Dateirechte]]: ursprüngliches und einfacheres System für Dateiberechtigungen, das per Access Control Lists erweitert werden kann
* [[Zugriffsrecht]]: Kontrolle/Schutz erfolgt auf der Grundlage von Zugriffsrechten

== Einzelnachweise ==
<references />

{{Normdaten|TYP=s|GND=4293034-0}}

[[Kategorie:Zugriffskontrolle| ]]

 <!-- Nicht entfernen. Verknüpfung über Wikidata ist nicht möglich, da bereits [[Zugangskontrolle]] oder [[Zutrittskontrolle]] mit [[:en:Access control]] verbunden sind. -->