Definition Zugriffskontrolle | Access Control Was ist Zugriffskontrolle?

Die Zugriffskontrolle steuert und überwacht den Zugriff auf IT-Ressourcen oder Daten. Nur Berechtigte erhalten Zugriff auf bestimmte Daten oder können bestimmte Ressourcen nutzen. Die Zugriffskontrolle ist eine wichtige Komponente der Datensicherheit und notwendig, um beispielsweise Vorgaben der DSGVO einzuhalten. Für die Zugriffskontrolle kommen Authentifizierung, Autorisierung und Access-Control-Richtlinien zum Einsatz.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

TXOne Networks

Specops Software GmbH

Der englische Begriff für Zugriffskontrolle lautet Access Control. Es handelt sich um eine Kernkomponente der Datensicherheit, die den Zugriff auf IT-Ressourcen und Daten steuert und kontrolliert. Um Datenschutzvorgaben wie beispielsweise die der Datenschutzgrundverordnung (DSGVO) einzuhalten, ist Access Control unverzichtbar. Sie kommt in der Regel in Kombination mit weiteren Sicherheitsmaßnahmen wie der Zutrittskontrolle und der Zugangskontrolle zum Einsatz. Mithilfe von Zugriffskontrollen lässt sich sicherstellen, dass in einem Computing-Umfeld nur Berechtigte Zugriff auf bestimmte Daten erhalten oder bestimmte Ressourcen nutzen können. Access Control ist eine Grundlage für die Integrität, Vertraulichkeit und Verfügbarkeit von Daten. Maßnahmen zur Kontrolle und Steuerung der Zugriffe können organisatorischer und technischer Natur sein und sind beispielsweise die Authentifizierung, die Autorisierung und der Einsatz von Access-Control-Richtlinien.

Abgrenzung zur Zugangskontrolle und zur Zutrittskontrolle

Zutrittskontrolle, Zugangskontrolle und Zugriffskontrolle kommen in Kombination und aufeinander aufbauend zum Einsatz. Sie erfüllen spezifische Aufgaben und ergänzen sich gegenseitig. Oft kommt es jedoch zu einer Vermischung der Begriffe. Während die Zugriffskontrolle die höchste Schutzebene darstellt und den Zugriff auf IT-Ressourcen und Daten für Unbefugte verhindert, steuert und regelt die Zutrittskontrolle als unterste Ebene den physischen Zutritt von Personen zu Gebäuden oder Räumen mit Datenverarbeitungsanlagen. Typische Maßnahmen der Zutrittskontrolle sind Schließsysteme, Alarmanlagen, Videoüberwachung, Wachpersonal, Personenkontrollen am Empfang oder elektronische Einlasssysteme mit Nachweis einer Identität beispielsweise mit Chipkarten oder biometrischen Merkmalen. Die Zugangskontrolle ist eine Ebene über der Zutrittskontrolle angesiedelt und verhindert die Interaktion eines Unbefugten mit einer Datenverarbeitungsanlage oder den unberechtigten Zugang zu Informationen. Unberechtigter Zugang oder unbefugte Kommunikation kann beispielsweise durch offene Netzwerkzugänge oder nicht gesperrte Computer verursacht werden. Maßnahmen zur Zugangskontrolle sind beispielsweise Bildschirmschoner mit Passwortschutz, Authentifizierung per PIN oder Benutzername und Passwort, Sperren offener LAN-Ports oder das Absichern des WLAN-Zugangs.

Funktionsweise und Modelle der Zugriffskontrolle

Um den Zugriff auf IT-Ressourcen und Daten zu kontrollieren und nur Berechtigten zu gewähren, kommen organisatorische und technische Maßnahmen zum Einsatz. Das Erstellen und Durchsetzen eines Berechtigungskonzepts zählt zu den organisatorischen Maßnahmen. Die Identifizierung und Authentifizierung der Benutzer ist über technische Maßnahmen und das Abfragen von Benutzernamen und Passwort, biometrischen Daten oder das Auslesen von Berechtigungskarten oder Berechtigungstoken möglich. Moderne Authentifizierungsverfahren setzen mehrere Faktoren gleichzeitig ein (Multifaktor-Authentifizierung) oder kombinieren mehrere Authentifizierungsmethoden. Ist die Authentifizierung erfolgreich abgeschlossen, schließt sich die Autorisierung an. Das Kontrollsystem weist dem Authentifizierten die für ihn vorgesehen Berechtigungen für den Zugriff auf bestimmte Daten oder Ressourcen zu. Technisch ist das oft mithilfe Access-Control-Listen (ACL - Zugriffssteuerungslisten) realisiert. In diesen Listen ist eingetragen, auf welche Ressourcen oder Daten ein authentifizierter Benutzer zugreifen darf.

Bei den Modellen der Zugriffskontrolle wird unterschieden zwischen:

• Discretionary Access Control (DAC): pro Benutzer einzeln eingerichtete Zugriffsrechte

• Mandatory Access Control (MAC): Zugriff auf Basis allgemeiner Regeln (Freigabestufen)

• Role-based Access Control (RBAC): Zugriff auf Basis von Benutzerrollen

• Attribute-based Access Control (ABAC): Zugriff auf Basis von Merkmalen (Attributen)

(ID:47827137)