Backup-Ablage und Zugriffsrechte für einen Arbeitsplatz schützen
Du trennst Zutritt, Zugang und Zugriff, entwirfst ein Rollenmodell und schützt eine Sicherung vor unbefugtem Lesen, Ändern und Löschen.
Das Backup liegt bereit, aber zu viele Konten dürfen es löschen
Die Nordufer Architektur GmbH richtet einen Arbeitsplatz für Elena ein. Sie bearbeitet Ausschreibungen und Baupläne im Projektordner Bauvorhaben-West. Die Dateien werden auf einem zentralen Dateisystem gespeichert. Jede Nacht legt ein Sicherungsdienst eine Kopie in einem getrennten Backup-Speicher ab.
Beim Abnahmetest fällt auf: Elena darf die Projektdaten lesen und ändern. Das ist für ihre Aufgabe richtig. Ihr normales Benutzerkonto kann jedoch auch den Backup-Ordner öffnen und alte Sicherungen löschen. Außerdem verwendet der Sicherungsdienst dasselbe Administrationskonto wie der Arbeitsplatz-Support.
Damit existiert zwar eine Sicherung, aber ihr Schutz ist nicht sauber vom Tagesbetrieb getrennt. Ein Fehler, ein missbrauchtes Konto oder Schadsoftware mit den Rechten des Kontos könnte Produktivdaten und Sicherungen treffen.
Dein Auftrag ist, die Berechtigungen neu zu planen. Nach dieser Lektion kannst du:
- Zutritt, Zugang und Zugriff an konkreten Handlungen unterscheiden,
- Rollen nur die Rechte geben, die sie für ihre Aufgabe benötigen,
- die Backup-Ablage gegen unbefugtes Lesen, Ändern und Löschen schützen,
- mit Positiv- und Negativtests prüfen, ob das Modell wirklich greift.
Du brauchst dafür kein bestimmtes Betriebssystem und kein bestimmtes Backup-Produkt. Es geht um ein produktunabhängiges Rollen- und Prüfmodell.
Zutritt, Zugang und Zugriff schützen unterschiedliche Ebenen
Die drei Begriffe klingen ähnlich, beantworten aber verschiedene Fragen.
- Zutritt betrifft einen abgegrenzten physischen Bereich. Wer darf zum Beispiel den Raum mit dem Backup-Speicher betreten?
- Zugang betrifft die Nutzung eines IT-Systems, einer Systemkomponente oder eines Netzes. Wer darf sich zum Beispiel an der Verwaltung des Backup-Systems anmelden?
- Zugriff betrifft Informationen, Daten oder erlaubte Transaktionen. Wer darf zum Beispiel eine Sicherung lesen, neu anlegen, wiederherstellen oder löschen?
Ein verschlossener Technikraum regelt also den Zutritt. Eine Anmeldung mit persönlicher Kennung und einem weiteren Faktor regelt den Zugang zum Verwaltungssystem. Die Rechte innerhalb dieses Systems regeln den Zugriff auf Sicherungssätze.
Die Ebenen ergänzen sich, ersetzen sich aber nicht. Eine berechtigte Person kann den Technikraum betreten und trotzdem keinen Zugang zur Verwaltung haben. Umgekehrt kann ein Fernzugang funktionieren, ohne dass die Person den Raum jemals betritt. Nach erfolgreicher Anmeldung entscheidet erst die Autorisierung, welche Daten und Funktionen das Konto nutzen darf.
Zuordnungsaufgabe
Ordne die Schutzebene zu
Wähle für jede Handlung die Ebene, die unmittelbar geregelt wird.
Richtig zugeordnet. Prüfe diese Zuordnung noch einmal.
Richtig zugeordnet. Prüfe diese Zuordnung noch einmal.
Richtig zugeordnet. Prüfe diese Zuordnung noch einmal.
Richtig zugeordnet. Prüfe diese Zuordnung noch einmal.
Richtig zugeordnet. Prüfe diese Zuordnung noch einmal.
von 5 richtig
Zutritt betrifft Räume, Zugang die Nutzung von Systemen und Netzen, Zugriff die Nutzung von Daten oder Funktionen. Eine vollständige Schutzmaßnahme kann mehrere Ebenen verbinden.
Authentisierung klärt die Identität, Autorisierung die Erlaubnis
Bei der Authentisierung weist ein Konto seine behauptete Identität nach, zum Beispiel mit Passwort und Sicherheitsschlüssel. Das System prüft diesen Nachweis. Eine erfolgreiche Anmeldung sagt aber noch nicht, was das Konto tun darf.
Das entscheidet die Autorisierung. Sie ordnet der festgestellten Identität erlaubte Aktionen zu. Elena kann sich erfolgreich am Arbeitsplatz anmelden und trotzdem keinen Zugriff auf den Backup-Speicher erhalten. Genau das ist hier beabsichtigt.
Für die Rechtevergabe helfen zwei Grundsätze:
- Das Erforderlichkeitsprinzip fragt, welche Informationen eine Rolle für ihre Aufgabe benötigt.
- Das Prinzip der geringsten Berechtigungen gibt nur die dafür nötigen Rechte und nicht vorsorglich mehr.
Eine Rolle ist dabei ein Bündel zusammengehöriger Berechtigungen. Personen und technische Konten erhalten passende Rollen. Dadurch muss nicht jedes Recht für jedes Konto einzeln gepflegt werden. Persönliche Konten bleiben trotzdem wichtig, weil eine Handlung einer Identität zugeordnet werden können soll. Ein gemeinsam verwendetes Administrationskonto erschwert diese Zuordnung.
Ein Rollenmodell trennt Tagesarbeit, Sicherung und Wiederherstellung
Für Nordufer werden vier Rollen betrachtet:
- Projektbearbeitung: Die Rolle liest und ändert den Projektordner. Sie darf den Backup-Speicher weder öffnen noch Sicherungen löschen.
- Arbeitsplatz-Support: Die Rolle verwaltet die Systemkonfiguration des Arbeitsplatzes. Sie darf Projektdaten nicht regulär lesen und den Backup-Bestand nicht verändern.
- Sicherungsdienst: Das technische Konto liest die vorgesehenen Quelldaten und schreibt neue Sicherungen. Über dieses normale Dienstkonto lassen sich vorhandene Sicherungssätze nicht löschen.
- Backup-Administration: Die Rolle verwaltet Sicherungsaufträge, Aufbewahrung und geschützte Ablage. Für die tägliche Büroarbeit wird ein anderes Konto ohne administrative Rechte verwendet.
Die genaue technische Umsetzung hängt vom Produkt ab. Entscheidend ist die Trennung: Elenas Arbeitskonto braucht keinen Zugriff auf die Sicherungen. Der Sicherungsdienst braucht keinen allgemeinen Administrationszugang zum Arbeitsplatz. Der Support braucht keine dauerhafte Berechtigung, Sicherungssätze zu löschen.
Für seltene Wiederherstellungen kann eine zusätzliche, kontrolliert vergebene Rolle sinnvoll sein. Sie wird nur für den konkreten Auftrag aktiviert, protokolliert und danach wieder entzogen. Ob eine Freigabe durch eine zweite Person nötig ist, leitet das Unternehmen aus Schutzbedarf und Risikobewertung ab. Das Vier-Augen-Prinzip ist keine pauschale Pflicht für jede Wiederherstellung.
Mehrfachauswahl
Finde die unnötigen Berechtigungen
Nordufer prüft einen Entwurf. Welche Punkte widersprechen einer aufgabenbezogenen Rechtevergabe?
Alle passenden Antworten gefunden.
Die Auswahl ist noch nicht vollständig richtig.
Die Projektbearbeitung braucht kein Löschrecht in der Sicherung. Der Support braucht ohne fachlichen Grund keinen Lesezugriff auf Baupläne. Ein gemeinsames Administrationskonto erschwert Zuordnung, Entzug und Kontrolle. Das Schreibrecht des Sicherungsdienstes gehört dagegen zu seiner Aufgabe; das getrennte Alltagskonto reduziert die dauerhafte Nutzung administrativer Rechte.
Die Backup-Ablage braucht ein eigenes Schutzmodell
Ein Backup soll Verfügbarkeit unterstützen. Es enthält aber oft dieselben vertraulichen Informationen wie das Produktivsystem. Deshalb braucht die Ablage Schutz für drei Ziele:
- Vertraulichkeit: Unberechtigte Konten dürfen die gesicherten Baupläne nicht lesen.
- Integrität: Sicherungen dürfen nicht unbemerkt verändert oder durch falsche Daten ersetzt werden.
- Verfügbarkeit: Benötigte Sicherungen dürfen nicht unbefugt gelöscht oder zusammen mit dem Produktivbestand unbrauchbar gemacht werden.
Eine Kopie auf einem zweiten Speicherort allein löst diese Aufgaben nicht. Wenn dasselbe Konto Produktivdaten und alle Sicherungen ändern darf, bleibt eine gemeinsame Berechtigungsabhängigkeit. Der Speicher kann räumlich getrennt und logisch trotzdem über dieselbe Identität erreichbar sein.
Für Nordufer entsteht deshalb dieser Ablauf:
Der Sicherungsweg trennt Identitäten und Schreibrechte
Das Diagramm zeigt, welche Rolle auf Produktivdaten, Sicherungsdienst und geschützte Ablage zugreift.
Das Diagramm konnte nicht geladen werden. Die Textfassung darunter enthält denselben Ablauf.
Die Projektbearbeitung liest und ändert den Projektordner, erreicht aber nicht die Backup-Ablage. Der Sicherungsdienst liest die vorgesehene Quelle und schreibt eine neue Sicherung in die geschützte Ablage. Die Backup-Administration verwaltet das Sicherungsverfahren über eine eigene administrative Identität. Der Arbeitsplatz-Support betreut das Endgerät, ohne dadurch automatisch Zugriff auf Baupläne oder Sicherungen zu erhalten.
Der Schreibweg braucht zusätzliche Grenzen. Das BSI nennt für Datensicherungsmedien den Schutz vor unbefugtem Zugriff sowie vor absichtlichem oder versehentlichem Überschreiben und Löschen. Je nach Lösung kann die Ablage vorhandene Sicherungen für einen festgelegten Zeitraum unveränderbar halten. Bei kleineren Lösungen kann ein Datenträger außerhalb des Sicherungslaufs getrennt werden. Wichtig ist die nachweisbare Eigenschaft, nicht das Etikett des Produkts.
Verschlüsselung ergänzt diesen Schutz, wenn ein Speichermedium verloren geht oder Unbefugte an die gespeicherten Daten gelangen. Sie ersetzt die Rechtevergabe nicht. Ein berechtigtes oder kompromittiertes Konto kann verschlüsselte Daten im laufenden System oft trotzdem lesen oder löschen. Außerdem müssen benötigte Schlüssel getrennt, verfügbar und nur für berechtigte Rollen erreichbar sein.
Prüfe erlaubte und verbotene Handlungen
Ein Rollenmodell auf Papier zeigt eine Absicht. Erst ein Test zeigt, ob die technische Umsetzung dazu passt. Dafür braucht Nordufer zwei Arten von Prüfungen:
- Ein Positivtest bestätigt eine erlaubte Handlung. Das Dienstkonto kann zum Beispiel eine neue Sicherung schreiben.
- Ein Negativtest bestätigt, dass eine verbotene Handlung abgewiesen wird. Elenas Konto kann zum Beispiel weder die Backup-Ablage auflisten noch einen Sicherungssatz löschen.
Ein brauchbares Testprotokoll hält mindestens Testkonto, Ausgangszustand, Handlung, erwartetes Ergebnis, tatsächliches Ergebnis und Zeitpunkt fest. Sicherheitsrelevante Änderungen an Rollen und Berechtigungen gehören ebenfalls in einen nachvollziehbaren Prozess. Wenn Elena das Projekt wechselt, werden nicht mehr benötigte Rechte zeitnah entzogen. Wenn ein technisches Konto nicht mehr gebraucht wird, wird es deaktiviert.
Bausteinaufgabe
Baue eine nachvollziehbare Rechteprüfung
Bringe die Schritte vom Soll-Modell bis zur Entscheidung in eine belastbare Reihenfolge.
Ziehe die Einträge an die richtige Position. Geht auch per Tastatur über den Griff.
Die Reihenfolge stimmt.
Die Reihenfolge passt noch nicht.
Zuerst steht das erwartete Rechteprofil fest. Danach werden eindeutige Konten vorbereitet. Positiv- und Negativtests prüfen beide Seiten des Modells. Das Protokoll macht Abweichungen sichtbar; nach einer Korrektur werden die betroffenen Prüfungen wiederholt.
Schnellcheck
Triff Entscheidungen zum Zugriffsschutz
Entscheide dich bei jeder Frage. Du bekommst die Erklärung direkt nach deiner Antwort.
Geschafft
von 3
Situationen richtig eingeordnet.
Entwirf den Schutz für ein neues Szenario
Transferaufgabe
Entwirf Rollen und Kontrollen für eine geschützte Sicherungsablage
Ein Bildungsanbieter speichert Vertragsunterlagen in einer Fachanwendung. Sachbearbeitung, Anwendungssupport und ein technischer Sicherungsdienst arbeiten mit dem System. Die Sicherung liegt in einem getrennten Speicher, ist aber derzeit mit denselben Administrationsdaten wie die Fachanwendung erreichbar. Entwirf ein produktunabhängiges Schutzmodell.
Musterlösung vergleichen
Musterlösung: Die Vertragsunterlagen und ihre Sicherungen sind die Schutzobjekte. Die Sachbearbeitung darf Verträge in der Fachanwendung lesen und im vorgesehenen Prozess ändern. Sie erhält keinen Zugang zur Backup-Verwaltung und keinen Zugriff auf Sicherungssätze. Der Anwendungssupport verwaltet die Anwendung über persönliche Administrationskonten. Ein regulärer Supportauftrag begründet weder das Lesen aller Vertragsinhalte noch das Löschen von Sicherungen.
Der technische Sicherungsdienst erhält eine eigene Identität. Sie darf die festgelegte Quelle lesen und neue Sicherungen in die Ablage schreiben. Vorhandene Sicherungssätze kann das normale Dienstkonto nicht ändern oder löschen. Die Backup-Administration verwendet eine getrennte Rolle für Konfiguration und kontrollierte Sonderfälle. Eine zusätzliche technische Schutzfunktion verhindert für die festgelegte Aufbewahrungsdauer das Überschreiben oder Löschen durch den normalen Sicherungsweg. Benötigte Schlüssel und Wiederherstellungszugänge werden getrennt geschützt und einer verantwortlichen Rolle zugeordnet.
Ein Positivtest bestätigt, dass der Sicherungsdienst einen neuen Sicherungssatz schreiben kann. Ein erster Negativtest bestätigt, dass die Sachbearbeitung die Backup-Ablage weder auflisten noch lesen kann. Ein zweiter Negativtest bestätigt, dass das Dienstkonto einen vorhandenen Sicherungssatz nicht überschreiben oder löschen kann. Das Protokoll nennt Konto, Handlung, erwartetes und tatsächliches Ergebnis sowie den Zeitpunkt. Abweichungen werden korrigiert und erneut geprüft.
Was du aus dem Rollenmodell mitnimmst
Zutritt regelt physische Bereiche, Zugang die Nutzung von Systemen und Zugriff die Nutzung von Daten und Funktionen. Authentisierung stellt fest, welche Identität handelt. Autorisierung entscheidet danach, welche Handlungen erlaubt sind.
Ein geschütztes Backup braucht deshalb mehr als einen erfolgreichen Sicherungslauf. Die Ablage enthält schutzbedürftige Daten und muss vor unbefugtem Lesen, Ändern, Überschreiben und Löschen geschützt werden. Getrennte Rollen und technische Konten reduzieren unnötige gemeinsame Abhängigkeiten zwischen Arbeitsplatz, Produktivdaten und Sicherung.
Die Umsetzung ist erst dann nachvollziehbar, wenn erlaubte Handlungen funktionieren und verbotene Handlungen zuverlässig abgewiesen werden. Positiv- und Negativtests verbinden das Rollenmodell mit einem prüfbaren Ergebnis.
Quellenbasis und Abgrenzung
Die Einordnung in Lernfeld 4 folgt dem KMK-Rahmenlehrplan. Dort werden Schutzbedarf, Sicherheitsmaßnahmen und ihre Dokumentation im eigenen Arbeitsbereich verbunden. Die Berufsbildposition A6 der Fachinformatikerausbildungsverordnung verlangt, Sicherheitsanforderungen zu analysieren, Maßnahmen umzusetzen und ihre Wirksamkeit zu prüfen. Der AP1-Prüfungskatalog nennt bei der Umsetzung eines arbeitsplatzbezogenen Sicherheitskonzeptes sowohl Datensicherungsverfahren als auch Zugangs- und Zugriffskontrolle. Der Katalog zeigt die Themenbreite, garantiert aber keine Aufgabe in einem bestimmten Prüfungstermin.
Der BSI-Baustein ORP.4 trägt die Aussagen zu eindeutigen Identitäten, aufgabenbezogener Rechtevergabe, Dokumentation und Funktionstrennung. Die BSI-Umsetzungshinweise zu CON.3 tragen den Schutz der Sicherungsmedien vor unbefugtem Zugriff, Überschreiben und Löschen. Begriffe, Unternehmen, Rollen und Testfälle dieser Lektion wurden neu formuliert.
Diese Lektion behandelt den Zugriffsschutz eines Arbeitsplatzes und seiner Sicherungsablage. Sie vertieft weder die Auswahl zwischen Voll-, inkrementeller und differenzieller Sicherung noch RPO, RTO, Wiederherstellungsdauer oder den vollständigen Restore-Test. Diese Planungsfragen gehören zur Lektion “Backup und Restore für einen Dienst planen”. Produktspezifische Rechte, Verschlüsselungsverfahren, Schlüsselmanagement, Aufbewahrungsfristen und Notfallrollen müssen zusätzlich aus dem konkreten Schutzbedarf und den betrieblichen Vorgaben abgeleitet werden.
Belegmatrix
- Zutritt, Zugang und Zugriff unterscheiden: LF4 und A6 bilden den Ordnungsmittelbezug. Der BSI-Baustein ORP.4 trägt die fachliche Abgrenzung. Einstieg, Erklärung und Zuordnungsaufgabe machen das Lernziel beobachtbar.
- Berechtigungen begründet zuordnen: LF4, A6 und T1 bilden den Ordnungsmittelbezug. Der AP1-Prüfungskatalog und ORP.4 tragen Zugangs- und Zugriffskontrolle, Erforderlichkeitsprinzip sowie geringste Berechtigungen. Rollenvergleich und Mehrfachauswahl bilden die Anwendung.
- Backup-Ablage schützen: LF4, A6 und T1 bilden den Ordnungsmittelbezug. Der AP1-Prüfungskatalog sowie die BSI-Umsetzungshinweise zu CON.3 tragen Datensicherung, getrennte Rechte und den Schutz vor Lesen, Überschreiben und Löschen. Diagramm und Szenario verbinden die Maßnahmen.
- Wirksamkeit prüfen: A6 verlangt die Wirksamkeitsprüfung. ORP.4 trägt Dokumentation und Kontrolle der Rechte. Bausteinaufgabe, Quiz und Transferaufgabe prüfen erlaubte sowie verbotene Handlungen.
Durchgearbeitet?
Markiere die Lektion als erledigt, dein Fortschritt wird lokal gespeichert.