Zugriffsrichtlinien und Segmentierung

1) Zweck und Grundsätze

Das Ziel: das Risiko von Lecks/Betrug und regulatorischen Konsequenzen durch strenge „Wer, Was und Warum hat Zugang“ -Kontrollen mit Nachweisbarkeit für Audits zu minimieren.
Prinzipien: Least Privilege (Minimum an Rechten), Need-to-Know, Zero Trust, Segregation of Duties (SoD), Just-in-Time (JIT), Rückverfolgbarkeit und Widerrufbarkeit des Ein-Klick-Zugriffs.

2) Datenklassifizierung und Schutzniveaus

3) Zugangsmodell: RBAC + ABAC

RBAC (Rollen): Grundmatrix „Rolle → Auflösung“.
ABAC (Attribute): Kontextregeln (Zuständigkeit des Spielers/Betreibers, Segment der Umgebung, Empfindlichkeit des Sets, Änderung/Zeit, Gerät, KYC-Validierungsstufe, Dienstaufgabe/Zweck).

• Der Marketing-Analyst kann die' events _ '-Tabellen nur für Länder lesen, in denen eine Zustimmung zur Analyse besteht, nur werktags 08: 00-21: 00, nur aus dem Unternehmensnetzwerk/MDM-Gerät, keine PII-Felder (Maskierung aktiviert).

4) SoD - Aufgabenteilung (Fraud und Compliance)

5) JIT, break-glass и PAM

JIT (Just-in-Time): Erhöhte Rechte werden für ein begrenztes Intervall (15-120 min) für eine bestimmte Aufgabe erteilt und automatisch widerrufen.
Break-glass: Notzugang über separates Verfahren (MFA + zweite Bestätigung + obligatorische Purpose-Indikation), komplette Sitzungsaufzeichnung und Nachrevue.
PAM: für Admin-Konten - Passwortspeicher, Verhaltensanalyse, Schlüssel-/Geheimnisrotation, Session-Proxy mit Aufzeichnung.

6) Segmentierung: Medium, Netzwerk und Logik

6. 1 Mittwoch: 'prod' ≠' stage' ≠ 'dev'. Prod-Daten werden nicht in stage/dev kopiert; synthetische oder pseudonymisierte Sets verwendet werden.

• Edge/WAF/CDN → App-Zone → Data-Zone (DWH/DB) → Secrets/KMS.
• Der Zahlungsumkreis (PSP/Karten) ist vom allgemeinen Prod isoliert; CUS/Sanktionen sind ein separates Segment.
• 6. 3 Logische Segmentierung: Namespaces (K8s), tenant-IDs, DB/Datenverzeichnis-Schemata, separate Verschlüsselungsschlüssel per tenant/region.
• 6. 4 Geo-Segmentierung: Lagerung/Verarbeitung nach Standort (EC/UK/...); Routen von Guides und Schlüsseln durch die Region.

7) Zugang von Anbietern und Partnern

Mechanik: einzelne B2B-Tenanten/Accounts, minimale API-Skope, mTLS, allow-list IP, Zeitfenster.
Verträge: DPA/SLA (Zeitschriften, Aufbewahrungsfristen, Geografie, Vorfälle, Subprozessoren).
Offboarding: Schlüsselrückruf, Löschbestätigung, Schließungsakt.
Überwachung: Warnungen für anomale Mengen, Verbot von Massenexporten.

8) Prozesse (SOP)

8. 1 Zugangsanfrage/Änderung

1. Bewerbung bei IDM/ITSM mit Purpose und Deadline.
2. SoD/Jurisdiktion/Datenklasse Autoprüfung.
3. Genehmigung durch den Domaininhaber + Sicherheit/Compliance (falls eingeschränkt +).
4. Ausgabe von JIT/permanentem Zugriff (Mindestsatz).
5. Journaling: wer/wann/was ausgestellt wurde; Datum der Überarbeitung.

8. 2 Regelmäßige Überprüfung (Rezertifizierung)

Vierteljährlich: Die Eigentümer bestätigen die Rechte der Gruppen; Selbstwiderruf nicht genutzter Rechte (> 30/60 Tage).

8. 3 Datenexport

Nur über genehmigte Pipelines/Showcases, über White-List-Formate (CSV/Parkett/JSON), Standard-Maskierung, Signatur/Hash, Upload-Log.

9) Gerätepolitik und Kontext

MDM/EMM: Zugriff auf Restricted/Highly Restricted nur von verwalteten Geräten.
Kontextuelle Signale: Geo, Geräte-Risiko-Score, Tageszeit, MFA-Status, IP-Reputation - als ABAC-Attribute.
Browser-Erweiterungen/Screen Capture: Kontrolle und Protokoll, Verbot für empfindliche Konsolen.

10) Beispiele für Richtlinien (Fragmente)

10. 1 YAML (Pseudo) - ABAC für Marketing Analytics

yaml policy: read_analytics_no_pii subject: role:marketing_analyst resource: dataset:events_
condition:
consent: analytics == true data_class: not in [Restricted, HighlyRestricted]
network: in [corp_vpn, office_mdm]
time: between 08:00-21:00 workdays effect: allow masking: default logging: audit_access + fields_scope

10. 2 SQL-Masking (Idee)

sql
SELECT user_id_hash,
CASE WHEN has_priv('pii_read') THEN email ELSE mask_email(email) END AS email_view
FROM dwh. users;

11) Überwachung, Protokolle und Warnungen

Audit trails: `READ_PII`, `EXPORT_DATA`, `ROLE_UPDATE`, `BREAK_GLASS`, `PAYMENT_APPROVE`.
KRIs: Zugriffe ohne' purpose'= 0; Versuche, Highly Restricted außerhalb des Fensters zu erreichen; Anteil der gescheiterten SoD-Prüfungen; anomale Entladungen.
KPI:% der Anfragen mit JIT ≥ 80%; durchschnittliche Zugriffszeit ≤ 4 Stunden; Rezertifizierung 100%.
SOAR-Playbooks: Auto-Rückruf bei Drohungen, Tickets zur Untersuchung.

12) Compliance (Kurzkarte)

DSGVO/UK DSGVO: Minimierung, Need-to-Know, DSAR-Kompatibilität, PII-Audit.
AML/KYC: Zugang zu CUS/Sanktionen - nur für trainierte Rollen, Entscheidungsprotokoll.
PCI DSS (falls zutreffend): Trennung des Zahlungsbereichs, Verbot der Speicherung von PAN/CSC, separate Schlüssel/Hosting.
ISO/ISMS: Formalisierte Zugangsrichtlinien, jährliche Audits und Tests.

13) PACI

14) Reifegradkennzahlen

Die Abdeckung kritischer Datensätze durch ABAC-Regeln ≥ 95%.
JIT-Sitzungen/alle Erhöhungen ≥ 90%.
Die Widerrufszeit für den Zugang durch Offboarding ≤ 15 Min.
0 Vorfälle „Rolle ≠ Funktion“ (SoD).
100% der Zugriffsprotokolle sind verfügbar und verifiziert (Signatur/Hash).

15) Checklisten

15. 1 Vor der Erteilung des Zugangs

• Zweck, Laufzeit und Eigentümer der Daten festgelegt
• Überprüfung der SoD/Jurisdiktionen bestanden
• Minimale Skope/Masking enthalten
• MFA/MDM/Netzbedingungen erfüllt
• Protokollierung und Revisionsdatum konfiguriert

15. 2 Quartalsübersicht

• Abstimmung von Gruppen und Rollen mit der Organisationsstruktur
• Automatische Rücknahme von „hängenden“ Rechten
• Überprüfung von anormalen Ausfuhren und Bruchglas
• Schulung und Testalerts

16) Typische Szenarien und Maßnahmen

A) Die neue Rolle des „VIP-Managers“

Zugang zu VIP-Profilen (maskiert), Exportverbot, JIT für einmalige KYC-Ansicht über Ticket.

B) BI-Vendor-Audit

read-only zu Schaufenstern ohne PII, temporäre VPN + allow-Liste, Verbot der lokalen Speicherung, Upload-Log.

C) Notfall-DevOps-Zugriff auf prod-DB

break-glass ≤ 30 min, session recording, post-review mit DPO/Compliance, CAPA bei Verstößen.

17) Umsetzungsfahrplan

Woche 1-2: Daten-/Systeminventar, Datenklassen, Basis-RBAC-Matrix, SoD.
Woche 3-4: Einführung von ABAC (erste Attribute: Medium, Geo, Datenklasse), IDM-Streams, JIT/Break-Glass, PAM.
Monat 2: Zahlungs- und KYC-Perimeter-Segmentierung, separate Schlüssel/KMS, Exportprotokolle, SOAR-Warnungen.
Monat 3 +: vierteljährliche Re-Zertifizierungen, Erweiterung der Attribute (Gerät/Risiko), Automatisierung der Maskierung, regelmäßige Übungen.

TL; DR

Robustes Zugriffsmodell = Datenklassifizierung → RBAC + ABAC → SoD + JIT/PAM → starre Segmentierung → Protokolle und Alerts. Dies reduziert die Wahrscheinlichkeit von Lecks und Missbrauch, beschleunigt die Prüfung und hält die Plattform innerhalb der Grenzen von GDPR/AML/PCI und internen Standards.