Rollendelegierung und Zugriffe

(Abschnitt: Operationen und Management)

1) Warum rollenbasierte Delegierung

Ziel ist es, jedem Teilnehmer (Mitarbeiter, Partner, Service) genau so viele Rechte zu geben, wie er benötigt und genau so viel Zeit wie nötig, bei voller Nachvollziehbarkeit der Aktionen. Dies reduziert das Risiko von Leckagen und Missbrauch, beschleunigt das Onboarding und die Passage von Audits.

2) Zugriffsmodell: Ebenen und Domänen

Zugriffsdomänen: Personen (Konsole/Panels), Dienste (Maschinentoken), Daten (Tabellen/Objekte), Infrastruktur (Cloud/K8s), Gegenparteien (externe Integrationen), Regionen/Tenanten.
Vertrauensstufen: öffentlich → intern → geschützt (PII/Finanzen) → besonders kritisch (Schlüssel/Auszahlungen).
Einsatzbereiche: prod/staging/sandbox; Regel „von „unten“ nach „oben“ - nur über zugelassene Pipelines“.

3) Berechtigungsmodelle

RBAC: Rollen sind an Aufgaben gebunden („Content Editor“, „Payment Operator“). Einfacher Start, leicht zu überprüfen.
ABAC: Richtlinien für Subjekt-/Ressourcen-/Kontextattribute (Region, Tenant, Shift, Device, Risk Scoring).
ReBAC (relationship-based): Rechte folgen aus Links (Projektinhaber, Teammitglied).
Hybrid: RBAC für Basismatrix, ABAC für Context Constraints, ReBAC für Ownership.

4) Minimal erforderlicher Zugang (Least Privilege)

Start - Minimale Standardrollen (nur lesen, keine PII).
Die Erhöhung erfolgt nur über einen Antrag mit Begründung, Frist und Eigentümer.
Zeitlimit (TTL): Rechte „schmelzen“ automatisch; Verlängerung - bewusst.
Kontext-Guard-Rails: Region/Tenant, Öffnungszeiten, Gerät, Geo.

5) Aufgabenteilung (SoD)

• „Setzt Grenzen“ ≠ „genehmigt Grenzen“.
• „Bereitet die Auszahlung vor“ ≠ „unterschreibt die Auszahlung“.
• „Schreibt Code“ ≠ „wird in Prod veröffentlicht“.
• „Admin DB“ ≠ „liest PII in der Analytik“.
• Implementieren Sie SoDs in Richtlinien und in den Prozessen selbst (Dual Subscription, M-of-N).

6) JML-Prozesse (Joiner/Mover/Leaver)

Joiner: automatische Zuweisung von Basisrollen nach Position/Team/Region, Checkliste der Zugriffe in 24h.
Mover: Rollenüberprüfung bei Team-/Projektwechsel; automatische Aufhebung der „alten“ Rechte.
Leaver: Rückruf von Sitzungen, Schlüsseln, Token; Neuerscheinung von Geheimnissen, Übertragung von Besitztümern durch Artefakte.

7) Temporäre Privilegien: JIT/PAM

Just-In-Time (JIT): Anhebung der Antragsrechte für 15 bis 240 Minuten mit MFA und Begründung per Ticket.
PAM (Privileged Access Management): Proxy/Login „unter dem Shell-Konto“, Sitzungsaufzeichnung, Befehlsprotokoll.
Break-glass: Notzugang mit Instant Alert, kurzer TTL und obligatorischem Post-Mortem.

8) Service-Identitäten und Schlüssel

Service Accounts: getrennt für jeden Service und Umgebung, keine geteilten Geheimnisse.
Workload Identity: Verknüpfen von Token mit einem Pod/Wire/einer Funktion; Kurz lebendiges Credo.
Geheimnisse: KMS/Vault, Rotation, Verschlüsselung mit zwei Konturen, Verbot von Protokollen.
Signatur-/Auszahlungsschlüssel: Threshold/MPC, Hardware-HSMs, Vertrauensdomänen-Diversität.

9) SSO/MFA/SCIM und der Lebenszyklus von Konten

SSO: IdP (SAML/OIDC), Single Sign-On, zentralisierte Passwort-/Geräterichtlinien.
MFA: obligatorisch für Administratoren/Finanzen/PII; vorzugsweise FIDO2.
SCIM: Automatische Erstellung/Löschung/Änderung von Accounts und Gruppen.
Device Posture: bedingter Zugriff nach Gerätestatus (Festplattenverschlüsselung, EDR, aktuelle Patches).

10) Policies-as-Code und Verifizierung

OPA/Autorisierungsdienst: Richtlinien in Form von Code (Rego/JSON), Revue passieren durch PR, Tests.
Driftkontrolle: Regelmäßige Vergleiche „deklariert gegen sachlich“.
Vor-Flug-Kontrollen: „Wird die Politik eine solche Operation zulassen?“ - Testen Sie die Fälle vor der Veröffentlichung.

11) Zugriff auf Daten

Die Klassifikation: pablik / wnutr / beschränkt / PII/Finanzen.
Druck „Minimum“: Aggregate/Masken statt „Rohdaten“; PII-Anfragen - nur über genehmigte Jobs.
Tokenization/DE-ID: ID-Ersetzung, Prüfung von Anfragen.
Schichten: Prod → Repliken → Vitrinen → Aggregate; direkter Zugriff auf die Prod-DB - nur JIT/PAM.

12) Cloud, K8s, Netzwerke

Cloud IAM: Rollen pro Konto/Projekt; Standardmäßige „Admin“ -Sperre; Einschränken von Aktionen nach Tag/Ordner.
Kubernetes: RBAC auf Nijmspaces, PSPs/ähnliche Richtlinien ohne „privilegiert“, Image-Allowlist, Geheimnisse durch CSI, Service-Konten unter.
Netzwerk: Zero-Trust (mTLS, identity-aware), Zugriff auf Jump-Host - nur JIT, Aufzeichnung von SSH-Sitzungen.

13) Externe Partner und Integrationen

Isolierte Tenanten/Schlüssel, minimale OAuth2, kurze TTL-Token.
Webhooks: Signatur (HMAC/EdDSA), 'nonce + timestamp', schmales Empfangsfenster.
Schlüsselrotation nach Zeitplan, Rückruf bei Kompromittierung, Status-Endpunkte für „Gesundheit“.

14) Audit, Rezertifizierung, Berichterstattung

Immutability: WORM-Logs, Signaturen von Policy-Releases, Merkle-Slices.
Rezertifizierung: vierteljährliche Überprüfung kritischer Rollen, monatlich - Admin-Rechte.
Quarantäne-Rechte: „ungenutzte 60 Tage“ → Auto-Rückzug.
Evidence Pack: Entladen der Rollenmatrix, SoD-Alarme, JIT-Anwendungen, Aufzeichnen von PAM-Sitzungen.

15) Metriken und SLO

TTG (Time-to-Grant): Median der Zugriffserteilung nach Standardantrag (Ziel ≤ 4h).
Der Anteil der JIT-Zugänge unter den „Privilegierten“ (Ziel ≥ 80%).
SoD-violations: 0 in prod, Eliminationszeit ≤ 24h.
Orphan Rights:% der Nutzer mit redundanten Rechten (Ziel → 0. 0x%).
Rotation der Geheimnisse: Durchschnittsalter des Geheimnisses (Ziel ≤ 30 Tage für sensible).
Audit-Abdeckung: 100% privilegierte Aktivitäten mit Artefakten (Aufzeichnungen, Quittungen).

16) Dashboards

Access Health: aktive Rollen, Orphan Rights, JIT vs. Permanent.
PAM & Sessions: Anzahl der Vorzugssitzungen, Dauer, Erfolg der MFA.
SoD & Incidents: Sperrstatistik, Ursachen, MTTR.
Secrets & Keys: Alter, bevorstehende Rotation, „rote“ Schlüssel.
JML: SLA Onboarding/Offboarding, überfällige Anwendungen.
Audit Evidence: vierteljährlicher Rezertifizierungsstatus, vollständig 100%.

17) Playbooks der Vorfälle

Token/Key-Kompromittierung: sofortiger Rückruf, globale Nutzungssuche, Abhängigkeitsrotation, Retro-Audit in N Tagen.
SoD-Verletzung: Operationsblock, vorübergehende Deaktivierung der Rolle, Post-Mortem und Richtlinienänderung.
Nicht autorisierter PII-Zugriff: Isolation, DPO-Benachrichtigung, Leckage-Inventar, rechtliche Verfahren.
Escalation Missbrauch: JIT-Freeze für Subjekt/Team, Analyse von Anträgen/Begründungen, Anpassung der TTL-Limits.

18) Betriebspraktiken

Vier Augen auf die Erteilung/Änderung kritischer Rechte.
Rollenkatalog mit Beschreibung der Aufgaben, Risiken und zulässigen Aktivitäten.
Testumgebungen mit anonymisierten Daten und anderen Rollen.
Policy dry-run: Simulation der Auswirkungen von Änderungen vor der Anwendung.
GameDays über Zugriffe: „IdP-Verlust“, „PAM-Ausfall“, „Geheimleck“.

19) Checkliste Umsetzung

• Bilden Sie eine Rollentaxonomie und eine SoD-Matrix zu Schlüsselprozessen.
• Aktivieren Sie SSO + MFA für alle, SCIM-Threads für JML.
• PAM/JIT bereitstellen, Break-Glass mit Alert und Short TTL konfigurieren.
• Geben Sie Policies-as-a-Code (OPA), Revisionen über PR und Autotests ein.
• Separate Servicekonten und Workload-Identität; Verbot von geteilten Geheimnissen.
• Vault/KMS, regelmäßige Rotation von Geheimnissen und Schlüsseln, Verbot von Geheimnissen in Code/Logs.
• Trennen Sie Umgebungen und Regionen, konsolidieren Sie die Regeln für regionalübergreifende Zugänge.
• Führen Sie Dashboards und SLOs, monatliche Rezertifizierungsberichte.
• SoD-Scan des rechten Grafen durchführen und Eskalationspfade beseitigen.
• Regelmäßige Übungen und Post-Mortems mit Action-Elementen.

20) FAQ

RBAC oder ABAC?
RBAC ist die Basisschicht der Lesbarkeit, ABAC ist Kontext und Dynamik. Verwenden Sie einen Hybrid.

Brauche ich PAM, wenn es JIT gibt?
Ja: PAM bietet Sitzungsaufzeichnungen und verwaltete privilegierte Zugriffskanäle.

Wie kann man das „Kleben“ von Rechten reduzieren?
TTL auf Rollen, Auto-Entfernung ungenutzte, monatliche Rezertifizierung und SoD-Alerts.

Was tun mit externen Auftragnehmern?
Dedizierte Tenanten/Gruppen, begrenzte Scopes, kurze TTLs, obligatorische Berichte und Rezertifizierungen.

Zusammenfassung: Rollendelegation und Zugriffe sind keine „Reihe von Häkchen“, sondern ein Lebenszyklus von Rechten: minimal notwendige Rollen, SoD, JIT/PAM, Policy-as-Code, Beobachtbarkeit und regelmäßige Rezertifizierung. Eine solche Gliederung bietet schnelle Arbeit für Teams und vorhersehbare Sicherheit für Unternehmen und Audits.