Least Privilege: Das Prinzip der geringsten Rechte einfach erklärt

Least Privilege, auf Deutsch das Prinzip der geringsten Rechte, bedeutet: Jede Person, jede Anwendung und jedes Konto erhält nur die Rechte, die für die aktuelle Aufgabe nötig sind, und nur so lange, wie sie gebraucht werden. Das NIST beschreibt es als Sicherheitsprinzip, nach dem jede Einheit nur die minimal nötigen Berechtigungen und Ressourcen erhält. So richtet ein gestohlenes Konto, Schadsoftware oder ein Bedienfehler weniger Schaden an. In der Praxis heißt das: Rollen statt Einzelrechte, keine lokalen Administratorrechte im Alltag, zeitlich begrenzte Adminrechte und regelmäßige Überprüfungen.

Wenn ein Audit nach dem Prinzip fragt oder die Admin-Gruppe immer größer wird, finden Sie unten die Umsetzung Schritt für Schritt.

Was bedeutet Least Privilege?

Der Gedanke ist alt: Wer einen Bericht lesen muss, braucht kein Recht, ihn zu ändern. Wer die Buchhaltung betreut, braucht keinen Zugriff auf die Personalakten. Das Prinzip gilt nicht nur für Menschen, sondern auch für Dienstkonten, Skripte, Anwendungen und KI-Agenten.

Oft fällt auch der Begriff Need-to-know. Er bezieht sich auf Informationen, Least Privilege auf alle Rechte, also auch das Installieren, Ändern und Löschen.

Warum das Prinzip so viel bringt

• Kleinerer Schaden: Angreifer können nur das, was das übernommene Konto darf. Ein normales Konto ist ein begrenztes Problem, ein Domänen-Administrator nicht.
• Bremst Ransomware: Schadsoftware breitet sich mit den Rechten aus, die sie vorfindet.
• Weniger Fehler: Wer etwas nicht löschen darf, löscht es auch nicht aus Versehen.
• Einfachere Prüfungen: ISO/IEC 27001, NIST SP 800-53 (AC-6) und PCI DSS verlangen, dass Zugriffe zur Aufgabe passen.
• Datenschutz: Art. 5 und Art. 32 DSGVO verlangen Datensparsamkeit und angemessene Schutzmaßnahmen. Wer weniger sehen kann, kann auch weniger preisgeben.

Least Privilege, Zero Trust und RBAC

Wie Rechte sich unbemerkt anhäufen

Niemand beschließt, jemandem zu viele Rechte zu geben. Es passiert schrittweise: Bei einem Abteilungswechsel kommen neue Rechte hinzu, die alten bleiben. Adminrechte für ein Projekt werden nie zurückgenommen. Neue Mitarbeitende erhalten "dieselben Rechte wie Sam" und damit alles, was Sam in fünf Jahren gesammelt hat. Dieser Effekt heißt Privilege Creep, und deshalb reicht eine einmalige Aufräumaktion nicht. Mehr dazu steht im Beitrag Excessive Permissions (englisch).

Least Privilege umsetzen

1. Bestand aufnehmen: Welche Konten, Gruppen und Dienste gibt es? Beginnen Sie mit Domain Admins, globalen Administratoren in Microsoft Entra ID und lokalen Administratoren auf Laptops.
2. Unbenutztes entfernen: Konten ohne Anmeldung seit 60 bis 90 Tagen und Rechte, die niemand nutzt, sind der einfachste Gewinn.
3. Rollen bilden: Legen Sie Rollen nach Aufgaben fest, etwa Helpdesk, Endpoint-Admin oder Finanzen lesend. Neue Rechte vergeben Sie über die Rolle.
4. Admin- und Alltagskonten trennen: E-Mail und Web laufen über ein normales Konto, Adminarbeit über ein eigenes.
5. Adminrechte befristen: Just-in-time-Zugriff gibt Rechte auf Antrag für kurze Zeit. Microsoft Entra Privileged Identity Management bietet das für Entra- und Azure-Rollen an.
6. Lokale Adminrechte entziehen: Normale Nutzer arbeiten als Standardnutzer. Apps kommen zentral, und Windows LAPS gibt jedem PC ein eigenes, wechselndes Administratorpasswort.
7. Dienstkonten begrenzen: Jedes Konto bekommt einen Eigentümer, nur die nötigen Rechte und, wo möglich, keine interaktive Anmeldung.
8. Regelmäßig prüfen: Prüfen Sie privilegierte Zugriffe vierteljährlich, alle übrigen mindestens zweimal im Jahr und immer beim Rollenwechsel.

Beispiele aus dem Alltag

Woran es in der Praxis hakt

• Beschwerden: Wer plötzlich keine Rechte mehr hat, ruft an. Bieten Sie deshalb einen schnellen Antragsweg und verteilen Sie Apps zentral.
• Rollenexplosion: Zu viele fein geschnittene Rollen lassen sich kaum noch pflegen. Starten Sie grob und verfeinern Sie nur, wo es nötig ist.
• Alte Anwendungen: Manche Software verlangt Adminrechte. Klären Sie mit dem Hersteller, welche Rechte sie wirklich braucht.
• Notfälle: Halten Sie zwei geschützte Notfallkonten bereit, damit niemand Rechte "für alle Fälle" behält.
• Mitbestimmung: Protokolle über Zugriffe können Verhalten zeigen. In Betrieben mit Betriebsrat stimmen Sie die Auswertung ab.

So messen Sie den Fortschritt

• Zahl der Personen in den mächtigsten Admin-Gruppen
• Anteil der Geräte, auf denen Nutzer lokale Administratoren sind
• Anteil der Rechte, die über Rollen statt einzeln vergeben sind
• Abschlussquote der regelmäßigen Zugriffsprüfungen
• Zeit, bis Rechte nach einem Austritt oder Wechsel entfernt sind

Least Privilege auf Windows, Mac und Linux

Beispiel: Ein Laptop wird kompromittiert

Eine Mitarbeiterin öffnet einen schädlichen Anhang. Ist sie lokale Administratorin, kann die Schadsoftware den Virenschutz abschalten, sich dauerhaft einnisten und Anmeldedaten aus dem Speicher lesen. Waren dort auch die Daten eines Domänen-Administrators, geht es weiter bis zum ganzen Netz. Das beschreibt unser Beitrag zu Pass-the-Hash-Angriffen.

Ist sie Standardnutzerin und meldet sich kein Administrator an diesem Gerät an, bleibt der Schaden deutlich kleiner: Die Schadsoftware kann ihre Dateien erreichen, sich aber schwerer im System festsetzen, und höhere Konten liegen nicht im Speicher. Das Prinzip verhindert den Vorfall nicht, begrenzt aber seine Reichweite und gewinnt Zeit.

Least Privilege für Dienstkonten und KI-Agenten

Dienstkonten werden oft mit weiten Rechten angelegt, damit eine Einrichtung schnell klappt, und niemand schaut wieder hin. Sie haben häufig dauerhafte Passwörter und keinen zweiten Faktor. Das macht sie zu lohnenden Zielen. Geben Sie jedem Konto einen Eigentümer, begrenzen Sie die Rechte auf eine Aufgabe und nutzen Sie, wo es geht, verwaltete Identitäten statt fester Passwörter.

Dasselbe gilt für Integrationen und Anwendungen mit OAuth-Zugriff: Eine App, die eine einzige Liste braucht, sollte nicht alle Postfächer lesen dürfen. Auch KI-Werkzeuge und Agenten erben häufig die Rechte der Person, die sie startet, und können damit mehr Daten sehen, als gedacht war. Prüfen Sie, worauf solche Werkzeuge zugreifen, bevor Sie sie breit freigeben.

Verwaltung auf vielen Geräten

Das Prinzip gilt auch für die Werkzeuge der IT selbst. In trio.so erhalten IT-Mitarbeitende den Zugriff auf die Konsole über Rollen, ein bis drei je Person: integrierte Rollen wie Endpoint Admin, Patch Operator, Service Desk Agent oder Auditor oder eigene Rollen für Ihr Team. Außerdem verteilt trio.so Apps zentral auf registrierte Macs, damit Nutzer dafür kein Administratorpasswort brauchen.

Weiterführend: Identitätsmanagement, Multi-Faktor-Authentifizierung und Pass-the-Hash-Angriffe verhindern.