Identitätsbasierter Zugriff und Profilerstellung

Identitätsbasierter Zugriff und Profilerstellung

Einleitung

Der identitätsbasierte Zugriff erweitert klassische rollenbasierte Modelle durch die direkte Verknüpfung von Identität, Kontext und Verhalten. Ziel ist es, nicht nur statische Berechtigungen zu prüfen, sondern auch dynamische Risiken anhand von Profilen und Verhaltensmustern zu bewerten.

Identitätsbasierter Zugriff (IBAC)

• Zugriffskontrolle erfolgt auf Grundlage der konkreten Benutzeridentität.
• Attribute wie Standort, Endgerät, Uhrzeit oder Sicherheitsstatus fließen in die Entscheidung ein.
• IBAC erlaubt eine feinere Granularität als rollenbasierter Zugriff (RBAC).

Beispiel

• Ein Benutzer darf nur von einem verwalteten Firmenlaptop und innerhalb der Arbeitszeiten auf interne Finanzdaten zugreifen.
• Ein Zugriff von einem privaten Gerät oder um 03:00 Uhr nachts wird blockiert oder mit zusätzlicher Authentifizierung abgesichert.

Profilerstellung im Kontext der Cybersicherheit

Baseline-Erstellung

• Profiling bedeutet die kontinuierliche Erfassung des üblichen Benutzerverhaltens.
• Daraus wird ein Referenzprofil („Baseline“) gebildet.

Wie die Baseline entsteht

• Lernphase von typischerweise zwei bis vier Wochen, damit Wochenrhythmus und wiederkehrende Abläufe erfasst sind.
• Häufigkeitsbasiert: ein Wert kam bisher nie vor (neues Land, neues Gerät, nie geöffnete Freigabe).
• Verteilungsbasiert: für zählbare Größen werden Mittelwert und Streuung gebildet, Ausreißer schlagen an.
• Vergleichsgruppen: Abgleich nicht nur mit der eigenen Vergangenheit, sondern mit Personen gleicher Funktion — nötig, weil pro Benutzer oft zu wenige Datenpunkte vorliegen.
• Beispielrechnung „unmögliche Reise“: zwei Anmeldungen, 600 km auseinander, 20 Minuten Abstand — das ergibt 1800 km/h und ist physikalisch ausgeschlossen.
• Einzelmerkmale erzeugen Fehlalarme. Praxistaugliche Systeme summieren mehrere auffällige Merkmale zu einem Risikowert und lösen erst ab einer Schwelle aus.

Anomalieerkennung

• Abweichungen vom Normalverhalten werden automatisch erkannt.
• Machine-Learning-Methoden verbessern die Genauigkeit von Erkennung und Bewertung.

Praxisbeispiele

• Ein Mitarbeiter meldet sich plötzlich aus einem anderen Land an → zusätzliche MFA-Abfrage.
• Ein Benutzer lädt große Datenmengen herunter, obwohl er das sonst nie tut → adaptive Sperre.
• Ein Administrator greift auf Systeme zu, die nicht in seinem Zuständigkeitsbereich liegen → Alarm an das SOC.
• Login außerhalb der Arbeitszeit, z. B. mitten in der Nacht → Auffälligkeit wird gemeldet.

Reaktion auf Verhaltensauffälligkeiten

Mögliche Maßnahmen

• Alarmierung des Security Operations Center (SOC).
• Automatisierte Quarantäne des Benutzerkontos.
• Erzwingen einer erneuten starken Authentifizierung.
• Einschränkung der Berechtigungen bis zur Klärung.

Beispielhafte Reaktionskette

1. Anomalie erkannt (z. B. ungewöhnlicher Login-Ort).
2. Automatische Sperre der Sitzung.
3. SOC erhält eine Benachrichtigung.
4. Untersuchung der Legitimität (z. B. Rückfrage beim Benutzer).
5. Entscheidung über Wiederfreigabe oder Eskalation.

Grenzen in der Praxis

• Vergiftete Lernphase: War ein Angreifer während der Baseline-Bildung aktiv, gilt sein Verhalten anschließend als normal.
• Basisratenproblem: Bei 10.000 Anmeldungen täglich und einem Prozent Fehlalarmquote entstehen 100 Fehlalarme pro Tag — bei ein bis zwei echten Vorfällen im Jahr. Systeme scheitern nicht an schlechter Erkennung, sondern daran, dass niemand mehr hinsieht.
• Normalverhalten ändert sich: Versetzung, neue Aufgabe, Übung, Urlaubsrückkehr sehen aus wie Anomalien.
• Fehlende Erklärbarkeit: Ein Alarm, dessen Zustandekommen niemand nachvollziehen kann, wird nicht bearbeitet.
• Konsequenz: überwachten Kreis klein halten (administrative Konten, Dienstkonten, Konten mit Zugriff auf besonders schutzbedürftige Daten) statt Vollabdeckung.
• Am zuverlässigsten funktioniert Profiling bei technischen Konten: ein Sicherungsauftrag tut jeden Tag dasselbe, eine interaktive Anmeldung dieses Kontos ist ohne jede Statistik ein Treffer.

Vorteile

• Früherkennung kompromittierter Konten.
• Reduzierung des Risikos durch Insider-Bedrohungen.
• Dynamische Anpassung der Zugriffskontrollen.
• Stärkung der Zero-Trust-Architektur.

Risiken und Datenschutz

• Profilerstellung muss DSGVO- und Compliance-konform umgesetzt werden.
• Transparenz gegenüber den Mitarbeitern ist entscheidend.
• Privacy-Preserving Machine Learning kann helfen, Sicherheit und Datenschutz zu verbinden.

Beteiligung der Interessenvertretung

• Jede Auswertung von Benutzerverhalten ist geeignet, Verhalten und Leistung Einzelner zu überwachen, und damit beteiligungspflichtig.
• Für zivile Beschäftigte greift die Mitbestimmung der Personalvertretung nach dem Bundespersonalvertretungsgesetz bei technischen Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind.
• Für Soldatinnen und Soldaten erfolgt die Beteiligung nach dem Soldatinnen- und Soldatenbeteiligungsgesetz über die Vertrauensperson.
• Übliche Inhalte einer Vereinbarung: Zweckbindung auf die Erkennung von Sicherheitsvorfällen, festgelegte Löschfristen, Mehr-Augen-Prinzip beim Zugriff auf personenbezogene Auswertungen, ausdrücklicher Ausschluss der Leistungskontrolle.
• Reihenfolge in der Praxis: erst die Beteiligung klären, dann die Technik aufbauen.

Fazit

Identitätsbasierter Zugriff kombiniert die strikte Prüfung der Benutzeridentität mit dynamischem Profiling. Durch die Erkennung von Abweichungen im Verhalten können Sicherheitsvorfälle frühzeitig erkannt und automatisch eingedämmt werden. Konkrete Beispiele – von ungewöhnlichen Logins bis hin zu massiven Datenabflüssen – zeigen, dass IBAC und Profiling nicht Theorie, sondern praktische Säulen moderner Unternehmenssicherheit sind.