Zurück zu den Anforderungen

Berechtigungen nach Rollen vergeben

Identitäten & Zugriffe

Stand 20.01.2026teilweisekritisch

Bewertung durch HoliSec (alle Quellen) · Lauf vom 20.01.2026 · Verantwortlich: IT-Leitung (Daniel Steiner)

IST-Zustand

Fileserver-Freigaben 'daten' und 'progs' auf Abteilungsgruppen eingeschränkt, public_dir entfernt. Offen: Berechtigungskonzept und MetaBDE-Autorisierung (Entwickler beauftragt).

Soll-Zustand

Role Based Access umgesetzt

Empfehlung

Serverseitige Rollenprüfung in MetaBDE, Freigaben nach Gruppen, schriftliches Konzept.

Aussage aus dem Gespräch

  • Berechtigungen auf dem Fileserver nach Abteilungsgruppen, historisch gewachsen; in MetaBDE und ERP vergeben die Key-User Rollen. Kein schriftliches Konzept.

Aussagen belegen den Ist-Zustand; die Bewertung erfolgt aus der Erhebung.

Evidenz

Dokumente

Noch keine Dokumente zu dieser Anforderung – z. B. Richtlinie, Netzplan, Vertrag oder Foto als Nachweis.

Technische Prüfpunkte

Datenbank srv-bdedb01Datenbank-Prüfung
StatusPrüfpunktIst-ZustandSoll
teilweiseBerechtigungsmodell in der DB (Rollen/Claims)35 Identity-Rollen, 157 User-Claims, 24 Claim-Beschreibungen, zusätzlich Legacy aspnet_Roles (31) + adr_GruppenBerechtigung (4.498 Zeilen) — zwei parallele Berechtigungssysteme, keine Spalten-/Zeilen-Trennung für Credential-Felder (Passwort steht in derselben Tabelle wie die Doku)ein konsistentes Rollenmodell; Zugangsdaten getrennt von Doku mit eigener Berechtigung + Zugriffs-Audit
Datei-Freigaben (srv-bde01)Datei-Freigaben
StatusPrüfpunktIst-ZustandSoll
erfülltFreigaben ohne Jeder-/Everyone-Vollzugriffkeine (public_dir entfernt, www nur IIS-Dienstkonto)keine Everyone/Jeder-Vollzugriff-Freigaben
erfülltKeine breiten Share-Rechte (Auth. Users/Everyone: Change/Full)keine breiten Share-RechteLeast-Privilege je Gruppe/Abteilung
erfülltNTFS-Root ohne breite Schreibrechtekeine breiten NTFS-Rechtekeine Everyone/Auth-Users Write/Modify auf Freigabe-Root
teilweiseSMB-Signing erzwungennicht erzwungenRequireSecuritySignature = true
erfülltSMBv1 deaktiviertdeaktiviertSMBv1 deaktiviert
Datei-Freigaben (srv-file01)Datei-Freigaben
StatusPrüfpunktIst-ZustandSoll
erfülltFreigaben ohne Jeder-/Everyone-Vollzugriffkeine Freigaben mit Jeder-/Everyone-Vollzugriffkeine Everyone/Jeder-Vollzugriff-Freigaben
erfülltKeine breiten Share-Rechte (Auth. Users/Everyone: Change/Full)daten/progs auf Abteilungsgruppen (Lesen/Ändern) eingeschränktLeast-Privilege je Gruppe/Abteilung
erfülltNTFS-Root ohne breite Schreibrechtekeine breiten NTFS-Rechtekeine Everyone/Auth-Users Write/Modify auf Freigabe-Root
teilweiseSMB-Signing erzwungennicht erzwungenRequireSecuritySignature = true
erfülltSMBv1 deaktiviertdeaktiviertSMBv1 deaktiviert
Web-Anwendung metabdeWeb-Audit
StatusPrüfpunktIst-ZustandSoll
nicht erfülltAutorisierung erzwingt Rollentrennung (kein Forced Browsing)Eingeloggt mit Testuser 'holisec' (nur Basisrollen News+MetaBDE, KEINE Admin-Rolle), 14.10.2025: SiteMapLogin ordnet Seiten Rollen zu, steuert aber nur die Menüsichtbarkeit — die .aspx-Seiten prüfen serverseitig nicht; /admin/Users, /m5/erloese und /M5/nw/editVSwitch per Direktlink erreichbarserverseitige Rollenprüfung auf JEDER Seite; eingeschränkter User erreicht keine Admin-/Doku-Seiten per direktem Aufruf

Maßnahmen

Verlauf

  1. Maßnahme angelegt: Berechtigungskonzept erstellen
    27.10.2026, 18:55
  2. Lauf vom 20.1.2026: teilweise
    20.10.2026, 07:15
  3. Lauf vom 16.12.2025: teilweise
    20.10.2026, 07:15
  4. Lauf vom 18.11.2025: teilweise
    20.10.2026, 07:15
  5. Lauf vom 14.10.2025: nicht erfüllt
    20.10.2026, 07:15
  6. Maßnahme angelegt: Berechtigungskonzept erstellen
    20.10.2026, 07:15
  7. Maßnahme angelegt: MetaBDE: serverseitige Autorisierung
    20.10.2026, 07:15

Kommentare

Noch keine Kommentare.