Zurück zum Maßnahmenplan

Berechtigungskonzept erstellen

kritischVerantwortlich IT-Leitung (Daniel Steiner)Fällig —Angelegt 27.10.2026

Stand 20.01.2026offen

Abgeleitet aus IAM-08 Berechtigungen nach Rollen vergeben, IAM-04 Dienstkonten dokumentiert und minimal berechtigt, AD-02 Administratoren des Verzeichnisdienstes auf das Minimum reduziert.

teilweise
IST
Fileserver-Freigaben 'daten' und 'progs' auf Abteilungsgruppen eingeschränkt, public_dir entfernt. Offen: Berechtigungskonzept und MetaBDE-Autorisierung (Entwickler beauftragt).
Empfehlung
Serverseitige Rollenprüfung in MetaBDE, Freigaben nach Gruppen, schriftliches Konzept.
Konkret zu ändern
Web-Anwendung metabdeWeb-Audit
  • Autorisierung erzwingt Rollentrennung (kein Forced Browsing)– ist: Eingeloggt mit Testuser 'holisec' (nur Basisrollen News+MetaBDE, KEINE Admin-Rolle), 14.10.2025: SiteMapLogin ordnet Seiten Rollen zu, steuert aber nur die Menüsichtbarkeit — die .aspx-Seiten prüfen serverseitig nicht; /admin/Users, /m5/erloese und /M5/nw/editVSwitch per Direktlink erreichbar· soll: serverseitige Rollenprüfung auf JEDER Seite; eingeschränkter User erreicht keine Admin-/Doku-Seiten per direktem Aufruf
Datei-Freigaben (srv-bde01)Datei-Freigaben
  • SMB-Signing erzwungen– ist: nicht erzwungen· soll: RequireSecuritySignature = true
Datenbank srv-bdedb01Datenbank-Prüfung
  • Berechtigungsmodell in der DB (Rollen/Claims)– ist: 35 Identity-Rollen, 157 User-Claims, 24 Claim-Beschreibungen, zusätzlich Legacy aspnet_Roles (31) + adr_GruppenBerechtigung (4.498 Zeilen) — zwei parallele Berechtigungssysteme, keine Spalten-/Zeilen-Trennung für Credential-Felder (Passwort steht in derselben Tabelle wie die Doku)· soll: ein konsistentes Rollenmodell; Zugangsdaten getrennt von Doku mit eigener Berechtigung + Zugriffs-Audit
Datei-Freigaben (srv-file01)Datei-Freigaben
  • SMB-Signing erzwungen– ist: nicht erzwungen· soll: RequireSecuritySignature = true

Dokument

BerechtigungskonzeptErfassung folgt

Nachweise

Noch kein Nachweis – z. B. Protokoll, Screenshot oder Abnahme der Umsetzung.

Kommentare

Noch keine Kommentare.