Need-to-know-Prinzip: Zugriff nur bei dienstlichem Bedarf

Der Begriff stammt aus dem militärischen und staatlichen Geheimschutz. Dort gilt schon lange: Wer für „geheim“ freigegeben ist, darf trotzdem nicht jedes geheime Dokument lesen. Er sieht nur die Akten, die er für seinen Auftrag braucht. Heute ist das Prinzip ein fester Baustein in Rollen- und Rechtekonzepten von Unternehmen.

Beispiele aus dem Unternehmensalltag

Im Alltag zeigt sich das Prinzip an vielen Stellen:

• Personalabteilung: Die Lohnbuchhaltung sieht Gehälter. Die Kollegin aus dem Recruiting braucht sie für ihre Arbeit nicht und sieht sie deshalb auch nicht.
• Vertrieb: Ein Außendienstler sieht die Kunden seines Gebiets. Die Kundendaten der anderen Regionen bleiben für ihn gesperrt.
• Projekte: Unterlagen zu einer geplanten Übernahme liegen in einem eigenen Bereich. Zugang hat nur das Projektteam.
• IT-Administration: Ein Admin verwaltet den Fileserver. Er darf die Freigaben pflegen, liest aber nicht die Inhalte der Geschäftsführung.
• Dienstleister: Ein externer Supporter erhält Zugriff auf das eine System, das er betreut, und nur für die Dauer des Auftrags.

Need-to-know und Least Privilege: der Unterschied

Beide Prinzipien begrenzen Zugriffe. Sie setzen aber an unterschiedlichen Stellen an:

• Need-to-know fragt nach dem Was: Welche Informationen braucht diese Person für ihre Aufgabe?
• Least Privilege fragt nach dem Wie viel: Welche Rechte braucht sie mindestens, um die Aufgabe zu erledigen? Also lesen, schreiben, löschen oder administrieren.

Ein Beispiel macht den Unterschied klar. Need-to-know legt fest, dass eine Sachbearbeiterin die Rechnungen ihres Mandanten sehen darf. Least Privilege legt fest, dass sie diese Rechnungen lesen und prüfen, aber nicht löschen darf. In der Praxis wenden Sie beide Prinzipien zusammen an.

Bezug zum Schutzziel Vertraulichkeit

Von den drei Schutzzielen der Informationssicherheit stützt das Need-to-know-Prinzip vor allem die Vertraulichkeit. Je weniger Menschen eine Information sehen, desto kleiner ist das Risiko, dass sie in falsche Hände gerät. Das gilt für Versehen, für Innentäter und für Angreifer, die ein Benutzerkonto übernommen haben. Ein gekapertes Konto mit wenigen Zugriffen richtet weniger Schaden an.

Damit passt das Prinzip gut zu Zero Trust. Auch dort erhält niemand pauschal Vertrauen. Jeder Zugriff wird einzeln geprüft und auf das Nötige begrenzt.

So setzen Sie das Need-to-know-Prinzip um

1. Daten klassifizieren: Ordnen Sie Informationen Stufen zu, etwa „öffentlich“, „intern“, „vertraulich“ und „streng vertraulich“. So wissen Sie, wo enge Regeln nötig sind.
2. Rollen- und Rechtekonzept erstellen: Beschreiben Sie Rollen nach Aufgaben, nicht nach Personen. Jede Rolle erhält genau die Zugriffe, die sie braucht.
3. Zugriffe technisch durchsetzen: Setzen Sie die Rollen in Verzeichnisdienst, Fileserver, ERP und Cloud-Diensten um. Ein Identity- und Access-Management (IAM) hilft, das zentral zu steuern.
4. Joiner, Mover, Leaver regeln: Neue Mitarbeitende erhalten die Rechte ihrer Rolle. Wer die Abteilung wechselt, verliert die alten Rechte. Wer das Unternehmen verlässt, verliert alle Zugänge am letzten Arbeitstag.
5. Regelmäßig rezertifizieren: Fachverantwortliche prüfen in festen Abständen, ob jede Berechtigung noch gebraucht wird. Was niemand bestätigt, wird entzogen.

Need-to-know in ISO 27001

ISO/IEC 27001 verlangt in Anhang A Maßnahmen zur Zugangssteuerung. In der Fassung von 2022 sind das unter anderem:

• 5.12 Klassifizierung von Informationen als Grundlage, um Schutzbedarf und Zugriffe festzulegen
• 5.15 Zugangssteuerung mit Regeln für physischen und logischen Zugang nach geschäftlichen und Sicherheitsanforderungen
• 5.18 Zugangsrechte für das Vergeben, Prüfen und Entziehen von Berechtigungen
• 8.3 Einschränkung des Informationszugangs für die technische Umsetzung in den Systemen

Need-to-know ist dabei kein eigenes Control. Es ist der Maßstab, an dem Sie die Regeln dieser Controls ausrichten. Auditoren fragen häufig, wie Sie Berechtigungen vergeben und wann Sie sie zuletzt überprüft haben.

Need-to-know und DSGVO

Die DSGVO nennt das Prinzip nicht beim Namen. Sie verlangt aber, was es leistet. Artikel 32 fordert Maßnahmen, die die Vertraulichkeit der Systeme und Dienste dauerhaft sicherstellen. Artikel 25 Absatz 2 geht noch weiter. Durch Voreinstellungen sollen nur die personenbezogenen Daten verarbeitet werden, die für den jeweiligen Zweck nötig sind. Das gilt ausdrücklich auch für ihre Zugänglichkeit.

Ein Rechtekonzept nach dem Need-to-know-Prinzip ist deshalb ein guter Nachweis gegenüber Aufsichtsbehörden. Es zeigt, dass Sie Zugriffe auf personenbezogene Daten bewusst begrenzen.

Typische Fehler

• Rechte wachsen mit: Mitarbeitende wechseln die Abteilung und behalten alte Zugriffe. Nach einigen Jahren sehen sie weit mehr, als sie brauchen.
• Sammelfreigaben: Ein Ordner ist für „Alle Mitarbeiter“ freigegeben, weil das am einfachsten war.
• Rang statt Bedarf: Führungskräfte erhalten Vollzugriff, obwohl sie nur einen Teil der Daten brauchen.
• Vergessene Konten: Zugänge ehemaliger Mitarbeitender oder Dienstleister bleiben aktiv.
• Keine Rezertifizierung: Berechtigungen werden vergeben, aber nie wieder geprüft.

Häufige Fragen

Was bedeutet „need to know“ auf Deutsch?

Sinngemäß heißt es „Kenntnis nur, wenn nötig“. So nennt auch die Verschlusssachenanweisung des Bundes diesen Grundsatz. Gemeint ist: Sie erfahren nur, was Sie für Ihre Aufgabe wissen müssen.

Gilt das Need-to-know-Prinzip auch für die Geschäftsführung?

Ja. Die Geschäftsführung trägt die Verantwortung, braucht aber nicht jeden Datensatz im Detail. Auch Führungskräfte sollten nur auf die Informationen zugreifen, die sie für ihre Aufgaben benötigen.

Wie oft sollten Berechtigungen überprüft werden?

Eine feste Vorgabe gibt es nicht. Viele Unternehmen prüfen kritische Berechtigungen öfter als normale, etwa halbjährlich statt jährlich. Wichtig ist, dass Sie den Rhythmus festlegen, einhalten und dokumentieren.