Wie führt man eine Überprüfung der Benutzerzugriffsrechte durch?

Im Mai 2023 nutzte ein verärgerter ehemaliger Tesla-Mitarbeiter seine Privilegien als Servicetechniker, um Zugriff auf die Daten von 75,735 Mitarbeitern zu erlangen, darunter persönliche Daten und Finanzinformationen. Der Verstoß zog eine Geldbuße von 3.3 Milliarden US-Dollar gemäß der DSGVO nach sich.

Obwohl Sicherheitslücken aufgrund externer und unbekannter Faktoren außerhalb der Kontrolle einer Organisation liegen, lassen sich solche Vorfälle durch die Berücksichtigung interner Faktoren leicht minimieren. Im vorliegenden Fall waren die Zugriffsrechte der interne Faktor, die durch ordnungsgemäße Benutzerzugriffsprüfungen hätten verwaltet werden können.

Regelmäßige Überprüfungen der Benutzerzugriffe helfen Unternehmen, Zugriffskontrollen und -überwachung zu optimieren und Verhaltensanomalien frühzeitig zu erkennen. Dies gewährleistet Sicherheit, trägt zur Einhaltung von Vorschriften bei und schützt langfristig den Ruf des Unternehmens.

Dieser Blogbeitrag behandelt die Bedeutung der Durchführung von Benutzerzugriffsüberprüfungen und die wichtigsten Schritte bei der Umsetzung dieses Prozesses. 

Was ist eine Benutzerzugriffsprüfung?

Die Überprüfung der Benutzerzugriffsrechte ist ein Prozess, bei dem die Zugriffsrechte von Mitarbeitern und Dritten sowie deren Berechtigungen für Systeme, Anwendungen und Daten regelmäßig überprüft werden, um sicherzustellen, dass der Zugriff angemessen gewährt wird. Ziel der Überprüfung ist es, das Risiko unberechtigten Zugriffs oder von Insiderangriffen zu minimieren.

Warum müssen Sie die Benutzerzugriffe überprüfen?

Die Überprüfung der Benutzerzugriffe ist unerlässlich, um die Sicherheit, den Datenschutz und die Integrität kritischer Daten und Systeme zu gewährleisten und Risiken durch übermäßige Berechtigungen zu minimieren.

Zugriffs- und identitätsbezogene Vorfälle wie gestohlene Zugangsdaten ( 56 % ) und Social-Engineering-Angriffe (48 %) entstehen durch übermäßige Berechtigungen und menschliches Versagen. Hinzu kommen Insiderangriffe. Laut einem Bericht von Cybersecurity Insiders sind 74 % der Unternehmen gegenüber Insiderbedrohungen mäßig oder sogar stark gefährdet.

Darum müssen Sie Benutzerzugriffsüberprüfungen durchführen:

Minimierung von Sicherheitslücken

Zu hohe Zugriffsrechte erhöhen das Risiko unberechtigten Zugriffs und die Gefahr, dass böswillige Insider Berechtigungen ausnutzen, um Bedrohungen zu verursachen. Bei Datenzugriffen Dritter können Zugriffsrechte, die über vertragliche Verpflichtungen hinausgehen, Sicherheitslücken verursachen. Regelmäßige Überprüfungen der Benutzerzugriffe stellen sicher, dass nur autorisierte Benutzer über die minimal erforderlichen Berechtigungen verfügen und minimieren solche Vorfälle.

Einhaltung sicherstellen

Regelmäßige Überprüfungen der Benutzerzugriffe helfen dabei, etwaige Verstöße gegen Zugriffsberechtigungen, die Trennung von Aufgaben usw. aufzudecken. Sie tragen auch dazu bei, dass die Zugriffsanforderungen für Compliance-Standards wie PCI DSS, HIPAA, DSGVO usw. erfüllt werden, die Zugriffsüberprüfungen vorschreiben, um Datensicherheit und Datenschutz zu gewährleisten.

Kosteneinsparungen

Bei einigen Softwarelizenzen richten sich die Gebühren für Unternehmen nach der Anzahl der Nutzer, die auf die Software zugreifen. Überprüfungen der Nutzerzugriffe stellen sicher, dass kein Nutzer über mehr Zugriffsrechte verfügt als nötig und dass keine Ressourcen durch Überprovisionierung verschwendet werden.

Reduzierung von Privilegienausweitung, -missbrauch und -misshandlung

Überprüfungen der Benutzerzugriffsrechte gewährleisten eine ordnungsgemäße Verwaltung der Benutzerzugriffsrechte und minimieren das Risiko folgender Probleme:

Privilegienausweitung bezeichnet eine Situation, in der neue Rechte ohne Entzug vorheriger Zugriffsrechte gewährt werden, was zu einer ungerechtfertigten Anhäufung von Berechtigungen führt. Dies kann beispielsweise bei einem Wechsel von Rollen und Verantwortlichkeiten geschehen.

Privilegienmissbrauch liegt vor, wenn Benutzer ihre Zugriffsrechte unangemessen oder in böswilliger Absicht nutzen. Dies kann vorsätzlich oder fahrlässig geschehen. Ein Beispiel hierfür wäre ein Kundendienstmitarbeiter, der seine Zugriffsrechte nutzt, um aus persönlichen Gründen die Kontodaten eines Kunden einzusehen.

Privilegienmissbrauch ist der vorsätzliche Missbrauch von Rechten. Ein Beispiel hierfür wäre ein IT-Manager, der seine Berechtigungen unethisch nutzt, um sensible Daten eines Unternehmens zu stehlen.

Wichtige Schritte zur Implementierung der Benutzerzugriffsprüfung (UAR)

Der UAR-Prozess erfordert die Identifizierung von Rollen und zugeordneten Berechtigungen sowie die Überprüfung und Entfernung unnötiger Berechtigungen. Dies sind die 6 Schritte zur Implementierung des Benutzerzugriffsprüfungsverfahrens:

1. Den Umfang der Überprüfung festlegen

Um den Prozess zu optimieren, definieren Sie zunächst den Umfang der Benutzerzugriffsprüfung. Dies umfasst die Identifizierung der kritischen Systeme mit eingeschränktem Zugriff, der zu schützenden Daten und Datenklassen sowie der zu überprüfenden Benutzer. Benennen Sie die Personen (z. B. Führungskräfte), die die Zugriffsrechte prüfen, und legen Sie die Prüfhäufigkeit fest.

 Die Häufigkeit der Rezensionen wird anhand folgender Kriterien festgelegt:

• Risikobewertungen: Systeme mit hohem Risiko werden häufiger überprüft als Systeme mit niedrigem Risiko und geringen Auswirkungen.
• Compliance-Anforderungen: Je nach den anwendbaren Standards können verschiedene Compliance-Rahmenwerke unterschiedliche Richtlinien für die Häufigkeit von Zugriffsüberprüfungen vorsehen.
• Branchenübliche Vorgehensweisen: Wenn es branchenüblich ist, vierteljährlich Zugriffsüberprüfungen durchzuführen, dann müssen diese berücksichtigt werden.
• Besondere Ereignisse: Zu den besonderen Ereignissen zählen unter anderem Vorfälle im Zusammenhang mit dem Zugang, Infrastrukturänderungen, Beförderungen oder Kündigungen von Mitarbeitern usw.

2. Erstellen Sie eine Richtlinie zur Überprüfung des Benutzerzugriffs.

Erstellen Sie eine klare Zugriffsrichtlinie und stellen Sie sicher, dass diese unternehmensweit kommuniziert wird. Die Richtlinie muss die Verantwortlichkeiten für die zulässige Nutzung von Unternehmensressourcen, die Bedingungen für die Gewährung von Zugriffsrechten, Richtlinien zur Antragsprüfung, Benachrichtigungsregeln im Falle einer Kündigung usw. festlegen. Die Mitarbeiter müssen über die Richtlinie und die Zugriffskontrollverfahren sowie die Konsequenzen bei Verstößen informiert werden.

3. Zugriffsrechte überprüfen

Ein effektiver Prozess zur Überprüfung der Benutzerzugriffe umfasst Folgendes:

• Benutzer und zugeordnete Berechtigungen überprüfen: Stellen Sie sicher, dass die Berechtigungen den Rollen auf Basis der Stellenfunktionen zugeordnet sind (rollenbasierte Zugriffskontrolle).
• Das Prinzip der geringsten Privilegien: Stellen Sie sicher, dass keinem Benutzer unnötige Berechtigungen erteilt werden, die nicht zu seiner aktuellen Rolle gehören.
• Prüfen Sie auf widersprüchliche Rollen: Prüfen Sie die ordnungsgemäße Aufgabentrennung und identifizieren Sie etwaige widersprüchliche Rollen und Berechtigungen, die zu Fehlern oder Betrug führen könnten.
• Zugriffsanfragen und Genehmigungen prüfen: Alle Zugriffsanfragen müssen legitim sein und die Genehmigungen müssen angemessen sein.
• Auswertung der Audit-Protokolle: Einblick in das Buchungsprotokolle Anmeldeversuche zu überprüfen und verdächtige Aktivitäten aufzudecken.
• Überprüfung der Anbieterberechtigungen: Prüfen Sie, ob die Drittanbieter über Berechtigungen verfügen, die über die vertraglichen Anforderungen hinausgehen.
• Prüfen Sie, ob weitere Fehlkonfigurationen oder Änderungen der Benutzerrichtlinien usw. vorliegen.

4. Unnötige Berechtigungen entfernen

Im nächsten Schritt werden alle oben genannten unnötigen Berechtigungen entfernt. 

• Entzug der Zugriffsrechte für Mitarbeiter, die das Unternehmen verlassen haben
• Suchen und entfernen Sie alle Schattenadministratorkonten. Diese Konten erhalten ohne Wissen der Organisation Administratorzugriff auf Systeme.
• Entfernen Sie alle unnötigen Berechtigungen, die zu einer Ausweitung der Berechtigungen führen können. Dies erfordert die Entfernung von Berechtigungen aus früheren Positionen für Mitarbeiter, die befördert wurden oder eine neue Position übernommen haben. Ebenso müssen übermäßige Berechtigungen für externe Dienstleister entfernt werden.
• Ersetzen Sie „dauerhafter Zugriff“ durch „temporären Zugriff“, wenn der Bedarf nicht mehr besteht.

5. Dokumentieren Sie die Ergebnisse

Dokumentieren Sie die Ergebnisse der Überprüfung mit Details zu den Verstößen, erteilten unnötigen Genehmigungen usw. Identifizieren Sie die potenziellen Risiken und Schwachstellen, um die Mitarbeiter für zukünftige Fälle zu schulen. Notieren Sie anschließend die Maßnahmen zur Entfernung jeglicher überflüssiger Berechtigungen. Legen Sie die Benutzerzugriffsberichte der Geschäftsleitung zur Entscheidungsfindung vor.

6. Prozesse verbessern

Auf Grundlage der Ergebnisse und der Gespräche mit der Führungsebene sollten die notwendigen Änderungen zur kontinuierlichen Prozessverbesserung vorgenommen werden. Dazu gehören Schulungen für die Mitarbeiter, gegebenenfalls die Aktualisierung von Richtlinien und die Einrichtung einer kontinuierlichen Überwachung der Benutzeraktivitäten, um ein ordnungsgemäßes Zugriffsmanagement und die Einhaltung der Vorschriften sicherzustellen.

Die oben genannten Schritte beschreiben die manuelle Durchführung von Benutzerzugriffsprüfungen. Automatisierungstools wie Sprinto können den Prozess beschleunigen und effizienter gestalten. So automatisieren Sie den Prozess:

• Wählen Sie wichtige Assets aus dem Sprinto-Verzeichnis aus oder fügen Sie Ihre eigenen hinzu.
• Sprinto ordnet kritische Systeme automatisch Zugriffskontrollen, Richtlinien und anderen Compliance-Kriterien zu.
• Sprinto unterstützt rollenbasierte und ticketbasierte Zugriffskontrollen und trägt zur Vereinfachung des Überprüfungsprozesses bei.
• Sie können zugriffsbezogene Kontrollen in Echtzeit verfolgen. Die kontinuierliche Überwachung hilft dabei, bei Abweichungen Benachrichtigungen zu erhalten.
• Automatische Erfassung von Nachweisen für Zutrittskontrollverfahren und reibungslose Durchführung von Audits.

Gesetze und Vorschriften, die Benutzerzugriffsüberprüfungen erfordern

Gesetze, die den Datenschutz gewährleisten und Informationssysteme schützen, erfordern Zugriffsprüfungen. Beispiele für solche Gesetze sind:

Allgemeine Datenschutzverordnung (GDPR/DSGVO)

Die DSGVO ist ein Datenschutzgesetz, das die Erhebung und Verarbeitung personenbezogener Daten von EU-Bürgern durch Organisationen unabhängig von ihrem Standort regelt. Mehrere Artikel der DSGVO betonen die Datensicherheit und den Datenschutz und unterstreichen – wenn auch nicht direkt – die Bedeutung von Zugriffsprüfungen.

Beispielsweise behandelt Artikel 24 die Verantwortung des Verantwortlichen für die Umsetzung technischer und organisatorischer Maßnahmen. Zugriffskontrollen sind eine solche Maßnahme. Ebenso befasst sich Artikel 32 mit der Prüfung der verarbeiteten Daten und der Personen mit Zugriff auf personenbezogene Daten.

Krankenversicherungs-Portabilitäts- und Rechenschaftsgesetz (HIPAA)

HIPAA ist ein US-Bundesgesetz, das Standards für den Schutz von Patientendaten durch betroffene Einrichtungen wie Gesundheitsdienstleister und deren Geschäftspartner festlegt.

Die administrativen Sicherheitsvorkehrungen des HIPAA, insbesondere 45 CFR § 164.308, verpflichten die betroffenen Einrichtungen und Geschäftspartner zur Überprüfung ihrer Sicherheitsrichtlinien, einschließlich der Zugriffsrichtlinien. Sie verpflichten diese Organisationen außerdem zur Einrichtung, Dokumentation, Überprüfung und Änderung von Zugriffsrechten, um die Vertraulichkeit, Integrität und Verfügbarkeit von ePHI (elektronisch geschützten Gesundheitsinformationen) zu gewährleisten.

Nationales Institut für Standards und Technologie (NIST)

Das Nationale Institut für Standards und Technologie (NIST) des US-Handelsministeriums ist eine nicht-regulierende Bundesbehörde, die Richtlinien und bewährte Verfahren zur Verbesserung der Cybersicherheit von Unternehmen und zur Förderung von Innovationen bereitstellt. Die NIST- Sonderveröffentlichung 800-53, „Sicherheits- und Datenschutzmaßnahmen für föderale Informationssysteme und Organisationen“, führt die „Zugriffskontrolle“ unter den Kontrolldomänen auf. AC-1 verpflichtet Organisationen zur Überprüfung und Aktualisierung ihrer Zugriffskontrollrichtlinien. AC-2 verpflichtet Organisationen analog dazu zur regelmäßigen Überprüfung der Benutzerkonten und ihrer Berechtigungen.

Branchenstandard für die Datensicherheit der Zahlungskarten (PCI DSS)

PCI DSS ist ein globaler Sicherheitsstandard für Händler und Unternehmen, die Karteninhaberdaten erfassen, speichern und verarbeiten. Er umfasst zwölf Kernanforderungen, von denen Anforderung 7 die Zugriffskontrolle, einschließlich Überprüfungen, regelt. Diese Anforderung betont die Beschränkung des Zugriffs auf Karteninhaberdaten auf das unbedingt notwendige Maß. Sie befürwortet zudem das Prinzip der minimalen Berechtigungen und die regelmäßige Überprüfung der Benutzerzugriffsrechte.

Internationale Organisation für Normung (ISO 27001)

ISO 27001 ist ein internationaler Standard für die Einrichtung und Aufrechterhaltung eines effektiven Informationssicherheits-Managementsystems (ISMS). Anhang 5.18 der ISO 27001:2022 verpflichtet Organisationen sicherzustellen, dass die Zugriffsrechte der Zugriffskontrollrichtlinie entsprechen, und betont die Notwendigkeit regelmäßiger Zugriffsüberprüfungen. In der ISO 27001:2013 wurde die Anforderung von Zugriffsüberprüfungen in Abschnitt A.9.2.3 hervorgehoben.

Sarbanes-Oxley Act (SOX)

Der Sarbanes-Oxley Act (SOX) ist ein US-Bundesgesetz, das Anforderungen an die Finanzberichterstattung und das Rechnungswesen festlegt und Anleger vor Unternehmensbetrug schützen soll. Anforderung 404 des SOX-Gesetzes befasst sich mit internen Kontrollen der Finanzberichterstattung und der Zugriffskontrolle für digitale Datensätze. Dies unterstreicht die Notwendigkeit von Zugriffsprüfungen.

Bewährte Verfahren für die Überprüfung von Benutzerzugriffen

Bewährte Verfahren für die Überprüfung von Benutzerzugriffen ermöglichen es der Organisation, nachhaltige Prozesse für das Zugriffsmanagement aufrechtzuerhalten und die kontinuierliche Einhaltung der Vorschriften zum Standard zu machen. Im Folgenden sind die bewährten Verfahren für die Überprüfung von Benutzerzugriffen aufgeführt:

1. Funktionstrennung sicherstellen

Eine klare Funktionstrennung gilt als bewährte Methode, da sie die Wahrscheinlichkeit von Rollenkonflikten minimiert und das Betrugsrisiko reduziert. Zudem erhöht sie die Verantwortlichkeit durch eine eindeutige Definition der Aufgabenbereiche. Im Falle eines unbefugten Zugriffs erleichtert die klare Trennung die Identifizierung des böswilligen Insiders.

2. Implementieren Sie eine rollenbasierte Zugriffskontrolle

Die rollenbasierte Zugriffskontrolle (RBAC) stellt sicher, dass Einzelpersonen basierend auf ihren Aufgaben nur die minimal erforderlichen Zugriffsrechte erhalten. Sie unterstützt die Umsetzung des Prinzips der minimalen Berechtigungen und vereinfacht die Bereitstellung und den Entzug von Zugriffsrechten anhand von Rollen. RBAC ist eine skalierbare Methode zur granularen Zugriffskontrolle und eignet sich besonders für wachsende Organisationen.

3. Führen Sie rollenspezifische Schulungen durch.

Stellen Sie sicher, dass jede Rolle die Bedeutung des sachgemäßen Umgangs mit den erteilten Berechtigungen und den Zweck von Zugriffsprüfungen versteht. Bieten Sie den Prüfern – also den Fachbereichsleitern und IT-Administratoren – rollenspezifische Schulungen an, damit sie die Zugriffsrechte korrekt prüfen können.

4. Dokumentation ist unerlässlich

Die Dokumentation des Zugriffsprüfungsprozesses, der Richtlinien, Ergebnisse, Prüfprotokolle usw. ist entscheidend für Transparenz und dient als Schulungsinstrument zur Prozessoptimierung. Darüber hinaus dient sie als historischer Nachweis im Falle eines Vorfalls und als Beweismittel bei Compliance-Prüfungen.

5. Richtlinien regelmäßig überprüfen und aktualisieren

Regelmäßige Überprüfungen und Aktualisierungen der Richtlinien sind unerlässlich, um mit der digitalen Landschaft und den organisatorischen Veränderungen Schritt zu halten. Sie gewährleisten, dass die Richtlinien auf den Geschäftskontext abgestimmt sind und die Organisation durch die Integration von Verbesserungen effektiv widerstandsfähig hält.

Herausforderungen bei der Durchführung von Benutzerzugriffsüberprüfungen

Zugriffsüberprüfungen, insbesondere manuelle, können langsam und mühsam sein und stellen Unternehmen vor große Herausforderungen. Im Folgenden betrachten wir einige der häufigsten Probleme, mit denen Organisationen bei manuellen Benutzerzugriffsüberprüfungen konfrontiert sind:

Scope Creep

Die Ausweitung des Prüfungsumfangs bei Zugriffsüberprüfungen bedeutet, dass sich der Umfang der zu prüfenden Elemente im Laufe der Zeit durch die Hinzufügung von Systemen, neuen Berechtigungen, erweiterten Benutzerrollen usw. vergrößert. Dies kann durch mangelhafte Planung, den Drang, alles in den Prüfungsumfang aufzunehmen, und sich ändernde Anforderungen verursacht werden. Dadurch kann die Durchführung der Überprüfungen ineffizient werden.

Zeit- und ressourcenintensive Prozesse

Manuelle Zugriffsprüfungen sind zeit- und ressourcenaufwändig. Das Erstellen neuer Rollen, das Zuordnen von Berechtigungen und deren individuelle Überprüfung können sehr aufwendig sein. In Organisationen mit einer großen Anzahl von Systemen oder komplexen Berechtigungsstrukturen kann dieser Prozess besonders anspruchsvoll sein.

Gummistempel

Auch bei manuellen Zugriffsprüfungen stellt die unreflektierte Erteilung von Zugriffsrechten eine häufige Herausforderung dar. Dabei werden Zugriffsrechte gewährt, ohne zu prüfen, ob der Zugriff notwendig und angemessen ist. Dies geschieht oft unter Zeitdruck, bei fehlendem Kontext, unzureichender Schulung usw. und führt zu einem ineffektiven Zugriffsprüfungsprogramm.

Unzufriedenheit der Mitarbeiter

Häufige, unbegründete Änderungen der Zugriffsrechte, mangelnde Transparenz, unzureichende Schulungen oder übermäßig restriktive Zugriffskontrollen können Mitarbeiter unzufrieden machen. Dies kann wiederum zu organisatorischen Problemen führen, indem es die Produktivität beeinträchtigt und Mitarbeiter zur Kündigung veranlasst.

Erfüllung verschiedener Compliance-Anforderungen

Wenn ein Unternehmen verschiedenen Compliance-Standards unterliegt, kann es schwierig sein, die unterschiedlichen Anforderungen an die Zugriffsprüfung zu erfüllen. Dies kann auch die Belastung der Entwicklungs- und Compliance-Teams erhöhen, die die Einhaltung der Standards gewährleisten müssen, und zu ständigen Bandbreitenproblemen führen.

Alle diese Herausforderungen, die mit manuellen Prozessen verbunden sind, können Sie mit einer Automatisierungslösung wie Sprinto bewältigen. 

Nutzen Sie die Automatisierung von Sprinto für Benutzerzugriffsüberprüfungen.

Die Überprüfung von Benutzerzugriffen ist ein effektives Mittel, um die Sicherheit und Integrität von Systemen zu gewährleisten und die Einhaltung von Vorschriften sicherzustellen. Zukunftsweisende Unternehmen setzen daher bei solch aufwendigen Aufgaben auf Automatisierung. Tools wie Sprinto unterstützen Sie dabei, den Prozess zu automatisieren und stets alle regulatorischen Anforderungen zu erfüllen.

Sprinto unterstützt Sie bei der Zuordnung von Benutzern zu kritischen Systemen und gewährleistet die Einhaltung von Zugriffsrichtlinien. Der Zugriff wird gemäß den dynamischen Richtlinien automatisch authentifiziert, und bei Abweichungen erfolgt umgehend eine Benachrichtigung, um Maßnahmen einzuleiten. Sprinto hilft Ihnen außerdem, gängige Anforderungen an die Zugriffsprüfung in verschiedenen Frameworks abzubilden und sammelt automatisch Nachweise, um Doppelarbeit zu vermeiden.

Verwalten Sie Benutzerberechtigungen und gewährleisten Sie die Einhaltung der Sprinto-Vorgaben. Sprechen Sie mit einem Compliance-Experten, um den Einstieg zu erleichtern.

Häufig gestellte Fragen

Worin besteht der Unterschied zwischen einer Zugriffsüberprüfung und einer Zugriffsrezertifizierung?

Die Zugriffsprüfung ist ein umfassenderer Begriff, der die regelmäßige Überprüfung von Benutzerberechtigungen anhand ihrer Rollen beinhaltet. Die Zugriffsrezertifizierung ist ein gezielteres und formalisiertes Konzept, das darauf abzielt, bestehende Berechtigungen und Zugriffsrechte erneut zu bestätigen.

Was ist eine Zugriffskontrollmatrix?

Eine Zugriffskontrollmatrix ist ein Sicherheitsmodell, das mithilfe einer Tabelle die Zugriffsrechte von Subjekten (wer hat Zugriff?) für jedes Objekt (worauf haben sie Zugriff?) festlegt. Sie hilft, die Beziehung zwischen Benutzern und Berechtigungen zu verstehen und Zugriffskontrollrichtlinien entsprechend durchzusetzen.

Welche Arten von Nutzerzugriffsüberprüfungen gibt es?

Es gibt zwei Arten von Benutzerzugriffsüberprüfungen: periodische und kontinuierliche. Periodische Benutzerzugriffsüberprüfungen werden in regelmäßigen Abständen durchgeführt und dienen der Überprüfung der Zuordnung von Benutzerzugriffsrechten. Kontinuierliche Benutzerzugriffsüberprüfungen zielen eher darauf ab, die Einhaltung von Vorschriften sicherzustellen und das Risiko unberechtigter Zugriffsrechte zu minimieren.