ISO 27001 Annex A Access Control Guide: Zugriffe Im ISMS Steuern

Annex A der ISO 27001:2022 enthält 93 Maßnahmen, gegliedert in vier Themenbereiche. Acht dieser Maßnahmen befassen sich unmittelbar mit der Steuerung von Zugriffen auf Informationen und Systeme. Dieser ISO 27001 annex a access control guide ordnet die Anforderungen ein, erklärt die Verschiebungen gegenüber der Fassung von 2013 und beschreibt, wie sich die Umsetzung prüfbar dokumentieren lässt.

Annex A im Aufbau der ISO 27001:2022

Die Maßnahmen verteilen sich auf vier Bereiche: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische Maßnahmen. Die Zugriffskontrolle liegt schwerpunktmäßig im organisatorischen Bereich (A.5.15 bis A.5.18) und im technologischen Bereich (A.8.2 bis A.8.5). Diese Aufteilung ist bewusst gewählt: Zugriffsregeln sind zuerst eine Führungs- und Organisationsfrage und erst danach ein Konfigurationsthema.

Verbindlich werden die Maßnahmen über den Hauptteil der Norm. Klausel 6.1.2 verlangt eine Risikobeurteilung, Klausel 6.1.3 die Auswahl geeigneter Maßnahmen und deren Begründung in der Erklärung zur Anwendbarkeit (Statement of Applicability, SoA). Wer eine Maßnahme aus Annex A nicht umsetzt, muss dies im SoA nachvollziehbar begründen. Klausel 7.5 regelt die Lenkung der zugehörigen dokumentierten Information.

Als Auslegungshilfe dient die ISO 27002:2022. Sie beschreibt zu jeder Maßnahme Zweck, Umsetzungshinweise und typische Nachweise, ohne selbst zertifizierbar zu sein. Für die Praxis ist sie die erste Anlaufstelle, wenn unklar ist, welcher Detaillierungsgrad für A.5.15 oder A.8.2 erwartet wird.

Von A.9 der Fassung 2013 zu den Maßnahmen von 2022

In der ISO 27001:2013 war der Zugriffskontrolle ein eigener Annex-A-Bereich mit 14 Maßnahmen in vier Gruppen (A.9.1 bis A.9.4) gewidmet. Die Fassung von 2022 löst diese Struktur auf und verteilt die Inhalte auf mehrere Maßnahmen. Für Umstellungen bedeutet das: Eine Eins-zu-eins-Übertragung alter Nachweise ist nicht möglich. Sinnvoll ist eine Mapping-Tabelle, die jede frühere Maßnahme einer oder mehreren neuen zuordnet und offene Lücken sichtbar macht. Die Übergangsfrist für zertifizierte Organisationen endete am 31. Oktober 2025.

Die acht zentralen Maßnahmen

• A.5.15 Zugriffskontrolle: Regeln für den physischen und logischen Zugang, abgeleitet aus Geschäfts- und Sicherheitsanforderungen.
• A.5.16 Identitätsmanagement: Lebenszyklus von Identitäten von der Anlage bis zur Löschung.
• A.5.17 Authentisierungsinformationen: Vergabe, Verwaltung und Schutz von Passwörtern und Schlüsseln.
• A.5.18 Zugriffsrechte: Vergabe, Änderung, Entzug und regelmäßige Überprüfung von Berechtigungen.
• A.8.2 Privilegierte Zugriffsrechte: Einschränkung und Überwachung administrativer Konten.
• A.8.3 Beschränkung des Zugriffs auf Informationen: Zugriff nach Need-to-know.
• A.8.4 Zugriff auf Quellcode: Schutz von Quelltexten und Entwicklerwerkzeugen.
• A.8.5 Sichere Authentisierung: Mehr-Faktor-Verfahren und kryptografisch abgesicherte Anmeldung.

Umsetzung: Von der Risikobeurteilung zur Regelung

Ausgangspunkt ist die Risikobeurteilung. Erst wenn bekannt ist, welche Informationen und Systeme schutzbedürftig sind, lassen sich Rollen und Rechte sinnvoll zuschneiden. Bewährt hat sich ein dreistufiges Vorgehen:

1. Rollenmodell: Tätigkeiten beschreiben, nicht Personen. Jede Rolle erhält ein standardisiertes Rechtepaket.
2. Vergabeprozess: Antrag, fachliche Freigabe, technische Umsetzung, Protokollierung. Für privilegierte Konten gilt ein Vier-Augen-Prinzip.
3. Überprüfung: mindestens jährliche Rezertifizierung aller Berechtigungen, bei kritischen Systemen in kürzeren Abständen.

Ein weiterer ISO 27001 annex a access control guide würde an dieser Stelle dieselbe Reihenfolge empfehlen: erst Regel, dann Technik, dann Nachweis. Technische Durchsetzung ohne dokumentierte Regel bleibt im Audit angreifbar. Bei Cloud-Diensten und Fernzugriff kommt hinzu, dass der Anbieter eigene Rollenmodelle mitbringt. Diese sind in das eigene Berechtigungsregister zu überführen, sonst entsteht eine zweite, ungesteuerte Rechtewelt.

Sonderfall privilegierte Konten

Administrative Rechte sind das größte Einzelrisiko. Wirksam sind getrennte Administrationskonten ohne E-Mail- und Internetnutzung, der Verzicht auf dauerhafte Rechteerhöhung, zeitlich befristete Erhöhungen mit dokumentierter Genehmigung sowie eine Protokollierung, die nicht durch das administrative Konto selbst verändert werden kann.

Dokumentation und Auditnachweise

Nach Klausel 7.5.3 müssen dokumentierte Informationen verfügbar, geschützt und versioniert sein. Für die Zugriffskontrolle gehören dazu:

• eine Richtlinie zur Zugriffskontrolle mit Geltungsbereich und Verantwortlichkeiten
• aktuelle Berechtigungslisten je System
• Freigabe- und Entzugsprotokolle, inklusive Austrittsprozess
• Nachweise der Rezertifizierung
• Protokolle sicherheitsrelevanter Ereignisse
• Schulungsnachweise

Die interne Prüfung nach Klausel 9.2 sollte stichprobenartig kontrollieren, ob eine vergebene Berechtigung tatsächlich der zugewiesenen Rolle entspricht. Ein Abgleich zwischen Personalstammdaten und Systemkonten deckt die häufigsten Abweichungen auf. Wer die Grundlagen der Nachweisführung vertiefen möchte, findet im Leitfaden zu den Dokumentationsanforderungen der ISO 9001 eine übertragbare Systematik; ergänzend hilft die Checkliste zu den ISO 9001-Dokumentationsanforderungen bei der Strukturierung.

Typische Schwachstellen

• Berechtigungen bleiben nach einem internen Wechsel bestehen.
• Externe Dienstleisterzugänge sind nicht im Verzeichnis erfasst.
• Die Richtlinie nennt keine Fristen für die Rezertifizierung.
• Privilegierte Konten werden von mehreren Personen gemeinsam genutzt.
• Der Austrittsprozess endet mit der Kündigung, nicht mit dem Entzug der Rechte.

Schnittstellen zu anderen Normen und zum Datenschutz

Zugriffskontrolle ist selten ein isoliertes Thema. Die ISO 9001 verlangt in Klausel 7.5 eine vergleichbare Lenkung dokumentierter Information; registerbasierte Nachweise, wie sie etwa das Umweltaspekte-Register nach ISO 14001 verwendet, lassen sich als Muster für ein Berechtigungsregister nutzen. Unter der GDPR zählt die Zugriffskontrolle zu den technischen und organisatorischen Maßnahmen nach Artikel 32. Ein gemeinsames Berechtigungsregister deckt beide Anforderungen ab und reduziert den Pflegeaufwand erheblich.

Fazit

Ein ISO 27001 annex a access control guide ist am Ende kein statisches Dokument, sondern ein Regelkreis: Risiko, Regel, technische Umsetzung, Überprüfung, Korrektur. Wer diesen Kreislauf mit klaren Fristen und benannten Verantwortlichkeiten hinterlegt, besteht nicht nur die Zertifizierung, sondern hält die Rechte über die Zeit beherrschbar.