Der Zugriff auf die Anwendungen und Dokumente eines Betriebssystems ist nicht per se gegeben. Ohne die vorherige Einrichtung von Benutzerkonten, die mit entsprechenden Zugriffsrechten versehen sind, ist kein Zugang zu einem Computer möglich. Auch die die Nutzung eines Geräts mittels eines Gastkontos muss zuvor vom Administrator des Systems aktiviert werden. Der folgende Artikel gibt einen Überblick darüber, welche Methoden der Rechteverwaltung existieren und welche unterschiedlichen Zugriffsklassen zu unterscheiden sind.

Im Zentrum stehen die korrekte Zuweisung von Berechtigungen, die Durchsetzung des „Least-Privilege“-Prinzips (so wenige Rechte wie nötig) und eine nachvollziehbare Protokollierung. Moderne Betriebssysteme wie aktuelle Versionen von Windows, Linux und macOS kombinieren hierfür Dateisystemberechtigungen, Richtlinien und Sicherheitsmechanismen auf Kernel- und Anwendungsebene. Eine saubere Rechteverwaltung schützt vertrauliche Informationen, verhindert unbeabsichtigte Änderungen und reduziert deutlich das Risiko von Sicherheitsvorfällen.

Allgemeine Definition des Begriffs „Zugriffsrecht“

In der elektronischen Datenverarbeitung ist mit dem Begriff des Zugriffsrechts gemeint, dass auf der administrativen Ebene entschieden wird, welche Benutzer oder Gruppen von Benutzern welche Zugriffsrechte erhalten, auf Programme, Teile von Programmen und Operationen sowie sogenannte Objekte, zu denen Hardwarekomponenten ebenso gehören können wie Netzwerke oder Dateisysteme. Am weitesten verbreitet ist dabei die Festlegung von einfachen Dateisystemberechtigungen, die für Dateien und Verzeichnisse festgelegt werden und bestimmen, welche Benutzer mit welchen Rechten darauf zugreifen dürfen.

Zugriffsrechte definieren also, wer (Subjekte: Benutzer, Dienste, Gruppen) auf was (Objekte: Dateien, Ordner, Registry-Schlüssel, Prozesse, Netzwerkfreigaben, Geräte) mit wem (Rechte: lesen, schreiben, ausführen, ändern, löschen, Besitzer wechseln, Vollzugriff) zugreifen darf. Neben klassischen Berechtigungsbits kommen heute häufig ACLs (Access Control Lists) zum Einsatz, die differenzierte Einträge pro Objekt erlauben, sowie Vererbungsregeln, mit denen Unterobjekte Berechtigungen automatisch übernehmen.

• Typische Rechtearten: Lesen (R), Schreiben (W), Ausführen (X), Ändern, Löschen, Erstellen, Anzeigen von Berechtigungen, Besitz übernehmen.
• Subjektzuordnung: Einzelkonten, Gruppen, Dienstkonten, Systemkonten.
• Objekte: Dateien/Verzeichnisse (NTFS, ext4, APFS), Drucker, Freigaben, Datenbanken, virtuelle Maschinen, Container, APIs.
• Erweiterte Konzepte: RBAC (rollenbasierte Verwaltung), ABAC (attributbasierte Bedingungen), Policy-basierte Steuerung, zeit- oder ortsbasierte Einschränkungen.

Aktuelle Systeme unterstützen darüber hinaus Auditing und Protokollierung, um Zugriffe nachzuvollziehen. So lassen sich Compliance-Vorgaben erfüllen und unberechtigte Aktivitäten schneller erkennen.

Funktionsweise der Rechteverwaltung auf Computern

Unter Windows-Systemen und vielen anderen Betriebssystemen können Zugriffsrechte komfortabel und flexibel über Listen definiert werden, in denen alle Objekte eines Systems aufgeführt werden. Damit ist eine sehr genaue Kontrolle möglich, die nach Benutzern für einzelne Objekte differenziert werden kann. Gleichzeitig erfordert diese Bearbeitung von Listen einen hohen Aufwand, da alle Objekte einzeln betrachtet werden müssen hinsichtlich des Grades des Zugriffsschutzes, der ihnen zukommen soll.

Weiterhin besteht die Möglichkeit, dass nicht nur das Betriebssystem selbst, sondern auch die Anwendungen, die darauf laufen, eigene Zugriffsrechte definieren und diese in ihre Laufzeit integrieren. Derartige Sicherheitskonzepte werden zum Beispiel von Java verfolgt. Die Beschränkungen von Zugriffsrechten beziehen sich dabei jedoch nicht auf Benutzer, sondern auf Programmbibliotheken: Wird eine Programmbibliothek als nicht sicher eingestuft, kann sie keinen Zugriff auf die Anwendung erhalten.

Praxis unter modernen Betriebssystemen:

• Windows (aktuelle Desktop- und Server-Versionen): NTFS-ACLs mit expliziten und geerbten Einträgen, effektive Berechtigungen, SIDs, UAC für erhöhte Rechte, Gruppenrichtlinien für zentrale Verwaltung, Auditing über Ereignisprotokolle. Freigabeberechtigungen und NTFS-Rechte wirken zusammen, die restriktivere Einstellung greift.
• Linux/Unix: klassische Eigentümer-/Gruppen-/Andere-Bits (rwx), setuid/setgid/Sticky Bit, POSIX-ACLs für feinere Steuerung, zentrale Verzeichnisse mit umask-Regeln, Audit-Subsysteme. Sicherheitsmodule wie SELinux oder AppArmor erweitern die Kontrolle (kontext- bzw. profilbasiert).
• macOS: APFS mit ACLs und Vererbung, System-Integritätsfunktionen und TCC (Transparenz, Zugriffskontrolle), die den Zugriff von Apps auf Kamera, Mikrofon, Kontakte oder Dateibereiche regeln.

Anwendungen und Bibliotheken: Neben OS-Mechanismen existieren App-spezifische Sicherheitsmodelle. Bei Java war der SecurityManager lange ein zentrales Konzept; in neueren Java-Versionen ist er jedoch deprecatet und standardmäßig deaktiviert. Moderne Anwendungen setzen verstärkt auf Containerisierung, Modulgrenzen, Sandboxing und signierte Komponenten. Diese Einschränkungen betreffen Bibliotheken, Plugins oder Skripte und definieren, welche Operationen (Datei-, Netzwerk-, Prozesszugriffe) erlaubt sind.

Wichtige Verwaltungsaspekte:

• Vererbung und Ausnahmen: Strukturierte Ordnerhierarchien nutzen Vererbung, einzelne Objekte können gezielt abweichende Regeln erhalten.
• Konfliktauflösung: Explizite Verweigerungen („Deny“) haben in der Regel Vorrang vor erlaubenden Einträgen.
• Rollen und Gruppen: Rechte werden bevorzugt Gruppen oder Rollen zugewiesen, nicht Einzelkonten. Das erleichtert Pflege und Audit.
• Protokollierung: Aktiviertes Auditing dokumentiert erfolgreiche und fehlgeschlagene Zugriffe für Nachvollziehbarkeit und Forensik.

Fazit: Eine skalierbare Rechteverwaltung kombiniert präzise Objektberechtigungen, konsistente Gruppen-/Rollenmodelle und belastbare Audits. So bleiben Systeme handhabbar, sicher und revisionsfähig.

Die unterschiedlichen Klassen von Zugriffsrechten

In der Praxis sind zwei Zugriffsklassen zu unterscheiden. Zu nennen wären hierbei die „Discretionary Access Control“ und die „Mandatory Access Control“. Bei der Discretionary Access Control handelt es sich um das übliche bei vielen Dateisystemen anzutreffende Kontrollverfahren, bei dem die Identität von Benutzer und Objekt überprüft wird.

Als Alternative hierzu kann jedoch auch die Mandatory Access Control zur Anwendung kommen, bei der Zugriffsrechte nicht für jeden Einzelfall, sondern allgemein Anhand von Regeln definiert werden. Ein solches Verfahren der Kontrolle von Zugriffsrechten ist in Hochsicherheitssystemen anzutreffen. Sicherheitsstandards wie TCSEC und ITSEC machen von der Implementierung solcher Kontrollverfahren abhängig, ob Systeme als sicher eingestuft werden können. Die Zugriffsrechte-Kontrolle ist damit einer der wesentlichen Bestandteile des Sicherheitskonzeptes eines Computersystems.

• DAC (Discretionary Access Control): Der Besitzer eines Objekts bzw. Administratoren entscheiden, wer welche Rechte erhält. Typisch in Dateisystemen (NTFS, ext4, APFS) und Anwendungsumgebungen. Flexibel, aber abhängig von korrekter Pflege.
• MAC (Mandatory Access Control): Regel- und labelbasiert, z. B. mit Sicherheitsstufen und -domänen (Bell-LaPadula, Biba). In sensiblen Umgebungen verhindert MAC, dass selbst privilegierte Prozesse außerhalb definierter Richtlinien agieren. Implementierungen sind u. a. SELinux oder AppArmor-Profile.
• RBAC (Role-Based Access Control): Rechte werden Rollen zugewiesen, Benutzer erhalten Rollen. Erleichtert Skalierung und On-/Offboarding.
• ABAC (Attribute-Based Access Control): Entscheidungen anhand von Attributen (Nutzer, Ressource, Kontext wie Zeit, Standort, Gerät). Sehr fein granulare, policy-basierte Steuerung.

Praxisempfehlung: Häufig wird ein hybrider Ansatz gewählt: DAC für die Basiskontrolle auf Objekten, RBAC/ABAC für effiziente Zuweisung und MAC/Policies für stark regulierte oder kritische Bereiche.

Häufige Fragen und Antworten