MaRisk-Compliance gewährleisten


Großzügige Administratoren-Rechte gefährden die Compliance: MaRisk fordern strikte Regelung der Zugriffsrechte auf IT-Systeme
Werden hier keine adäquaten Maßnahmen für ein effizientes Passwortmanagement getroffen, verstößt dies gegen gesetzliche und aufsichtsrechtliche Bestimmungen aus Basel II, ISO 27001, SAS70, PCI-DSS oder dem Sarbanes-Oxley Act (SOX)

(13.12.11) - Über Administratoren-Accounts und -Passwörter ist in der Regel ein problemloser Zugriff auf alle unternehmenskritischen Datenbestände möglich. In zahlreichen Compliance-Richtlinien wird deshalb eine exakte Überwachung solcher Nutzerkennungen gefordert. Regelungen hierzu gibt es laut Sicherheitsexperte Cyber-Ark auch in den MaRisk (Mindestanforderungen an das Risikomanagement) der BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht), die für Finanzinstitute gültig sind.

User-Accounts von Administratoren und sogenannten Superusern verfügen über weitreichende Rechte. Sie stellen deshalb für jedes Unternehmen ein hohes Sicherheitsrisiko dar. Werden hier keine adäquaten Maßnahmen für ein effizientes Passwortmanagement getroffen, verstößt dies gegen gesetzliche und aufsichtsrechtliche Bestimmungen aus Basel II, ISO 27001, SAS70, PCI-DSS oder dem Sarbanes-Oxley Act (SOX). In diesen Compliance-Regelungen wird nämlich ein Nachweis gefordert, wer Zugriff auf privilegierte Benutzerkonten hat, welche Veränderungen vorgenommen und ob die Passwörter ordnungsgemäß geschützt und geändert wurden.

Auch in den von der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) veröffentlichten Mindestanforderungen an das Risikomanagement (MaRisk), dem zentralen Regelwerk der qualitativen Bankenaufsicht, finden sich entsprechende Regelungen. Deren Einhaltung wird im Rahmen der Jahresabschlussprüfung geprüft und ist gegenwärtig auch häufig Gegenstand von Sonderprüfungen nach § 44 Abs. 1 KWG.

Im Hinblick auf die technisch-organisatorische Ausstattung von Finanzinstituten wird in den MaRisk etwa konstatiert, dass "bei der Ausgestaltung der IT-Systeme und der zugehörigen IT-Prozesse grundsätzlich auf gängige Standards abzustellen (ist), insbesondere sind Prozesse für eine angemessene IT-Berechtigungsvergabe einzurichten, die sicherstellen, dass jeder Mitarbeiter nur über die Rechte verfügt, die er für seine Tätigkeit benötigt". Konkret verwiesen wird hier auf die Einhaltung der Standards IT-Grundschutzkatalog des Bundesamtes für Sicherheit in der Informationstechnik (BSI) und ISO/IEC 2700X.

Die MaRisk wurden zuletzt Ende 2010 überarbeitet. Die Änderungen müssen von den Instituten bis zum Ende dieses Jahres "vollumfänglich" umgesetzt werden. Eine entscheidende Erweiterung betrifft den Bereich "Zugriffsrechte". Hierzu heißt es: "Die eingerichteten Berechtigungen dürfen nicht im Widerspruch zur organisatorischen Zuordnung von Mitarbeitern stehen. Insbesondere bei Berechtigungsvergaben im Rahmen von Rollenmodellen ist darauf zu achten, dass Funktionstrennungen beibehalten beziehungsweise Interessenkonflikte vermieden werden."

Jochen Koehler, Deutschland-Chef von Cyber-Ark in Heilbronn, betont: "Gerade in diesem Bereich sehen wir in der Finanzdienstleistungsbranche noch einen erheblichen Handlungsbedarf. Vielfach gibt es nämlich noch Super-Admins mit uneingeschränkten privilegierten Rechten, das heißt, es erfolgt weder eine strikte 'Separation of Duties' noch eine Implementierung von rollenbasierten Zugriffs- und Kontrollsystemen. Im Hinblick auf die Erfüllung von Compliance-Anforderungen, eine Erhöhung der Sicherheit und auch eine Reduzierung des Administrationsaufwandes sollte aber jedes Finanzinstitut über ein zuverlässiges Privileged Identity Management (PIM) verfügen. Mit einer solchen Lösung können privilegierte Accounts, also Benutzerkonten mit erweiterten Rechten, zuverlässig verwaltet werden."

Verschiedene PIM-Lösungen sind heute auf dem Markt verfügbar. Dabei gibt es unterschiedliche Lösungsansätze: von der Hardware-Appliance über eine softwarebasierte Virtual Appliance bis hin zu einer reinen Software-Lösung. Gemeinsam ist den Lösungen, dass die Passwörter in einem gesicherten Bereich vor den Zugriffen unberechtigter Personen geschützt werden. Koehler sagt: "Bei der Entscheidung für eine Lösung sollte man darauf achten, dass sie neben einer regelmäßigen Änderung der Netzwerk-, Server- und Datenbank-Passwörter auch Drittanwendungen die Möglichkeit bietet, die neuen Passwörter automatisch zu beziehen. Zudem sollte eine Zugriffskontrolle und vollständige Überwachung beziehungsweise Protokollierung aller Aktivitäten vorhanden sein." (Cyber-Ark: ra)

Cyber-Ark: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Kommentare und Meinungen

  • Hochkompetent, verantwortungsvoll, unabhängig

    Die Deutsche Vereinigung für Datenschutz e.V. (DVD), eine seit über 40 Jahren aktive Bürgerrechtsorganisation, hat mit größtem Befremden zur Kenntnis genommen, dass die Bundesregierung bis heute immer noch keine Verlängerung der Amtszeit des amtierenden Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) Ulrich Kelber in Aussicht gestellt hat.

  • VdK-Präsidentin: "Riester-Rente ist gescheitert"

    Der Bundesgerichtshof (BGH) hat eine Sparkassen-Klausel zu Riester-Abschlusskosten für unwirksam erklärt. Die Bank hatte Sparerinnen und Sparer nicht über alle Kosten des Riester-Vertrags informiert und dann zu Beginn der Auszahlphase einen Nachschlag verlangt.

  • Gesetzliche Verpflichtung zu Barrierefreiheit

    Zur Anhörung zur Antidiskriminierungsstelle des Bundes und dem Allgemeinen Gleichbehandlungsgesetz (AGG) erklärt VdK-Präsidentin Verena Bentele: "Gerne erinnere ich das Bundesjustizministerium (BMJ) an den gemeinsamen Plan im Koalitionsvertrag, das Allgemeine Gleichstellungsgesetz umfassend zu novellieren. Hier müssen endlich klare gesetzliche Regelungen geschaffen werden, die privaten Anbieter von Gütern und Dienstleistungen zur Barrierefreiheit verpflichten. Trotz Absichtserklärungen und Ankündigungen hat das für das AGG zuständige Bundesjustizministerium bisher nichts vorgelegt."

  • Gesammelte Kommentare zur US "AI Executive Order"

    Am 30. Oktober 2023 hat US-Präsident Joe Biden die "AI Executive Order" erlassen. Hier sind die wichtigsten Erkenntnisse der Verordnung auf einen Blick.

  • Regulierung von Foundation Models

    Zur Debatte über eine mögliche Verzögerung beim EU AI Act, mit dem die Entwicklung und Anwendung von Künstlicher Intelligenz in Europa reguliert werden soll, erklärt Bitkom-Präsident Dr. Ralf Wintergerst: "Der AI Act ist die wohl wichtigste Entscheidung, die Europäisches Parlament und Kommission derzeit auf der Agenda haben."

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen