Was ist das Vier-Augen-Prinzip?
Das Vier-Augen-Prinzip, auch Dual Control oder Zwei-Personen-Freigabe genannt, ist eine Regel, nach der bestimmte Aktionen zwei autorisierte Personen erfordern: Eine beantragt, eine andere gibt frei. Keine Einzelperson und kein einzelnes kompromittiertes Konto kann die Aktion allein abschließen.
Wie funktioniert das Vier-Augen-Prinzip?
Eine geschützte Aktion wird von einer Person angestoßen und bleibt zunächst offen. Eine zweite Person prüft sie mit einem separaten Konto und gibt sie frei oder lehnt sie ab. Nur eine freigegebene Anfrage wird ausgeführt, und beide Identitäten werden protokolliert. Anfragen, die nicht innerhalb einer festgelegten Zeit beantwortet werden, verfallen. Die Kontrolle ist im Bankwesen und beim Umgang mit kryptografischen Schlüsseln seit Langem etabliert. Backup-Software hat sie für Vorgänge übernommen, die Daten entfernen.
Welche Backup-Vorgänge sollten zwei Personen erfordern?
Das Prinzip gilt für Aktionen, die die Wiederherstellbarkeit verringern, auch für die indirekten.
| Aktion | Grund |
|---|---|
| Löschen von Backups oder Wiederherstellungspunkten | Direkter Verlust von Wiederherstellungsdaten |
| Verkürzen von Aufbewahrung oder Unveränderlichkeit | Daten laufen früher ab als beabsichtigt |
| Entfernen eines Repositorys | Der Inhalt kann verwaisen oder gelöscht werden |
| Ändern von Administratorkonten | Könnte einen zweiten Freigeber in der Hand einer Person schaffen |
| Deaktivieren der Freigabefunktion | Würde die Kontrolle abschalten |
Was macht die doppelte Freigabe wirksam?
Die beiden Parteien müssen unabhängig sein. Hängen beide Konten am selben Verzeichnis, kontrolliert ein Angreifer mit Zugriff auf das Verzeichnis beide. Kennt ein Administrator das Passwort des anderen, gibt es faktisch nur eine Person. Freigeberkonten sollten namentlich zugeordnet, persönlich geführt, durch eine eigene Multi-Faktor-Authentifizierung geschützt und möglichst nicht an die Produktionsdomäne gebunden sein. In kleinen Teams kann eine Führungskraft, ein Sicherheitsbeauftragter oder ein externer Dienstleister freigeben. Der Beitrag Freigabe für das Löschen von Backups zeigt den Ablauf in der Praxis.
Wie hängt das Vier-Augen-Prinzip mit Unveränderlichkeit zusammen?
Das Vier-Augen-Prinzip regelt, was Administratoren über die Backup-Software tun dürfen, und lässt eine begründete Löschung zu. Unveränderlichkeit betrifft die gespeicherten Daten selbst und lässt im Compliance-Modus bis zum Ablauf der Sperre keinerlei Löschung zu. Beide ergänzen sich. Die Freigabe schützt Konfiguration und Daten außerhalb der Sperrfrist. Unveränderlichkeit schützt aktuelle Wiederherstellungspunkte selbst dann, wenn beide Freigeber kompromittiert sind.
Häufig gestellte Fragen
Ist das Vier-Augen-Prinzip dasselbe wie Funktionstrennung?
Beide sind verwandt. Funktionstrennung weist verschiedenen Personen verschiedene Aufgaben zu. Das Vier-Augen-Prinzip verlangt zwei Personen für dieselbe Aufgabe.
Bremst die doppelte Freigabe den Betrieb?
Nur bei den wenigen Aktionen, die sie abdeckt. Routinemäßige Backups und Wiederherstellungen sind nicht betroffen.
Was passiert, wenn nur ein Administrator verfügbar ist?
Die Anfrage wartet. Deshalb werden mindestens drei mögliche Freigeber empfohlen, damit Abwesenheiten legitime Arbeit nicht blockieren.