🏠[[Startseite ISMS]]  
📘 Kapitel:[[02. Risikomanagement]]

🔄 **Zuletzt geändert am:** `= dateformat(this.file.mtime, "dd.MM.yyyy HH:mm:ss")`

**Version:** 1.1  
**Datum:** [Aktuelles Datum]  
**Dokumenteverantwortung:** [[IT-Verantwortliche(r)]]

---

## 1. Zweck des Dokuments
Dieses Dokument beschreibt die konkrete Umsetzung des Zugriffsmanagements im Rahmen des ISMS der Beispiel-Unternehmen GmbH. Ziel ist es, den Zugriff auf IT-Systeme, Anwendungen und Daten auf autorisierte Personen zu beschränken, um die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen sicherzustellen.

## 2. Verknüpfung mit ISMS-Richtlinien
Die Maßnahmen zum Zugriffsmanagement basieren auf den folgenden Richtlinien:
- [[01.51 IT-Sicherheitsrichtlinie]]
- [[01.53 E-Mail- und Kommunikationsrichtlinie]]
- [[01.54 Internet- und Zugriffsrichtlinie]]

---

## 3. Maßnahmen zum Zugriffsmanagement

### 3.1 Benutzerkonten
- **Erstellung**:
  - Benutzerkonten werden nur auf schriftliche Anforderung durch die zuständige Führungskraft erstellt.
  - Jedes Benutzerkonto ist eindeutig einer Person zugeordnet.
- **Rechtevergabe**:
  - Zugriffsrechte werden nach dem Prinzip der geringstmöglichen Rechte (Least Privilege) vergeben.
  - Berechtigungen werden auf die Anforderungen der jeweiligen Rolle begrenzt.
- **Deaktivierung**:
  - Benutzerkonten werden bei Ausscheiden von Mitarbeitenden oder Wechsel der Rolle innerhalb von **24 Stunden** deaktiviert.

### 3.2 Multi-Faktor-Authentifizierung (MFA)
- MFA ist für alle kritischen Systeme und Anwendungen verpflichtend.
- Authentifizierungs-Apps (z. B. Google Authenticator) werden bevorzugt eingesetzt.

### 3.3 Zugriffskontrolle auf Systeme und Daten
- **Physischer Zugriff**:
  - IT-Geräte und Serverräume sind durch Schlüssel, Zugangskarten oder biometrische Authentifizierung geschützt.
- **Remote-Zugriff**:
  - Zugriff von außerhalb des Unternehmensnetzwerks ist ausschließlich über eine verschlüsselte VPN-Verbindung erlaubt.
  - Remote-Zugriffe werden protokolliert und regelmäßig überprüft.

### 3.4 Überprüfung von Zugriffsrechten
- **Regelmäßige Kontrolle**:
  - Zugriffsrechte werden mindestens einmal jährlich überprüft.
  - Bei
