März 5, 2026

Anhang A 8.18 Gebrauch von Hilfsprogrammen mit privilegierten Rechten

(nach ISO/IEC 27001:2022 und ISO/IEC 27002:2022)

Hilfsprogramme mit privilegierten Rechten ermöglichen tiefgehende Eingriffe in Systeme, Konfigurationen und Daten. Sie stellen daher ein erhöhtes Risiko für die Informationssicherheit dar, da Missbrauch oder Fehlbedienung zu schwerwiegenden Sicherheitsvorfällen führen können. Dieses Control stellt sicher, dass der Einsatz solcher Programme streng geregelt, überwacht und kontrolliert wird.

Zweck des Controls

A 8.18 soll gewährleisten, dass Hilfsprogramme mit privilegierten Rechten nur in kontrollierter Weise eingesetzt werden. Ziel ist es, Risiken durch Missbrauch oder unbeabsichtigte Veränderungen zu minimieren und die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen und Systemen zu schützen.

Anforderungen und Maßnahmen

1. Identifikation privilegierter Hilfsprogramme

Organisationen müssen Hilfsprogramme identifizieren, die privilegierte Rechte erfordern, insbesondere:

  • System- und Administrationswerkzeuge
  • Diagnose- und Wartungsprogramme
  • Skripte mit erweiterten Berechtigungen
  • Notfall- oder Sonderwerkzeuge

Die Identifikation muss vollständig und aktuell sein.

2. Festlegung von Einsatzrichtlinien

Der Einsatz privilegierter Hilfsprogramme muss klar geregelt sein:

  • zulässige Einsatzszenarien
  • Genehmigungs- und Freigabeprozesse
  • zeitliche oder funktionale Einschränkungen
  • Dokumentation der Nutzung

So wird ein kontrollierter Einsatz sichergestellt.

3. Beschränkung des Zugriffs

Der Zugriff auf privilegierte Hilfsprogramme muss beschränkt werden:

  • Zugriff nur für berechtigte Personen
  • Trennung von Benutzer- und Administrationskonten
  • Einsatz starker Authentifizierungsmechanismen
  • Nutzung nach dem Need-to-know-Prinzip

Dies reduziert Missbrauchsrisiken.

4. Überwachung und Protokollierung der Nutzung

Die Nutzung privilegierter Hilfsprogramme muss überwacht werden:

  • Protokollierung von Zugriffen und Aktionen
  • Erfassung von Zeitpunkt, Nutzer und Zweck
  • regelmäßige Auswertung der Protokolle
  • Integration in Überwachungs- und Incident-Prozesse

So werden Unregelmäßigkeiten erkannt.

5. Schutz der Programme und Konfigurationen

Hilfsprogramme müssen vor Manipulation geschützt werden:

  • Schutz der Programmdateien
  • Einschränkung von Änderungen
  • sichere Speicherung
  • Kontrolle der Integrität

Dies verhindert unautorisierte Veränderungen.

6. Umgang mit Notfall- und Sonderfällen

Der Einsatz in Notfällen muss geregelt sein:

  • klare Definition von Notfallszenarien
  • zeitlich begrenzte Nutzung
  • vollständige Protokollierung
  • nachträgliche Überprüfung

So bleibt Kontrolle auch in Ausnahmesituationen bestehen.

7. Schulung und Sensibilisierung

Personen mit Zugriff auf privilegierte Hilfsprogramme müssen geschult sein:

  • sichere Nutzung der Programme
  • Risiken und Konsequenzen bei Fehlbedienung
  • Einhaltung von Richtlinien
  • Meldepflicht bei Auffälligkeiten

Kompetenz reduziert Risiken.

8. Dokumentation und kontinuierliche Verbesserung

Regelungen zum Einsatz privilegierter Hilfsprogramme müssen dokumentiert sein:

  • Liste der Programme
  • Zugriffs- und Einsatzregelungen
  • Nachweise über Nutzung und Prüfungen
  • regelmäßige Überprüfung und Anpassung

Die Dokumentation unterstützt Audits und Nachvollziehbarkeit.

Zusammenfassung

A 8.18 fordert, dass Organisationen den Gebrauch von Hilfsprogrammen mit privilegierten Rechten streng kontrollieren. Durch klare Einsatzrichtlinien, beschränkten Zugriff, umfassende Protokollierung, Schutz der Programme sowie regelmäßige Überprüfung wird sichergestellt, dass solche Programme nicht zur Schwachstelle der Informationssicherheit werden. Das Control ist ein zentraler Bestandteil der technischen Sicherheitsmaßnahmen im Informationssicherheitsmanagementsystem.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
A 8.18 · in der Praxis

Was der Auditor hier sehen will

Vier Fragen, die im Zertifizierungsaudit zu A 8.18 tatsächlich gestellt werden – und woran sie sich entscheiden.

„Welche Werkzeuge können Sicherheitsmechanismen umgehen?“
Systemtools, Debugger, Datenbankwerkzeuge, Fernwartung: Das Control zielt genau auf diese Programme.
„Wer darf sie einsetzen?“
Der Kreis muss eng und benannt sein – ohne Beschränkung ist jeder Schutz darüber hinweg aushebelbar.
„Wie ist ihr Einsatz protokolliert?“
Diese Werkzeuge hinterlassen im Regelbetrieb keine Spur. Ohne eigene Protokollierung bleibt der Einsatz unsichtbar.
„Sind nicht benötigte Werkzeuge entfernt?“
Das Control verlangt die Entfernung unnötiger Programme – auf Servern liegt davon meist mehr als gedacht.
Das Dokument dazu

A 8-18-1 Genehmigte Hilfstools

Verzeichnis privilegierter Hilfsprogramme mit Berechtigten · Protokollierung des Einsatzes · Entfernung nicht benötigter Werkzeuge. In der ISMS-Plattform entsteht das Dokument aus Ihren Angaben und ist mit dem Control und seinen Nachweisen verknüpft.

Sie arbeiten die Norm gerade durch? Alle Klauseln und Controls im Überblick