CompTIA SY0-701: Identitäts- & Zugriffsmanagement — Lernleitfaden

By Laurynas Brazys · 20 July 2026 · #comptia #sy0-701 #certification #exam-prep #study-guide

Teil des CompTIA Security+ SY0-701 — Lernleitfaden. Üben Sie mit verifizierten Antworten im CompTIA-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Identitäts- und Zugriffsmanagement (IAM) ist die Disziplin, die sicherstellt, dass die richtigen Subjekte – Benutzer, Dienste und Geräte – zur richtigen Zeit den richtigen Zugriff auf die richtigen Ressourcen erhalten, und das nur so lange wie nötig. Es beruht auf zwei konzeptionell unterschiedlichen Säulen, die häufig und gefährlicherweise vermischt werden: Authentifizierung, die beweist, wer ein Subjekt ist, und Autorisierung, die bestimmt, was dieses authentifizierte Subjekt tun darf. Ein Benutzer, der sich mit einem Fingerabdruck an einer Workstation anmeldet, hat sich authentifiziert; ob dieser Benutzer die Gehaltsabrechnungsdatenbank öffnen kann, ist eine Frage der Autorisierung. Jedes Kontrolldesign, das diese beiden vermischt, lädt zu Kompromittierungen ein.

Authentifizierungsfaktoren und Multi-Faktor-Authentifizierung

Authentifizierungsfaktoren werden traditionell in fünf Kategorien eingeteilt: etwas, das Sie wissen (Passwörter, PINs), etwas, das Sie haben (Smartcards, Hardware-Token, Telefone mit TOTP-Apps), etwas, das Sie sind (Fingerabdruck, Retina, Gesichtsgeometrie), ein Ort, an dem Sie sich befinden (Geolocation oder netzwerkbasierter Kontext) und etwas, das Sie tun (verhaltensbasierte Biometrie wie die Tippkadenz). Die Multi-Faktor-Authentifizierung (MFA) erfordert Nachweise aus mindestens zwei verschiedenen Kategorien. Ein Passwort in Kombination mit einer Sicherheitsfrage ist keine MFA – beides ist „etwas, das Sie wissen“. Ein Passwort in Kombination mit einem TOTP-Code von Google Authenticator ist MFA.

Hardware-Token gibt es in verschiedenen Formen. FIDO2/WebAuthn-Sicherheitsschlüssel wie YubiKeys verwenden asymmetrische Kryptografie: Der private Schlüssel verlässt niemals das Gerät, und der Server besitzt nur einen öffentlichen Schlüssel, was Phishing und Replay-Angriffe verhindert. HOTP-Token generieren Einmalpasswörter aus einem Zähler; TOTP-Token generieren sie aus der aktuellen Zeit unter Verwendung einer HMAC-SHA1-Konstruktion:

TOTP = HMAC-SHA1(shared_secret, floor(current_unix_time / 30))

Smartcards, in Regierungsumgebungen üblicherweise PIV- oder CAC-Karten, speichern ein X.509-Zertifikat und einen privaten Schlüssel auf einem manipulationssicheren Chip. Das Vorzeigen der Karte in Kombination mit einer PIN erfüllt zwei Faktoren und ermöglicht eine zertifikatbasierte Authentifizierung bei Systemen wie Active Directory über Kerberos PKINIT.

MFA ist die wirksamste Einzelmaßnahme gegen den Diebstahl von Anmeldeinformationen. Wenn Benutzer Anmeldungen von IP-Adressen melden, die nicht von ihnen stammen, bekämpft das Zurücksetzen von Passwörtern das Symptom; die Durchsetzung von MFA bekämpft die eigentliche Ursache, da ein gestohlenes Passwort allein nicht mehr ausreicht.

Single Sign-On und Föderation

Single Sign-On (SSO) ermöglicht es einem Benutzer, sich einmal zu authentifizieren und auf mehrere Anwendungen zuzugreifen, ohne die Anmeldeinformationen erneut eingeben zu müssen. Föderation erweitert dies über Organisations- oder Vertrauensgrenzen hinweg – der Identitätsanbieter (IdP) eines Benutzers in einer Domäne bürgt für den Benutzer gegenüber einem Dienstanbieter (SP) in einer anderen. Das häufigste Missverständnis hierbei ist, SAML und OAuth als austauschbar zu betrachten; sie lösen unterschiedliche Probleme.

SAML 2.0 ist ein XML-basiertes Protokoll, das für Enterprise-SSO und Authentifizierungszusicherungen (Assertions) entwickelt wurde. Wenn ein Benutzer eine SaaS-Anwendung anfordert, leitet der SP den Browser zum IdP um, der den Benutzer authentifiziert und eine signierte SAML-Assertion mit Identitätsattributen zurückgibt. Dies ist der Standardmechanismus, um Mitarbeitern den Zugriff auf Cloud-Anwendungen wie Salesforce oder Workday mit den Anmeldeinformationen des unternehmenseigenen Active Directory zu ermöglichen.

OAuth 2.0 ist ein Autorisierungs-Framework, kein Authentifizierungsprotokoll. Es gewährt einer Drittanbieteranwendung über Zugriffstoken (Access Tokens) delegierten Zugriff auf eine Ressource im Namen des Benutzers. Einer Anwendung zu erlauben, in Ihrem Namen auf Twitter zu posten, ist ein OAuth-Flow. OpenID Connect (OIDC) ist eine Identitätsschicht, die auf OAuth 2.0 aufbaut und ein id_token (ein JWT) hinzufügt, das Authentifizierungszusicherungen bereitstellt – das ist es, was „Mit Google anmelden“ ermöglicht.

Eine kritische Falle: SSO und Föderation reduzieren die unkontrollierte Verbreitung von Anmeldeinformationen, heben aber nicht die Notwendigkeit von MFA auf. Tatsächlich konzentrieren sie das Risiko – eine kompromittierte SSO-Anmeldeinformation schaltet nun jede föderierte Anwendung frei. MFA muss beim IdP durchgesetzt werden, und privilegierte Konten sollten auch nach dem SSO eine Step-up-Authentifizierung erfordern.

Zugriffskontrollmodelle

Sobald die Identität festgestellt ist, regelt ein Zugriffskontrollmodell die Autorisierungsentscheidungen. Discretionary Access Control (DAC) erlaubt es den Eigentümern von Ressourcen, Berechtigungen festzulegen, typischerweise über Zugriffskontrolllisten (ACLs). Mandatory Access Control (MAC) setzt Richtlinien zentral auf der Grundlage von Kennzeichnungen (Labels) und Freigabestufen (Clearances) durch, was in militärischen Systemen üblich ist und von Frameworks wie SELinux erzwungen wird. Rollenbasierte Zugriffskontrolle (RBAC) weist Berechtigungen Rollen und Benutzer den Rollen zu – eine Rolle „Billing Analyst“ hat einen definierten Satz von Berechtigungen, und Benutzer erben die Berechtigungen durch ihre Rollenmitgliedschaft. Attributbasierte Zugriffskontrolle (ABAC) wertet Richtlinien anhand von Attributen des Subjekts, der Ressource, der Aktion und der Umgebung aus und ermöglicht Regeln wie „Lesezugriff auf HR-Dateien nur während der Geschäftszeiten von unternehmensverwalteten Geräten aus erlauben“.

Über jedem Modell liegt das Prinzip der geringsten Rechte (Least Privilege): Subjekte erhalten nur den minimalen Zugriff, der zur Ausübung ihrer Funktion erforderlich ist, und nicht mehr. Ergänzend dazu gibt es die Funktionstrennung, die verhindert, dass eine einzelne Person einen gesamten sensiblen Prozess kontrolliert – die Person, die eine Zahlung beantragt, sollte sie nicht auch genehmigen.

Praktische Zugriffskontrollen umfassen Dateisystem-ACLs, Netzwerk-ACLs auf Routern und Firewalls sowie zeitbasierte Einschränkungen, die eine Anmeldung nur während autorisierter Stunden erlauben. Ein Windows-ACL-Eintrag, der schreibgeschützten Zugriff auf eine Finanzfreigabe gewährt, könnte lauten:

icacls C:\Finance /grant "Domain\Finance-RO:(OI)(CI)R"

← Governance · Alle Domänen · Bedrohungen →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →