Dies ist eine Blechpresse-Fiktion. Der Admin mit Warnweste ist erfunden. Die Versuchung, alles mit Vollrechten zu tun, leider nicht.
Morgens um halb neun steht der Admin-Account im Maschinenraum und trägt Warnweste. Nicht freiwillig. Jemand hat „Least Privilege“ auf ein Klebeband geschrieben und ihm quer über die Brust geklebt. Er wirkt beleidigt, aber sichtbar.
Jahrelang durfte er alles. Plugins anfassen, Nutzer anlegen, Daten exportieren, Türen öffnen, Türen ausbauen, Türrahmen in ein neues Ticketsystem migrieren. Dann fragte jemand im Review: Muss dieser Account das wirklich jeden Dienstag können? Seitdem ist die Stimmung arbeitsrechtlich schwierig.
Least Privilege heißt im Kern: nur die Rechte, die für die Aufgabe nötig sind, nicht die Rechte, die früher bequem waren. OWASP warnt bei Authentisierung und Sitzungen besonders vor empfindlichen Konten und davor, interne oder privilegierte Zugänge sorglos über falsche Fronten zu schleusen. Ein Session-Token mit Adminrechten ist, wenn es verloren geht, nicht „ein Cookie“. Es ist der Generalschlüssel mit Kaffeefleck.
Der Router bekam bereits ein Sicherheitsheft, Der Router bekommt ein Sicherheitsheft. Der Admin bekommt nun eine Warnweste. Beides ist nicht elegant, aber man sieht schneller, wo jemand gleich mit zu viel Werkzeug durch die Wand will.
In der Blechpresse werden Rollen neu sortiert. Der Redakteur darf schreiben, aber nicht den Keller fluten. Der Bot darf protokollieren, aber nicht die Haustür verkaufen. Der Praktikant darf Kaffee kochen, was technisch gesehen kein WordPress-Capability ist, aber der Antrag läuft.
Natürlich nervt das. Rechte schneiden immer zuerst in Gewohnheiten. Plötzlich muss man wechseln, begründen, beantragen, manchmal sogar nachdenken. Ach, nachdenken. Dieses alte Legacy-Feature.
Aber der Vorteil ist trocken und groß: Wenn ein kleines Konto fällt, fällt nicht gleich das ganze Regal. Wenn ein Token abhandenkommt, brennt nicht automatisch die Druckerei. Wenn ein Mensch müde ist, schützt ihn die Rolle vor seinem eigenen „mach ich kurz als Admin“.
Am Abend hängt die Warnweste ordentlich am Haken. Der Admin murmelt, er sei kein Verkehrshütchen. Stimmt. Eher ein Gabelstapler. Und genau deshalb braucht er Streifen.
Faktenanker: OWASP Authentication Cheat Sheet, OWASP Session Management Cheat Sheet. Fiktionale Szene, technische Aussagen gegen die genannten Quellen geprüft.