Eine Allowlist, lange Whitelist genannt, erlaubt nur benannte Subjekte und lehnt alles andere ab, der neuere Name meidet eine belastete Farbmetapher.
Der Namenswechsel ändert die Kontrolle nicht: Was nicht auf der Liste steht, ist nicht erlaubt.
So funktioniert es
Menschen nutzten den älteren Farbbegriff für dieselbe Regel bei Post, Anwendungen und Firewalls.
Viele Organisationen sagen nun Allowlist, weil die Regel von Erlaubnis handelt und nicht von einer Metapher.
Eine Liste braucht trotzdem Verantwortliche, die Einträge hinzufügen und entfernen.
Sich selbst überlassen blockiert sie echte Arbeit oder wird so weit, dass sie keine Kontrolle mehr ist.
Konkrete Beispiele
- Ein Postserver nimmt Nachrichten nur von Partnern an, die auf der Liste stehen.
- Ein Anwendungsserver startet nur signierte Programme, die auf der Allowlist stehen.
- Eine Firewall erlaubt hinausgehende Verbindungen nur zu benannten Update Diensten.
Schutzmaßnahmen
- Nutzen Sie das Wort Allowlist in neuer Richtlinie, auf Oberflächen und in Schulungen.
- Prüfen Sie Einträge nach Plan und entfernen Sie, was kein aktueller Ablauf braucht.
- Protokollieren Sie Ablehnungen, damit rechtmäßige Arbeit bewusst ergänzt wird und nicht durch eine breite Ausnahme.
- Lehnen Sie einen weiten Eintrag ab, der nur einen Alarm zum Schweigen bringen soll.