Zugriffsrechte regelmäßig rezertifizieren

Prüfumfang aus System und Schutzbedarf bilden

Die Kampagne beginnt mit Anwendungen, Datenbeständen, Rollen und privilegierten Funktionen im festgelegten Umfang. Technische Konten, Schnittstellen und externe Partner werden nicht übersehen. Das Team priorisiert nach möglicher Wirkung: Administrationsrechte und Zugriff auf sensible oder geschäftskritische Daten benötigen meist stärkere Prüfung als ein öffentliches Leserecht. Die Liste wird aus aktuellen technischen Quellen erzeugt und mit Personal- oder Partnerstatus abgeglichen. Eine alte Tabellenkopie ist kein verlässlicher Ausgangspunkt. Unbekannte Konten werden als Befund behandelt und nicht stillschweigend einer vermuteten Person zugeordnet.

Einordnung: Redaktioneller Arbeitsschritt; keine gesetzliche oder technische Vorgabe.

Prüfende mit verständlichem Kontext versorgen

Eine Führungskraft kann kryptische Gruppenkennungen nicht sinnvoll freigeben. Jeder Eintrag zeigt deshalb Person oder Dienst, verständliche Rolle, betroffene Ressource, enthaltene Fähigkeiten, Vergabegrund und letzte Nutzung, soweit diese Information verlässlich verfügbar ist. Kritische Kombinationen werden hervorgehoben. Der Prüfauftrag bietet Beibehalten, Entfernen, zeitlich begrenzen und Klären. Pauschale Schaltflächen für „alles bestätigen“ schwächen die Entscheidung. Wenn niemand die Bedeutung einer Rolle erklären kann, ist das selbst ein Grund zur Untersuchung. Die fachliche Bestätigung und die technische Eigentümerschaft bleiben unterscheidbar.

Einordnung: Redaktioneller Arbeitsschritt; keine gesetzliche oder technische Vorgabe.

Berechtigungsmanagement am Risiko ausrichten

Das BSI behandelt Identitäts- und Berechtigungsmanagement in seinem IT-Grundschutz-Kompendium und ordnet Maßnahmen in einen systematischen Sicherheitsprozess ein. Daraus lässt sich kein für jede Organisation identischer Prüfzyklus ableiten. Umfang und Häufigkeit hängen unter anderem von Schutzbedarf, Änderungsdynamik und vorhandener Überwachung ab. Für den gewählten Zyklus dokumentiert die Organisation ihre Begründung. Anlassbezogene Prüfungen nach Rollenwechsel, Austritt oder wesentlicher Systemänderung ergänzen die regelmäßige Runde; sie dürfen nicht bis zum nächsten Kalendertermin warten, wenn ein Zugriff offensichtlich nicht mehr benötigt wird.

Beleggrundlage: IT-Grundschutz-Kompendium · BSI-Standard 200-2: IT-Grundschutz-Methodik

Dienstkonten und Notfallzugänge gesondert prüfen

Nicht-personalisierte Konten brauchen einen benannten technischen und fachlichen Besitzer, beschriebenen Zweck, minimalen Berechtigungsumfang und geregelten Umgang mit Geheimnissen. Abhängige Jobs werden vor einer Änderung identifiziert, damit eine gut gemeinte Sperre keinen unbemerkten Betriebsausfall verursacht. Notfallzugänge bleiben eng begrenzt, überwacht und auf Funktionsfähigkeit geprüft; ihre Existenz ist keine Begründung für alltägliche Nutzung. Gemeinsame persönliche Konten sollten als strukturelles Problem sichtbar werden. Wo eine sofortige Ablösung nicht möglich ist, erhält die Ausnahme konkrete Schutzmaßnahmen, Verantwortliche und Endtermin.

Einordnung: Redaktioneller Arbeitsschritt; keine gesetzliche oder technische Vorgabe.

Entscheidung technisch umsetzen und zurücklesen

Nach fachlicher Prüfung entstehen nachvollziehbare Änderungsaufträge. Entfernung und Einschränkung werden im Zielsystem durchgeführt und anschließend erneut aus der wirksamen Berechtigungssicht ausgelesen. Gruppenverschachtelung, lokale Rechte oder geerbte Rollen können sonst dazu führen, dass der Zugriff trotz erledigtem Ticket bestehen bleibt. Fehlgeschlagene Änderungen bleiben offen und werden eskaliert. Ein Wiederherstellungsweg für irrtümlich entfernte, geschäftlich notwendige Rechte ist definiert, ohne das alte breite Rollenpaket pauschal zurückzugeben. Der Abschlussbericht trennt bestätigte, entfernte, ungeklärte und technisch noch nicht umgesetzte Rechte.

Einordnung: Redaktioneller Arbeitsschritt; keine gesetzliche oder technische Vorgabe.

Aus Mustern die Rollenstruktur verbessern

Wiederkehrende Einzelentscheidungen zeigen, wo Standardrollen nicht mehr zu Aufgaben passen. Das Team analysiert häufig entfernte Zusatzrechte, dauerhaft ungeklärte Gruppen und lange Bearbeitungszeiten. Daraus werden gezielte Änderungen an Rollen, Eintritts- und Wechselprozessen abgeleitet. Eine sinkende Zahl von Rechten ist nicht automatisch Erfolg; entscheidend ist, ob notwendige Zugriffe verfügbar und unnötige wirksam entfernt sind. Metriken werden daher mit Stichproben und Fehlerbeobachtung kombiniert. Nach jeder Runde bleiben Regelversion, Datenstand, Verantwortliche und offene Ausnahmen dokumentiert, damit die nächste Prüfung auf einem belastbaren Zustand beginnt. Eine unabhängige Stichprobe vergleicht ausgewählte Entscheidungen mit aktuellen Aufgabenbeschreibungen und wirksamen Systemrechten. Abweichungen verbessern Datenquellen oder Prüfanleitung; sie werden nicht allein der bestätigenden Person zugeschrieben, wenn der bereitgestellte Kontext unverständlich war. Offene Hochrisikorechte werden gesondert eskaliert und konsequent nachverfolgt.

Einordnung: Redaktioneller Arbeitsschritt; keine gesetzliche oder technische Vorgabe.

Im Zusammenhang weiterlesen

• Berechtigungen beim Austritt entziehen — Ein belastbarer Austrittsprozess startet mit einem verifizierten Ereignis, ordnet jedes Konto einem Eigentümer zu und endet erst mit gelesenen Systemnachweisen und dokumentierten Ausnahmen.
• Personenbezogene Daten minimieren — Datenminimierung wird operativ, wenn jedes Feld und jede Kopie einen beschriebenen Zweck, Empfänger und Lebenszyklus besitzt.
• Externe Partner sicher einbinden — Sichere Einbindung beginnt vor dem ersten Zugang: Zweck, Ansprechpartner, benötigte Daten, erlaubte Systeme, Meldeweg und geregeltes Ende werden gemeinsam festgehalten.