Fundierte Berechtigungskonzepte im Unternehmen gehören zu den wirksamsten, aber im Mittelstand häufig am schwächsten ausgeprägten Bausteinen der IT-Sicherheit. Während Firewalls, Virenschutz und Backup-Strategien in den meisten Unternehmen etabliert sind, wächst die Vergabe von Zugriffsrechten über Jahre häufig unstrukturiert: Neue Mitarbeitende erhalten Rechte des Vorgängers ohne erneute Prüfung, Projektzugänge werden nach Projektende nicht entzogen, und einzelne Nutzerkonten sammeln im Laufe der Zeit weit mehr Berechtigungen an, als die aktuelle Funktion tatsächlich erfordert. Diese schleichende Rechteansammlung erhöht nicht nur das Risiko im Falle eines kompromittierten Nutzerkontos, sondern erschwert auch den Nachweis angemessener technischer und organisatorischer Maßnahmen gegenüber Aufsichtsbehörden und Kunden. Dieser Beitrag beschreibt die Grundprinzipien wirksamer Berechtigungskonzepte, den systematischen Aufbau eines rollenbasierten Zugriffsmodells und die regelmäßige Überprüfung vergebener Rechte im laufenden Betrieb.
Redaktionshinweis: Dieser Beitrag vermittelt allgemeine Fachinformationen zu Berechtigungskonzepten und den damit verbundenen regulatorischen Anforderungen (unter anderem DSGVO, ISO 27001, NIS2). Er ersetzt keine Rechtsberatung im Einzelfall. Für eine verbindliche Einschätzung der Anforderungen an Ihr Unternehmen wenden Sie sich an einen spezialisierten Datenschutzbeauftragten oder eine auf IT-Recht spezialisierte Kanzlei.
Warum Berechtigungskonzepte zentraler Baustein der IT-Sicherheit sind
Ein Großteil erfolgreicher Cyberangriffe nutzt kompromittierte Zugangsdaten regulärer Nutzerkonten, nicht technische Schwachstellen in Systemen. Verfügt ein kompromittiertes Konto über weitreichende, nicht mehr benötigte Berechtigungen, kann sich ein Angreifer innerhalb des Netzwerks deutlich freier bewegen, als es bei konsequent auf das Nötigste beschränkten Rechten möglich wäre. Ein durchdachtes Berechtigungskonzept begrenzt diesen sogenannten Blast Radius, also das Ausmaß des potenziellen Schadens im Falle einer Kompromittierung, unabhängig davon, über welchen Weg der ursprüngliche Zugriff erfolgte.
Neben der reinen Schadensbegrenzung liefert ein dokumentiertes Berechtigungskonzept auch eine wesentliche Grundlage für die Nachvollziehbarkeit von Datenzugriffen. Bei der Aufklärung von Sicherheitsvorfällen oder im Rahmen von Audits muss regelmäßig geklärt werden, wer zu einem bestimmten Zeitpunkt Zugriff auf welche Daten hatte. Ohne ein aktuelles, konsistentes Berechtigungskonzept lässt sich diese Frage oft nur mit erheblichem Aufwand oder gar nicht mehr zuverlässig beantworten.
Grundprinzipien wirksamer Berechtigungskonzepte
Mehrere etablierte Prinzipien bilden das methodische Fundament eines belastbaren Berechtigungskonzepts und sollten unabhängig von der konkreten technischen Umsetzung beachtet werden.
Least-Privilege-Prinzip und Need-to-know
Das Least-Privilege-Prinzip besagt, dass jedes Nutzerkonto ausschließlich die Berechtigungen erhalten soll, die für die Erfüllung der jeweiligen Aufgabe zwingend erforderlich sind, nicht mehr und nicht weniger. Eng verwandt ist das Need-to-know-Prinzip, das den Zugriff auf Informationen zusätzlich danach beschränkt, ob die konkrete Aufgabe die Kenntnis dieser Information tatsächlich erfordert. Beide Prinzipien wirken der verbreiteten Praxis entgegen, im Zweifel eher großzügig Rechte zu vergeben, um spätere Nachfragen und Wartezeiten zu vermeiden.
Funktionstrennung (Segregation of Duties)
Die Funktionstrennung stellt sicher, dass kritische Prozessschritte nicht vollständig in der Hand einer einzelnen Person liegen. Ein klassisches Beispiel ist die Trennung zwischen der Anlage eines neuen Lieferanten im ERP-System und der Freigabe von Zahlungen an diesen Lieferanten: Läge beides in derselben Hand, ließe sich ein fiktiver Lieferant anlegen und unbemerkt bezahlen. Funktionstrennung reduziert damit sowohl das Risiko vorsätzlicher Manipulation als auch das Risiko unbeabsichtigter Fehler, die ohne eine zweite prüfende Instanz unentdeckt blieben.
Rollenbasierte versus attributbasierte Zugriffskontrolle
Bei der rollenbasierten Zugriffskontrolle (Role-Based Access Control, RBAC) werden Berechtigungen nicht einzelnen Personen, sondern klar definierten Rollen zugeordnet, die wiederum bestimmten Funktionen im Unternehmen entsprechen. Ein neuer Mitarbeiter erhält beim Eintritt in eine Funktion automatisch alle für diese Rolle definierten Rechte, was die Vergabe deutlich standardisiert und nachvollziehbarer macht als eine individuelle Rechtevergabe von Fall zu Fall. Die attributbasierte Zugriffskontrolle (Attribute-Based Access Control, ABAC) geht einen Schritt weiter und berücksichtigt zusätzlich kontextbezogene Attribute wie Standort, Gerätetyp oder Tageszeit, bevor ein Zugriff gewährt wird. ABAC bietet höhere Flexibilität, erfordert jedoch eine deutlich komplexere Konfiguration und eignet sich vor allem für Unternehmen mit bereits etablierter RBAC-Struktur, die zusätzliche kontextbezogene Absicherung benötigen.
Regulatorischer Rahmen für Zugriffsmanagement
Mehrere regulatorische Anforderungen adressieren Zugriffsmanagement explizit oder implizit, auch wenn sie selten konkrete technische Vorgaben machen. Artikel 32 der Datenschutz-Grundverordnung verlangt von Unternehmen, geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau sicherzustellen, wozu ausdrücklich die Fähigkeit gehört, die Vertraulichkeit von Verarbeitungssystemen dauerhaft sicherzustellen. Ein dokumentiertes, regelmäßig überprüftes Berechtigungskonzept gilt in der Praxis als eine der zentralen Maßnahmen, mit denen sich diese Anforderung nachweisen lässt.
Die internationale Norm ISO 27001 adressiert Zugriffskontrolle im Anhang A explizit als eigenen Maßnahmenbereich und verlangt unter anderem eine dokumentierte Zugriffskontrollrichtlinie, ein Verfahren zur Rechtevergabe und -entziehung sowie regelmäßige Überprüfungen bestehender Berechtigungen. Für Unternehmen, die unter den Anwendungsbereich der NIS2-Richtlinie fallen, gehört ein angemessenes Zugriffsmanagement ebenfalls zu den geforderten Mindestmaßnahmen im Bereich der Cybersicherheit. Auch Unternehmen außerhalb des unmittelbaren NIS2-Anwendungsbereichs orientieren sich zunehmend an diesen Anforderungen, da größere Kunden im Rahmen von Lieferkettenprüfungen entsprechende Nachweise einfordern.
„Ein Berechtigungskonzept, das nur auf dem Papier existiert, aber im laufenden Betrieb nicht gepflegt wird, ist im Ernstfall wertlos.“ (Grundsatz aus der IT-Sicherheitspraxis)
Privilegierte Konten als besonderes Risiko
Innerhalb eines Berechtigungskonzepts verdienen privilegierte Konten, also Konten mit administrativen Rechten auf Systemebene, besondere Aufmerksamkeit. Ein kompromittiertes Administratorkonto ermöglicht einem Angreifer typischerweise weitreichende Eingriffe, etwa das Deaktivieren von Sicherheitsmechanismen, das Anlegen zusätzlicher Konten oder den Zugriff auf sämtliche im jeweiligen System gespeicherten Daten. Privileged-Access-Management-Lösungen (PAM) adressieren dieses erhöhte Risiko gezielt, indem sie administrative Zugänge zeitlich befristen, jede Nutzung protokollieren und häufig zusätzlich eine Vier-Augen-Freigabe für besonders kritische Aktionen vorsehen.
Auch ohne den Einsatz einer dedizierten PAM-Lösung lassen sich wesentliche Risiken bereits durch organisatorische Maßnahmen reduzieren: personalisierte statt geteilter Administratorkonten, eine strikte Trennung zwischen dem alltäglichen Nutzerkonto und einem gesondert genutzten administrativen Konto sowie eine verpflichtende Mehr-Faktor-Authentifizierung für alle privilegierten Zugänge. Diese Maßnahmen verursachen vergleichsweise geringen Umsetzungsaufwand, reduzieren das Risiko im Vergleich zu häufig anzutreffenden geteilten Administratorkonten mit dauerhaft aktiven Rechten jedoch erheblich.
Aufbau eines Berechtigungskonzepts Schritt für Schritt
- Bestandsaufnahme aller Systeme, Anwendungen und Datenbestände, für die Zugriffsrechte relevant sind
- Definition von Rollen auf Basis tatsächlicher Funktionen, nicht auf Basis historisch gewachsener individueller Rechtekombinationen
- Zuordnung von Berechtigungen zu Rollen nach dem Least-Privilege-Prinzip, mit besonderem Augenmerk auf kritische Funktionstrennungen
- Festlegung eines verbindlichen Prozesses für Rechtevergabe, -änderung und -entzug bei Eintritt, Funktionswechsel und Austritt
- Einführung einer regelmäßigen Rezertifizierung bestehender Berechtigungen durch die jeweiligen Fachvorgesetzten
- Dokumentation des gesamten Konzepts inklusive Verantwortlichkeiten, Freigabeprozessen und Kontrollmechanismen
- Regelmäßige Überprüfung und Anpassung des Konzepts bei organisatorischen Veränderungen oder neuen Systemen
Praxisbeispiel: Rezertifizierung von Zugriffsrechten in einem Fertigungsunternehmen
Ein mittelständisches Fertigungsunternehmen mit rund 260 Mitarbeitenden führte im Rahmen einer ISO-27001-Vorbereitung eine erstmalige vollständige Rezertifizierung aller bestehenden Systemzugriffe durch. Dabei zeigte sich, dass rund achtzehn Prozent der aktiven Nutzerkonten Berechtigungen für mindestens ein System besaßen, das für die aktuelle Funktion des jeweiligen Kontoinhabers nicht mehr erforderlich war, häufig als Folge früherer Projekteinsätze oder interner Funktionswechsel ohne anschließende Rechtebereinigung. Zudem wurden mehrere sogenannte verwaiste Konten identifiziert, die ehemaligen Mitarbeitenden zugeordnet waren, deren Beschäftigungsverhältnis bereits vor Monaten geendet hatte.
Das Unternehmen etablierte daraufhin einen halbjährlichen Rezertifizierungsprozess, bei dem jeder Fachvorgesetzte für sein Team eine Liste aller vergebenen Berechtigungen erhält und aktiv bestätigen muss, dass diese weiterhin erforderlich sind. Nicht bestätigte Berechtigungen werden nach einer Erinnerungsfrist automatisch entzogen. Ergänzend wurde der Austrittsprozess der Personalabteilung so angepasst, dass die IT-Abteilung am letzten Arbeitstag automatisch über eine Schnittstelle zum Personalsystem benachrichtigt wird, statt sich wie zuvor auf eine manuelle E-Mail-Meldung zu verlassen. Innerhalb eines Jahres sank die Zahl der als nicht mehr erforderlich eingestuften Berechtigungen im Rahmen der Folgerezertifizierung deutlich gegenüber dem Ausgangswert.
Ein weiterer Effekt des Projekts war, dass die Geschäftsführung erstmals eine belastbare Grundlage für Gespräche mit größeren Kunden erhielt, die im Rahmen von Lieferantenaudits zunehmend konkrete Nachweise zum Zugriffsmanagement einforderten. Vor der Rezertifizierung konnte das Unternehmen auf entsprechende Fragen nur allgemein verweisen, dass Zugriffsrechte grundsätzlich restriktiv vergeben würden. Nach Abschluss des Projekts stand ein dokumentierter, wiederholbarer Prozess zur Verfügung, der sich im Auditgespräch konkret nachweisen ließ, was nach Einschätzung der Geschäftsführung bei mindestens einer Kundenbeziehung ausschlaggebend für die Vertragsverlängerung war.
Typische Stolperfallen bei Berechtigungskonzepten
Eine verbreitete Stolperfalle ist die schleichende Rechteansammlung bei Mitarbeitenden, die im Laufe ihrer Betriebszugehörigkeit mehrere Funktionen durchlaufen haben. Ohne systematische Bereinigung bei jedem Funktionswechsel sammeln sich über Jahre Berechtigungen an, die in ihrer Summe deutlich über das hinausgehen, was die aktuelle Position erfordert. Eine zweite häufige Stolperfalle betrifft generische oder gemeinsam genutzte Administratorkonten, bei denen sich einzelne Handlungen im Nachhinein keiner konkreten Person mehr zuordnen lassen, was insbesondere bei der Aufklärung von Sicherheitsvorfällen erhebliche Probleme bereitet.
Ein dritter verbreiteter Fehler besteht darin, Berechtigungskonzepte zwar initial sorgfältig aufzusetzen, die anschließende Pflege jedoch zu vernachlässigen, da hierfür keine feste Verantwortlichkeit und kein wiederkehrender Termin festgelegt wurden. Ohne eine solche institutionalisierte Rezertifizierung verliert selbst ein initial vorbildliches Berechtigungskonzept innerhalb weniger Jahre erheblich an Aussagekraft. Schließlich unterschätzen viele Unternehmen den Aufwand, der mit der Einführung eines rollenbasierten Modells in gewachsenen IT-Landschaften mit vielen Einzelsystemen verbunden ist, und brechen entsprechende Projekte nach anfänglicher Euphorie mangels ausreichender Ressourcen wieder ab.
Eine weitere, häufig unterschätzte Stolperfalle liegt in unklaren Zuständigkeiten zwischen IT-Abteilung und Fachbereichen bei der Definition von Rolleninhalten. Legt allein die IT-Abteilung fest, welche Berechtigungen zu einer bestimmten Rolle gehören, ohne die fachliche Notwendigkeit mit den jeweiligen Fachbereichen abzustimmen, entstehen entweder zu restriktive Rollen, die im Arbeitsalltag ständige Ausnahmeanträge erfordern, oder zu großzügige Rollen, die dem eigentlichen Zweck des Konzepts zuwiderlaufen. Eine gemeinsame Erarbeitung der Rolleninhalte durch IT und Fachbereich, mit klarer Dokumentation der Begründung für jede zugeordnete Berechtigung, beugt beiden Extremen wirksam vor.
Werkzeuge zur Unterstützung des Berechtigungsmanagements
Mit zunehmender Unternehmensgröße und Systemvielfalt wird die manuelle Pflege von Berechtigungen über Tabellenkalkulationen zunehmend unpraktikabel. Identity-and-Access-Management-Systeme (IAM) beziehungsweise umfassendere Identity-Governance-Lösungen (IGA) automatisieren zentrale Teilschritte des Berechtigungsmanagements und schaffen eine einheitliche, systemübergreifende Sicht auf vergebene Rechte.
| Ansatz | Vorteil | Grenze |
|---|---|---|
| Manuelle Verwaltung (Tabellenkalkulation) | Ohne zusätzliche Softwareinvestition sofort nutzbar | Fehleranfällig und kaum skalierbar bei vielen Systemen und Nutzern |
| IAM-System mit zentralem Verzeichnisdienst | Automatisierte Rechtevergabe und -entzug über mehrere Systeme hinweg | Erfordert Integrationsaufwand je angebundenem System |
| Identity-Governance-Lösung (IGA) | Automatisierte Rezertifizierungs-Workflows und Audit-Reporting | Höherer Implementierungsaufwand, meist erst ab mittlerer Unternehmensgröße wirtschaftlich |
Auch ohne vollständige IGA-Einführung lässt sich der Rezertifizierungsprozess bereits durch einfache, aber konsequent genutzte Werkzeuge wie automatisierte Erinnerungs-E-Mails und ein zentrales Berechtigungsregister deutlich verbessern. Entscheidend ist weniger die technische Ausgereiftheit des eingesetzten Werkzeugs als die konsequente organisatorische Verankerung des zugrunde liegenden Prozesses.
Bei der Auswahl eines konkreten Werkzeugs sollte zudem geprüft werden, wie gut sich die Lösung an die bereits vorhandene IT-Landschaft anbinden lässt, insbesondere an ein zentrales Verzeichnisdienstsystem und die wichtigsten Fachanwendungen. Eine Lösung, die zwar funktional umfangreich ist, sich aber nur mit erheblichem Zusatzaufwand an die bestehenden Systeme anbinden lässt, führt in der Praxis häufig zu einem verlängerten, kostenintensiven Einführungsprojekt und im ungünstigsten Fall zu einem vorzeitigen Projektabbruch. Ein schrittweises Vorgehen, beginnend mit den kritischsten Systemen, reduziert dieses Risiko erheblich gegenüber einer vollständigen Anbindung aller Systeme in einem einzigen Projektschritt.
Checkliste für ein wirksames Berechtigungskonzept
- Rollen auf Basis tatsächlicher Funktionen definieren, nicht auf Basis historisch gewachsener Einzelrechte
- Least-Privilege-Prinzip konsequent anwenden und regelmäßig auf tatsächliche Erforderlichkeit prüfen
- Kritische Funktionstrennungen identifizieren und technisch beziehungsweise organisatorisch absichern
- Verbindlichen Prozess für Rechtevergabe und -entzug bei Eintritt, Wechsel und Austritt etablieren
- Regelmäßige Rezertifizierung durch Fachvorgesetzte fest im Kalender verankern
- Generische oder gemeinsam genutzte Konten vermeiden beziehungsweise durch individuelle Konten mit Protokollierung ersetzen
- Berechtigungskonzept und Rezertifizierungsergebnisse revisionssicher dokumentieren
FAQ
Was versteht man unter dem Least-Privilege-Prinzip?
Das Least-Privilege-Prinzip besagt, dass jedes Nutzerkonto ausschließlich die für die jeweilige Aufgabe zwingend erforderlichen Berechtigungen erhalten soll, nicht mehr und nicht weniger.
Was ist der Unterschied zwischen RBAC und ABAC?
RBAC ordnet Berechtigungen festen Rollen zu, die bestimmten Funktionen entsprechen. ABAC berücksichtigt zusätzlich kontextbezogene Attribute wie Standort oder Gerätetyp und bietet dadurch mehr Flexibilität bei höherem Konfigurationsaufwand.
Wie oft sollten Zugriffsrechte überprüft werden?
Ein halbjährlicher bis jährlicher Rezertifizierungsrhythmus hat sich in der Praxis bewährt, wobei besonders kritische Systeme häufiger überprüft werden sollten.
Welche regulatorischen Anforderungen betreffen Berechtigungskonzepte?
Relevante Bezugspunkte sind unter anderem Artikel 32 der DSGVO, der Anhang A der ISO 27001 sowie, für Unternehmen im Anwendungsbereich, die Mindestanforderungen der NIS2-Richtlinie.
Was tun mit verwaisten Nutzerkonten ehemaliger Mitarbeitender?
Solche Konten sollten unmittelbar zum letzten Arbeitstag deaktiviert werden. Eine automatisierte Schnittstelle zwischen Personalsystem und IT-Abteilung reduziert das Risiko, dass dies manuell übersehen wird.
Lohnt sich ein IAM-System auch für kleinere Mittelständler?
Ab einer gewissen Systemvielfalt und Mitarbeiterzahl amortisiert sich der Implementierungsaufwand meist durch die eingesparte manuelle Pflege. Kleinere Unternehmen können zunächst mit einem konsequent gepflegten zentralen Berechtigungsregister beginnen.
Verwandte Themen
- Compliance-Grundlagen: NIS2 operative Umsetzung im Mittelstand
- Cybersecurity: Supply Chain Security im Mittelstand
- Notfallpläne: IT-Notfallplan erstellen
