Identity & Access Management: Rechte richtig vergeben

Warum du am ersten Arbeitstag nicht alles siehst

Am ersten Tag deiner Ausbildung bekommst du meist nur Zugriff auf das, was du für deine Aufgabe brauchst. Das ist Absicht, kein Misstrauen. Das Prinzip dahinter heißt Least Privilege: so wenig Zugriff wie nötig, nicht so viel wie möglich.

Was für dich wichtig ist

• Wenn du eine neue Aufgabe übernimmst und dafür Zugriff auf ein System brauchst, frag deine Führungskraft aktiv danach.
• Gib dein Passwort niemals an Kolleginnen oder Kollegen weiter, auch nicht kurzfristig. Jede Person braucht ihren eigenen Zugang.

Weiterführend: Prinzip der geringsten Rechte (Wikipedia)

Zugriffsrechte auch ohne IT-Abteilung im Griff

Auch als Einzelunternehmer oder kleines Team lohnt sich ein kurzer Check, wer eigentlich worauf Zugriff hat. Gerade wenn Sie mit freien Mitarbeitenden oder Praktikantinnen arbeiten, sammeln sich schnell mehr Zugänge an, als jemand noch braucht.

Ihr praktischer Einstieg

• Ein Passwort-Manager mit eigenem Konto pro Person statt geteilter Zugänge.
• Zwei-Faktor-Authentifizierung für alle Konten mit sensiblen Daten, insbesondere Banking, Cloud-Speicher und E-Mail.
• Eine kurze Erinnerung im Kalender, Zugänge ehemaliger Mitarbeitender oder Praktikantinnen zeitnah zu deaktivieren.

Weiterführend: Die 6 wichtigsten Basis-Schutzmaßnahmen

Warum Zugriffsrechte häufig aus dem Ruder laufen

Neue Mitarbeitende bekommen Zugänge, wechseln die Abteilung und behalten alte Rechte, verlassen das Unternehmen und werden vergessen. Über Jahre sammeln sich so Berechtigungen an, die niemand mehr braucht und niemand mehr überblickt. Genau diese vergessenen Zugänge sind ein beliebtes Ziel für Angreifer.

Least Privilege und Zero Trust als Leitprinzipien

Least Privilege bedeutet, dass jede Person und jedes System nur die Rechte erhält, die für die konkrete Aufgabe nötig sind. Zero Trust geht einen Schritt weiter und prüft jeden Zugriff einzeln, unabhängig davon, ob die Anfrage aus dem Firmennetz oder von unterwegs kommt. Beide Prinzipien lassen sich schrittweise einführen, ein vollständiger Umbau an einem Wochenende ist weder nötig noch realistisch.

Der Joiner-Mover-Leaver-Prozess

Definieren Sie feste Abläufe für drei Momente im Arbeitsleben: den Einstieg, den internen Wechsel und den Austritt. Beim Einstieg wird genau festgelegt, welche Systeme eine Rolle braucht. Beim Wechsel werden alte Rechte entzogen, nicht nur neue ergänzt. Beim Austritt werden alle Zugänge am letzten Arbeitstag deaktiviert, nicht erst Wochen später.

Unsere Handlungsempfehlungen

• Admin-Rechte trennen: Administratorkonten nur für Administrationsaufgaben nutzen, für den Alltag ein normales Benutzerkonto.
• MFA verpflichtend machen: Für alle Konten mit Zugriff auf sensible Daten oder Systeme, ohne Ausnahme.
• Verwaltung bündeln: Ein Single-Sign-On-System oder ein gemeinsames Identitätsmanagement erleichtert es, Zugänge an einer Stelle zu vergeben und zu entziehen.
• Zugriffe regelmäßig überprüfen: Mindestens einmal jährlich prüfen, wer worauf Zugriff hat, und nicht mehr benötigte Rechte entziehen.
• Offboarding automatisieren: Der letzte Arbeitstag sollte automatisch alle Zugänge sperren, unabhängig davon, ob die Personalabteilung die IT rechtzeitig informiert.

Weiterführend: Empfehlungen (BSI) · Zero Trust (Wikipedia)