Nützlicher Journalismus, um Unternehmen zu verstehen, zu führen und weiterzuentwickeln.
SuchenOrdnen Sie die Zugriffe von Beschäftigten und Dienstleistern in vier Phasen: Konten und Verantwortliche identifizieren, die Authentifizierung stärken, Berechtigungen begrenzen und Zugriffe entziehen, sobald sie nicht mehr benötigt werden.
Zugriffe zu verwalten bedeutet nicht nur, sichere Passwörter auszuwählen: Es geht darum zu wissen, wer ein Konto hat, wie die Identität nachgewiesen wird, was damit getan werden kann und wie der Zugriff entzogen wird, wenn sich die Beziehung zum Unternehmen ändert. Für ein KMU helfen diese Fragen dabei, die Kontrollen zu ordnen, ohne sie mit einem allgemeinen Anwendungsverzeichnis oder einer Bewertung von Dienstleistern zu verwechseln.
Ziel ist es, das Identitäts- und Zugriffsmanagement – bekannt als IAM – in einen Prozess zu überführen, der den gesamten Lebenszyklus jedes Kontos abdeckt: Einrichtung, Berechtigungsänderungen, Überprüfungen und Deaktivierung. Diese Checkliste dient als operative Orientierung; sie ersetzt weder eine Risikobewertung noch bestimmt sie für sich allein die Einhaltung gesetzlicher Vorschriften.
Bevor Sie entscheiden, wer Zugriff benötigt, erfassen Sie die bereits vorhandenen Identitäten und Konten in einem Verzeichnis. Beschränken Sie sich nicht auf Beschäftigte: Berücksichtigen Sie auch Auftragnehmende, Dienstleister und andere externe Personen mit Zugriff auf Systeme des Unternehmens.
Erfassen Sie für jedes Konto mindestens:
Die Zuordnung von Konten zu einer Person oder Identität hilft dabei, verwaiste Konten – ohne eindeutig zuständige Person – aufzuspüren und zu verhindern, dass Zugriffe nach einem Stellenwechsel oder dem Ende eines Vertrags bestehen bleiben. Gibt es gemeinsam genutzte Konten, halten Sie fest, wer sie nutzt und wer dafür verantwortlich ist; soweit praktikabel, bevorzugen Sie individuelle Konten, um die Nachvollziehbarkeit zu verbessern.
Nicht alle Konten müssen in derselben Reihenfolge überprüft werden. Beginnen Sie mit Konten, die andere Zugriffe steuern oder den Zugang zu sensiblen Informationen und Systemen ermöglichen:
Die Priorisierung dient dazu, die Arbeit zu ordnen; sie garantiert nicht, dass von den übrigen Konten kein Risiko ausgeht. Beziehen Sie auch die Identitäten von Dienstleistern und Auftragnehmenden ein und prüfen Sie, ob deren Zugriff weiterhin erforderlich ist und wer im Unternehmen dafür zuständig ist.
Die Authentifizierung überprüft, ob die Person, die sich anmeldet, tatsächlich diejenige ist, für die sie sich ausgibt. Aktivieren Sie für Konten mit besonders großer Auswirkung Mehr-Faktor-Authentifizierung (MFA), sofern der Dienst dies ermöglicht. Die Quellen heben insbesondere E-Mail, Administratorkonten, Fernzugriff, Finanzen sowie Cloud-Ressourcen und Ressourcen mit sensiblen Daten hervor.
Das Verzeichnis sollte festhalten, welche Authentifizierungsmethode jedes Konto schützt, und kritische Konten kennzeichnen, für die MFA noch nicht aktiviert ist. So kann das Unternehmen konkrete Lücken erkennen und deren Behebung priorisieren. MFA stärkt die Überprüfung, ersetzt aber weder die Überprüfung von Berechtigungen noch das Verfahren zur Deaktivierung von Konten.
Die Autorisierung legt fest, welche Aktionen eine Person nach der Anmeldung ausführen kann. Prüfen Sie, ob die Berechtigungen zu den aktuellen Aufgaben passen, und entfernen Sie diejenigen, die nicht mehr benötigt werden. Das Prinzip der geringsten Berechtigung bedeutet, nur den für die Arbeit erforderlichen Zugriff zu gewähren, statt aus Bequemlichkeit weitreichende Berechtigungen beizubehalten.
Soweit es die Funktionen und Verantwortlichkeiten erlauben, hilft die rollenbasierte Zugriffskontrolle (RBAC) dabei, Berechtigungen anhand definierter Funktionen zu vergeben. Prüfen Sie, ob die Rollen den tatsächlichen Verantwortlichkeiten entsprechen, und kontrollieren Sie Ausnahmen: Ein Stellenwechsel, eine befristete Aufgabe oder ein Projekt können eine Anpassung rechtfertigen, aber nicht unbedingt eine dauerhafte Berechtigung.
Achten Sie besonders auf privilegierte Konten. Halten Sie fest, wer sie für welche Systeme und aus welchem Grund verwenden darf; vermeiden Sie, dass solche Rechte Personen zugeordnet bleiben, die die betreffende Funktion nicht mehr ausüben. Wenn eine Aufgabe nur für einen begrenzten Zeitraum erhöhte Berechtigungen erfordert, ziehen Sie einen zeitlich befristeten Zugriff in Betracht, sofern die Systeme und Prozesse des Unternehmens dies ermöglichen.
Eine punktuelle Zugriffskontrolle verliert an Wirksamkeit, wenn sie bei Änderungen der Personen oder ihrer Funktionen nicht aktualisiert wird. Legen Sie fest, wer in den folgenden Situationen die einzelnen Schritte meldet und ausführt:
Beziehen Sie gegebenenfalls Konten Dritter und aktive Sitzungen in das Verfahren ein. Die konkreten Zuständigkeiten und Fristen hängen von den betrieblichen Abläufen des jeweiligen Unternehmens ab; die verfügbaren Quellen legen keine allgemeingültige Frist für die Deaktivierung fest.
Weisen Sie einer Person die Verantwortung dafür zu, das Verzeichnis regelmäßig zu überprüfen und zu bestätigen, dass Konten, Berechtigungen und deren Eigentümer weiterhin korrekt sind. Die Häufigkeit kann sich nach der Kritikalität der Zugriffe und den Kapazitäten des Unternehmens richten; es muss jedoch festgelegt sein, wann die Überprüfung stattfindet und wer Unstimmigkeiten klärt.
Bewahren Sie Aufzeichnungen über Einrichtung, Änderungen, Genehmigungen und Deaktivierungen sowie über die in den Systemen verfügbaren Aktivitäten auf. Diese Nachvollziehbarkeit ermöglicht es, zu rekonstruieren, wer Zugriff hatte und welche Änderungen vorgenommen wurden. Sie kann auch Audits erleichtern und das Management geltender Anforderungen unterstützen, doch die Führung von Aufzeichnungen oder die Einführung von IAM belegt für sich allein nicht die Einhaltung einer Norm.
Das Zugriffsmanagement funktioniert als Kette: Identität, Authentifizierung, Autorisierung und Entzug. Wird einer dieser Bereiche vernachlässigt, können Konten ohne Verantwortliche, übermäßige Berechtigungen oder nicht mehr benötigte Zugriffe bestehen bleiben. Für ein KMU bietet ein Verzeichnis mit Verantwortlichen, klaren Prioritäten und regelmäßigen Überprüfungen eine praktische Grundlage, um diesen Zyklus unter Kontrolle zu halten.
Normen und Rahmenwerke wie NIS2 und ISO 27001 können Anforderungen im Zusammenhang mit Sicherheit und Zugriffsmanagement enthalten. Ihre konkrete Anwendung hängt vom Anwendungsbereich, der Einrichtung und den einschlägigen Anforderungen ab; diese Checkliste ist weder eine rechtliche Auslegung noch eine Erklärung der Konformität.
Ein praktischer Leitfaden zur Definition, Messung und Bewertung der Leistung automatisierter Prozesse. Erfahren Sie, wie Sie Baselines festlegen, Kennzahlen für Aufwand, Qualität und Kosten auswählen und die realistische ROI berechnen, um zu entscheiden, ob die Automatisierung beibehalten, angepasst oder rückgängig gemacht werden soll.
Beitrag lesen
Eine sinnvolle Backup-Strategie beginnt damit, Informationen zu priorisieren und festzulegen, wie viel Datenverlust und wie lange eine Betriebsunterbrechung das Unternehmen verkraften kann. Daraus ergeben sich Häufigkeit, Speicherung und Wiederherstellungstests.
Beitrag lesen
Praktischer Leitfaden für spanische KMU, die digitale Lösungen mit Strenge pilotieren möchten. Lernen Sie, Erfolgskriterien zu definieren, die tatsächliche Adoption zu messen und zwischen Benutzerfreundlichkeit und operativem Wert zu unterscheiden, um zu entscheiden, ob die Investition skaliert, angepasst oder verworfen werden soll.
Beitrag lesen