Die Hälfte Ihrer Belegschaft hat zu viele Rechte. Wissen Sie, wer?
Studien zeigen, dass viele Mitarbeitende Zugriffsrechte behalten, die sie längst nicht mehr brauchen. Mit jeder Urlaubsvertretung, jedem Projekt und jedem Rollenwechsel wächst die Lücke zwischen genehmigt und tatsächlich vergeben. Wer das mit Excel-Listen abgleicht, verliert Tage und übersieht trotzdem etwas. Wir zeigen, wie Reconciliation und Rezertifizierung den Soll-Ist-Abgleich automatisieren, damit Sie jederzeit nachweisen können, wer worauf Zugriff hat.
Die wenigsten Organisationen könnten aus dem Stand sagen, wer im Haus eigentlich worauf zugreifen darf. Gefragt wird das meistens erst, wenn es unangenehm wird: bei einem Audit, nach einem Vorfall oder wenn jemand kündigt und plötzlich auffällt, wie weit seine Rechte reichten.
Die Zahlen dahinter sind unbequem. In einer Befragung von Ponemon und Varonis gaben 62 Prozent der Beschäftigten an, Zugriff auf Unternehmensdaten zu haben, die sie eigentlich nicht sehen sollten. Der Varonis Data Risk Report zeichnet dasselbe Bild von der anderen Seite: Im Schnitt steht rund ein Fünftel aller Ordner jedem Mitarbeitenden offen. Ob es bei Ihnen exakt die Hälfte ist, lässt sich ohne Prüfung nicht sagen. Und genau das ist das eigentliche Problem.
Wie aus normalen Mitarbeitenden Rechte-Sammler werden
Kaum jemand bekommt zu viele Rechte auf einen Schlag. Es passiert nach und nach. Für ein Projekt braucht es kurz Zugriff auf ein zusätzliches Laufwerk. Während einer Urlaubsvertretung übernimmt jemand die Aufgaben einer Kollegin und bekommt deren Berechtigungen dazu. Bei einem Abteilungswechsel kommen neue Rechte hinzu, aber die alten wandern mit.
Jede einzelne Vergabe ist begründet und richtig. Das Problem ist, dass fast nie jemand zurücknimmt, was nicht mehr gebraucht wird. So entsteht über die Jahre eine Person, deren Zugriff die Summe aller früheren Rollen ist. Fachleute nennen das Berechtigungsdrift oder Privilege Creep. Im Ergebnis sitzen in vielen Unternehmen Beschäftigte auf Rechten, von denen sie selbst nichts mehr wissen, und die Organisation weiß es genauso wenig.
Die Lücke zwischen „genehmigt“ und „tatsächlich vergeben“
In einem sauberen Berechtigungskonzept ist festgelegt, wer aufgrund seiner Rolle worauf zugreifen darf. Das ist der Soll-Zustand. Was in Active Directory, auf den Fileservern, in SharePoint und den Fachanwendungen wirklich eingestellt ist, ist der Ist-Zustand. Beide driften mit der Zeit auseinander.
Diese Differenz ist gefährlich, weil sie niemandem auffällt, solange nichts passiert. Ein aktives Konto einer längst ausgeschiedenen Person, eine direkt am Rollenmodell vorbei gesetzte Freigabe, ein Projektzugriff, der nach Projektende bestehen bleibt: alles unsichtbar im Alltag, alles relevant, sobald geprüft wird. Für einen Angreifer ist ein überberechtigtes Konto ein Hauptgewinn, denn es öffnet auf einen Schlag mehr Türen als vorgesehen.
Warum Excel-Listen das Problem nicht lösen
Der übliche Weg, Ordnung zu schaffen, ist ein manueller Abgleich. Die IT exportiert Berechtigungen, verteilt Listen an die Fachbereiche und bittet um Rückmeldung, was noch stimmt. Wer das einmal gemacht hat, kennt das Ergebnis: Es kostet Tage, die Listen sind schon beim Versand veraltet, und niemand kann guten Gewissens abhaken, ob Zeile 2.480 wirklich noch korrekt ist.
Ein solcher Abgleich ist immer nur eine Momentaufnahme. Am Tag nach der großen Aufräumaktion beginnt die Berechtigungsdrift von vorn, während das Excel-Dokument einen Zustand zeigt, den es so nicht mehr gibt. Ein fließender Vorgang lässt sich eben nicht mit einem Standbild kontrollieren, schon gar nicht von Hand.
Kurzcheck: Sammeln sich auch bei Ihnen zu viele Rechte an? Wer mehr als zwei Punkte abhakt, sollte den Ist-Zustand prüfen.
Reconciliation und Rezertifizierung: der Soll-Ist-Abgleich, der sich selbst erledigt
Damit die Lücke gar nicht erst wächst, braucht es zwei Mechanismen, die zusammenspielen.
Reconciliation ist der kontinuierliche Soll-Ist-Abgleich. Das System vergleicht laufend, ob der tatsächliche Zustand in den Zielsystemen noch dem definierten Rollenmodell entspricht, und meldet Abweichungen, sobald sie entstehen. Statt einmal im Jahr fällt eine direkt gesetzte Freigabe oder ein verwaistes Konto sofort auf. Der BAYOOSOFT Access Manager kann erkannte Abweichungen nach klaren Regeln auch direkt zurückführen, etwa eine unberechtigt vergebene Freigabe zurücksetzen oder ein Konto ohne Besitzer deaktivieren.
Rezertifizierung ist die periodische Bestätigung durch die Verantwortlichen. In festen Zyklen prüfen Fachbereichs- oder Verzeichnisverantwortliche, ob die Rechte in ihrem Bereich noch gebraucht werden, und geben sie frei oder entziehen sie. Nicht die IT rät, sondern die Person entscheidet, die es beurteilen kann. Wie das strukturiert abläuft, zeigt unser Beitrag zur Rezertifizierung von Zugriffsrechten.
Zusammen bilden beide einen geschlossenen Kreis: Reconciliation hält den Ist-Zustand laufend sauber, die Rezertifizierung bestätigt den Soll-Zustand in Ruhe. Der große manuelle Kraftakt entfällt, weil die Arbeit auf viele kleine, automatisierte Schritte verteilt ist.
Jederzeit belegen können, wer worauf Zugriff hat
Der eigentliche Gewinn zeigt sich beim nächsten Audit. Weil Abgleich und Korrektur im laufenden Betrieb passieren, entstehen die Nachweise nebenbei und bleiben aktuell. Auf die Frage, wer auf ein bestimmtes Verzeichnis zugreifen darf und auf welcher Grundlage, gibt es dann eine belastbare Antwort in Minuten statt in Tagen.
Das reduziert nicht nur die Angriffsfläche, sondern auch den Stress vor Prüfterminen. Wer weiß, dass der Ist-Zustand kontinuierlich mit dem Soll abgeglichen wird, muss vor einer Rezertifizierung oder einem Audit keine Listen mehr zusammensuchen. Der Nachweis ist bereits da.
Fazit
Zu viele Rechte sind selten das Ergebnis einer falschen Entscheidung. Sie sind das Ergebnis vieler richtiger Entscheidungen, die nie zurückgenommen wurden. Deshalb lässt sich das Problem auch nicht mit einer einmaligen Aufräumaktion lösen, sondern nur mit einem dauerhaften Abgleich.
Reconciliation und Rezertifizerung machen aus dem seltenen Kraftakt einen ruhigen Dauerzustand. Die Frage „Wer hat eigentlich worauf Zugriff?“ verliert damit ihren Schrecken, weil Sie die Antwort jederzeit geben können.
