Berechtigungsmanagement im KMU: Zugriffe strategisch steuern

Viele Unternehmen unterschätzen ein stilles Sicherheitsrisiko: Mitarbeitende haben Zugriff auf Systeme und Informationen, die sie für ihre Arbeit gar nicht benötigen. Das verletzt das sogenannte Need-to-Know-Prinzip – also den Grundsatz, dass jede Person nur auf das zugreifen darf, was sie für ihre Aufgaben wirklich braucht. Für Geschäftsführer, IT-Leiter und Verwaltungsräte ist das keine technische Detailfrage, sondern ein strategisches Unternehmensrisiko.

Warum unkontrolliertes Berechtigungsmanagement gefährlich ist

Der Ursprung des Problems liegt selten in böser Absicht. Wenn Rollen und Aufgaben im Unternehmen nicht klar beschrieben sind, vergeben Verantwortliche im Zweifel lieber zu viele Rechte als zu wenige. Das Ergebnis ist ein schleichender Wildwuchs an Berechtigungen, der mit der Zeit kaum noch überblickbar ist.

Die Konsequenzen sind konkret:

• Mitarbeitende können auf vertrauliche Informationen zugreifen, die sie nicht benötigen.

• Angreifer, die ein einzelnes Konto übernehmen, erhalten dadurch weit grössere Möglichkeiten, weitere IT-Systeme zu kompromittieren.

• Audits und Compliance-Prüfungen werden aufwendig und fehleranfällig.

• IT-Abteilungen verlieren den Überblick und setzen unbeabsichtigt falsche Prioritäten.

Kurz gesagt: Wer seine Berechtigungen nicht im Griff hat, hat auch die Sicherheit nicht im Griff.

Berechtigungsmanagement braucht einen strategischen Rahmen

Das Thema lässt sich nicht mit einzelnen technischen Massnahmen lösen. Es braucht einen klaren, organisationsweiten Ansatz.

1. Rollen- und Funktionsbeschreibungen erstellen
Jede Rolle im Unternehmen muss eindeutig beschrieben sein: Welche Aufgaben gehören dazu? Welche Informationen werden wirklich benötigt? Ohne diese Grundlage bleibt jedes Berechtigungskonzept Stückwerk.

2. Verantwortlichkeiten festlegen
Nicht die IT allein entscheidet über Zugriffe. Fachabteilungen müssen Verantwortung übernehmen und festlegen, welche Rechte ihre Mitarbeitenden tatsächlich benötigen.

3. Berechtigungskonzept entwickeln
Ein strukturiertes Modell legt fest, wie Rechte vergeben, geändert und entzogen werden. Transparenz ist dabei entscheidend – sowohl für die IT als auch für das Management.

4. Freigabeprozesse einführen
Jeder Zugriff sollte nachvollziehbar freigegeben werden. Idealerweise über einen automatisierten Workflow, der den Prozess beschleunigt und gleichzeitig dokumentiert.

5. Regelmässige Überprüfung sicherstellen
Berechtigungen sind nicht statisch. Mitarbeitende wechseln Rollen, Projekte enden, Verantwortlichkeiten verändern sich. Nur durch regelmässige Rezertifizierungen bleibt die Berechtigungslandschaft aktuell und kontrollierbar.

Vom Active-Directory-Scan bis zum Tiering-Modell

In der Praxis beginne ich häufig mit einer Analyse des Active Directory – also des zentralen Verzeichnisses, das Benutzerkonten und Zugriffsrechte in einem Unternehmen verwaltet. Tools wie Pingcastle zeigen dabei schnell, wo Schwachstellen und Fehlkonfigurationen bestehen.

Im nächsten Schritt werden diese Lücken gezielt geschlossen. Danach implementiere ich gemeinsam mit dem CIO ein sogenanntes Security-Tiering-Modell. Dieses Modell schafft klare Grenzen zwischen verschiedenen Berechtigungsstufen und verhindert, dass ein kompromittiertes Konto das gesamte Netzwerk gefährdet.

Admins begegnen diesem Modell anfangs oft skeptisch, weil sie sich für jede Stufe separat anmelden müssen. Doch die Vorteile überwiegen deutlich:

• Keine Allzweck-Domain-Admins mehr, die auf alles zugreifen können.

• Klare Trennung und Begrenzung der Berechtigungen auf jeder Ebene.

• Besserer Schutz vor sogenannten lateralen Bewegungen – also dem Ausbreiten eines Angreifers im Netzwerk.

Parallel dazu erarbeite ich gemeinsam mit der HR-Abteilung präzise Rollen- und Funktionsbeschreibungen. So lässt sich das Need-to-Know-Prinzip nicht nur theoretisch, sondern auch operativ umsetzen. Ergänzt wird dies durch einen klar definierten Prozess, der Zugriffe systematisch vergibt und bei Bedarf wieder entzieht.

Praxisbeispiel: Ein Industrieunternehmen schafft Ordnung

Ein produzierendes KMU mit rund 80 Mitarbeitenden stellte im Rahmen einer internen Überprüfung fest, dass ehemalige Mitarbeitende noch aktive Benutzerkonten hatten – und damit theoretisch weiterhin auf Produktionsdaten zugreifen konnten. Gleichzeitig verfügten mehrere Mitarbeitende aus der Buchhaltung über Leserechte auf technische Systemdaten, die für ihre Arbeit irrelevant waren.

Der Weg zur Lösung: Zuerst wurden alle bestehenden Rollen gemeinsam mit den Fachabteilungen neu beschrieben. Dann wurde ein Berechtigungskonzept entwickelt, das klar regelt, wer auf was zugreifen darf. Ein einfacher Freigabeprozess sorgt seither dafür, dass neue Zugriffsrechte dokumentiert und genehmigt werden – und dass Rechte beim Austritt von Mitarbeitenden automatisch entzogen werden.

Das Ergebnis: weniger Risiko, mehr Klarheit und ein deutlich schlankeres Audit beim nächsten Compliance-Check.

Berechtigungen sind Chefsache

Berechtigungen und Zugriffe sind weit mehr als eine technische Detailfrage. Sie betreffen die gesamte Organisation und müssen strategisch gesteuert werden. Ein erster konkreter Schritt: Prüfen Sie, ob in Ihrem Unternehmen klare Rollen- und Funktionsbeschreibungen existieren. Wenn nicht, ist genau das der richtige Ausgangspunkt.

Möchten Sie Ihre Berechtigungen und Zugriffe auf den Prüfstand stellen?

Ich analysiere gemeinsam mit Ihnen den aktuellen Stand und zeige Ihnen, wo die grössten Risiken liegen – pragmatisch, verständlich und auf Ihr Unternehmen zugeschnitten. Nehmen Sie Kontakt auf und vereinbaren Sie ein unverbindliches Erstgespräch.

Häufig gestellte Fragen

Was ist das Need-to-Know-Prinzip?
Das Need-to-Know-Prinzip besagt, dass jede Person nur auf die Informationen und Systeme zugreifen darf, die sie für ihre konkreten Aufgaben tatsächlich benötigt. Es ist ein grundlegendes Prinzip der Informationssicherheit und reduziert das Risiko von Datenmissbrauch und unkontrollierter Ausbreitung bei einem Angriff.

Was ist ein Berechtigungskonzept?
Ein Berechtigungskonzept ist ein strukturiertes Dokument, das regelt, wie Zugriffsrechte in einem Unternehmen vergeben, verändert und entzogen werden. Es legt fest, wer auf welche Systeme und Informationen zugreifen darf – und warum.

Was ist ein Security-Tiering-Modell?
Ein Security-Tiering-Modell unterteilt IT-Systeme und Benutzerkonten in verschiedene Sicherheitsstufen. Administratoren müssen sich für jede Stufe separat authentifizieren. Das verhindert, dass ein einziges kompromittiertes Konto Zugriff auf alle Systeme ermöglicht.

Wie oft sollten Berechtigungen überprüft werden?
Mindestens einmal jährlich – besser halbjährlich oder bei jedem Rollenwechsel. Entscheidend ist, dass der Prozess klar geregelt ist und nicht vom Zufall abhängt. Viele Unternehmen verlieren den Überblick, weil Berechtigungen vergeben, aber nie systematisch entzogen werden.