Zugriffsmanagement in KMU: Was wirklich zählt

Wer darf auf welche Daten zugreifen – und wer nicht? Diese Frage klingt einfach, ist in der Praxis aber eine der grössten Schwachstellen in Unternehmen. Effektives Zugriffsmanagement bedeutet, dass jede Identität im Unternehmen – ob Mensch, Gerät oder Prozess – nur genau die Rechte erhält, die sie für ihre Aufgabe braucht. Für Geschäftsführer, IT-Leiter und Verwaltungsräte ist das kein technisches Detail, sondern eine Frage der Unternehmensverantwortung.

Warum Zugriffsmanagement mehr ist als eine IT-Aufgabe

Als ehemaliger CISO eines Energieversorgungsunternehmens habe ich das Thema Zugriffsmanagement täglich gelebt. Der IKT-Minimalstandard, der für Unternehmen der kritischen Infrastruktur verbindlich gilt, fordert einen klar definierten Prozess zur Erteilung und Verwaltung von Berechtigungen und Zugangsdaten – für Benutzer, Geräte und Prozesse gleichermassen.

Was ich in der Praxis immer wieder gesehen habe: Berechtigungen werden einmalig vergeben und dann nie mehr überprüft. Mitarbeitende, die das Unternehmen längst verlassen haben, besitzen noch aktive Zugänge. Externe Dienstleister haben mehr Rechte als nötig. Das sind keine Ausnahmen – das ist Alltag in vielen KMU.

Zugriffsmanagement ist deshalb keine einmalige Aufgabe, sondern ein Lebenszyklus. Von der Einstellung bis zum Austritt muss jeder Schritt klar geregelt sein.

Physischer und logischer Schutz: Beide Seiten zählen

Zugriffsschutz hat zwei Dimensionen, die gleichermassen ernst genommen werden müssen:

Physischer Zugriff: Nur autorisierte Personen dürfen physisch an IT-Betriebsmittel gelangen. Bauliche Massnahmen, Videoüberwachung und lückenlose Protokollierung sind dabei keine Kür, sondern Pflicht.

Logischer Zugriff: Über Netzwerke und Systeme muss kontrolliert werden, wer wann von wo auf welche Daten zugreift. Das ist die Basis von Vertrauen und Kontrolle – und die Voraussetzung dafür, im Ernstfall nachvollziehen zu können, was passiert ist.

Wer nur eine der beiden Seiten absichert, hat eine offene Flanke.

Fernzugriffe: Effizienz und Risiko in einem

Fernzugriffe sind für viele Unternehmen unverzichtbar – für Homeoffice, externe Dienstleister oder den Support durch IT-Partner. Gleichzeitig sind sie einer der häufigsten Angriffsvektoren.

Wer Fernzugriffe nicht konsequent absichert, öffnet Angreifern eine direkte Tür ins Unternehmen. Drei Massnahmen sind dabei entscheidend:

• Starke Authentifizierung: Mindestens zwei Faktoren, insbesondere für kritische Systeme.

• Protokollierung: Jede Remote-Sitzung muss nachvollziehbar sein.

• «Need-to-Know»-Prinzip: Externe erhalten nur Zugriff auf das, was sie für ihre konkrete Aufgabe benötigen – nicht mehr.

Hier darf es keine Kompromisse geben.

Minimale Rechte und Aufgabentrennung: Das Fundament

Zwei Prinzipien bilden das Fundament eines wirksamen Zugriffsmanagements:

Least Privilege (minimale Rechte): Jede Person erhält nur die Berechtigungen, die sie für ihre Arbeit unbedingt braucht. Nicht mehr, nicht weniger.

Separation of Duties (Aufgabentrennung): Kritische Prozesse werden so aufgeteilt, dass keine Einzelperson alle entscheidenden Schritte alleine kontrollieren kann. Das reduziert das Risiko von internen Bedrohungen und menschlichen Fehlern erheblich.

Diese Prinzipien klingen selbstverständlich – werden in der Praxis aber häufig vernachlässigt, weil sie Aufwand bedeuten. Dieser Aufwand lohnt sich.

Netzwerksegmentierung: Schäden begrenzen, bevor sie entstehen

Gerade in Energieversorgungsunternehmen und produzierenden Betrieben ist die Trennung von Büro-IT und OT-/ICS-Netzwerken entscheidend. Wenn ein Angreifer ins Büronetzwerk eindringt, darf er nicht automatisch auch auf Leitsysteme oder Produktionsanlagen zugreifen können.

Netzwerksegmentierung begrenzt den Schaden eines Angriffs und ermöglicht eine «Defense-in-Depth»-Strategie – also mehrere Schutzschichten, die nacheinander greifen. Das ist kein Luxus für Grossunternehmen, sondern eine realistische Massnahme, die auch KMU umsetzen können.

Digitale Identitäten und Mehr-Faktor-Authentifizierung

Jede digitale Identität – ob Mitarbeitende, Dienstleister oder automatisierter Prozess – muss eindeutig einer verifizierten Person oder einem System zugeordnet sein. Schwache oder geteilte Zugangsdaten sind ein offenes Einfallstor.

Mehr-Faktor-Authentifizierung (MFA) ist heute für kritische Transaktionen und Systeme keine Option mehr, sondern eine Mindestanforderung. Wer hier spart, spart am falschen Ort.

Praxisbeispiel: Zugriffsmanagement in einem KMU der Energiebranche

Ein Energieversorger mit rund 80 Mitarbeitenden stellte bei einer internen Überprüfung fest, dass ehemalige Mitarbeitende noch aktive Systemzugänge besassen – darunter auch Zugriff auf das Leitsystem. Externe IT-Dienstleister hatten Berechtigungen, die weit über ihre eigentliche Aufgabe hinausgingen.

Im Rahmen eines strukturierten Zugriffsmanagement-Projekts wurden alle Identitäten erfasst, Berechtigungen bereinigt und ein Prozess für Ein- und Austritte eingeführt. Zusätzlich wurde MFA für alle externen Zugänge aktiviert und die Protokollierung von Remote-Sitzungen eingerichtet.

Das Ergebnis: deutlich reduzierte Angriffsfläche, klare Verantwortlichkeiten und die Grundlage für eine erfolgreiche IKT-Minimalstandard-Prüfung.

Jetzt den ersten Schritt machen

Starten Sie mit einer einfachen Bestandsaufnahme: Wer hat in Ihrem Unternehmen aktuell Zugriff auf welche Systeme – und ist das noch aktuell? Diese Frage allein deckt in den meisten KMU bereits die ersten Handlungsfelder auf.

Bereit, Ihr Zugriffsmanagement auf solide Beine zu stellen?

Ich unterstütze KMU dabei, Zugriffsmanagement strukturiert und praxistauglich umzusetzen – ohne unnötige Komplexität. Nehmen Sie Kontakt auf und wir schauen gemeinsam, wo bei Ihnen der grösste Handlungsbedarf liegt.

Häufige Fragen zum Zugriffsmanagement

Was ist Zugriffsmanagement genau?
Zugriffsmanagement regelt, wer auf welche Systeme, Daten und Ressourcen zugreifen darf – und stellt sicher, dass diese Berechtigungen aktuell, korrekt und nachvollziehbar sind.

Was bedeutet «Least Privilege»?
Das Prinzip der minimalen Rechte besagt, dass jede Person oder jedes System nur die Berechtigungen erhält, die für die jeweilige Aufgabe unbedingt notwendig sind – nicht mehr.

Warum sind Fernzugriffe besonders riskant?
Fernzugriffe sind häufig weniger gut gesichert als interne Zugänge und werden von Angreifern gezielt als Einstiegspunkt genutzt. Starke Authentifizierung und Protokollierung sind deshalb Pflicht.

Was fordert der IKT-Minimalstandard beim Zugriffsmanagement?
Der IKT-Minimalstandard verlangt einen klar definierten Prozess zur Erteilung und Verwaltung von Berechtigungen für Benutzer, Geräte und Prozesse – inklusive Lifecycle-Management von der Einstellung bis zum Austritt.