Ein Mitarbeiter verlässt das Unternehmen, die IT deaktiviert sein Konto am letzten Arbeitstag. Vier Monate später fällt beim Lizenzabgleich auf, dass er im ERP noch eine aktive Benutzerkennung hat, in der Zeiterfassung ebenfalls, und dass der VPN-Zugang auf dem privaten Notebook nie entzogen wurde. Es hat niemand etwas falsch gemacht. Die IT hat genau das deaktiviert, was sie kannte.
Das ist im KMU der Normalfall. Berechtigungsmanagement im KMU scheitert fast nie an fehlender Technik. Es scheitert daran, dass Zugriffe auf Zuruf vergeben und auf Zuruf entzogen werden, und dass zugerufen wird, wenn jemand etwas braucht, und selten, wenn jemand etwas nicht mehr braucht.
Berechtigungen wachsen mit jeder Rolle, jedem Projekt und jeder Stellvertretung. Entzogen werden sie selten, weil Wegnehmen Aufwand macht und Dazugeben eine Gefälligkeit ist. Wer im KMU Ordnung will, braucht dafür kein Identity-Tool, sondern pro wichtigem System einen Besitzer, der Zugriffe freigibt und auch Nein sagen darf. Das Schweizer Datenschutzrecht verlangt ohnehin, dass Zugriff nur hat, wer ihn für seine Aufgabe braucht.
Warum Berechtigungen nur in eine Richtung wachsen
Die meisten Zugriffsrechte in einem KMU sind nicht vergeben worden, sie sind entstanden. Drei Momente erzeugen sie, und nur einer davon wird halbwegs kontrolliert.
Beim Eintritt richtet die IT das neue Konto nach Vorbild ein. "Mach sie wie die Kollegin im Innendienst" ist der schnellste Weg zu einem arbeitsfähigen Arbeitsplatz und gleichzeitig der Weg, auf dem jemand Rechte erbt, von denen weder sie noch ihr Vorgesetzter etwas erfahren. Der Vorbildnutzer ist meistens jemand, der lange da ist. Lange da heisst: viel angesammelt.
Beim internen Wechsel kommt die zweite Schicht. Neue Rolle, neue Rechte, und die alten bleiben, weil in den ersten Wochen noch Fragen zum alten Job nachkommen. Das ist vernünftig gemeint. Nur legt selten jemand fest, wann diese Übergangsphase endet, also endet sie meistens nicht. Der interne Wechsel ist die unauffälligste Lücke im Berechtigungsmanagement, weil er keine Spur hinterlässt. Beim Austritt schaut wenigstens jemand hin.
Und beim Austritt schaut jemand hin, aber nur auf die Systeme, die in der IT bekannt sind. Das Marketing-Tool, das der Fachbereich selbst abonniert hat, und die Freigabe im Bankenportal: beides vergeben, nirgends inventarisiert.
Dahinter steckt ein schiefer Anreiz. Ein Recht dazugeben dauert zwei Minuten und macht jemanden arbeitsfähig. Ein Recht wegnehmen kann morgen einen Prozess blockieren, und der Anruf kommt dann bei der Person, die es weggenommen hat. Solange das so ist, wächst die Summe der Rechte in den meisten Unternehmen, unabhängig von Tools und Richtlinien. Das ist die unsexy Beschränkung hinter dem Thema, und sie ist organisatorisch.
Wer entscheidet, wer auf welche Daten zugreifen darf?
Nicht die IT. Die IT setzt um und sollte nicht entscheiden müssen. Entscheiden muss, wer den Geschäftsprozess hinter den Daten verantwortet: die Finanzleitung für Lohn- und Debitorendaten, die Verkaufsleitung für das CRM, die Produktionsleitung für Fertigungs- und Stammdaten. Wo du das nicht festlegst, hat faktisch die IT entschieden, und die kennt die Geschäftsfolgen eines Zugriffs nicht.
Der Grund ist praktisch. Nur die Fachverantwortung kann beurteilen, ob ein Verkäufer Margen sehen soll oder nur Preise, ob die Assistenz alle Personaldossiers braucht oder die ihrer Abteilung. Die IT kann beurteilen, ob sich das technisch abbilden lässt. Zwei verschiedene Fragen, und nur eine davon entscheidet über Risiko.
Dieser Zuschnitt hat einen zweiten Effekt, der im Alltag mehr zählt als die Theorie dahinter. Er legt das unangenehme Nein dorthin, wo es verteidigt werden kann. Wenn die IT einem Abteilungsleiter einen Zugriff verweigert, ist das eine Blockade. Wenn die Finanzleitung demselben Abteilungsleiter den Zugriff auf Lohndaten verweigert, ist das eine Entscheidung. Dieselbe Antwort, zwei völlig verschiedene Gespräche.
Welche Datenbestände diese Behandlung überhaupt brauchen, ist dieselbe Frage wie bei der Datenklassifizierung im KMU: es sind selten alle, und es sind meistens fünf bis fünfzehn.
Was das Schweizer Datenschutzrecht dazu längst sagt
Berechtigungsmanagement klingt nach einer freiwilligen Reifegradübung. Für Personendaten ist es Pflicht. Die Datenschutzverordnung (SR 235.11) verlangt in Artikel 3 Absatz 1 Buchstabe a Massnahmen, damit "berechtigte Personen nur auf diejenigen Personendaten Zugriff haben, die sie zur Erfüllung ihrer Aufgaben benötigen". Die Verordnung nennt das Zugriffskontrolle.
Das heisst im Grunde: Was auf Sicherheitsfolien seit Jahren Least Privilege heisst, steht in der Schweiz seit September 2023 als Verordnungstext. Dazu kommt in derselben Verordnung die Nachvollziehbarkeit, also die Anforderung, überprüfen zu können, welche Daten wann von welcher Person eingegeben oder verändert wurden. Beides hängt nicht an einer Zertifizierung und nicht an einer Unternehmensgrösse.
Ehrlicherweise prüft in einem Schweizer KMU kaum je eine Behörde die Rollenmatrix. Die Relevanz liegt anderswo. Wenn etwas passiert, entscheidet die Reichweite des betroffenen Kontos über den Schaden und im Nachgang über die Frage, ob die Massnahmen angemessen waren. Und lange vor jeder Behörde fragt dein erster Grosskunde im Sicherheitsfragebogen, ob ihr Zugriffsrechte regelmässig überprüft.
Der Reflex an dieser Stelle ist ein Tool. Ein Identity-Governance-System automatisiert Antragswege, dokumentiert Freigaben und hält Reviews nach. Aufräumen tut es nicht. Es verwaltet den bestehenden Zustand schneller und teurer. Mehr Schutz entsteht zuerst durch weniger Rechte, und Rechte wegnehmen kostet keine Lizenz. Mehr Schutz. Weniger Tools. Weniger Kosten.
Wie oft muss man Berechtigungen überprüfen?
Zweimal pro Jahr für die Systeme, an denen Geld, Personendaten oder die Produktion hängen, einmal pro Jahr für den Rest. Die Frequenz ist dabei die unwichtigste Entscheidung. Wichtiger ist, dass das Ergebnis bei jemandem landet, der Nein sagen darf, und dass auf die Liste etwas folgt.
Ein Review, der eine Liste produziert und sonst nichts, ist schlechter als keiner. Er erzeugt dokumentiertes Wissen über Rechte, die jemand als unnötig erkannt und trotzdem gelassen hat. Im Kundenaudit ist das die unangenehmere Lage, verglichen mit einem ehrlichen "wir prüfen das noch nicht systematisch".
Der Review fängt ausserdem nur auf, was der Prozess davor durchlässt. Wenn Eintritt, Wechsel und Austritt bei euch saubere Auslöser haben, findet der Review wenig. Wenn sie es nicht haben, findet er jedes Mal dasselbe, in wachsender Menge. Wer nur den Review einführt, hat die Symptomliste automatisiert.
Wo ungenutzte Rechte Geld kosten
Ungenutzte Berechtigungen stehen in zwei Budgetzeilen, und in beiden stehen sie unsichtbar. Die erste ist die Lizenz. ERP-Systeme, Branchenlösungen und einen Teil der Cloud-Dienste rechnen die Hersteller pro benanntem Benutzer ab, nicht pro gleichzeitiger Nutzung. Ein Konto, das zu einer Person gehört, die seit einem Jahr nicht mehr im Unternehmen ist, fakturiert der Hersteller zuverlässig weiter. Dasselbe gilt für Zusatzmodule, die die IT einmal für ein Projekt freigeschaltet hat. Gekündigt hat sie niemand, weil sie niemand sucht.
Die zweite Zeile ist unangenehmer, weil sie nur im Ernstfall anfällt. Die Reichweite eines kompromittierten Kontos entscheidet darüber, ob ein Vorfall ein Ärgernis oder ein Betriebsunterbruch wird. Ein Konto, das drei Fileshares und ein Postfach erreicht, kostet einen Tag Aufräumen. Ein Konto, das über Jahre Rechte gesammelt hat und deshalb halb in der Buchhaltung und halb in der Produktion steht, kostet Verhandlungen mit der Versicherung. Das ist die eigentliche Rechnung hinter dem Thema, und sie wird selten gestellt, weil sie erst im Nachhinein sichtbar wird.
Beide Posten reagieren auf dieselbe Massnahme, und die ist kostenlos. Wegnehmen, was niemand nutzt. Das ist der Grund, warum wir in Mandaten mit den Rechten anfangen, bevor über Beschaffung geredet wird.
Wie das in einem Betrieb mit 190 Mitarbeitenden aussieht
Eine Gebäudetechnikgruppe mit vier Standorten, gewachsen durch zwei Zukäufe. Die IT ist zu zweit besetzt und arbeitet gut. Auslöser war kein Vorfall, sondern ein Sicherheitsfragebogen eines Generalunternehmers mit der Frage nach der regelmässigen Überprüfung von Zugriffsrechten. Die ehrliche Antwort war Nein.
In der Bestandsaufnahme fanden wir deutlich mehr aktive Konten als Mitarbeitende, verteilt auf drei ERP-Mandanten und zwei Verzeichnisdienste aus der Zeit vor den Zukäufen. Aufmerken liess die Geschäftsleitung aber etwas anderes. Über eine verschachtelte Gruppenmitgliedschaft war der Ordner der Lohnbuchhaltung für einen grossen Teil der Administration lesbar. Vergeben hatte das niemand. Es war das Ergebnis von zwei Reorganisationen und einer Migration.
Was danach passierte, war unspektakulär. Sechs Systeme bekamen einen namentlichen Besitzer aus dem Fachbereich. Die Finanzleitung reduzierte die Zugriffe auf Lohn- und Personaldaten auf eine Handvoll Personen. Das HR löst den Austritt seither selbst aus, statt die IT anzurufen. Und es wurden ERP-Lizenzen frei, weil ein Teil der Konten zu Personen gehörte, die nicht mehr im Unternehmen waren.
Wirkung hatte in der Geschäftsleitung am Ende nicht die Risikobewertung, sondern die Lizenzzeile. Das ist weder zynisch noch falsch, es sagt nur etwas darüber, in welcher Währung Sicherheitsthemen in einer Geschäftsleitung ankommen.
Was das für die Sicherheitsführung bedeutet
Berechtigungsmanagement ist ein guter Test dafür, ob Sicherheit bei euch geführt oder nur betrieben wird. Betrieben wird sie, wenn die IT Anträge umsetzt und Konten deaktiviert. Geführt wird sie, wenn jemand entschieden hat, wer freigeben darf, wer für welchen Datenbestand geradesteht und was passiert, wenn ein Review etwas findet.
Diese Entscheidungen sind weder teuer noch technisch. Nötig ist jemand, der sie trifft und danach gegen die Reibung verteidigt, die in den ersten Monaten entsteht. Genau diese Reibung ist der Grund, warum das Thema in vielen KMU seit Jahren auf der Liste steht. Es fehlt nicht das Werkzeug, es fehlt die Zuständigkeit.
Dasselbe Muster zeigt sich, wenn der Kundenfragebogen zur Sicherheit ins Haus kommt. Die Fragen sind beantwortbar, sobald klar ist, wer antworten darf.
Häufige Fragen
Brauchen wir für Berechtigungsmanagement ein eigenes Tool?
Zwischen 50 und 500 Mitarbeitenden meistens nicht als Erstes. Ein Tool rechnet sich, wenn viele Systeme und viele Eintritte pro Monat zusammenkommen. Bei unklarer Zuständigkeit verschiebt es das Problem nur in eine Oberfläche. Wer zuerst das Tool kauft, dokumentiert den Ist-Zustand sauber, ohne ihn zu verbessern.
Was ist mit Administrator- und Dienstkonten?
Das sind die Konten mit der grössten Reichweite und dem seltensten Review. Zwei Dinge zählen hier mehr als jede Richtlinie: dass administrative Rechte nicht am täglichen Arbeitskonto hängen, und dass geschäftskritische Zugänge mehr als ein Passwort verlangen. Das BACS empfiehlt in seinen Grundschutzmassnahmen für Unternehmen Mehr-Faktor-Authentisierung für alle geschäftskritischen Zugänge.
Wie lange dauert es, bis Berechtigungen im Griff sind?
Der erste Durchgang über die wichtigsten Systeme ist eine Frage von Wochen. Haltbar wird es erst, wenn Eintritt, Wechsel und Austritt saubere Auslöser haben, und das braucht HR und Fachbereiche, nicht nur die IT. Danach ist der laufende Aufwand klein, in unserer Erfahrung deutlich kleiner als die einmalige Aufräumarbeit.
Wenn bei euch unklar ist, ob die Freigabe oder der Entzug das eigentliche Problem ist: das lässt sich in einem Gespräch schnell eingrenzen. Was ein Mandat mit genau solchen Entscheidungen abdeckt und was es kostet, steht bei den Paketen und Preisen.