Der Vorfall begann mit einer Rechnung, nicht mit einem Alarm. Ein ehemaliger externer Dienstleister hatte drei Monate nach Projektende noch Administratorzugriff auf ein SaaS Konto. Sein Benutzer war bekannt, aber niemand hatte den Zugang in der Offboarding Liste gesehen. Das Unternehmen besaß einen Passwortmanager, eine Benutzerliste und einen IT Dienstleister. Es besaß keine vollständige Sicht auf Zugriffsverantwortung
Was im Rückblick fehlte
Der Account war einer persönlichen Email zugeordnet. Die Anwendung unterstützte keine zentrale Anmeldung. Der fachliche Besitzer ging davon aus, IT verwalte die Nutzer; IT wusste nicht, dass der Dienst produktiv verwendet wurde. Protokolle waren nur 30 Tage verfügbar. Der Zugang war also technisch sichtbar, organisatorisch aber heimatlos
Eine Access Management Übersicht muss genau diese Lücke schließen. Sie erfasst nicht Passwörter, sondern Systeme, Besitzer, Rollen, Identitätsquellen, privilegierte Konten und Prüfzeitpunkte
Das Joiner Mover Leaver Modell reicht nicht mehr allein
Eintritt, Rollenwechsel und Austritt bleiben der Kern. In modernen Unternehmen kommen jedoch externe Partner, zeitlich begrenzte Projektrollen, Servicekonten, API Schlüssel und Agenten hinzu. Manche Identitäten gehören keiner natürlichen Person. Sie brauchen trotzdem Besitzer, Zweck, begrenzte Rechte und Ablaufdatum
Besonders gefährlich sind Konten, die nicht in einem zentralen Verzeichnis erscheinen. Kreditkartenabrechnungen, Browsererweiterungen, DNS Einträge und Passwortmanager können solche Systeme sichtbar machen. Die Übersicht wird aus mehreren Signalen gepflegt, nicht aus einer jährlichen Umfrage allein
Eine kleine, brauchbare Datenstruktur
- Systemname, Zweck und Kritikalität
- fachlicher und technischer Besitzer
- Identitätsanbieter oder lokales Kontomodell
- Rollen mit ihren wirksamen Rechten
- Administratoren und Notfallkonten
- externe sowie nicht menschliche Identitäten
- letzte Zugriffsprüfung und nächster Termin
- Protokollumfang, Wiederherstellung und Abschaltweg
Die Übersicht darf keine geheime zweite Benutzerverwaltung werden. Das führende System bleibt der Identitätsanbieter oder die jeweilige Anwendung. Die Übersicht zeigt Lücken, Verantwortliche und Prüfergebnisse
Passkeys verändern die Anmeldung, nicht die Verantwortung
Aktuelle Leitlinien für digitale Identität beziehen synchronisierbare Passkeys ausdrücklich ein. Sie bieten einen phishingresistenten Weg ohne geteiltes Passwort und können die Nutzung vereinfachen. Für kritische Systeme bleiben Auswahl des Vertrauensniveaus, sichere Registrierung und Kontowiederherstellung entscheidend
Ein starker Login verhindert nicht, dass eine Person zu viele Rechte besitzt. Authentifizierung beantwortet, wer sich anmeldet. Autorisierung entscheidet, was diese Identität tun darf. Beide Kontrollen werden getrennt geprüft
Least Privilege als Differenz, nicht als Slogan
Die praktische Frage lautet: Welche Rechte hat eine Rolle heute, und welche braucht sie für die beobachteten Aufgaben? Die Differenz wird entfernt oder begründet. Eine Rolle „Manager“ ist ohne Beschreibung wertlos. Eine wirksame Rollenkarte nennt konkrete Aktionen wie Nutzer einladen, Rechnungsdaten ändern, exportieren oder löschen
Zeitlich begrenzte Rechte sind für Migrationen und Support sinnvoll. Eine Freigabe erzeugt Anfang, Ablauf und Begründung. Dauerhafte Adminrechte „für den Fall“ sind keine Notfallstrategie. Dafür gibt es getrennte, stark geschützte Notfallkonten mit Alarmierung bei Nutzung
Die Zugriffsprüfung als echtes Gespräch
Eine quartalsweise Email mit 200 Namen führt meist zu pauschalem Abnicken. Besser sind kleine, risikobasierte Pakete. Ein Besitzer sieht nur seine Systeme, auffällige Änderungen und privilegierte Rollen. Für jede Beibehaltung oder Entfernung wird eine Entscheidung protokolliert
Unklare Einträge werden nicht ewig vertagt. Fehlt ein Besitzer, geht das System in eine definierte Eskalation. Ist eine Identität nicht zuordenbar, wird ihr Zugriff nach einem sicheren Verfahren eingeschränkt
Offboarding in Stunden statt Wochen
Der Austritt löst zentral die Sperrung verbundener Konten aus. Lokale Systeme erzeugen Aufgaben mit Frist und Bestätigung. Aktive Sitzungen, API Schlüssel, persönliche Weiterleitungen und gemeinsam genutzte Ressourcen werden separat behandelt. Datenbesitz wird vor Löschung an eine benannte Person übertragen
Am Ende steht kein Häkchen „erledigt“, sondern eine Beweiskette: welche Zugänge automatisch gesperrt wurden, welche manuell bestätigt sind und welche Ausnahme noch offen ist
Ein 30 Tage Plan für kleine Unternehmen
- kritische Systeme und ihre Besitzer erfassen
- alle Administratoren und externen Konten prüfen
- zentrale Anmeldung und Mehrfaktorverfahren dort aktivieren, wo es möglich ist
- Offboarding für lokale Konten mit Fristen ergänzen
- Notfallkonten trennen, schützen und testen
- erste risikobasierte Zugriffsprüfung durchführen
Das AI Tool Register erweitert diese Sicht um Modelle, Datenflüsse und agentische Rechte. Eine gute Access Übersicht liefert am Ende keine perfekte Tabelle. Sie liefert eine belastbare Antwort auf drei Fragen: Wer kann handeln, warum darf diese Person oder Maschine es, und wer bemerkt, wenn die Berechtigung nicht mehr stimmt?