Berechtigungsmanagement im Mittelstand: wer hat Zugriff worauf?
Berechtigungsmanagement im Mittelstand ohne Excel: So bauen Sie ein Zugriffs-Register auf, benennen Verantwortliche und belegen, wer worauf Zugriff hat.
- Berechtigungsmanagement bedeutet: für jede Anwendung ist bekannt, wer Zugriff hat, wer dafür verantwortlich ist und wie der Zugriff wieder endet.
- Die meisten Mittelständler scheitern nicht an fehlenden Werkzeugen, sondern daran, dass niemand eine vollständige Liste der genutzten Anwendungen hat.
- Ein belastbares Zugriffs-Register unterscheidet drei Arten von Anwendungen: solche mit Schnittstelle, solche hinter der zentralen Anmeldung und solche, die nur ein Mensch abschalten kann.
- Ohne benannte Verantwortliche pro Fachanwendung läuft jeder Austrittsprozess ins Leere — der Prozess kann dann niemanden fragen.
- Eine Rechteprüfung, die nicht dokumentiert wird, existiert für eine Aufsichtsbehörde nicht: Artikel 5 DSGVO verlangt, die Einhaltung nachweisen zu können.
Fragen Sie in Ihrem Unternehmen einmal nach einer vollständigen Liste aller Anwendungen, in denen Mitarbeitende ein Konto haben. Die Antwort kommt selten schnell, und sie ist fast nie vollständig. Das ist kein Vorwurf an die IT: Software wird heute in Minuten freigeschaltet, oft direkt vom Fachbereich, oft mit dem vorhandenen Microsoft-Konto.
Genau hier beginnt Berechtigungsmanagement: nicht bei einer Rechte-Matrix, sondern bei der schlichten Frage, welche Systeme es überhaupt gibt.
Was Berechtigungsmanagement wirklich bedeutet
Berechtigungsmanagement bedeutet: Für jede Anwendung im Unternehmen ist bekannt, wer Zugriff hat, wer die fachliche Verantwortung trägt und auf welchem Weg ein Zugriff wieder endet. Alles Weitere — Rollenkonzepte, Rechtestufen, Freigabe-Workflows — baut darauf auf.
Das BSI führt das Thema im IT-Grundschutz-Kompendium als eigenen Baustein. Im Baustein ORP.4 „Identitäts- und Berechtigungsmanagement“ steht als Ziel, dass Benutzer und IT-Komponenten „ausschließlich auf die IT-Ressourcen und Informationen zugreifen können, die sie für ihre Arbeit benötigen und für die sie autorisiert sind“. Das ist das Prinzip der minimalen Rechtevergabe in einem Satz, und zugleich der Maßstab, an dem sich jede gewachsene Rechtelandschaft messen lassen muss.
Auch Artikel 32 DSGVO verlangt ausdrücklich die Fähigkeit, „die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste“ auf Dauer sicherzustellen. Ein Zugang, von dem niemand weiß, ist damit schwer vereinbar. Wie sich beides in ein prüfbares Gesamtbild einfügt, beschreibt der Beitrag zum IT-Sicherheitskonzept für den Mittelstand.
Warum die Liste in der Praxis nie stimmt
Drei Mechanismen sorgen dafür, dass Übersichten veralten, sobald sie fertig sind:
- Selbstbedienung. Ein Team meldet sich mit dem Firmenkonto bei einem Dienst an. Microsoft dokumentiert diesen Weg als Nutzer-Zustimmung, die Administratoren gezielt einschränken können. Wo das nicht konfiguriert ist, entstehen Zugänge ohne jede Meldung.
- Projektbetrieb. Externe bekommen befristete Zugänge, die niemand zurücknimmt, weil das Projekt nicht endet, sondern ausläuft.
- Personalwechsel. Wer die Fachanwendung eingeführt hat, ist nicht mehr im Haus. Die Anwendung läuft weiter, die Zuständigkeit ist verwaist.
Alle drei wirken ohne böse Absicht: kein Fehler, keine Meldung, kein Ticket — nur ein Zugang mehr. Deshalb ist eine handgepflegte Liste der schwächste Teil jedes Berechtigungskonzepts. Verlässlich wird die Übersicht erst, wenn sie sich selbst befüllt. Denselben Effekt beschreibt der Beitrag zur Schatten-IT im Mittelstand aus Sicht der Software statt aus Sicht der Konten.
Die drei Arten von Anwendungen
Der praktisch wichtigste Schritt ist eine Einteilung, die sich am Austritt orientiert, also daran, wie ein Zugriff überhaupt endet:
| Art | Beispiel | So endet der Zugriff |
|---|---|---|
| Mit Schnittstelle | Microsoft 365, Google Workspace, Slack | automatisch über die Programmierschnittstelle |
| Hinter der zentralen Anmeldung | alles mit Single Sign-on über Entra ID | mit dem gesperrten Konto oder der entfernten Gruppe |
| Ohne Schnittstelle | Branchensoftware, Altsysteme, lokale Konten | nur durch einen Menschen, der es tut und bestätigt |
Die Einteilung verteilt den Aufwand ehrlich. Für die ersten beiden Gruppen lässt sich der Entzug automatisieren. Für die dritte hilft keine Technik: Dort braucht es eine benannte Person, eine Frist und einen Nachweis. Wer den Unterschied nicht macht, hält am Ende ein Konzept in der Hand, das für einen Teil der Systeme schlicht nicht funktioniert.
Jede Anwendung, die per Single Sign-on angebunden ist, wandert von der teuren dritten Gruppe in die günstige zweite. Der Umstieg von lokalen Verzeichnissen auf die Cloud-Anmeldung ist deshalb auch ein Berechtigungsthema, und der Grund, warum Identitätsmanagement und Rechteverwaltung sich in der Praxis nicht trennen lassen.
Die Zugänge, die keiner Person gehören
Eine Gruppe fällt in jeder Bestandsaufnahme durch das Raster: geteilte Zugänge. Das Zoll-Portal, das Konto beim Energieversorger, der Login der Telefonanlage. Sie gehören keiner Person, sondern einer Aufgabe, und deshalb taucht beim Austritt niemand auf, der sie zurückgibt.
Für diese Konten gilt eine eigene Regel: Beim Austritt wird kein Zugriff entzogen, sondern ein Passwort gewechselt. Wer geteilte Zugänge zentral verwaltet, weiß im Ernstfall, welche das sind. Wer sie in Köpfen und Notizzetteln führt, wechselt entweder alle oder keins.
Was ein brauchbares Zugriffs-Register enthält
Ein Register ist mehr als eine Liste von Programmnamen. Damit es im Ernstfall trägt, braucht jede Zeile fünf Angaben:
- Anwendung und Anbieter. Auch die Systeme, die niemand gemeldet hat.
- Art des Zugriffs. Schnittstelle, zentrale Anmeldung oder manuell.
- Konten. Wie viele, und welche davon keiner aktiven Person mehr zuzuordnen sind.
- Letzte Nutzung. Der ehrlichste Hinweis darauf, ob ein Zugang noch gebraucht wird.
- Verantwortliche Person. Die Angabe, ohne die jeder Austrittsprozess ins Leere läuft.
Im Self-Service-Portal von kjello steht diese Übersicht unter „SaaS-Ausgaben → Zugriffe“. Die vier Kacheln oben sind zugleich Filter: Anwendungen gesamt, verwaiste Konten, seit 90 Tagen ungenutzte Zugänge und Anwendungen ohne Verantwortlichen. Die Herkunft jedes Kontos ist gekennzeichnet: angelegt über kjello, bei der täglichen Erfassung entdeckt oder von Hand eingetragen. Die technischen Details stehen in der Anleitung Zugriffs-Register im Hilfe-Center.
Der Moment, in dem sich das Register auszahlt
Beim Austritt zeigt der Assistent nicht die geplante Liste, sondern die tatsächliche:
Die Einträge mit dem Merkmal entdeckt hat niemand vorgesehen: Sie stammen aus der täglichen Erfassung und tauchen hier zum ersten Mal auf. Genau diese Zeilen fehlen in jeder handgepflegten Checkliste.
In fünf Schritten zu einer Übersicht, die hält
- Automatisch erfassen statt fragen. Lesen Sie aus, welche Anwendungen im Verzeichnis registriert sind, wer ihnen zugewiesen ist und wer sich selbst Zugriff erteilt hat. Das dauert Minuten und liefert mehr als jede Umfrage im Haus.
- Fachanwendungen ergänzen. Was keine moderne Anbindung hat, kommt von Hand ins Register — einmalig, dafür vollständig. Das ist Onboarding-Arbeit, keine Technik.
- Verantwortliche benennen. Pro Anwendung eine Person aus dem Fachbereich. Ohne diese Angabe kann kein Austritt sauber schließen.
- Verwaiste Konten leeren. Jedes Konto ohne aktive Person ist entweder überflüssig oder ein Risiko. Meist beides.
- Regelmäßig bestätigen lassen. Einmal im Quartal, halbjährlich oder jährlich, je nachdem, wie kritisch die Anwendung ist.
Die Reihenfolge ist wichtiger, als sie aussieht. Wer bei Schritt drei anfängt, bekommt gepflegte Zuständigkeiten für die Hälfte der Systeme und gar keine für die andere. Erst die Bestandsaufnahme, dann die Organisation.
Fangen Sie nicht bei den Rechten an, sondern bei den Anwendungen. Eine Rechte-Matrix über eine unvollständige Systemliste erzeugt vor allem eines: das gute Gefühl, etwas getan zu haben. Eine erste Standortbestimmung liefert der IT-Sicherheits-Check.
Wie oft Zugriffe überprüft werden müssen
Ein Register veraltet nicht durch Fehler, sondern durch Zeit. Deshalb gehört zu jedem Berechtigungsmanagement ein Turnus, in dem die Verantwortlichen bestätigen, dass die Liste noch stimmt. Microsoft nennt das Zugriffsüberprüfung und begründet es in der Dokumentation zu Access Reviews mit zwei Konsequenzen: Zu weit reichende Zugriffsrechte können zu Kompromittierungen führen, und übermäßige Rechte fallen in Prüfungen als Mangel an Kontrolle auf.
Bewährt hat sich eine Staffelung nach Risiko: Systeme mit Personal-, Finanz- oder Kundendaten quartalsweise, Fachanwendungen halbjährlich, alles Übrige jährlich. Entscheidend ist weniger das Intervall als die Dokumentation. Artikel 5 Absatz 2 DSGVO verlangt vom Verantwortlichen, die Einhaltung der Grundsätze nachweisen zu können. Eine Prüfung ohne Protokoll hat für eine Aufsichtsbehörde nicht stattgefunden.
Ich rate immer: nicht übertreiben, einfach anfangen. Die perfekte IT-Lösung gibt es nicht — aber eine, die in drei Monaten besser ist als heute.
Jens HagelGründer & Geschäftsführer
Für den Anfang genügt eine Runde über die zehn wichtigsten Systeme. Wer auf die perfekte Rechte-Matrix wartet, prüft im ersten Jahr nichts.
Was das mit Austritten zu tun hat
Ein Berechtigungskonzept beweist sich nicht bei der Vergabe, sondern beim Entzug. Die klassische Offboarding-Checkliste nach DSGVO hakt Punkte ab, die jemand vorher aufgeschrieben hat. Was dort nicht steht, wird auch nicht abgehakt.
Speist sich die Checkliste dagegen aus dem Register, taucht auch die Fachanwendung auf, an die beim Erstellen der Liste niemand gedacht hat. Aus dem Abhaken wird ein Abgleich mit der Wirklichkeit, und am Ende ein Nachweis statt einer Behauptung. Wie kjello Ein- und Austritte durchgängig abwickelt, steht unter Onboarding und Offboarding automatisieren.
Wenn jemand neu anfängt: Laptop da, E-Mail eingerichtet, Telefon läuft. Wenn jemand geht: Zugänge zu. Mehr wollen wir gar nicht.
Diese Erwartung ist bescheiden und trotzdem selten erfüllt. Der zweite Teil funktioniert nur, wenn jemand weiß, was „alle Zugänge“ konkret bedeutet.
Berechtigungsmanagement ohne eigenes Team
Für den Mittelstand ist der entscheidende Punkt nicht die Software, sondern die Frage, wer den Prozess am Laufen hält. Ein Register, das niemand pflegt, ist nach sechs Monaten wieder eine Excel-Datei — nur mit mehr Aufwand in der Entstehung.
Der häufigste Einwand lautet: Dafür sind wir zu klein. Er stimmt für eine Identity-Governance-Suite mit eigenem Projektteam. Er stimmt nicht für die Frage, wer nach dem Austritt noch ins Warenwirtschaftssystem kommt; die stellt sich ab dem zweiten Arbeitsplatz.
In kjello gehören Zugriffs-Register, Nachweis-Export und die regelmäßige Bestätigung der Zugriffe zum Core-Paket für 29 € pro Nutzer und Monat (netto, Stand August 2026, Preise). Optional dazu: erweiterter Virenschutz (EDR) für 10 € pro Nutzer und Monat. Betrieben wird das Ganze von hagel IT: Die Erfassung läuft täglich, die Erinnerungen gehen an die Verantwortlichen, und wenn niemand reagiert, meldet sich ein Mensch.
30 Minuten, kostenlos: Wir schauen gemeinsam auf Ihre Anwendungen und sagen Ihnen, wo die verwaisten Konten liegen.
Gespräch vereinbarenDas ist der eigentliche Unterschied zwischen einem Werkzeug und einem betreuten Dienst: Ein Werkzeug zeigt Ihnen, welche Konten verwaist sind. Ein Dienst sorgt dafür, dass nächsten Monat keines mehr offen ist.
Geschrieben von
Jens Hagel
Gründer & Geschäftsführer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Was ist Berechtigungsmanagement?
Wie fange ich mit Berechtigungsmanagement im Mittelstand an?
Reicht eine Excel-Liste für die Berechtigungsübersicht?
Was ist der Unterschied zwischen Berechtigungsmanagement und Identitätsmanagement?
Wie oft sollten Zugriffsrechte überprüft werden?
Wer sollte im Unternehmen für Berechtigungen verantwortlich sein?
Was kostet Berechtigungsmanagement im Mittelstand?
Zugriffe sichtbar machen
kjello führt alle Anwendungen, Konten und Verantwortlichkeiten in einer Übersicht zusammen — betrieben vom Systemhaus hagel IT, mit Nachweis für Audit und Versicherung.
