Zugriffsrechte prüfen: Rezertifizierung ohne Projektaufwand

Rechte werden vergeben, wenn jemand sie braucht. Zurückgenommen werden sie, wenn jemand geht. Dazwischen liegen Vertretungen, Projekte, Abteilungswechsel und Testphasen — und für all das gibt es keinen Anlass, der von selbst dafür sorgt, dass ein Zugang wieder verschwindet.

Nach zwei, drei Jahren hat deshalb fast jedes Unternehmen Menschen mit Rechten, die niemand mehr begründen kann. Die Rezertifizierung ist der Mechanismus, der das einsammelt.

Was eine Rezertifizierung ist

Rezertifizierung — im deutschen Sprachgebrauch auch Zugriffsprüfung — bedeutet: In festen Abständen bestätigt eine verantwortliche Person für jeden bestehenden Zugang, dass er noch gebraucht wird. Oder sie entzieht ihn.

Das klingt nach Bürokratie und ist in der Praxis der billigste Sicherheitsgewinn, den es gibt: Es kostet keine Lizenz, keine Hardware und kein Projekt, sondern ein paar Minuten von Menschen, die die Antwort ohnehin kennen.

Wie oft geprüft werden sollte

Eine gesetzliche Einheitsfrist gibt es nicht. Der Anspruch kommt aus mehreren Richtungen: Das BSI führt Identitäts- und Berechtigungsmanagement als eigenen Baustein im IT-Grundschutz-Kompendium, und die NIS-2-Richtlinie nennt Zugriffskontrolle ausdrücklich als Bestandteil der Risikomanagementmaßnahmen.

Praktisch bewährt hat sich eine Staffelung nach Risiko der Anwendung:

Für Unternehmen auf dem Weg zur Zertifizierung ist die genaue Frequenz zweitrangig — ISO 27001 verlangt vor allem, dass der Rhythmus festgelegt, eingehalten und belegt ist.

Wer entscheidet — und warum das die wichtigste Frage ist

Die häufigste Ursache für gescheiterte Rezertifizierungen ist eine falsche Zuständigkeit. Landet die Liste bei der IT, passiert genau das, was passieren muss: Die IT weiß nicht, ob die Kollegin aus dem Vertrieb noch Zugriff auf das Angebotssystem braucht, und bestätigt im Zweifel alles. Danach ist die Prüfung dokumentiert und wertlos.

Sinnvoll ist eine Kette:

1. Verantwortliche Person der Anwendung — sie kennt den Zweck des Systems.
2. Vorgesetzte Person — sie kennt die aktuelle Aufgabe der Mitarbeitenden.
3. Administration — nur, wenn beide ausfallen.

Die IT stellt die Liste bereit und setzt die Entscheidung um. Getroffen wird sie im Fachbereich.

Wie eine Kampagne praktisch abläuft

Im kjello-Portal werden die Kampagnen nach Risiko automatisch als Entwurf vorbereitet. Gestartet werden sie von einem Menschen — bewusst. Eine Kampagne, die sich selbst startet und Entzüge auslöst, trifft irgendwann die Urlaubswoche, in der niemand entscheidet, und schaltet dann Zugänge ab, die gebraucht werden.

Je Zeile stehen drei Aktionen zur Wahl:

• Behalten — der Zugang bleibt, die Bestätigung wird protokolliert.
• Entziehen — löst denselben Entzug aus wie ein Austritt, inklusive Beleg. Warum das derselbe Weg sein muss, steht im Beitrag zum Offboarding-Nachweis.
• Weitergeben — wenn jemand anderes besser beurteilen kann, ob der Zugang nötig ist.

Entscheidungen sind bis zum Ende der Kampagne widerrufbar. Das ist kein Komfortmerkmal, sondern der Grund, warum es keinen Bestätigungsdialog je Zeile braucht — der würde 200 Entscheidungen in 400 Klicks verwandeln, und genau daran scheitern Prüfungen in der Praxis. Der Ablauf im Detail steht im Hilfe-Center unter Zugriffsprüfung durchführen.

Was die Entscheidung leicht macht

Drei Angaben pro Zeile entscheiden darüber, ob geprüft oder durchgewinkt wird:

• Letzte Nutzung. „Seit 140 Tagen keine Anmeldung” beantwortet die Frage von selbst. In Microsoft Entra ID setzen diese Daten mindestens die Lizenzstufe P1 voraus; fehlt sie, bleibt das Feld leer — und das sollte offen dastehen statt durch einen erfundenen Wert ersetzt zu werden.
• Herkunft des Zugangs. Wurde er bewusst vergeben oder bei einer Erfassung entdeckt? Letzteres ist immer ein guter Grund nachzufragen.
• Art der Anwendung. Sie zeigt sofort, ob ein Entzug automatisch läuft oder eine Bestätigung braucht.

Verhältnis zu den Microsoft-Bordmitteln

Microsoft bietet in der Governance-Ausbaustufe von Entra ID eigene Zugriffsüberprüfungen an. Wer sie lizenziert hat, sollte sie nutzen — für alles, was im Verzeichnis liegt, sind sie der direkte Weg.

Die Lücke liegt woanders: Anwendungen ohne moderne Anbindung. Die Branchensoftware, das Altsystem, das Lieferantenportal. Sie tauchen in keiner Verzeichnisprüfung auf, weil sie ihre Benutzer selbst verwalten. Für diesen Teil braucht es eine Liste außerhalb des Verzeichnisses und benannte Verantwortliche — beschrieben in der Übersicht zum Berechtigungsmanagement.

Wer beide Teile nicht zusammenführt, prüft am Ende sauber genau die Systeme, die ohnehin automatisch entziehen — und keines der Systeme, bei denen es auf Menschen ankommt.

Aufwand und Kosten

Für ein Unternehmen mit 60 Mitarbeitenden und 20 Anwendungen entstehen pro Quartal etwa 150 bis 250 zu prüfende Zeilen, verteilt auf fünf bis acht Verantwortliche. Das ist eine halbe Stunde je Person und Quartal.

In kjello sind Übersicht und Register Teil des Portals (29 €/User/Monat, Preise). Die Kampagnen, die Erinnerungen und der Nachweis-Export gehören zum Security-Paket mit zusätzlich 10 €/User/Monat. hagel IT bereitet die Kampagnen vor, hält die Fristen nach und meldet sich, wenn eine Prüfung liegen bleibt — den Start und jede einzelne Entscheidung behalten Sie. Wie sich das ins Gesamtbild fügt, zeigt Sicherheit & Compliance.