Privilege Creep: Wie schleichende Berechtigungen entstehen und wie Sie sie stoppen

Privilege Creep ist das schleichende Ansammeln von Zugriffsrechten. Es entsteht, wenn Mitarbeiter bei jedem Projekt und jedem Abteilungswechsel neue Rechte bekommen, die alten aber behalten. Über Jahre wächst so ein Rechte-Berg, den niemand mehr überblickt. Das eigentliche Risiko ist nicht der einzelne Zugriff, sondern die Summe vergessener Rechte auf einem einzigen Konto.

Ich habe diesen Effekt am eigenen Beispiel erlebt, und ich sehe ihn in über 25 Jahren Beratung in fast jedem Unternehmen wieder. Was dahintersteckt, fasse ich zuerst in fünf Punkten zusammen.

• Privilege Creep entsteht im laufenden Betrieb, nicht beim Austritt der Mitarbeitenden. Wer bleibt und nur die Aufgabe wechselt, sammelt Rechte an, statt sie zu verlieren.
• Das Need-to-Know-Prinzip ist der Maßstab. Jeder Mitarbeiter braucht genau die Rechte seiner aktuellen Aufgabe, nicht die Summe aller früheren.
• In rund 99 Prozent der Projekte bleiben die Berechtigungen nach Projektende bestehen, weil niemand sie aktiv abräumt.
• Das größte Risiko ist die Angriffsfläche. Wird ein Konto mit angesammelten Rechten übernommen, erbt der Angreifer jeden einzelnen dieser Zugriffe.
• Das Gegenmittel heißt Least Privilege, abgesichert durch eine jährliche Rezertifizierung und ein sauberes Berechtigungskonzept.

Wie dieser schleichende Prozess konkret abläuft, zeigt sich am besten an einem Beispiel, das ich gut kenne, weil es mein eigenes ist.

Privilege Creep beginnt harmlos und wird selten bemerkt, weil jede einzelne Rechtevergabe für sich genommen sinnvoll wirkt. Erst die Summe über die Jahre macht das Problem sichtbar. Beginnen wir mit der Frage, was sich hinter dem Begriff verbirgt.

Privilege Creep, auf Deutsch „Schleichende Berechtigung“, beschreibt das schrittweise Anwachsen der Zugriffsrechte eines Mitarbeiters über die Zeit. Bei jedem Projekt und jeder neuen Aufgabe kommen Rechte hinzu, aber die alten verschwinden nicht.

Ich bin selbst das beste Beispiel. Ich bin bei meinem früheren Arbeitgeber von der Entwicklung ins Marketing gewechselt und habe meine Entwicklungsrechte zunächst vollständig behalten. Anderthalb Jahre später ist aufgefallen, dass ich auf Bereiche zugreife, die ich nicht mehr brauche. Man hat mir die Altrechte ohne Rücksprache entzogen, und das war richtig so. Erst im zweiten Schritt haben wir dediziert geprüft, was ich aus der Entwicklung wirklich noch benötige. So sieht Need-to-Know in der Praxis aus.

Damit ist klar, was Privilege Creep ist. Wichtiger ist die Frage, warum er im Alltag fast unsichtbar bleibt.

Privilege Creep entsteht dort, wo Rechte beantragt, aber nie zurückgegeben werden. In meiner Beratungsarbeit sehe ich denselben Ablauf in fast jeder Firma. Für ein Projekt braucht ein Mitarbeiter Zugriff, der Projektleiter gibt ihn frei, das Projekt läuft. In rund 99 Prozent der Fälle bleiben nach Projektende alle Rechte erhalten, weil niemand die Berechtigungen aktiv entfernt.

Beim nächsten Abteilungswechsel verstärkt sich der Effekt. Der Wechsel landet im HR-Tool, erreicht die IT aber oft nicht. Niemand setzt einen Marker, dass die alten Rechte erlöschen sollen, also addiert sich der neue Zugriff zum alten. Wer mehrfach die Aufgabe wechselt, trägt am Ende einen unübersichtlichen Rechte-Berg mit sich, den niemand mehr durchschaut.

Hinzu kommt der schlichte Mangel an Zeit und Schulung. Im Tagesgeschäft kümmert sich niemand freiwillig um den Rückbau alter Rechte, und vielen Verantwortlichen ist der Effekt gar nicht bewusst. So bleibt Privilege Creep im Alltag fast unsichtbar.

Die Anhäufung der Berechtigungen bliebe folgenlos, wenn sie kein Risiko in sich tragen würde.

Solange nichts passiert, wirkt ein voller Rechtekatalog wie ein bequemer Zustand. Das Risiko zeigt sich erst im Ernstfall, und dann mit voller Wucht. Zuerst lohnt die Abgrenzung zu einer verwandten Gefahr, mit der Privilege Creep oft verwechselt wird.

Beide Themen berühren sich, sie sind aber nicht dasselbe. Beim Austritt geht es um den Moment des Gehens: Werden die Rechte rechtzeitig entzogen, oder bleibt ein verwaister Account zurück? Diese Gefahr habe ich im Beitrag zur tickenden Zeitbombe beschrieben.

Privilege Creep dreht sich um das, was passiert, solange jemand bleibt. Die Person ist jeden Tag im Haus, arbeitet produktiv und sammelt nebenbei immer mehr Zugriffe an. Das Problem wächst also mit der Betriebszugehörigkeit, nicht mit dem Abschied. Beim Austritt steht ein einmaliges Aufräumen an, bei Privilege Creep handelt es sich um eine Daueraufgabe.

Diese Unterscheidung zählt, weil beide Gefahren unterschiedliche Gegenmittel verlangen. Was die Akkumulation im Ernstfall anrichtet, sehen wir als Nächstes.

Das größte Risiko ist die Angriffsfläche. Wird ein Konto mit vielen angesammelten Rechten übernommen, erbt der Angreifer jeden einzelnen dieser Zugriffe. Er zieht Daten ab oder verschlüsselt sie. Je breiter die Berechtigungsstruktur, desto größer der Schaden bei einer Ransomware-Attacke.

Die größere Bedrohung kommt laut Verfassungsschutz von innen. Die meisten gestohlenen Daten verlassen das Unternehmen durch eigene Leute. Ein frustrierter Mitarbeiter mit zu vielen Rechten zieht an einem schlechten Tag alles ab, worauf er Zugriff hat. Schon ein Ordner mit dem Namen Entlassung 2026, geöffnet von der falschen Person, kann im ganzen Haus Panik auslösen. Dieses Innentäter-Risiko vertiefe ich im Beitrag zum unterschätzten Innentäter.

Auch ein Auditor erkennt die Akkumulation sofort, und wie deutlich sie auffällt, hängt von der Unternehmensgröße ab.

Gefährlich wird Privilege Creep nicht ab einer festen Mitarbeiterzahl, sondern ab dem Punkt, an dem niemand mehr den Überblick behält. In kleinen Teams fällt ein überberechtigtes Konto schneller auf. Mit jeder weiteren Abteilung und jedem System wird die Anhäufung unsichtbarer.

Am deutlichsten zeigt sich das bei Auszubildenden. Ein Azubi rotiert durch Marketing, Vertrieb und Entwicklung, an jeder Station bekommt er Zugriff, genommen wird ihm fast nie einer. Während ein Standardmitarbeiter rund 50 Berechtigungen trägt, kommt ein solcher Azubi schnell auf 200. Ein Auditor sieht diese Zahl und stellt sofort fest, dass der Prozess nicht stimmt. Wie ein Audit solche Findings behandelt, habe ich im Beitrag zum Audit-Albtraum beschrieben.

Bevor wir zur Lösung kommen, fasst die folgende Übersicht Ist und Soll zusammen.

Das Gegenmittel ist kein neues Werkzeug, sondern ein Prinzip. Wer den Zugriff konsequent an der Aufgabe ausrichtet, lässt Privilege Creep gar nicht erst entstehen. Das beginnt mit einer einfachen Frage.

Das Need-to-Know-Prinzip bedeutet, dass jeder Mitarbeiter genau die Rechte erhält, die seine aktuelle Aufgabe verlangt, und keine darüber hinaus. In der Praxis beginnt das bei der Job-Description. Eine Aufgabe in der Entwicklung verlangt andere Zugriffe als eine im Marketing, und in den allermeisten Fällen überschneiden sich beide Welten nicht.

Daneben steht eine gemeinsame Basis, auf die das ganze Unternehmen zugreift, etwa das Intranet oder die Collaboration-Verzeichnisse. Diese Basis ist für alle offen, alles andere folgt der jeweiligen Rolle. Bei externen Mitarbeitern gilt das besonders streng: Ein Externer arbeitet an seinem Projekt und braucht keinen Zugang zum Rest des Unternehmens.

Weniger Zugriff bedeutet zudem weniger Ablenkung, weil jeder kürzer sucht und konzentrierter arbeitet. Wer auf zu viele Bereiche zugreift, verbringt am Ende mehr Zeit mit Suchen als mit Finden. Das Prinzip ist einfach, die Umsetzung verlangt Disziplin. Aber sie kann ohne Dauer-Mehraufwand gelingen.

Meine Empfehlung lautet: Bei jedem Wechsel alles entziehen und neu vergeben. Das klingt nach Aufwand, ist aber der sauberste Weg. Wer aufräumt, beginnt mit den 80 Prozent der eindeutigen Fälle und kümmert sich danach um die Einzelfälle.

Den eigentlichen Hebel liefert die Automatisierung. Koppelt man die Rechtevergabe an das HR-System, erlischt der alte Zugriff beim Wechsel von selbst. Wichtig ist die ehrliche Erwartung, dass Automatisierung kein Selbstläufer ist. Prozesse ändern sich, Abteilungen werden umbenannt, Werkzeuge werden eingestellt. Der richtige Weg ist ein Mittelweg, der Arbeit abnimmt und trotzdem regelmäßig angepasst wird.

Das Fundament unter alledem ist ein sauberes Berechtigungskonzept, ergänzt durch eine jährliche Rezertifizierung, die das BSI ausdrücklich empfiehlt. Mit einem Werkzeug wie der CARO-Suite sehen Sie auf Knopfdruck, welche Mitarbeiter noch Altrechte mit sich tragen. Ob bei Ihnen solche Altrechte schlummern, prüfen Sie am besten selbst.

Privilege Creep bleibt so lange unsichtbar, bis jemand gezielt nachschaut. Beantworten Sie die folgenden Fragen ehrlich mit Ja oder Nein. Jedes Nein ist ein Hinweis auf schleichende Berechtigungen.

☐ Wissen Sie, welche Mitarbeiter heute noch Berechtigungen aus früheren Positionen tragen?

☐ Werden Projektrechte nach Abschluss eines Projekts aktiv entzogen?

☐ Erlöschen alte Zugriffe beim Abteilungswechsel automatisch?

☐ Prüfen Sie die Berechtigungen jedes Mitarbeiters mindestens einmal im Jahr?

☐ Sehen Sie für einen einzelnen Mitarbeiter auf Knopfdruck, worauf er aktuell zugreift?

Wer hier mehrfach mit Nein antwortet, findet die wichtigsten Punkte in den folgenden Antworten gebündelt.

Privilege Creep ist das schleichende Ansammeln von Zugriffsrechten über die Zeit. Mitarbeiter erhalten bei Projekten und Aufgabenwechseln neue Rechte und behalten die alten. Am Ende verfügt ein Konto über weit mehr Zugriffe, als die aktuelle Aufgabe verlangt.

Beim Austritt geht es um den verwaisten Account einer Person, die das Unternehmen verlässt. Privilege Creep betrifft Mitarbeiter, die bleiben und über Jahre Rechte anhäufen. Das eine ist ein einmaliges Aufräumen, das andere eine Daueraufgabe.

Das Need-to-Know-Prinzip vergibt genau die Rechte, die eine Aufgabe verlangt, und keine darüber hinaus. Maßstab ist die Job-Description. Eine gemeinsame Basis steht allen offen, jeder weitere Zugriff folgt der konkreten Rolle.

Privilege Creep wird zum Problem, sobald niemand mehr den Überblick über die vergebenen Rechte behält. Das hängt weniger an der Mitarbeiterzahl als an der Zahl der Abteilungen und Systeme. Auszubildende, die durch alle Bereiche rotieren, sind die häufigsten Träger zu vieler Berechtigungen.

Ein Berechtigungskonzept legt fest, welche Rolle welche Rechte erhält und wie diese vergeben, geprüft und entzogen werden. Es macht die Vergabe nachvollziehbar und ermöglicht die jährliche Rezertifizierung. So wächst kein Rechte-Berg, den niemand mehr kontrolliert.