Zugriffsrechte entziehen: Wie IT-Leiter die tickende Zeitbombe entschärfen

Eine kleinere Firma, rund 50 Mitarbeiter. Ein Mitarbeiter war längst ausgeschieden, sein Account aber nie vollständig abgeräumt. Über genau diesen verwaisten Zugang kam später ein Angriff von außen herein. Die Ransomware fraß sich wie ein Wurm durch das Netzwerk und verschlüsselte dabei immer mehr Daten. Der Chef zögerte zu lange mit der Entscheidung, die Backups waren nie getestet worden und liefen ins Leere. Heute existiert die Firma nicht mehr. 50 Arbeitsplätze, verloren.

Ich habe diesen Fall begleitet und er bringt das Thema dieses Beitrags auf den Punkt. Eine vergessene Berechtigung ist eine tickende Zeitbombe. Sie liegt still und unbemerkt, bis jemand sie zündet. Was das im Detail bedeutet, fasse ich zunächst in fünf Punkten zusammen.

• Der gefährlichste Schritt im Joiner-Mover-Leaver-Prozess ist nicht die Kündigung, sondern der Abteilungswechsel. Wer wechselt, behält fast immer seine alten Rechte und sammelt so unbemerkt Zugriff auf immer mehr Bereiche.
• Bis die IT von einem Austritt erfährt, vergehen je nach Unternehmen Tage bis Wochen. Im schlimmsten Fall fällt der verwaiste Account erst auf, wenn eine Software ihn meldet.
• Das eigentliche Risiko vergessener Zugriffsrechte ist selten der Ex-Mitarbeiter, der heimlich Daten kopiert. Das ist die seltene Ausnahme. Die echte Gefahr ist der offene Account als Einfallstor für Angriffe von außen.
• Auszubildende sind der Klassiker. Sie rotieren durch alle Abteilungen und sammeln Rechte ein. Bei jedem ausbildenden Unternehmen finden sich erfahrungsgemäß zwei bis vier nicht bereinigte Fälle.
• Die DSGVO verlangt eine regelmäßige Prüfung der Zugriffsrechte. Verantwortlich dafür ist nicht die IT, sondern die Geschäftsführung. Sie haftet, auch wenn sie die Aufgabe delegiert.

Wie diese fünf Punkte in der Praxis aussehen, zeigt der Weg, den eine Berechtigung vom Austritt bis zum Schaden nimmt.

Auf dem Papier ist der Ablauf simpel. Ein Mitarbeiter verlässt das Unternehmen, HR meldet es der IT, die IT entzieht die Zugriffsrechte. In der Praxis hakt es an jeder dieser drei Stationen. Der Hauptgrund ist kein technischer, sondern ein organisatorischer.

Auf dem Papier ist der Ablauf simpel. Ein Mitarbeiter verlässt das Unternehmen, HR meldet es der IT, die IT entzieht die Zugriffsrechte. In der Praxis hakt es an jeder dieser drei Stationen. Der Hauptgrund ist kein technischer, sondern ein organisatorischer.

Die ehrliche Antwort lautet: zwischen einem Tag und mehreren Wochen. Und im schlimmsten Fall gar nicht. Ich habe es erlebt, dass ein verwaister Account erst aufgefallen ist, als wir mit unserer Software auf das System geschaut haben. Die Reaktion war dann ein überraschtes „Oh, der ist ja schon gegangen.“

Der Zugriffsrechte-Sicherheitscheck nennt hierzu drei Zahlen laut unserer internen Erhebung aus der Beratungspraxis: 89 Prozent der Ex-Mitarbeiter behalten ihren Zugang, 56 Prozent nutzen ihn aktiv, und im Schnitt vergehen elf Tage bis zur Deaktivierung. Aus meiner Beratungspraxis möchte ich diese Werte einordnen.

Dass wirklich jeder ausgeschiedene Mitarbeiter seinen Zugang behält, würde ich nicht unterschreiben. Bei Unternehmen, die neu zu uns kommen, sehe ich eher eine Spanne von 60 bis 80 Prozent verbliebener Zugänge. Aber: Das ist immer noch eine erschreckend hohe Quote. Und dass ein Ausgeschiedener nach ein paar Wochen noch einmal in seine alten Daten schaut, ist nichts Ungewöhnliches. Das höre ich regelmäßig.

Hinter den verzögerten Entzügen steckt selten böser Wille. Es steckt ein Bruch im Informationsfluss. HR und IT sprechen oft kaum miteinander, und der Grund ist ein gegenseitiges Unverständnis für die Arbeit des anderen.

Für die Personalabteilung ist ein Austritt in vielen Firmen abgeschlossen, sobald die letzte Gehaltsüberweisung raus ist. Ob danach noch Zugangsdaten aktiv sind, liegt außerhalb ihres Blickfelds. Für die IT wiederum ist ein Austritt nur dann sauber abzuwickeln, wenn die Meldung überhaupt ankommt. Wo beide Seiten nicht ineinandergreifen, entsteht genau die Lücke, in der ein Account vergessen wird. Es ist eben nicht immer so, dass HR nichts gesagt hat. Häufig geht die Information schlicht im Tagesgeschäft unter. Wer diese Lücke schließen will, muss zuerst verstehen, an welcher Stelle des Mitarbeiter-Lebenszyklus sie am größten ist.

Das Berechtigungsmanagement kennt drei Schlüsselmomente im Leben eines Mitarbeiters: den Eintritt (Joiner), den Wechsel (Mover) und den Austritt (Leaver). Die meisten Unternehmen richten ihre Aufmerksamkeit auf den ersten und den letzten. Der gefährlichste ist aber der in der Mitte.

Der Leaver-Prozess ist eigentlich der einfachste der drei. Man muss den Account nur deaktivieren und alle Rechte entziehen. Ende. Trotzdem trauen sich viele nicht, weil das Argument im Raum steht, jemand müsse noch an die alten Postfächer. Der Mover dagegen ist die echte Zeitbombe.

Wenn ein Mitarbeiter von Team A nach Team B wechselt, behalten erfahrungsgemäß 90 Prozent oder mehr ihre alten Berechtigungen zunächst vollständig. Der Grund ist menschlich nachvollziehbar: Der alte Vorgesetzte möchte, dass der Mitarbeiter weiterhin für die bisherigen Themen ansprechbar bleibt. Also bleibt der alte Zugriff bestehen, und der neue kommt obendrauf.

Solange es kein System gibt, das sauber zwischen alten und neuen Berechtigungen unterscheidet, lassen sich die alten gar nicht mehr fehlerfrei entfernen. Niemand weiß genau, was noch gebraucht wird und was nicht. Der einfachste anzunehmende Fall ist deshalb: Der Mitarbeiter behält alles. Damit hat er doppelte Berechtigungen. Und ein Angreifer, der diesen Account übernimmt, kann anschließend ebenfalls doppelt schauen.

Niemand bewegt sich so viel durch ein Unternehmen wie ein Auszubildender. Azubis und Praktikanten rotieren planmäßig durch Marketing, Vertrieb, Entwicklung, Produktion, im schlimmsten Fall sogar durch Bereiche mit Personaldaten. An jeder Station bekommen sie Zugriff. Genommen wird ihnen meist nichts.

Wenn das Berechtigungsmanagement nicht über echte Rollengruppen organisiert ist, aus denen ein Azubi am Ende seiner Ausbildung sauber wieder herauswächst, sammelt er Stück für Stück den vollen Durchblick an. Während ein neu eingestellter Kollege nur auf seinen Bereich zugreifen kann, sieht der Azubi am Ende potenziell alles. Das fällt im Audit auf, und es führt zu einem Finding. In der Praxis ist das so verlässlich, dass viele Kunden uns schon vor der Prüfung sagen: „Ihr werdet auf jeden Fall etwas finden.“ Bei jedem Unternehmen, das ausbildet, sind es erfahrungsgemäß zwei bis vier Fälle, die nicht aufgeräumt sind.

In manchen Branchen geht es nicht nur um Unternehmensdaten, sondern um die Daten anderer Menschen. Das Gesundheitswesen ist das deutlichste Beispiel. Wechselt eine Pflegekraft von Station A zu Station B und behält ihren Zugriff, kann der Account dazu missbraucht werden, Patientendaten über alle Stationen hinweg einzusehen. Hängt im Berechtigungsmanagement dagegen sauber hinterlegt, dass diese Person heute nur Station A zugeordnet ist, lassen sich auch nur die Daten von Station A öffnen.

Erschwerend kommt ein Stück IT-Geschichte hinzu. Hinter den Stationen steht das Krankenhausinformationssystem, und dort wurde jahrelang mit Sammel-Accounts gearbeitet. Statt persönlicher Zugänge gab es einen Account pro Station. Damit ließ sich im Nachhinein nicht mehr nachweisen, welche Person einen bestimmten Eintrag in der Patientenakte gemacht hat, etwa zur Vergabe von Medikamenten. Wenn drei Pflegekräfte denselben Account nutzen, ist die lückenlose Zuordnung dahin. Die Dokumentationspflichten im Gesundheitswesen (u.a. §630f BGB, §291a SGBV) sowie Anforderungen aus dem BSI-KRITIS-Rahmen verlangen, dass jede Handlung in der Patientenakte einer bestimmten Person zugeordnet werden kann. Das setzt personenbezogene Accounts voraus. Saubere, personenbezogene Zugriffsrechte sind hier also nicht nur Sicherheit, sondern gesetzliche Pflicht.

Ein offener Account allein verursacht keinen Schaden. Gefährlich wird er erst, wenn jemand ihn nutzt. Und das tun in der Praxis sehr unterschiedliche Akteure mit sehr unterschiedlichen Absichten.

Ob hinter der Nutzung eines alten Zugangs kriminelle Energie steckt oder bloße Neugier, lässt sich pauschal nicht sagen. Sehr oft ist es schlicht Neugier. Jemand ist ausgeschieden, schaut nach einem Monat noch einmal in sein altes Postfach und stellt fest, dass die Lizenz nie entzogen wurde. Manchmal entsteht daraus sogar etwas Positives. Ich erlebe regelmäßig, dass ehemalige oder versetzte Mitarbeiter die IT von sich aus darauf hinweisen: „Ich komme da noch rein, ist das eigentlich in Ordnung?“

An dieser Stelle eine wichtige Einordnung, die ich aus 25 Jahren Praxis bewusst betone. Die Fälle, in denen über einen alten Zugang tatsächlich ein millionenschwerer Schaden durch gestohlene Daten entsteht, liegen im Promillebereich. In aller Regel schlummert in den alten Daten eines normalen Mitarbeiters aus Entwicklung oder Marketing nichts Geschäftskritisches. Das eigentliche Problem ist also nicht der heimliche Datendieb. Es ist der ungesicherte Account als technische Angriffsfläche, und gelegentlich der frustrierte Mitarbeiter.

Damit sind wir zurück beim Fall aus der Einleitung. Ein verwaister Account hat noch Berechtigungen, weil ihm nicht alle entzogen wurde. Übernimmt ein Angreifer von außen genau diesen Account, kann eine Ransomware über dessen verbliebene Rechte Daten verschlüsseln. Je mehr Rechte der Account angesammelt hatte, desto größer die Fläche, auf der sich der Angriff ausbreiten kann.

Genau hier verbinden sich zwei der bisherigen Punkte. Der Mover, der Rechte stapelt, und der Leaver, dessen Account offen bleibt, schaffen gemeinsam einen Account mit zu vielen Rechten und zu wenig Aufsicht. Ein normaler Hacker sucht in einem gekaperten Account gezielt nach Konto- und anderen sensiblen Daten. Ob der frühere Inhaber des Accounts dabei eine Rolle spielt oder nicht, ist dann längst zweitrangig.

Neben den Angriffen von außen gibt es die Täter von innen. In der Regel sind das frustrierte Mitarbeiter, die Daten verkaufen wollen. Ich habe einen Fall begleitet, in dem ein Datenschützer festgestellt hat, dass ein Mitarbeiter über längere Zeit auf immer mehr Daten zugegriffen hat. Es sah nach systematischem Kopieren aus, und genau das war es: Der Betreffende hat gesammelt und versucht, die Daten zu verkaufen.

Besonders brisant wird es, wenn ein Azubi mit weitreichenden Rechten in diese Lage gerät. Es gibt dokumentierte Fälle, in denen Zugangsdaten im Darknet angeboten wurden. Interessant ist die Pointe dieser Geschichten: Die Anbieter haben ihr Geld am Ende nie bekommen. Sie haben fremden Unternehmen erheblichen Schaden zugefügt, ohne selbst zu profitieren. Kommt ein solcher Vorfall ans Licht, lässt er sich heute kaum noch unter der Decke halten. Sobald etwas öffentlich wird, bleibt nur, aktiv gegenzusteuern. Der Reputationsschaden ist dann längst da.

Spätestens wenn ein externer Blick auf das Unternehmen fällt, wird aus dem internen Versäumnis ein Compliance-Problem. Die DSGVO macht hier klare Vorgaben, und sie adressiert sie an eine Stelle, die viele nicht erwarten.

Artikel 32 der DSGVO verlangt angemessene Zugriffskontrollen. In der Praxis heißt das: Mindestens einmal im Jahr sollte geprüft werden, ob die richtigen Menschen auf die richtigen Daten zugreifen, und welche Änderungen sich im vergangenen Jahr ergeben haben. Diese jährliche Prüfung ist eine Empfehlung, und sie existiert aus einem nachvollziehbaren Grund: Die Verantwortlichen sind mit dem Thema technisch oft nicht ausreichend vertraut, um den Überblick selbst sicherzustellen.

Die Hürde ist der Aufwand. Wer zwei- bis dreitausend Berechtigungen durchsehen soll, muss sich dafür Zeit nehmen, und diese Zeit nimmt sich kaum jemand freiwillig. Das ist auch keine böse Absicht, sondern schlicht ein volles Tagesgeschäft.

Hier liegt das verbreitetste Missverständnis. Die Prüfung der Zugriffsrechte ist kein reines IT-Thema. Die DSGVO nimmt die Datenverantwortlichen in die Pflicht, also die Eigentümer der jeweiligen Daten, und im schlimmsten Fall den Geschäftsführer selbst. Grundsätzlich ist die Geschäftsführung verantwortlich. Sie kann die Aufgabe delegieren, aber wenn die Beauftragten sie nicht wahrnehmen, haftet die Führungsebene weiter. Die Aufsichtspflicht bleibt bestehen (§ 43 GmbHG).

Der Unterschied ist in der Praxis deutlich sichtbar. In Unternehmen, deren Führung hinter dem Thema steht, wird die jährliche Prüfung tatsächlich durchgeführt. In Active Directory lassen sich inaktive Accounts über entsprechende Tools zuverlässig identifizieren. Dort, wo es der Führung egal ist, weil bislang nichts passiert ist, versickert das Thema, und die IT steht allein da. Die DSGVO sieht bei schwerwiegenden Verstößen Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor – je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO). Manche Unternehmen zeigen einen Vorfall deshalb lieber selbst an, statt entdeckt zu werden. Ein externer Auditor wird so vom Schreckgespenst zur Versicherung. Wer das Thema strukturell prüfen lassen will, findet die Details dazu in unserem Beitrag zum Audit im Berechtigungsmanagement.

Bis hierhin ging es um das, was schiefläuft. Der Rest dieses Beitrags zeigt, wie es laufen sollte. Die gute Nachricht vorweg: Ein sauberer Berechtigungsentzug ist kein Hexenwerk, sondern eine Frage von Prozess und Werkzeug.

Die ideale Welt beginnt damit, dass die Werkzeuge miteinander reden und die Menschen ebenso. In den Systemen ist jederzeit gepflegt, wer wann kommt, wechselt und geht. Am wirkungsvollsten ist es, wenn HR bereits eine Rollenbeschreibung pflegt, die festhält, welche Aufgaben ein Mitarbeiter hat. Anhand dieser Rollenbeschreibung lässt sich dann abgleichen, ob die tatsächlichen Zugriffe zu den Aufgaben passen.

Wichtig ist mir dabei eine Klarstellung: Es geht um die Frage, ob jemand seine Aufgaben erfüllen kann, nicht um die Überwachung, ob er etwas Verbotenes tut. In der idealen Welt weiß ein technisches System, welche Rechte eine Person für ihre Aufgabe benötigt. Verlässt sie das Unternehmen oder die Abteilung, werden die nicht mehr benötigten Rechte automatisch entzogen. Dazu gehören regelmäßige Reviews, die so einfach gestaltet sind, dass der Dateneigentümer wirklich versteht, was er da bestätigt.

Die CARO-Suite unterstützt den Rezertifizierungs-Prozess, ob jährlich oder vierteljährlich, und macht ihn so einfach wie möglich. Vor allem dokumentiert sie lückenlos, welche Berechtigung wann, wem und auf welcher Grundlage vergeben wurde. Damit wird jedes Audit zum Kinderspiel, weil der Auditor den Überblick sofort vorfindet, statt ihn mühsam aus Excel-Tapeten zu rekonstruieren.

Auditoren schätzen solche Werkzeuge aus genau diesem Grund. Wo gar kein Tooling vorhanden ist, wird die Prüfung zäh, dauert lange, und der Auditor sticht früher oder später in ein Wespennest. Der Kern des Nutzens lässt sich in einem Satz sagen: Wer wissen will, ob wirklich nur die richtigen Personen auf seine Daten zugreifen, und wer diese Gewissheit auch dokumentieren möchte, hat mit Tools wie der CARO-Suite das passende Werkzeug. Ohne ein solches System bleibt nur der Blindflug, und im Blindflug sieht eine Geschäftsführung nicht, wer tatsächlich Zugriff auf ihre Daten hat. Ob Ihr eigener Berechtigungsentzug schon belastbar ist, prüfen Sie am besten mit der folgenden Checkliste.

Beantworten Sie jede Frage ehrlich mit Ja oder Nein. Sechs oder mehr Ja-Antworten sind ein solides Ausgangsniveau. Weniger sind ein Handlungsauftrag.

☐ Erfährt Ihre IT zeitnah und zuverlässig, wenn ein Mitarbeiter das Unternehmen verlässt?

☐ Werden bei einem Abteilungswechsel die alten Zugriffsrechte aktiv geprüft und entzogen, statt einfach mitgeführt?

☐ Können Sie für jeden Auszubildenden zeigen, auf welche Bereiche er aktuell Zugriff hat?

☐ Ist Ihr Berechtigungsmanagement über klare Rollen organisiert statt über gewachsene Einzelrechte?

☐ Werden verwaiste Accounts ausgeschiedener Mitarbeiter systematisch deaktiviert, nicht nur gelegentlich?

☐ Prüfen Ihre Datenverantwortlichen mindestens einmal im Jahr, wer auf welche Daten zugreift?

☐ Ist dokumentiert, wann wem welche Berechtigung aus welchem Grund vergeben wurde?

☐ Würden Sie es bemerken, wenn ein Account plötzlich auf deutlich mehr Daten zugreift als üblich?

Haben Sie gerade festgestellt, dass bei Ihnen mehr als zwei Felder offen sind? Dann lohnt sich ein kurzes Gespräch. Haben Sie weniger als sechs Mal „Ja“ angekreuzt hat, sollten Sie das Entziehen von Zugriffsrechten zur Priorität machen. Die häufigsten Fragen dazu beantworte ich hier.

Der Joiner-Mover-Leaver-Prozess, kurz JML, beschreibt die drei Schlüsselmomente im Berechtigungsmanagement: den Eintritt eines Mitarbeiters, seinen Wechsel innerhalb des Unternehmens und seinen Austritt. An jedem dieser Punkte müssen Zugriffsrechte vergeben, angepasst oder entzogen werden. Ein sauberer JML-Prozess sorgt dafür, dass niemand mehr Rechte besitzt, als seine aktuelle Rolle erfordert.

Beim Austritt ist die Aufgabe klar: Der Account wird deaktiviert und vollständig abgeräumt. Beim Wechsel dagegen behalten die meisten Mitarbeiter ihre alten Rechte, und neue kommen hinzu. So stapeln sich Berechtigungen über die Jahre an, ohne dass jemand den Überblick behält. Dieser schleichende Rechtezuwachs ist schwerer zu erkennen und zu bereinigen als ein einzelner verwaister Account.

So schnell wie möglich, idealerweise am letzten Arbeitstag. In der Praxis vergehen je nach Unternehmen Tage bis Wochen, und manchmal wird ein Account ganz vergessen. Jeder Tag, an dem ein verwaister Zugang aktiv bleibt, ist ein Tag, an dem er als Einfallstor für einen Angriff von außen dienen kann.

Die DSGVO weist die Verantwortung den Datenverantwortlichen zu, also den Eigentümern der jeweiligen Daten, und grundsätzlich der Geschäftsführung. Die IT setzt den Entzug technisch um, aber die Pflicht zur Kontrolle liegt nicht bei ihr. Die Geschäftsführung kann die Aufgabe delegieren, haftet aber weiter, wenn die Beauftragten ihrer Aufgabe nicht nachkommen.

Eine jährliche Prüfung ist die Mindestempfehlung im Sinne von DSGVO Artikel 32. Sinnvoller ist ein laufender Prozess, in dem Rechte direkt beim Wechsel oder Austritt angepasst werden, ergänzt um regelmäßige Rezertifizierungen. Eine einmalige Prüfung pro Jahr fängt den schleichenden Rechtezuwachs zwischen den Stichtagen nicht auf.