Zugriffsrechte brauchen mehr als schnelle Freigaben. Ein strukturierter Matrix42-Workflow verbindet Antrag, Genehmigung, Einrichtung und regelmäßige Prüfung.
Ein Mitarbeiter benötigt kurzfristig Zugriff auf einen Ordner. Die IT hilft schnell und schaltet das Recht frei. Monate später wechselt der Mitarbeiter die Abteilung, die Berechtigung bleibt jedoch bestehen. Aus vielen kleinen Ausnahmen wächst ein unübersichtlicher Bestand an Zugriffsrechten.
Ein geregeltes Berechtigungsmanagement betrachtet deshalb den gesamten Lebenszyklus: vom begründeten Antrag über die Freigabe bis zur Überprüfung und zum Entzug. Schnelle Hilfe und nachvollziehbare Kontrolle müssen sich dabei nicht ausschließen.
Ein Serviceportal kann Beschäftigten verständlich anzeigen, welche Zugriffe sie anfordern können. Statt technischer Gruppennamen sehen sie einen beschriebenen Service, beispielsweise den Zugang zu einem Projektbereich. Der Antrag enthält Zweck, benötigten Zeitraum und betroffene Person.
DSP bietet dafür eine Erweiterung zu Matrix42 an. Der Ansatz verbindet den Antrag im Portal mit einem definierten Genehmigungsweg und der anschließenden technischen Bereitstellung. Wie diese Schritte konkret aussehen, wird auf Rollenmodell und Verzeichnisstruktur des Unternehmens abgestimmt.
Nicht immer reicht allein die Zustimmung der direkten Führungskraft. Für sensible Daten sollten auch die fachlich zuständigen Daten- oder Serviceverantwortlichen einbezogen werden. Funktionstrennungen und besonders weitreichende Rechte brauchen zusätzliche Regeln.
Nach einer gültigen Freigabe kann ein Workflow beispielsweise die passende Gruppenmitgliedschaft in Active Directory setzen. Das reduziert manuelle Arbeit und macht den Vorgang wiederholbar. Fehler und fehlgeschlagene Schritte müssen erkennbar bleiben, statt stillschweigend als erledigt zu gelten.
Regelmäßige Überprüfungen helfen, nicht mehr benötigte Zugriffe zu entfernen. Erinnerungen allein bewirken noch keinen Entzug: Auch für ausbleibende Rückmeldungen müssen Eskalation, Entscheidung und Umsetzung festgelegt sein.
Ein Berechtigungsprozess beginnt nicht erst mit dem Antrag. Zunächst sollte klar sein, welche Zugriffe zu einer typischen Aufgabe gehören. Ein Rollenmodell kann wiederkehrende Kombinationen zusammenfassen, beispielsweise für einen Standort oder einen Fachbereich. Solche Rollen müssen fachlich verständlich und überschaubar bleiben. Werden zu viele Besonderheiten in einer Sammelrolle verborgen, verliert die Genehmigung ihre Aussagekraft. Die Führungskraft kann dann kaum beurteilen, welche konkreten Zugriffe sie mit einer vermeintlich einfachen Auswahl tatsächlich freigibt.
Nicht jeder Sonderfall muss in eine neue Rolle überführt werden. Für zeitlich begrenzte Projektarbeit können individuelle Anträge passender sein. Wichtig ist, dass Zweck, Umfang und Dauer nachvollziehbar bleiben. Ein gutes Modell verbindet Standardfälle mit geregelten Ausnahmen. Werden Ausnahmen sehr häufig, lohnt eine Überprüfung der angebotenen Rollen. Umgekehrt sollte ein Rollenmodell nicht ständig erweitert werden, nur um jede historische Einzelentscheidung abzubilden. Es soll die Verwaltung erleichtern und fachliche Verantwortlichkeit stärken, nicht lediglich technische Gruppen neu benennen.
Beim Eintritt benötigen Beschäftigte die Zugriffe, die zu ihrer Aufgabe passen. Bei einem internen Wechsel müssen neue Rechte ergänzt und bisherige geprüft werden. Beim Austritt müssen Zugänge beendet werden. Diese drei Situationen gehören zusammen. Ein Prozess, der nur neue Zugriffe bequem bereitstellt, kann den Bestand langfristig sogar unübersichtlicher machen. Die notwendigen Informationen aus Personal- und Fachprozessen müssen deshalb rechtzeitig bei den verantwortlichen IT-Rollen ankommen. Welche Daten dafür übertragen werden, ist bewusst zu begrenzen.
Ein Rollenwechsel ist besonders wichtig, weil die Person weiterhin im Unternehmen arbeitet. Technisch gültige Konten bleiben bestehen, während sich der fachliche Bedarf verändert. Legen Sie fest, wer bestehende Rechte bewertet und welche Übergangsfristen zulässig sind. Ein Projekt kann vorübergehend weiterlaufen, andere Zugriffe sollten entfallen. Solche Entscheidungen sollten nicht stillschweigend dem Administrator überlassen werden. Die fachlich verantwortliche Rolle muss den Bedarf bestätigen, während die IT für eine nachvollziehbare und zuverlässige technische Umsetzung sorgt.
In einem vereinfachten Szenario benötigt eine Beschäftigte für ein Projekt Zugriff auf einen Fachordner. Sie wählt im Portal den beschriebenen Service und nennt Zweck und gewünschten Zeitraum. Die zuständige Datenverantwortliche prüft den Bedarf. Nach Freigabe wird die vorgesehene Gruppenmitgliedschaft eingerichtet. Der Antrag bleibt mit dem technischen Ergebnis verknüpft. Damit ist nicht nur sichtbar, dass ein Recht existiert, sondern auch weshalb und auf welcher Entscheidung es beruht. Das erleichtert eine spätere Überprüfung erheblich.
Vor Ablauf wird der weitere Bedarf geprüft. Eine Erinnerung kann diesen Schritt unterstützen, ersetzt aber keine Regel für ausbleibende Rückmeldungen. Soll der Zugriff enden, muss die technische Entfernung bestätigt werden. Schlägt sie fehl, entsteht eine bearbeitbare Ausnahme. Das Beispiel zeigt den Unterschied zwischen einer Benachrichtigung und einem gesteuerten Lebenszyklus. Ein vollständiger Prozess betrachtet Bereitstellung, Prüfung und Entzug gleichermaßen. Er sollte auch erkennen lassen, wenn ein fachlich abgelaufenes Recht technisch noch vorhanden ist und deshalb weiterer Handlungsbedarf besteht.
Administrative Zugriffe können andere Auswirkungen haben als der Zugriff auf eine gewöhnliche Fachdatei. Prüfen Sie deshalb, welche zusätzlichen Kontrollen für privilegierte Rollen angemessen sind. Dazu können getrennte Konten, engere zeitliche Begrenzungen und weitere Freigaben gehören. Die konkrete Ausgestaltung richtet sich nach Risiko und Umgebung. Ein allgemeiner Bestellprozess sollte solche Unterschiede nicht verdecken. Wichtig ist, dass die genehmigende Person den Umfang versteht und dass die technische Rolle nicht mehr Rechte erhält, als für die Aufgabe erforderlich sind.
Auch Konflikte zwischen Aufgaben verdienen Aufmerksamkeit. Wenn eine Person Vorgänge gleichzeitig erstellen und uneingeschränkt freigeben kann, kann dies den vorgesehenen Kontrollweg schwächen. Welche Kombinationen kritisch sind, müssen die fachlich verantwortlichen Stellen bestimmen. Die IT kann Regeln technisch abbilden, sollte diese Entscheidungen aber nicht allein treffen. Dokumentierte Ausnahmen benötigen eine Begründung und eine erneute Prüfung. Ein automatisierter Ablauf wird nur dann verlässlich, wenn das zugrunde liegende Regelwerk fachlich tragfähig ist und Änderungen kontrolliert erfolgen.
Eine Liste mit hunderten technischen Gruppennamen ist für viele Verantwortliche keine brauchbare Entscheidungsgrundlage. Stellen Sie deshalb fachliche Informationen bereit: betroffene Person, beschriebener Zugriff, Genehmigungsgrund und letzte relevante Änderung. Die Prüfung sollte deutlich machen, welche Entscheidung erwartet wird. Unklare Sammelfreigaben führen leicht dazu, dass alles bestätigt wird, ohne den tatsächlichen Bedarf zu betrachten. Beginnen Sie mit besonders relevanten Rechten und verbessern Sie die Darstellung anhand von Rückmeldungen aus der ersten Prüfrunde.
Messen Sie nicht nur, ob Erinnerungen verschickt wurden. Aussagekräftiger ist, wie viele Entscheidungen rechtzeitig vorliegen, welche Zugriffe entfernt wurden und welche Ausnahmen offenbleiben. Prüfen Sie stichprobenartig, ob fachliche Entscheidungen technisch umgesetzt sind. Diese Rückkopplung schließt die Lücke zwischen einer ordentlich ausgefüllten Liste und dem tatsächlichen Verzeichniszustand. Werden wiederholt dieselben Schwierigkeiten sichtbar, sollte der ursprüngliche Antrags- oder Rollenprozess angepasst werden. Die Überprüfung liefert damit auch Informationen für eine bessere Gestaltung künftiger Berechtigungen.
Für eine Stichprobe können einige Zugriffe aus unterschiedlichen Bereichen ausgewählt werden. Prüfen Sie die fachliche Begründung und den tatsächlichen technischen Zustand gemeinsam. Dabei geht es nicht darum, möglichst viele Einträge als geprüft zu markieren. Entscheidend ist, ob ein Verantwortlicher den Bedarf nachvollziehbar bestätigen und die technische Umsetzung dieser Entscheidung gezeigt werden kann. Offene Abweichungen sollten als bearbeitbare Aufgaben bestehen bleiben.
Solche Stichproben zeigen häufig mehr als eine pauschale Vollständigkeitsquote. Wenn technische Namen unverständlich sind, muss die Darstellung verbessert werden. Wenn Entscheidungen fehlen, braucht es einen klareren Freigabeweg. Wenn Entzüge scheitern, ist die technische Rückkopplung zu bearbeiten. Jede Feststellung sollte auf die passende Ursache zurückgeführt werden, statt alle Schwierigkeiten durch zusätzliche Erinnerungsmails lösen zu wollen.
Die Ergebnisse helfen auch bei der Pflege des Servicekatalogs. Wiederkehrende Anträge können einen neuen Standardservice rechtfertigen. Häufig abgelehnte oder nicht mehr benötigte Rollen sollten überprüft werden. So verbessert die Kontrolle nicht nur den Bestand, sondern auch die künftige Vergabe. Ein guter Lebenszyklus verbindet beide Perspektiven und reduziert damit die wiederholte Entstehung derselben Berechtigungslücken.
Das hängt von Daten und Verantwortung ab. Für bestimmte Bereiche muss eine fachlich zuständige Rolle einbezogen werden. Eine Organisationshierarchie bildet nicht automatisch alle Datenverantwortlichkeiten ab. Der Genehmigungsweg sollte deshalb anhand des konkreten Zugriffs und seiner Auswirkungen festgelegt werden.
Nein. Es braucht eine Entscheidung und die bestätigte technische Umsetzung. Regeln für fehlende Rückmeldungen und technische Fehler sind ebenso wichtig. Eine Erinnerung ist ein Hilfsmittel innerhalb des Prozesses. Sie beweist allein weder eine abgeschlossene Prüfung noch die Entfernung eines nicht mehr benötigten Zugriffs.
Ein sinnvoller Nachweis verbindet Antrag, Genehmigung, technische Änderung und spätere Prüfung. Das unterstützt interne Kontrollen und die Vorbereitung auf Audits. Eine bestimmte Erweiterung allein garantiert jedoch keine Erfüllung sämtlicher Anforderungen aus ISO 27001, NIS2 oder DORA.
DSP unterstützt Sie dabei, Berechtigungsprozesse mit Matrix42 praktikabel zu gestalten und an Ihre vorhandene IT anzubinden.
Sie möchten Ihre nächsten Schritte konkret planen? Sprechen Sie mit den Experten von DSP.
