Brauchen wir ein Identity-Management-System?

Für die meisten Mittelständler nicht sofort. Personenbezogene Konten, MFA, ein Passwort-Manager und feste Prozesse lösen den Großteil des Problems — ein IAM-System kann später folgen.

Wie geht das, ohne die tägliche Arbeit zu blockieren?

Schrittweise: erst die kritischen Systeme, klare Übergangsfristen, und Rechte werden entlang echter Aufgaben vergeben. Gut gemacht, merkt der Alltag wenig davon.

Was hat das mit NIS2 zu tun?

Zugriffskontrolle und Nachvollziehbarkeit gehören zu den Kernanforderungen. Wer hier Ordnung hat, hat einen großen Teil des Pflichtprogramms bereits erledigt.

Reicht nicht einfach ein Passwort-Manager?

Er ist ein wichtiger Baustein, ersetzt aber kein Rollenmodell und keinen Offboarding-Prozess. Erst die Kombination hält dauerhaft Ordnung.

Übernimmst du auch die technische Umsetzung?

Ja — von der Struktur bis zur Umsetzung mit Ihrem IT-Team oder Dienstleister, inklusive moderner Verfahren wie SSO, OAuth2 oder Policy-basierter Autorisierung (z. B. OPA).

Zugriffe und Berechtigungen in Ordnung bringen — bevor es jemand anderes tut

„IT@firma123" — ein Passwort, seit Jahren, für alle. Was als pragmatische Lösung begann, ist irgendwann das größte offene Tor des Unternehmens.

Berechtigungen wachsen historisch: Wer einmal Zugriff bekam, behält ihn. Wer geht, bleibt oft angelegt. Wer vertritt, bekommt schnell mal Admin-Rechte. Und niemand kann sagen, wer eigentlich was darf.

Das Thema wirkt unangenehm groß — ist aber mit klaren Prioritäten gut beherrschbar: erst Überblick, dann die kritischen Zugänge, dann ein Prozess, der die Ordnung hält.

Wann Zugriffe zum Risiko werden

Typische Anzeichen, dass Berechtigungen aus dem Ruder laufen:

Sammel-Accounts und geteilte Passwörter sind Alltag
Ausgeschiedene Mitarbeitende oder Externe haben noch aktive Zugänge
Niemand kann auflisten, wer auf welche Systeme und Daten zugreifen kann
Admin-Rechte sind großzügig verteilt — „damit es schneller geht"
Passwörter stehen in Excel-Listen, Notizen oder E-Mails
Bei einem Vorfall ließe sich nicht nachvollziehen, wer wann was getan hat

Jeder dieser Punkte ist einzeln unangenehm. Zusammen sind sie genau das, was Angreifer suchen — und Prüfer finden.

Typische Zugriffs-Schattenprozesse

Geteilte Konten

Ein Login für das ganze Team — niemand weiß, wer was getan hat, und das Passwort kennt auch, wer letztes Jahr gegangen ist.

Rechte-Ansammlung

Mit jedem Rollenwechsel kommen Berechtigungen dazu — entzogen wird selten etwas.

Admin für alle

Volle Rechte aus Bequemlichkeit: Jeder Fehler und jedes gekaperte Konto hat maximale Wirkung.

Externe mit Dauerzugriff

Dienstleister-Zugänge, die nach Projektende einfach weiterlaufen.

Keine Nachvollziehbarkeit

Ohne personenbezogene Konten und Protokolle bleibt jeder Vorfall ein Rätsel.

Warum Zugriffs-Chaos so lange bleibt

Das entsteht selten aus Nachlässigkeit — sondern weil:

Es im Alltag erst einmal funktioniert
Rechte entziehen unbequemer ist als Rechte vergeben
Niemand explizit für Berechtigungen zuständig ist
On- und Offboarding ohne feste Checklisten laufen
Das Thema wie ein „großes IT-Projekt" wirkt und deshalb liegen bleibt

Der richtige Zeitpunkt zum Handeln ist deutlich früher, als die meisten denken — spätestens, wenn Kunden, Versicherer oder NIS2 nach Nachweisen fragen.

Woran sich zeigt, dass gehandelt werden sollte

Genauer hinschauen lohnt sich, wenn mehrere dieser Punkte zutreffen:

Es gibt Sammel-Accounts für geschäftskritische Systeme
Offboarding entfernt Zugänge nicht zuverlässig
Externe greifen dauerhaft auf interne Systeme zu
Mehr Menschen haben Admin-Rechte, als es Admins gibt
Passwörter werden unverschlüsselt abgelegt oder geteilt
Eine Cyber-Versicherung oder ein Kunde fragt nach dem Berechtigungskonzept
NIS2 oder andere Anforderungen rücken näher
Ein Vorfall oder Beinahe-Vorfall hat Fragen aufgeworfen

Was eine gute Lösung ausmacht

Berechtigungen aufräumen heißt nicht, alles gleichzeitig anzufassen. Wichtig ist zuerst zu klären:

1 Welche Systeme und Daten sind wirklich kritisch?
2 Wer braucht welchen Zugriff für die tägliche Arbeit?
3 Wo genügen Leserechte, wo braucht es Schreib- oder Admin-Rechte?
4 Wie kommen Zugänge ins Haus — und wie zuverlässig wieder heraus?
5 Was muss nachvollziehbar sein, wenn etwas passiert?

Sinnvolle Bausteine sind zum Beispiel:

Personenbezogene Konten statt Sammel-Logins
Rollenbasierte Berechtigungen: Rechte folgen der Aufgabe, nicht der Historie
Ein Passwort-Manager fürs Team statt Excel-Listen
Multi-Faktor-Authentifizierung für kritische Zugänge
Feste On- und Offboarding-Prozesse mit Checklisten
Regelmäßige Rechte-Überprüfung — kurz, aber konsequent

Moderne Systeme unterstützen das gut — von zentralem Login (SSO) über OAuth2 bis zu Policy-basierter Autorisierung. Wichtig ist die Reihenfolge: erst die kritischen Zugänge, dann die Kür.

So gehe ich beim Aufräumen von Zugriffen vor

Überblick schaffen

Wir erfassen Systeme, Zugänge und Konten — inklusive der vergessenen: Alt-Accounts, Externe, Sammel-Logins.

Kritikalität bewerten

Nicht alles ist gleich wichtig. Wir priorisieren nach dem Schaden, den ein missbrauchter Zugang anrichten könnte.

Sofortmaßnahmen umsetzen

Verwaiste Zugänge schließen, kritische Passwörter ändern, MFA aktivieren — die schnellen, großen Hebel zuerst.

Struktur aufbauen

Rollenmodell, Passwort-Manager, On-/Offboarding-Prozess — so bleibt die Ordnung ohne Dauerprojekt erhalten.

Nachhalten

Ein leichter Rhythmus aus Rechte-Reviews sorgt dafür, dass sich das Chaos nicht neu ansammelt.

Typische Ergebnisse aus solchen Vorhaben

Klarheit, wer auf was zugreifen kann
Deutlich kleinere Angriffsfläche
Nachvollziehbarkeit im Ernstfall
Belastbare Antworten für Versicherer, Kunden und Audits
On- und Offboarding ohne offene Enden
Weniger Risiko durch Alt-Zugänge und Ex-Mitarbeitende

Praxisbezug: typische Ausgangslagen

In der Praxis ist das selten ein Technikproblem: Die Systeme könnten meist mehr, als genutzt wird. Es fehlt der Überblick — und ein Prozess, der Ordnung hält, wenn Menschen kommen, gehen und Rollen wechseln.

Deshalb beginnt die Arbeit nicht mit einem neuen Tool, sondern mit einer ehrlichen Bestandsaufnahme. Die Technik — vom Passwort-Manager bis zur Policy-basierten Autorisierung — folgt danach.

Welche Unterstützung sinnvoll sein kann

Zugriffe und Berechtigungen berühren mehrere Bereiche — von der Sicherheitsanalyse bis zur technischen Struktur:

IT-Sicherheit – wenn Zugriffe, Risiken und Anforderungen wie NIS2 geklärt werden müssen
Software-Architektur & technische Projektleitung – wenn Systeme und technische Entscheidungen strukturiert werden müssen
Systeme verbinden – wenn ERP, CRM und Fachanwendungen nicht miteinander reden
Alle Leistungen im Überblick

Häufige Fragen

Brauchen wir ein Identity-Management-System?: Für die meisten Mittelständler nicht sofort. Personenbezogene Konten, MFA, ein Passwort-Manager und feste Prozesse lösen den Großteil des Problems — ein IAM-System kann später folgen.
Wie geht das, ohne die tägliche Arbeit zu blockieren?: Schrittweise: erst die kritischen Systeme, klare Übergangsfristen, und Rechte werden entlang echter Aufgaben vergeben. Gut gemacht, merkt der Alltag wenig davon.
Was hat das mit NIS2 zu tun?: Zugriffskontrolle und Nachvollziehbarkeit gehören zu den Kernanforderungen. Wer hier Ordnung hat, hat einen großen Teil des Pflichtprogramms bereits erledigt.
Reicht nicht einfach ein Passwort-Manager?: Er ist ein wichtiger Baustein, ersetzt aber kein Rollenmodell und keinen Offboarding-Prozess. Erst die Kombination hält dauerhaft Ordnung.
Übernimmst du auch die technische Umsetzung?: Ja — von der Struktur bis zur Umsetzung mit Ihrem IT-Team oder Dienstleister, inklusive moderner Verfahren wie SSO, OAuth2 oder Policy-basierter Autorisierung (z. B. OPA).

Wissen Sie, wer gerade alles auf Ihre Systeme zugreifen kann?

Eine kompakte Bestandsaufnahme schafft Klarheit — und zeigt die Maßnahmen mit dem größten Hebel.

Lassen Sie uns darüber sprechen