Aktuell

Rechte, die niemand mehr erklären kann: Warum Zugriffskontrolle an Abläufen scheitert – nicht an Technik

Gewachsene Rechte, Dienstkonten ohne Besitzer, späte Austritte: Warum Zugriffskontrolle an Abläufen scheitert und was KMU und Kommunen tun können.

16. Oktober 2026

Identität & Zugang
Compliance
Security

Wer hat Zugriff auf die Finanzbuchhaltung – und warum? In vielen Unternehmen und Verwaltungen lässt sich diese Frage nicht in fünf Minuten beantworten. Das liegt selten an fehlender Technik. Es liegt an Berechtigungen, die über Jahre gewachsen sind, an Konten, für die sich niemand zuständig fühlt, und an Daten, die in jedem System etwas anderes sagen.

Das Problem: Rechte wachsen, aber sie schrumpfen nie

Ein aktueller Fachbeitrag bei Security-Insider bringt ein Muster auf den Punkt, das wir aus der Praxis gut kennen: Organisationen investieren in moderne Anmeldeverfahren, MFA und Zero Trust – und vergeben Berechtigungen trotzdem weiter per Zuruf oder Ticket. Eine neue Plattform ändert daran wenig. Sie verarbeitet die alten Widersprüche nur schneller.

Typisch ist der Abteilungswechsel: Eine Mitarbeiterin wechselt vom Einkauf in die Planung. Die neuen Rechte werden beantragt, die alten bleiben „zur Sicherheit“ bestehen. Niemand fühlt sich zuständig, sie zu entfernen. Nach ein paar Jahren und mehreren Wechseln hat ein ganz normales Konto Zugriff auf halb so viel wie die Geschäftsführung.

Das gilt in Kommunen genauso wie im Mittelstand. Auszubildende durchlaufen in kurzer Zeit viele Abteilungen. Externe Dienstleister erhalten einmal Zugang und behalten ihn. Und „Das funktioniert seit Jahren“ heißt meist nur, dass ein Schaden noch nicht aufgefallen ist.

Warum das gefährlich ist

Gestohlene Zugangsdaten gehören seit Jahren zu den häufigsten Einstiegspunkten erfolgreicher Angriffe. Je mehr Rechte ein Konto angesammelt hat, desto weiter kommt ein Angreifer, der es übernimmt.

Die vier typischen Schwachstellen

Schwachstelle 1

Wechsel und Austritte

Die Einrichtung neuer Mitarbeiter klappt meist gut. Lücken entstehen beim Wechsel und beim Austritt: Temporäre Rechte haben kein Enddatum, Funktionswechsel lösen keine Überprüfung aus, Konten werden spät oder gar nicht deaktiviert.

Schwachstelle 2

Ungeklärte Zuständigkeit

Die IT setzt um, was beantragt wird. Die Fachabteilung beantragt lieber zu viel als zu wenig. Ohne klare Verantwortliche gibt es niemanden, der „Nein“ sagt.

Schwachstelle 3

Technische Konten ohne Besitzer

Dienstkonten, Schnittstellen-Accounts, App-Registrierungen in Microsoft 365 und zunehmend KI-Agenten laufen still mit – oft hoch privilegiert, mit nie ablaufenden Kennwörtern und unklarem Zweck.

Schwachstelle 4

Widersprüchliche Daten

Lohnbuchhaltung, Active Directory, Microsoft 365 und Fachanwendungen führen eigene Angaben zu Abteilung, Funktion und Status. Ohne führende Quelle rollt jede Automatisierung Fehler nur im größeren Stil aus.

Nicht nur ein Thema für Konzerne

Identity- und Access-Management klingt nach Großprojekt mit teurer Plattform. Für die meisten unserer Kunden ist das nicht nötig, das Grundproblem haben sie trotzdem. Und der Gesetzgeber erwartet zunehmend Antworten darauf: NIS2 zählt Zugriffskontrolle und die Verwaltung von IT-Werten ausdrücklich zu den Pflichtmaßnahmen und nimmt die Leitungsebene in die Verantwortung.

Konkret heißt das: Sie sollten belegen können, wer auf kritische Systeme zugreift, warum, wer das freigegeben hat und wann zuletzt geprüft wurde. Mehr dazu in unserem Beitrag „Haftung entsteht durch fehlende Nachweise“. Auch Cyberversicherer fragen bei der Antragstellung inzwischen gezielt nach Berechtigungskonzept und Offboarding-Prozess.

Was wirklich hilft – auch ohne Großprojekt

Sechs Maßnahmen, die ohne neue Plattform umsetzbar sind.

Prozess

Eintritt, Wechsel, Austritt festlegen

Jeder Wechsel löst eine Überprüfung der bisherigen Rechte aus, jeder Austritt eine vollständige Deaktivierung zu einem festen Termin.

Auslöser und Verantwortliche schriftlich festlegen

Zuständigkeit

Fachliche Verantwortliche benennen

Für jede wichtige Anwendung und jede Freigabe gibt es eine Person, die über Zugriffe entscheidet – nicht die IT.

Verantwortliche je System dokumentieren

Struktur

Rechte über Gruppen vergeben

Rollen- oder Abteilungsgruppen machen sichtbar, wer was warum darf, und erleichtern den Entzug.

Direkt vergebene Einzelrechte schrittweise abbauen

Technische Konten

Jedem Konto einen Besitzer geben

Zweck, Verantwortlicher und Ablaufdatum gehören zu jedem Dienstkonto und jeder App-Registrierung.

Inventar der technischen Konten anlegen

Ausnahmen

Befristete Rechte wirklich befristen

Wer für ein Projekt oder eine Vertretung mehr Rechte braucht, bekommt sie mit Enddatum.

Keine Ausnahme ohne Ablaufdatum

Kontrolle

Regelmäßig prüfen

Einmal im Jahr bestätigen die Verantwortlichen, dass die Zugriffe noch passen. Bei Administratoren und Dienstleistern häufiger.

Prüftermine fest einplanen

Neue Identitäten: Wenn KI-Agenten Rechte bekommen

Die Zahl der Konten, hinter denen kein Mensch steht, wächst schnell. App-Registrierungen, Automatisierungen und KI-Agenten greifen auf Postfächer, Dateien und Anwendungen zu oder lösen selbst Prozessschritte aus. Die Fragen sind dieselben wie bei Mitarbeitern, nur in größerer Zahl: Wer ist verantwortlich? Welche Rechte sind nötig? Wer überwacht, was das Konto tut? Und wann endet der Zugriff?

Wie schnell sich ungeprüfte Berechtigungen dann rächen, haben wir in unseren Beiträgen „Copilot kommt – aber erst die Berechtigungen aufräumen“ und „MFA ist aktiv – und das Konto trotzdem weg“ beschrieben.

Wie wir unterstützen

Bestandsaufnahme

Wir analysieren Active Directory und Microsoft 365: verwaiste Konten, direkt vergebene Rechte, privilegierte Gruppen, Dienstkonten und App-Berechtigungen. Das Ergebnis ist eine priorisierte Liste statt eines Berichts für die Schublade.

Abläufe für Eintritt, Wechsel und Austritt

Gemeinsam mit Ihnen legen wir fest, wer was auslöst und wer entscheidet. Die technische Umsetzung übernehmen wir im Rahmen unserer Managed Services.

Dokumentation und Nachweise

Geräte und Zuordnungen pflegen wir im SimpleAssetManager, damit beim Austritt nichts vergessen wird und Sie bei Prüfungen Nachweise vorlegen können.

Überwachung von Identitäten

Wir entwickeln derzeit eine eigene Lösung, die privilegierte Konten, Dienstkonten und App-Berechtigungen im lokalen Active Directory und in Microsoft 365 laufend beobachtet und Auffälligkeiten an unser SIEM meldet – etwa wenn ein Konto plötzlich Administratorrechte erhält oder eine App neue Berechtigungen bekommt.

Dabei gilt für uns derselbe Grundsatz wie im Fachbeitrag: Erst kommen klare Zuständigkeiten und saubere Daten, dann die Technik. Ein Werkzeug, das Chaos überwacht, meldet vor allem Chaos. Mehr zu unserem Betreuungsmodell finden Sie unter Managed Services und zum SimpleAssetManager.

Was Sie heute tun können

Austritte der letzten zwölf Monate prüfen: Sind alle Konten ehemaliger Mitarbeiter wirklich deaktiviert – auch in Fachanwendungen und Cloud-Diensten?
Administratorgruppen ansehen: Wer ist dort Mitglied, und kann jemand jede Mitgliedschaft begründen?
Dienstleisterzugänge auflisten: Welche externen Firmen haben Zugang, und ist dieser zeitlich begrenzt?
Einen Verantwortlichen je Kernsystem benennen: Für Buchhaltung, Personalakten und Fachverfahren sollte feststehen, wer über Zugriffe entscheidet.
Dienstkonten erfassen: Für jedes technische Konto Zweck und Ansprechpartner notieren.

Fazit

Zugriffskontrolle ist kein Projekt mit Enddatum, sondern ein Ablauf, der dauerhaft funktionieren muss. Die beste Anmeldetechnik hilft wenig, wenn hinter dem Konto Rechte stehen, die niemand mehr erklären kann. Wer Zuständigkeiten klärt, Eintritt, Wechsel und Austritt verbindlich regelt und technische Konten im Blick behält, verkleinert die Angriffsfläche spürbar – und kann bei der nächsten Prüfung belegen, dass er es getan hat.

Wissen Sie, wer bei Ihnen worauf zugreift?

Wir prüfen Ihre Berechtigungen in Active Directory und Microsoft 365 und zeigen Ihnen, wo Sie ansetzen sollten.

Kontakt aufnehmen

Quellen & weiterführende Links

Recherche-Stand: 16. Oktober 2026