Security Management · Berechtigungsmanagement
Wer darf was — und warum? Die Antwort, bevor der Auditor fragt.
Das Modul führt nicht einfach eine Liste von Zugriffen. Es trennt, was jemandem über seine Rolle zusteht, von dem, was ihm tatsächlich erteilt ist — jedes Recht mit Datum, Erteiler und Begründung. Die Differenz ist der Befund, nach dem ein Audit zuerst sucht. Hier steht er oben auf der Liste.
Drei Wege zum Berechtigungsnachweis
Ein Berechtigungskonzept und seine regelmäßige Überprüfung verlangt fast jedes Audit. Wie man den Nachweis führt, entscheidet darüber, ob er beim nächsten Mal noch stimmt.
Die Berechtigungsliste in Excel
- Schnell angelegt — aber wer hat das Recht wann erteilt, und warum?
- Keine Historie: Was im März galt, ist im Oktober überschrieben
- Rechte ausgeschiedener Mitarbeiter fallen erst im Audit auf
Die Identity-Governance-Suite
- Provisioniert automatisch — und braucht dafür Schnittstellen zu jedem System
- Die Einführung ist ein Projekt über Monate
- Für viele Häuser mehr Werkzeug, als die Frage verlangt
Dieses Modul
- Führt das Soll nachweisfähig, mit Datum, Erteiler und Begründung
- Gleicht mit dem Ist aus Ihren Verzeichnisexporten ab
- Greift nicht in Ihre Systeme ein — eingerichtet wird dort, wie bisher
Der Grundgedanke
Was jemandem zusteht, und was er hat
Zwei Dinge, die in der Praxis ständig durcheinandergeraten. Das Modul hält sie auseinander — und macht damit sichtbar, wo sie auseinanderfallen.
Hinter jeder organisatorischen Rolle steht ein Bündel von Systemrollen und Rechten, dazu das, was sie über die Hierarchie erbt. Das ist ihre Schablone: ein Vorschlag an den, der vergibt — keine Erteilung.
Je Person und je Recht eine eigene Handlung, mit Datum und Erteiler. Weder die Rolle noch das Bündel erteilt von selbst ein Recht. Genau daran steht oder fällt das Modell.
steht zur Auswahl
Welche Rechte eine organisatorische Rolle anbietet. Ein Angebot, keine Erteilung — niemand hat dadurch etwas.
gehört dazu
Wer welche Rolle trägt. Legt fest, welche Auswahl für jemanden gilt — Rechte gibt auch das noch keine.
ist erteilt
Welches Recht jemandem tatsächlich erteilt ist, mit Datum und Erteiler. Nur hier bekommt jemand etwas.
Was am Ende dasteht
Der Nachweis, den ein Audit zu Zugriffssteuerung, Zugangsrechten und privilegierten Zugriffen verlangt — und die kurze Liste, mit der man anfängt.
Ein Berechtigungsregister
Als Excel-Datei: Bestand, Ableitung aus den Rollen, privilegierte Zugriffe und Erhebungen. Jede Zeile ein Recht mit Zeitraum, Erteiler, Begründung und Freigabe-Referenz — der Nachweis zu ISO 27001 A.5.15, A.5.18 und A.8.2.
Eine Befundliste
Abgelaufene Befristungen ohne Entzug, Rechte ausgeschiedener Mitarbeiter, laufende privilegierte Einzelrechte. Ein Schalter, und das Register zeigt nur noch das, worum man sich kümmern muss.
Kennzahlen, gerechnet statt geschätzt
Eine datierte, quittierte Erhebung ist formal die wiederkehrende Überprüfung der Zugriffsrechte. Damit lassen sich Rezertifizierungsquote und Deprovisionierungszeit erstmals ausrechnen — das Kennzahlen-Modul schlägt die Werte mit Herleitung vor, übernommen werden sie von Ihnen.
Konten je System, fürs Lizenzmanagement
Wie viele Personen und technische Konten an einem System ein Recht halten, steht im Asset-Register beim System. Mehrere Rechte derselben Person bleiben ein Konto — so, wie meist auch lizenziert wird.
Die Details, nach denen ein Prüfer fragt
Die meisten Berechtigungslisten scheitern nicht am Grundsatz, sondern an den Sonderfällen. Das Modul hat für jeden eine Regel.
| Die Frage | Die Antwort des Moduls |
|---|---|
| Was galt am 1. März? | Über allem steht ein Stichtag. Er filtert nicht, er entscheidet, was an diesem Tag galt — die Vergangenheit ist dieselbe Ansicht, kein Sonderbericht. |
| Und wenn ein System umbenannt wurde? | Die Namen von Recht und System werden bei der Erteilung festgehalten. Eine spätere Umbenennung verändert keinen alten Nachweis. |
| Erbt der Bereichsleiter alles? | Nur, was geerbt werden soll. Privilegierte Rechte werden nie vererbt; wer sie braucht, bekommt sie einzeln und mit Begründung. |
| Wir sind eine Matrixorganisation. | Eine Einheit darf mehrere übergeordnete haben. Ob über eine Verbindung vererbt wird, legen Sie je Verbindung fest — typischerweise disziplinarisch ja, fachlich nein. |
| Ersthelfer, Standorte, Auszubildende? | Funktionale Rollen werden bestellt, gehören zu keiner Einheit und vererben nichts. Ihr Bündel lässt sich allen Zugehörigen in einem Zug erteilen. |
| Wem gehört das Servicekonto? | Technische Konten erhalten Rechte auf demselben Weg wie Menschen — aber jedes braucht einen verantwortlichen Menschen. |
Der Weg — sechs Schritte, ein Kreis danach
Die ersten drei sind Stammdaten und in beliebiger Reihenfolge zu erledigen. Meist liegen sie schon vor: im Organigramm, im Verzeichnisdienst, im Personalsystem.
Organisation aufnehmen
Einheiten aus dem Asset-Register übernehmen oder anlegen, Über- und Unterordnung eintragen, je Einheit die Rollen Leitung und Mitarbeit. Funktionale Rollen stehen in einer eigenen Liste.
Rechte erfassen
Je System die Systemrollen und Berechtigungen, am schnellsten per Import aus einem Verzeichnis- oder Systemexport. Der Name der AD-Gruppe steht gleich daneben, damit niemand zwischen zwei Benennungen übersetzen muss.
Privilegiert jetzt kennzeichnen, nicht später: Daran hängen Vererbungssperre, Befund und Kennzahl.
Menschen und Konten erfassen
Beschäftigte mit Eintritt, Austritt, Einheit und Beschäftigungsart — und getrennt davon die technischen Konten, jedes mit einem verantwortlichen Menschen.
Bündel pflegen
Je Rolle festlegen, welche Rechte sie zur Auswahl stellt — von der Rolle aus oder vom Recht aus.
Der Schritt, der sich auszahlt: Ein gepflegtes Bündel macht aus der Vergabe einen Klick je Rolle statt einen je Person und Recht.
Vergeben
Über die Matrix, wenn Sie von der Rolle her denken („dieses neue Recht bekommen alle im Einkauf“). Über die Personensicht, wenn Sie einen Namen im Kopf haben — bei Eintritt, Wechsel und Austritt. Was in keiner Schablone steht, wird einzeln erteilt; dort ist die Begründung Pflicht.
Abgleichen und übertragen
Den Stand aus dem Zielsystem einspielen und abgleichen. Und in die andere Richtung: den Soll-Stand als Arbeitsauftrag an die Administration geben.
Danach: von vorn
Das ist kein Projekt mit Ende, sondern ein Kreislauf. Die Befundliste zeigt, wo er hakt.
Soll und Ist
Das Modul führt, was gelten soll. Gelten tut es woanders.
Eingerichtet wird im Zielsystem, mit dessen eigenem Werkzeug — wie bisher. Das Modul gibt den Auftrag hinaus und holt den tatsächlichen Stand wieder herein. Sie bestimmen, was beauftragt wird.
Stand einfrieren
Der Bestand wird zu einem Zeitpunkt festgehalten, mit den Namen von damals. Ein herausgegebener Auftrag beauftragt so auch später noch genau das, was er beauftragt hat.
Auftrag erzeugen
Als Vollbestand oder als Unterschied zum letzten Stand: erteilen, was dazukam, entziehen, was wegfiel. Was gleich blieb, erzeugt keine Zeile.
Umfang am Auftrag
Welche Systeme, welche Personen — festgelegt am Auftrag, nicht als Filter der Ansicht. Sonst kann niemand sagen, ob ein Recht nicht beauftragt oder nicht umgesetzt wurde.
Herausgeben, zurückmelden
Als CSV oder JSON. Die Umsetzung wird für den ganzen Auftrag bestätigt, mit Datum, Person und Bemerkung.
Ein Auftrag ändert keine Erteilung und keine Kennzahl — er belegt eine Herausgabe. Was im Zielsystem wirklich gilt, sagt die nächste Erhebung: gemessen statt behauptet. Und eine Erhebung an einem System entzieht nur Rechte dieses Systems, nie die des ganzen Hauses.
Vier Sätze, die oft missverstanden werden
Jeder davon hat in der Praxis schon zu einer falschen Handlung geführt. Das Modul ist so gebaut, dass sie nicht mehr passiert.
Eine Rolle zu entziehen nimmt kein Recht weg.
Wer die Rolle entzieht, nimmt die Schablone — nicht die erteilten Rechte. Die laufen weiter, und zwar außerhalb jeder Schablone: genau der Befund, den ein Audit zuerst sucht.
Beim Austritt oder Wechsel beides tun. Die Vergabematrix nimmt Ihnen den zweiten Schritt in einem Klick ab.
Entziehen ist etwas anderes als entfernen.
Entziehen heißt: hat bestanden, endet jetzt — die Zeile bleibt im Nachweis. Entfernen heißt: hat nie bestanden — die Korrektur einer Fehleingabe.
Wer eine Fehleingabe entzieht, behauptet, die Person habe das Recht einen Tag lang gehabt.
Das Enddatum ist der letzte gültige Tag.
Ein heute entzogenes Recht gilt heute noch und ab morgen nicht mehr.
Eine Wiedererteilung darf trotzdem am selben Tag beginnen, etwa nach einem Fehlgriff.
„Nicht erteilt“ ist kein Verbot.
Eine leere Zelle heißt: Dieses Recht steht zur Auswahl und wurde nicht ausgewählt. Sie hat kein Datum, keine Begründung und keinen Entscheider.
Wer sie als Entzug oder Verstoß liest, erfindet eine Entscheidung, die niemand getroffen hat.
Allein nutzbar — und anschlussfähig
Allein
Als Teil von Security Management, mit dessen Fundament: Einheiten und Systeme stehen im Asset-Register und werden hier nicht noch einmal geführt. Befristungen und fällige Überprüfungen erscheinen im Fristenkalender.
Mit weiteren Modulen
Dasselbe System, an dem hier Rechte hängen, trägt dort seine Risiken, seine Verfügbarkeitsklasse und seinen Lieferanten. Und der Messplan liest den Prüfturnus privilegierter Rechte direkt von hier, statt ihn zu kopieren.
Mit der ISMS-Anwendung
Die Zugriffsrichtlinie legt fest, wie vergeben und überprüft wird — das Register belegt, dass es so geschieht. Beides aus einer Hand.
Drei Wege der Einführung
Nur das Modul
Sie importieren Organisation, Rechte und Beschäftigte selbst. Geeignet, wenn die Exporte vorliegen und jemand intern das Thema treibt.
Modul mit Erstübernahme
Wir übernehmen Ihre Verzeichnis- und Personalexporte, bereiten die Rollen und Bündel mit Ihnen auf und gehen die ersten Befunde gemeinsam durch.
Mit begleiteter Rezertifizierung
Wir führen die wiederkehrende Überprüfung mit Ihnen durch — Erhebung, Abgleich, Befunde, Quittung — bis sie im Haus Routine ist.
Zeigen Sie uns einen Verzeichnisexport. Wir zeigen Ihnen die Befunde.
In der Demo spielen wir einen Ausschnitt ein — gern pseudonymisiert — und Sie sehen, was Ihr Bestand über Rollen, Rechte und ausgeschiedene Konten sagt.
Berechtigungsmanagement — der Nachweis, wer was darf und warum