Warum ein Konzept nötig ist
Ohne Konzept vergibt man Rechte „nach Zuruf": Ein Mitarbeiter wechselt die Abteilung und behält alte Zugriffe, neue Kollegen erhalten Kopien fremder Berechtigungen. Nach Jahren hat niemand mehr den Überblick, und Prüfungen werden zur Detektivarbeit.
Vorgehen in Schritten
- Bestandsaufnahme: Welche Systeme, Ordner und Anwendungen gibt es, und wer hat heute Zugriff?
- Rollen definieren: Aufgabenprofile wie Buchhaltung, Vertrieb, Verwaltung, Administration.
- Berechtigungen den Rollen zuordnen, nicht einzelnen Personen.
- Gruppen als Träger der Rechte: Benutzer kommen in Rollengruppen, Ressourcen werden Gruppen zugewiesen.
- Verantwortliche festlegen: Wer genehmigt Zugriffe auf welche Daten?
- Prozess für Ein-, Um- und Austritt verbindlich regeln.
- Regelmäßig prüfen: Rezertifizierung der Rechte, etwa jährlich.
Bewährte Muster
In Windows-Umgebungen hat sich die Verschachtelung bewährt: Benutzer in globalen Gruppen, diese in domänenlokalen Gruppen, denen die Rechte an Ressourcen zugewiesen werden (AGDLP). In Cloud-Umgebungen übernehmen Entra-Gruppen und rollenbasierte Zugriffssteuerung diese Aufgabe. Wichtig ist das Prinzip der minimalen Rechte.
Ergebnis
Ein verständliches Dokument, das Rollen, Rechte, Verantwortliche und Abläufe beschreibt, und eine technische Umsetzung, die damit übereinstimmt. Das erleichtert Audits, Onboarding und den Nachweis nach Datenschutz- und Sicherheitsvorgaben.