Berechtigungen aufräumen, bevor es ein Angreifer tut

Was versteht man unter Berechtigungsmanagement — und warum ist es mehr als eine IT-Aufgabe?

Berechtigungsmanagement bezeichnet die strukturierte Steuerung, Vergabe, Überprüfung und Entziehung von Zugriffsrechten auf IT-Systeme, Anwendungen und Daten. Das Ziel ist einfach formuliert: Jeder Nutzer soll nur das sehen und bearbeiten können, was er für seine Aufgaben wirklich benötigt. Dieses Prinzip heißt in der Fachsprache Least Privilege — minimale Berechtigung.

In der Praxis sieht es oft anders aus. Rechte werden beim Onboarding großzügig vergeben, weil es schnell gehen muss. Beim Wechsel in eine andere Abteilung kommen neue Rechte hinzu, alte bleiben bestehen. Beim Offboarding wird das Konto vielleicht deaktiviert — aber nicht gelöscht, und die Gruppenberechtigungen bleiben unangetastet. Nach einigen Jahren hat ein mittelgroßer Betrieb ein Geflecht aus Zugriffsrechten, das niemand mehr vollständig überblickt.

Das ist keine Frage von Nachlässigkeit, sondern von fehlenden Prozessen. Berechtigungsmanagement ist deshalb keine reine IT-Aufgabe — es braucht Entscheidungen der Geschäftsführung darüber, wer was darf, und klare Verantwortlichkeiten in den Fachabteilungen.

Welche konkreten Risiken entstehen durch unaufgeräumte Zugriffsrechte?

Angreifer suchen nicht immer nach technischen Schwachstellen. Oft reicht ein Konto mit zu weiten Rechten. Ein aktuelles Beispiel: Im SalesLoft-Vorfall 2025 verschafften sich Angreifer über legitime, aber zu breit vergebene OAuth-Berechtigungen in einer SaaS-Umgebung Zugriff auf Millionen von Datensätzen. Das Konto war nicht gehackt — es war einfach zu mächtig.

Laut der Bitkom-Studie Wirtschaftsschutz 2025 waren 87 Prozent der deutschen Unternehmen im Vorjahr von Datendiebstahl, Spionage oder Sabotage betroffen oder vermuten dies. Der wirtschaftliche Gesamtschaden durch Cyberangriffe lag bei 289,2 Milliarden Euro.

Für den Mittelstand bedeutet das konkret:

• Ein ehemaliger Mitarbeiter kann sich nach seinem Austritt noch in Systeme einloggen, wenn sein Konto nicht vollständig deaktiviert wurde.
• Ein Angreifer, der ein Nutzerkonto übernimmt, kommt automatisch an alle Daten, auf die dieser Nutzer Zugriff hatte — auch wenn er sie nie gebraucht hätte.
• Interne Fehler, etwa das versehentliche Löschen von Daten, werden wahrscheinlicher, wenn Mitarbeiter Rechte haben, die sie nicht benötigen.

Das Risiko ist also nicht nur extern. Unaufgeräumte Berechtigungen erhöhen auch den Schaden bei menschlichen Fehlern.

Was fordern NIS2 und BSI-Grundschutz konkret von Ihrem Betrieb?

NIS2 ist seit Dezember 2025 in Kraft und verpflichtet rund 29.500 Unternehmen in Deutschland zu zehn Risikomanagementmaßnahmen. Explizit genannt sind Zugriffskontrolle, Authentifizierung und Mehr-Faktor-Authentifizierung. Geschäftsführer haften persönlich für die Umsetzung, Bußgelder können bis zu 10 Millionen Euro betragen. Ob Ihr Betrieb betroffen ist, lässt sich über eine NIS2-Beratung klären.

Parallel dazu fordert der BSI-Grundschutz-Baustein ORP.4 die eindeutige Identifizierung und Authentisierung von Nutzern sowie die regelmäßige Kontrolle und Dokumentation der vergebenen Rechte. Dieses Regelwerk gilt bis zur vollständigen Einführung von Grundschutz++, das ab Januar 2027 zertifizierbar ist und einen noch stärker prozessorientierten Ansatz verfolgt.

Kurz gesagt: Wer heute kein dokumentiertes Berechtigungskonzept hat, steht sowohl regulatorisch als auch gegenüber Versicherungen und Geschäftspartnern auf dünnem Eis. Ein IT-Sicherheitskonzept, das Zugriffsrechte einschließt, ist keine Kür mehr.

Wie sieht ein strukturiertes Berechtigungskonzept in der Praxis aus?

Ein Berechtigungskonzept muss nicht komplex sein, um wirksam zu sein. Es braucht vor allem Konsequenz. Die wichtigsten Bausteine:

1. Bestandsaufnahme: Welche Konten existieren? Welche Gruppen gibt es? Wer hat Administratorrechte? Diese Fragen lassen sich mit Bordmitteln in Active Directory oder Microsoft 365 beantworten — wenn man sie stellt.
2. Least Privilege umsetzen: Jeder Nutzer erhält nur die Rechte, die er für seine aktuelle Aufgabe braucht. Das klingt selbstverständlich, ist aber in gewachsenen Umgebungen selten der Fall.
3. Getrennte Konten für Administratoren: Wer administrative Aufgaben übernimmt, sollte dafür ein separates Konto nutzen — nicht das Alltagskonto mit dem er E-Mails liest. Das begrenzt den Schaden, wenn ein Konto kompromittiert wird.
4. Regelmäßige Überprüfung: Mindestens einmal jährlich sollten alle Berechtigungen geprüft werden — idealerweise gemeinsam mit den Fachabteilungen, die beurteilen können, ob ein Zugriff noch notwendig ist.
5. Offboarding-Prozess: Kein Konto sollte nach dem Austritt eines Mitarbeiters aktiv bleiben. Das gilt auch für externe Dienstleister. Mehr dazu im Artikel Konto, Gerät, Schlüssel: Warum IT-Onboarding kein Zuruf am Montagmorgen sein darf.
6. Audit-Logs aktivieren: Wer hat wann auf was zugegriffen? Ohne Protokollierung lässt sich ein Vorfall im Nachhinein nicht rekonstruieren.

Diese Schritte lassen sich nacheinander einführen. Wichtig ist, dass sie dokumentiert und verantwortlich zugewiesen sind.

Welche Rolle spielt Mehr-Faktor-Authentifizierung beim Berechtigungsmanagement?

Berechtigungen regeln, wer Zugriff haben darf. Mehr-Faktor-Authentifizierung (MFA) stellt sicher, dass derjenige, der sich anmeldet, auch wirklich die berechtigte Person ist. Beides gehört zusammen.

Das BSI empfiehlt für privilegierte Konten eine Passwortlänge von mindestens 15 bis 20 Zeichen und den Einsatz von MFA. Passwortrichtlinien sollen regelmäßig überprüft und angepasst werden.

In der Praxis bedeutet das: Konten mit Administratorrechten oder Zugriff auf sensible Daten sollten grundsätzlich mit MFA gesichert sein. Für alle anderen Konten ist MFA ebenfalls empfehlenswert — gerade wenn Mitarbeiter von unterwegs oder im Homeoffice arbeiten.

Wie Angreifer MFA gezielt aushebeln, beschreibt der Artikel „Hier ist Ihr IT-Support“: Wie Angreifer am Telefon die Mehr-Faktor-Anmeldung aushebeln. Die Kombination aus sauberen Berechtigungen und MFA macht es Angreifern deutlich schwerer — auch wenn ein Passwort einmal abhandenkommt.

Was gilt speziell für Cloud-Dienste und Microsoft 365?

Viele Betriebe haben ihre Infrastruktur teilweise oder vollständig in die Cloud verlagert. Das ändert nichts am Grundprinzip — es verschiebt aber die Angriffsfläche. In Microsoft 365-Umgebungen sind es vor allem globale Administratoren, geteilte Postfächer und zu weit gefasste App-Berechtigungen, die Risiken erzeugen.

Konkrete Punkte, die regelmäßig geprüft werden sollten:

• Wie viele globale Administratoren gibt es? In den meisten Betrieben sind es zu viele. Zwei bis drei reichen in der Regel aus.
• Welche Drittanbieter-Apps haben Zugriff auf Ihr Microsoft-365-Konto? Jede App, die Sie einmal verbunden haben, kann im Hintergrund weiter auf Daten zugreifen.
• Sind geteilte Postfächer mit eigenen Anmeldedaten versehen? Das sollte nicht der Fall sein — der Zugriff sollte über delegierte Berechtigungen laufen.
• Werden Gastkonten regelmäßig überprüft? Externe Projektpartner, die längst nicht mehr aktiv sind, tauchen in vielen Tenants noch als aktive Gäste auf.

Ein strukturiertes Geräte- und Kontenmanagement hilft dabei, den Überblick zu behalten — auch wenn die Belegschaft wächst oder sich verändert.

Gibt es Fördermittel für Berechtigungsmanagement-Projekte?

Ja. Berechtigungsmanagement gilt als IT-Sicherheitsmaßnahme und ist damit in mehreren Förderprogrammen anrechenbar.

Im ersten Halbjahr 2026 wurden allein im Rahmen von MID-Digitale Sicherheit in NRW 5 Millionen Euro vergeben, einzelne Betriebe erhielten bis zu 30.000 Euro für IT-Sicherheitsprojekte. Die Mittel sind begrenzt und werden nach Eingang der Anträge vergeben.

Wichtig: Förderanträge müssen in der Regel vor Projektbeginn gestellt werden. Wer ein Berechtigungsprojekt plant, sollte die Förderprüfung an den Anfang stellen, nicht ans Ende.

Wann sollten Sie jetzt handeln — und wo fangen Sie an?

Ein vollständiges Berechtigungskonzept entsteht nicht über Nacht. Aber einige Maßnahmen lassen sich sofort umsetzen und bringen sofort Wirkung:

• Alle Konten ehemaliger Mitarbeiter deaktivieren und auf Löschung prüfen.
• Die Liste der Administratoren in Active Directory und Microsoft 365 auf das Notwendige reduzieren.
• MFA für alle privilegierten Konten aktivieren.
• Einen Termin für eine jährliche Berechtigungsprüfung festlegen und verantwortlich zuweisen.

Für einen ersten Überblick über den Sicherheitszustand Ihrer IT-Umgebung bietet sich ein IT-Sicherheits-Kurzcheck an. Er zeigt, wo die größten Lücken liegen — und hilft dabei, Maßnahmen zu priorisieren, ohne den laufenden Betrieb zu belasten.

Ein strukturiertes Vorgehen ist richtig, wenn Sie mehr als zehn Mitarbeiter haben, Mitarbeiterfluktuation kennen, Cloud-Dienste nutzen oder unter NIS2 fallen könnten.

Ein einfacher Einstieg bleibt sinnvoll, wenn Sie noch keine Bestandsaufnahme gemacht haben — denn selbst eine Liste aller aktiven Konten ist ein wertvoller erster Schritt.