# Berechtigungen und Identitäten im Griff: Rollen, Mehrfaktor, Austritt und Prüfung > Wer darf was und warum: Berechtigungskonzept aufbauen, Rollen statt Einzelrechte, Mehrfaktor-Anmeldung einführen, Ein- und Austritt automatisieren und Berechtigungen regelmäßig prüfen. URL: https://techport.ai/it-beratung/sicherheit-und-resilienz/identitaeten-und-zugriffe --- 1. [IT-Beratung](/it-beratung)/ 2. [Sicherheit und Resilienz](/it-beratung/sicherheit-und-resilienz)/ 3. Identitäten und Zugriffe ordnen [Sicherheit und Resilienz](/it-beratung/sicherheit-und-resilienz) # Identitäten und Zugriffe ordnen Von Redaktion techport.ai, IT-Beratung · Zuletzt aktualisiert am 21\. August 2026 Berechtigungen wachsen in eine Richtung. Wer die Abteilung wechselt, bekommt die neuen Rechte dazu, die alten bleiben. Wer einmal vertretungsweise Zugriff brauchte, behält ihn. Wer ausscheidet, verliert das Konto meist, aber nicht jeden Zugang, insbesondere nicht bei Diensten außerhalb der zentralen Verwaltung. Nach einigen Jahren hat ein Teil der Belegschaft Zugriff auf Bereiche, die niemand bewusst freigegeben hat. Das ist im Alltag unsichtbar und wird sichtbar bei einem Angriff, bei einer Prüfung oder wenn ein Assistenzsystem plötzlich alles findet, was jemand lesen darf. ## Woran Sie es merken * Zugänge ausgeschiedener Personen sind noch aktiv. * Neue Mitarbeitende bekommen Rechte, indem sie von einer Kollegin kopiert werden. * Es gibt Sammelkonten, deren Passwort mehrere Personen kennen. * Niemand kann für einen Ordner oder ein System sagen, wer darauf zugreifen darf und warum. ## Warum das passiert Berechtigungen werden im Moment der Anfrage vergeben, unter Zeitdruck, mit dem berechtigten Interesse, dass jemand arbeiten kann. Entzogen werden sie nie im Moment der Anfrage, weil niemand fragt. Es gibt keinen Auslöser für den Entzug, außer beim Austritt, und selbst dort ist die Liste der zu entziehenden Zugänge selten vollständig. Solange niemand regelmäßig prüft, wächst der Bestand automatisch. ## So gehen wir vor 1. **Ist-Zustand sichtbar machen.** Wir werten aus, welche Personen auf welche Systeme und Datenbereiche zugreifen können, einschließlich der Dienste außerhalb der zentralen Anmeldung. Diese Auswertung ist meist der überzeugendste Teil des Projekts. 2. **Rollen statt Einzelrechte.** Wir bilden Rollen entlang von Tätigkeiten und ordnen ihnen Rechte zu, sodass Ein- und Austritt sowie Wechsel über die Rolle laufen. Einzelrechte bleiben die begründete Ausnahme mit Ablaufdatum. 3. **Anmeldung absichern.** Wir führen Mehrfaktor-Anmeldung ein, beginnend bei allen von außen erreichbaren Zugängen und bei Administratorenkonten, und trennen administrative von normalen Konten. Sammelkonten werden ersetzt oder mit nachvollziehbarer Zuordnung versehen. 4. **Prozesse und Prüfung verankern.** Wir koppeln Ein- und Austritt an einen Ablauf mit Checkliste und Nachweis und richten eine wiederkehrende Prüfung ein, bei der die verantwortlichen Bereiche ihre Berechtigungen bestätigen oder streichen. ## Was Sie davon haben * Deutlich kleinere Angriffsfläche, weil erbeutete Zugangsdaten weniger öffnen. * Nachweise darüber, wer worauf zugreifen darf, für Prüfungen und Kunden. * Schnellere Einarbeitung, weil Rechte mit der Rolle kommen statt auf Zuruf. ## Aus unseren Projekten Die Auswertung der tatsächlichen Zugriffe auf Dateiablagen führt fast immer zu Überraschungen, häufig bei Personal-, Kalkulations- oder Vertragsordnern, die für weite Teile der Belegschaft lesbar sind. Ursache sind meist geerbte Rechte aus einer Ordnerstruktur, die vor Jahren angelegt wurde. Der zweite regelmäßige Befund betrifft Administratorenrechte: In vielen Häusern arbeiten technische Mitarbeitende dauerhaft mit erhöhten Rechten, auch beim Lesen von E-Mails. Die Trennung in ein normales und ein administratives Konto ist eine der wirksamsten Einzelmaßnahmen und in wenigen Tagen umzusetzen. ## Gut zu wissen Für personenbezogene Daten verlangt Artikel 32 DSGVO Maßnahmen, die ein dem Risiko angemessenes Schutzniveau gewährleisten, ausdrücklich einschließlich der Zugriffskontrolle. Berechtigungen nach dem Grundsatz der Erforderlichkeit zu vergeben ist damit keine Empfehlung, sondern eine Pflicht, und ihre Umsetzung muss nachweisbar sein. Für Unternehmen im Anwendungsbereich des BSI-Gesetzes gehören Zugriffskontrolle und die Absicherung der Anmeldung zu den Risikomanagementmaßnahmen nach § 30 BSIG. Wenn Berechtigungen ausgewertet werden, um Verhalten von Beschäftigten zu bewerten, ist zusätzlich die Mitbestimmung zu beachten. ## Häufige Fragen Ist Mehrfaktor-Anmeldung nicht zu umständlich für den Alltag? Sie ist an den richtigen Stellen kaum spürbar, wenn sie sinnvoll eingerichtet wird: für vertrauenswürdige Geräte im eigenen Netz mit längeren Intervallen, für Zugriffe von außen und für Administratorenkonten konsequent. Gemessen am Aufwand ist es die wirksamste einzelne Maßnahme gegen erbeutete Zugangsdaten, und erbeutete Zugangsdaten sind einer der häufigsten Einstiegswege. Wie oft sollten Berechtigungen geprüft werden? Für kritische Systeme und Administratorenrechte halbjährlich, für den Rest jährlich. Entscheidend ist, dass die Prüfung von den fachlich verantwortlichen Personen bestätigt wird und nicht von der IT allein, weil nur der Fachbereich beurteilen kann, wer welchen Zugriff für seine Aufgabe braucht. ## Sprechen wir über Identitäten und Zugriffe ordnen Im Erstgespräch klären wir in dreißig Minuten, wo bei Ihnen der größte Hebel liegt und ob wir die Richtigen dafür sind. [Erstgespräch vereinbaren](/kontakt)[Unsere Beratung](/so-funktionierts) ## Weiterführend [Betrieb und SupportArbeitsplätze und EndgeräteWie Arbeitsplätze wartbar werden: Gerätestandards festlegen, zentrale Verwaltung einrichten, mobile Geräte absichern, Beschaffung und Austausch planen, Aufwand pro Arbeitsplatz senken.](/it-beratung/betrieb-und-support/arbeitsplatz-und-endgeraete)[Sicherheit und ResilienzBeschäftigte sensibilisierenWie Sensibilisierung wirkt statt zu nerven: reale Angriffsmuster zeigen, kurz und regelmäßig schulen, Meldekultur aufbauen, Führungskräfte einbeziehen und Wirkung messbar machen.](/it-beratung/sicherheit-und-resilienz/awareness-und-schulung)[IT-Governance und RechtDatenschutz technisch umsetzenDSGVO praktisch umgesetzt: technische und organisatorische Maßnahmen, Auftragsverarbeitung, Verzeichnis, Löschkonzept, Protokolldaten, Drittlandtransfer und Umgang mit Datenpannen.](/it-beratung/it-governance-und-recht/datenschutz-in-der-it)[WissenIT-Reifegrad-CheckIn zehn Minuten wissen, wo Ihre IT steht.](/it-beratung/reifegrad-check)[WissenIT-GlossarBegriffe aus IT, Software und Sicherheit, kurz erklärt.](/it-beratung/glossar) Zurück zum Feld [Sicherheit und Resilienz](/it-beratung/sicherheit-und-resilienz) ## Quellen * [Artikel 32 DSGVO, Sicherheit der Verarbeitung](https://www.dsgvo-gesetz.de/art-32-dsgvo/) * [§ 30 BSIG, Risikomanagementmaßnahmen](https://www.gesetze-im-internet.de/bsig_2025/__30.html) Rt Geschrieben von [Redaktion techport.ai](/ueber-uns), IT-Beratung Mehr als 15 Jahre Erfahrung in IT-Projekten des Mittelstands, Auswahl und Einführung von Unternehmenssoftware, Aufbau von IT-Betrieb und Informationssicherheit in wachsenden Organisationen. Diese Seite gibt den Stand zum angegebenen Datum wieder und ersetzt keine Rechtsberatung. Bei konkreten Fragen arbeiten wir mit Ihren Rechtsberatern zusammen. [Mehr über uns](/ueber-uns) Weiter im Angebot [ Software Individuelle Prozesssoftware für den Mittelstand. ](/loesungen)[ HR-Beratung Personalarbeit, Prozesse und Systeme. ](/hr-beratung)[ IT-Reifegrad-Check In zehn Minuten zur Standortbestimmung. ](/it-beratung/reifegrad-check)[ HR-Reifegrad-Check 24 Aussagen, Ergebnis je Themenfeld. ](/hr-beratung/reifegrad-check)[ Förderung BAFA-Zuschuss und über 50 Programme für die Umsetzung. ](/foerderung)[ Prozesse in der Praxis Wie aus Abläufen belastbare Software wird. ](/sop-praxis)[ Daten und KI Auswertungen, Prognosen und Assistenzsysteme. ](/daten-ki)[ Über uns Wer hinter techport.ai steht. ](/ueber-uns)