Berechtigungen wachsen einseitig, weil das Vergeben eine Bitte ist und das Entziehen ein Konflikt. Ordnen lässt sich das nur über Rollen statt Einzelpersonen, über einen festen Ablauf beim Austritt und über eine jährliche Durchsicht, die den Fachabteilungen gehört und nicht der Informatik.
Wie es dazu kommt
Am Anfang ist die Struktur sauber. Dann braucht jemand kurzfristig Zugriff auf einen Ordner, um auszuhelfen. Der Zugriff wird gegeben, die Aushilfe endet, die Berechtigung bleibt.
Beim Abteilungswechsel kommen die neuen Rechte dazu, die alten bleiben. Beim Austritt wird das Konto deaktiviert, aber selten aufgeräumt – und wenn ein neuer Mitarbeiter „dieselben Rechte wie sein Vorgänger" bekommt, erbt er die ganze Sammlung.
Niemand macht dabei etwas falsch. Jeder einzelne Schritt ist nachvollziehbar. Nur die Summe stimmt nicht mehr.
Warum das ein Sicherheitsproblem ist
Der offensichtliche Punkt: Wer Zugriff auf alles hat, kann versehentlich alles löschen oder verschieben. Der häufigste Datenverlust in KMU ist kein Angriff, sondern ein falsch gezogener Ordner.
Der wichtigere Punkt: Wird ein Konto übernommen, kann der Angreifer genau so viel wie dieses Konto. Ein Konto mit Zugriff auf alle Freigaben macht aus einem gestohlenen Passwort einen Vollzugriff auf den Betrieb.
Dazu kommt der Datenschutz. Lohndaten, Bewerbungen, Krankmeldungen und Personaldossiers dürfen nicht von der ganzen Belegschaft einsehbar sein – unabhängig davon, ob jemand hineinschaut.
Der Weg zurück, ohne den Betrieb lahmzulegen
Der Fehler beim Aufräumen ist, mit Wegnehmen anzufangen. Das erzeugt sofort Störungen und Widerstand. Wir gehen umgekehrt vor.
- Aufnehmen. Wer hat heute auf was Zugriff? Ein Bericht über alle Freigaben, lesbar auch für Nicht-Techniker.
- Rollen bilden. Nicht Personen berechtigen, sondern Funktionen: Buchhaltung, Verkauf, Geschäftsleitung, Projektleitung. Menschen bekommen Rollen, Rollen bekommen Rechte.
- Parallel führen. Neue Rollen einrichten, alte Rechte zunächst belassen. So merkt niemand etwas, und Fehler in der Rollenzuordnung fallen ohne Schaden auf.
- Abschalten in Etappen. Alte Einzelrechte bereichsweise entfernen, jeweils mit einer Ansprechperson, die in den Tagen danach erreichbar ist.
Für einen Betrieb mit vierzig Arbeitsplätzen dauert der ganze Vorgang typischerweise vier bis sechs Wochen, davon der grösste Teil Wartezeit zwischen den Etappen.
Die zwei Abläufe, die danach halten müssen
Eintritt und Austritt sind die Stellen, an denen die Ordnung entweder erhalten bleibt oder wieder zerfällt.
Beim Eintritt: Rolle zuweisen, nichts Zusätzliches. Wenn im ersten Monat etwas fehlt, wird die Rolle angepasst – nicht die Person einzeln berechtigt.
Beim Austritt: Konto sperren, Weiterleitung für eine befristete Zeit einrichten, Rollen entziehen, Geräte einziehen, externe Dienste prüfen. Diese Liste gehört zur Austrittscheckliste der Personalabteilung, nicht in den Kopf des IT-Betreuers.