Stellen Sie einem KMU-Geschäftsführer die Frage: «Wie viele Personen haben heute Zugriff auf Ihre Server?» Die Antwort kommt schnell, und sie ist fast immer falsch. Nicht aus Nachlässigkeit, sondern weil noch nie jemand die Liste erstellt hat.
Die Zugriffsverwaltung ist der Bereich, in dem die Kluft zwischen Annahme und Realität am grössten ist. Konten sammeln sich an, Rechte kommen hinzu, niemand entzieht je etwas. Und am Tag, an dem jemand wirklich genau hinschaut, findet er aktive Konten von Mitarbeitenden, die schon seit Jahren nicht mehr im Unternehmen sind.
Was ist das Prinzip der geringsten Rechte, ohne Fachjargon?
Das Prinzip lässt sich in einem Satz zusammenfassen: Jede Person greift nur auf das zu, was sie für ihre Arbeit braucht, nicht mehr. Der Buchhalter greift auf die Buchhaltung zu. Die Verkäuferin greift auf die Kundendatei zu. Keiner von beiden braucht Zugriff auf die Personalakten.
Die erste Reaktion ist oft unbehaglich. Zugänge einzuschränken vermittle den Eindruck, den eigenen Mitarbeitenden zu misstrauen. Das ist ein Missverständnis, und es lohnt sich, es sofort auszuräumen.
Das Prinzip der geringsten Rechte schützt Sie nicht vor Ihren Mitarbeitenden. Es schützt vor dem Angreifer, der eines Tages die Kontrolle über eines ihrer Konten übernimmt. Ein bei einem Phishing-Angriff gestohlenes Passwort verschafft dem Angreifer genau die Rechte des Kontoinhabers. Öffnet dieses Konto nur einen Teil des Unternehmens, bleibt der Vorfall eingegrenzt. Öffnet es alles, wird der Vorfall zur Katastrophe.
Es handelt sich um eine Logik der Abschottung, dieselbe wie bei Brandschutztüren in einem Gebäude. Man baut sie nicht ein, weil man die Bewohner für Brandstifter hält. Man baut sie ein, damit sich ein Feuer nicht ausbreitet.
Eine Mitarbeiterin der Verwaltung öffnet einen präparierten E-Mail-Anhang. In einem KMU, in dem ihr Konto nur auf ihre eigenen Arbeitsordner zugreift, verschlüsselt der Angreifer diese Ordner, und das Unternehmen stellt die Sicherung vom Vortag wieder her. In einem KMU, in dem sie Administratorin ihres Arbeitsplatzes ist und alle Ordner auf dem Server für alle offen sind, verschafft derselbe Klick Zugriff auf die Buchhaltung, die Verträge, die Personaldaten und die über das Netzwerk erreichbaren Backups. Der Klick ist identisch, die Rechnung ist es nicht.
Das Administratorkonto, der Schadensverstärker
Ein Administratorkonto ist ein Konto, das berechtigt ist, alles auf einem Gerät oder in einem Dienst zu ändern: Software installieren, Sicherheitseinstellungen ändern, andere Konten erstellen oder löschen.
In vielen KMU arbeiten alle mit diesem Rechtsniveau. Manchmal, weil es bei der Einrichtung einfacher war, manchmal, weil eine Fachanwendung dies vor zehn Jahren verlangte und seither niemand mehr nachgeprüft hat.
Das Problem ist mechanisch. Schadsoftware läuft mit den Rechten der Person, die sie gestartet hat. Von einem Standardkonto aus geöffnet, ist sie auf das beschränkt, was diese Person erreichen kann. Von einem Administratorkonto aus geöffnet, kann sie das Antivirenprogramm deaktivieren, sich dauerhaft einnisten, sich auf andere Geräte ausbreiten und lokale Backups löschen.
Diese Regel gilt für alle, den Geschäftsführer eingeschlossen, und besonders für die Person, die sich um die IT kümmert. Die bewährte Praxis ist einfach: zwei Konten für dieselbe Person, ein Standardkonto zum Lesen der E-Mails und zum Arbeiten, ein separates Administratorkonto, das nur für Aufgaben verwendet wird, die es erfordern. E-Mail und Websurfen werden nie über das zweite Konto geöffnet.
Was tun mit gemeinsamen Team-Konten?
Sie sind in KMU überall zu finden. Eine Adresse info@, die drei Personen
mit demselben Passwort abrufen. Ein einziges Konto in der
Verwaltungssoftware, weil zusätzliche Lizenzen teuer sind. Ein Zugang zum
Online-Banking «für die Buchhaltung».
Diese Konten bringen drei unterschiedliche Probleme mit sich.
Sie wissen nicht mehr, wer was getan hat. Wenn eine Rechnung geändert oder eine Überweisung vorbereitet wird, zeigt das Protokoll den Namen des Kontos, nicht den der Person. Bei einem Fehler wie bei einem Betrug endet die interne Untersuchung genau dort.
Das Passwort verbreitet sich und überlebt Abgänge. Es landet in einer E-Mail, auf einem Notizzettel, im privaten Telefon von jemandem. Wenn eine Person das Unternehmen verlässt, kennt sie es immer noch, und niemand ändert es, weil das bedeuten würde, alle anderen zu informieren.
Die Zwei-Faktor-Authentifizierung wird unpraktikabel. An welches Telefon soll der Code gesendet werden, wenn das Konto vier Personen gehört?
Die Lösung besteht nicht darin, die gemeinsame Nutzung abzuschaffen, sondern sie von der Identifikation zu trennen. Jede Person behält ein persönliches Konto und erhält Zugriff auf die gemeinsame Ressource. Bei einer Mailbox heisst das eine geteilte Mailbox, und das bietet jeder ernstzunehmende Anbieter an. Bei einer Fachanwendung ist es eine Lizenzfrage, die man dem Hersteller stellen sollte.
Dienstleister und Fernwartung
Ihr IT-Dienstleister, der Hersteller Ihrer Verwaltungssoftware, das Unternehmen, das Ihr Badge-System wartet: Sie alle haben wahrscheinlich einen Fernzugriff auf Ihre Systeme. Oft bei der Installation eingerichtet, oft dauerhaft, oft nie überprüft.
Diese Zugänge verdienen besondere Aufmerksamkeit, weil sie technisch mächtig sind und sich vollständig Ihrer Sicht entziehen. Sie sind zudem ein begehrtes Ziel: Wird ein Dienstleister kompromittiert, erhält der Angreifer damit auf einen Schlag Zugang zu all dessen Kunden, ein Muster, das wir in unserem Artikel zu Angriffen über die Lieferkette im Detail beschreiben.
Drei vernünftige Anforderungen, die Sie schriftlich in Ihrem Vertrag festhalten sollten.
Der Zugang wird auf Anfrage aktiviert statt dauerhaft zu bestehen, oder ist zumindest durch eine Zwei-Faktor-Authentifizierung geschützt. Jede eingesetzte Person verfügt über ein persönliches Konto statt über ein generisches Konto, das innerhalb des Dienstleisters geteilt wird. Und Sie können das Verbindungsprotokoll auf einfache Anfrage einsehen.
Ein kompetenter Dienstleister wird diese drei Punkte ohne Weiteres akzeptieren. Ein Zögern ist an sich schon eine nützliche Information.
Ruhende Konten: was man besitzt, ohne es zu wissen
Der Praktikant vom Sommer 2021. Das Testkonto, das zur Prüfung einer Migration erstellt wurde. Der Zugang zum alten Planungstool, das niemand mehr nutzt, dessen Server aber immer noch läuft. Der frühere Verkaufsleiter, der 2023 gegangen ist und dessen Konto «später sicher deaktiviert» wurde.
Diese Konten haben zwei unangenehme Eigenschaften: Niemand überwacht sie, und ihr Passwort hat sich seit Jahren nicht geändert. Taucht es in einem öffentlichen Datenleck auf, kann sich ein Angreifer anmelden, ohne dass irgendetwas Alarm schlägt, da kein Kollege mehr eine ungewöhnliche Aktivität auf einem Konto bemerken wird, das alle vergessen haben.
Hier liegt der ehrlichste Punkt dieses Artikels. Man kann nicht überprüfen, wovon man die Existenz nicht kennt. Ein Geschäftsführer, der gewissenhaft eine Sicherheitscheckliste ausfüllt, kreuzt «Zugänge unter Kontrolle» an und denkt dabei an die zehn Personen seines Organigramms. Er denkt nicht an das Dienstkonto, das ein Dienstleister 2019 angelegt hat, noch an den Zugang, der auf dem Portal eines Lieferanten offen geblieben ist.
Welche Zugänge müssen beim Abgang eines Mitarbeitenden gesperrt werden?
Das ist der Moment, in dem sich alles zeigt. Hier ist die Liste der zu sperrenden Zugänge, einschliesslich jener, die systematisch vergessen werden.
| Kategorie | Zu sperren | Häufig vergessen |
|---|---|---|
| IT | Sitzungskonto, E-Mail, Online-Speicher | Private Konten auf geschäftlichen Diensten |
| Fernzugriff | VPN, Remote-Desktop, Zugriff von aussen | Auf dem privaten Telefon installierte Apps |
| Anwendungen | Fachsoftware, Buchhaltung, HR, E-Banking | Lieferantenportale, Versicherungen, Sozialversicherungskassen |
| Gemeinsam | Zu ändernde gemeinsame Passwörter | Soziale Medien, Website, Domainname |
| Physisch | Badge, Schlüssel, Alarmanlage | Geschäftstelefon, Spind, Tresor |
Diese Liste hat ein Gegenstück, das noch häufiger vergessen wird: jene für den Eintritt. Dieselben Zugänge werden dann eingerichtet, und das ist der einzige Moment, in dem sich interne Regeln mühelos etablieren, wie unser Artikel zum Eintritt eines neuen Mitarbeitenden im Detail zeigt.
Zwei Reflexe sind mehr wert als ein langes Verfahren. Erstellen Sie die Liste vor dem ersten Abgang, nicht währenddessen, und lassen Sie sie von der Person prüfen, die sich am besten mit der IT auskennt. Notieren Sie dann bei jedem Abgang das Datum, an dem jeder Zugang gesperrt wurde. Dieser Nachweis wird Ihnen an dem Tag helfen, an dem Sie sich fragen, ob das Konto einer Person tatsächlich geschlossen wurde.
Wie führt man einmal jährlich eine Zugriffsüberprüfung durch?
Eine jährliche Überprüfung ist eine einfache Übung, die in einem KMU mit zwanzig Mitarbeitenden einen halben Tag beansprucht. Sie erfolgt in vier Schritten.
Erstellen Sie eine Liste der Dienste. Alle Orte, an denen Ihr Unternehmen Konten besitzt: Arbeitsplätze und Server, E-Mail, Fachsoftware, Bank, Website, soziale Medien, Online-Speicher, Fernzugriff, externe Portale. Diese Fernzugriffe verdienen eine eigene Zeile, sobald ein Teil des Teams ausserhalb der Räumlichkeiten arbeitet, ein Fall, den wir in Homeoffice und Mobilgeräte behandeln.
Fordern Sie bei jedem Dienst die Liste der aktiven Nutzer an, oder exportieren Sie sie. Das ist der Schritt, der die Überraschungen liefert.
Vergleichen Sie diese Liste mit Ihrem tatsächlichen Organigramm. Jedes Konto muss einer heute noch anwesenden Person entsprechen. Alles Übrige ist zu löschen oder zu dokumentieren, wenn es sich um ein notwendiges technisches Konto handelt.
Überprüfen Sie die Administratorrechte. Wer ist Administrator, wofür, und warum. Die Liste ist fast immer länger als erwartet.
Eine Zugriffsüberprüfung findet nie statt, «wenn man Zeit hat». Tragen Sie sie mit einem festen Datum in den Kalender ein, zum Beispiel gleichzeitig mit dem Jahresabschluss, und übertragen Sie sie namentlich einer Person. Eine Aufgabe ohne Datum und ohne Verantwortliche existiert nicht.
Diese Massnahmen bilden eine solide Grundlage und sind für jedes KMU ohne besonderes Budget umsetzbar. Sie ersetzen keine Analyse Ihrer eigenen Situation: Welche Zugänge bei Ihnen wirklich wichtig sind, hängt von Ihrem Geschäft, Ihren Abläufen und Ihren Dienstleistern ab, und manche stehen auf keiner allgemeinen Liste. Ein Blick von aussen ist vor allem nützlich, um zu finden, wonach Sie nicht gesucht haben.
Um Ihr aktuelles Niveau einzuordnen, widmet der Cyber-Check-up der Zugriffsverwaltung mehrere Fragen. Die Zugriffsverwaltung geht Hand in Hand mit unerreichbar gesicherten Backups und mit den Sicherheitspflichten, die im nDSG vorgesehen sind. Die Gesamtheit der vorrangigen Massnahmen ist im Themenbereich Bewährte Praktiken zusammengefasst.