Ein ehemaliger Mitarbeiter besitzt noch Zugriff auf ein Fachsystem. Ein externer Dienstleister kann Daten einsehen, obwohl sein Auftrag beendet ist. Oder eine Führungskraft fragt im Audit, wer den Zugriff auf sensible Informationen freigegeben hat - und die Antwort liegt verteilt in E-Mails, Tickets und Excel-Listen. Genau hier zeigt sich, warum Unternehmen Zugriffsrechte im ISMS dokumentieren müssen: Nicht allein die Berechtigung zählt, sondern der jederzeit nachvollziehbare Entscheid dahinter.

Eine gute Dokumentation macht sichtbar, wer auf welche Informationen und Systeme zugreifen darf, weshalb dieser Zugriff erforderlich ist, wer ihn genehmigt hat und wann er erneut geprüft wird. Damit wird aus einer technischen Einstellung ein steuerbarer Sicherheitsprozess - verständlich für IT, Fachbereiche, Geschäftsleitung und Auditoren.

Was bei Zugriffsrechten im ISMS dokumentiert werden sollte

Die Dokumentation von Zugriffsrechten ist mehr als eine Liste von Benutzerkonten. Sie muss den Zusammenhang zwischen Schutzbedarf, Rolle, Berechtigung und Verantwortung abbilden. Sonst bleibt unklar, ob eine Freigabe fachlich erforderlich, angemessen begrenzt und noch aktuell ist.

Im Zentrum steht zunächst der Geltungsbereich. Er beschreibt, welche Anwendungen, Infrastrukturkomponenten, Datenbestände und physischen Bereiche vom Berechtigungskonzept erfasst werden. Besonders kritisch sind Systeme mit Personaldaten, Finanzinformationen, Kundendaten, Produktionssteuerung oder Administrationsrechten. Nicht jedes System benötigt dieselbe Detailtiefe. Bei geringem Schutzbedarf kann eine sauber gepflegte Rollenübersicht genügen. Für privilegierte Konten oder besonders schützenswerte Daten sind konkrete Einzelberechtigungen, Genehmigungen und Prüfintervalle erforderlich.

Danach folgt die Rollen- und Rechtebeschreibung. Rollen sollten sich möglichst an Aufgaben orientieren, nicht an einzelnen Personen. Eine Rolle wie „Buchhaltung Kreditoren“ ist nachvollziehbarer und wartungsärmer als eine Sammlung individueller Rechte für jede Mitarbeiterin und jeden Mitarbeiter. Dokumentiert wird, welche Zugriffe eine Rolle umfasst, welche Tätigkeiten damit möglich sind und welche Einschränkungen gelten.

Zu einer belastbaren Dokumentation gehören außerdem der Genehmigungsprozess, die zuständige Stelle für die Vergabe, der Beginn und gegebenenfalls das Ablaufdatum einer Berechtigung sowie die Prüfung der bestehenden Zugriffe. Bei administrativen Berechtigungen sollte zusätzlich festgehalten werden, warum eine erhöhte Berechtigung notwendig ist und wie ihre Nutzung kontrolliert wird.

Der Prozess ist wichtiger als die Rechte-Liste

Eine Rechte-Matrix kann ein nützliches Dokument sein. Sie ersetzt jedoch keinen geregelten Prozess. Denn Zugriffsrechte ändern sich laufend: Neue Mitarbeitende treten ein, Aufgaben verschieben sich, Projekte enden, Lieferanten wechseln und Systeme werden ersetzt. Ohne feste Abläufe entsteht schnell ein Bestand an überflüssigen oder unklaren Berechtigungen.

Ein praxistauglicher Prozess beginnt mit einem Antrag. Der Fachbereich beschreibt den Bedarf, etwa den Zugriff auf ein CRM-System für die Kundenbetreuung. Die verantwortliche Führungskraft bestätigt die fachliche Notwendigkeit. Anschließend prüft die Systemverantwortung, ob die vorgesehene Rolle geeignet ist und ob sich daraus Konflikte mit anderen Berechtigungen ergeben. Erst dann erfolgt die technische Umsetzung.

Genauso wichtig ist der Austritt aus einer Rolle. Bei einem Stellenwechsel dürfen bisherige Rechte nicht einfach bestehen bleiben, nur weil neue Rechte hinzukommen. Bei Austritten müssen Zugriffe zeitnah entzogen oder Konten deaktiviert werden. Für externe Personen sollte ein Ablaufdatum grundsätzlich vorgesehen werden. Das reduziert Nachbearbeitung und verhindert, dass temporäre Freigaben unbemerkt dauerhaft werden.

Die Dokumentation sollte jeden dieser Schritte abbilden: Antrag, Prüfung, Freigabe, Umsetzung, Kontrolle und Entzug. So lässt sich im Nachhinein nicht nur erkennen, wer Zugriff hatte, sondern auch, ob das Unternehmen seinen eigenen Prozess eingehalten hat.

Funktionstrennung gezielt dokumentieren

Besondere Aufmerksamkeit verdient die Funktionstrennung. Wer eine Zahlung erfassen, freigeben und auslösen kann, vereint mehrere kritische Schritte in einer Person. Ähnliche Konflikte entstehen, wenn jemand Änderungen produktiv umsetzt und gleichzeitig deren Kontrolle verantwortet.

Nicht jede kleine Organisation kann Funktionen vollständig trennen. Dann braucht es dokumentierte kompensierende Maßnahmen, zum Beispiel eine regelmäßige Kontrolle durch eine Führungskraft, ein Vier-Augen-Prinzip bei kritischen Vorgängen oder eine unabhängige Auswertung von Protokollen. Entscheidend ist nicht eine theoretisch perfekte Struktur, sondern eine bewusste, begründete und überprüfbare Entscheidung.

Zugriffsrechte im ISMS dokumentieren: eine praxistaugliche Struktur

Für viele KMU ist eine einheitliche Struktur sinnvoller als umfangreiche Berechtigungshandbücher. Die Dokumentation sollte so detailliert sein, dass Verantwortliche sicher handeln und Auditoren die Entscheidungen nachvollziehen können - aber nicht so aufwendig, dass sie nach wenigen Monaten veraltet ist.

Bewährt hat sich eine zentrale Übersicht je System oder Systemgruppe. Darin werden Systemverantwortung, Daten- und Schutzbedarf, relevante Rollen, zulässige Berechtigungen, Genehmigende und Prüfzyklen festgehalten. Ergänzend werden einzelne Anträge und Freigaben dem jeweiligen Vorgang zugeordnet. Bei kritischen Rollen kann die Übersicht zusätzlich festhalten, ob Multifaktor-Authentisierung, Protokollierung oder ein besonderer Genehmigungsweg erforderlich sind.

Eine klare Rollenbeschreibung beantwortet dabei drei Fragen: Welche Aufgabe erfüllt die Rolle? Welche Zugriffe sind dafür erforderlich? Was darf die Rolle ausdrücklich nicht? Die letzte Frage wird häufig übersehen. Sie hilft jedoch, Rechte von Beginn an eng zu begrenzen und Missverständnisse bei der Vergabe zu vermeiden.

Auch Ausnahmen gehören in die zentrale Dokumentation. Eine Ausnahme ist nicht automatisch ein Sicherheitsmangel. Sie kann fachlich notwendig sein, etwa bei kleinen Teams, Bereitschaftsdiensten oder zeitkritischen Störungen. Problematisch wird sie, wenn niemand ihren Umfang, ihre Laufzeit und die kompensierenden Kontrollen kennt. Jede Ausnahme sollte daher eine Begründung, einen Verantwortlichen, ein Enddatum oder einen Prüfzeitpunkt und eine nachvollziehbare Freigabe enthalten.

Regelmäßige Rezertifizierung verhindert schleichende Risiken

Die beste Erstfreigabe verliert ihren Wert, wenn sie nicht überprüft wird. Berechtigungsprüfungen - häufig als Rezertifizierung bezeichnet - bestätigen, dass bestehende Zugriffe weiterhin notwendig und angemessen sind. Sie sind besonders relevant für privilegierte Konten, Systeme mit hohem Schutzbedarf und externe Zugriffe.

Wie oft geprüft werden sollte, hängt vom Risiko ab. Administratorrechte und Zugriffe auf besonders sensible Daten können eine quartalsweise Prüfung rechtfertigen. Bei Standardrollen in stabilen Fachanwendungen kann ein jährlicher Zyklus ausreichend sein. Starre Fristen allein sind aber kein Qualitätsmerkmal. Wenn viele Personalwechsel stattfinden oder eine Anwendung umfassend verändert wird, sollte die Prüfung früher erfolgen.

Für jede Prüfung braucht es einen eindeutigen Nachweis: Welche Rechte wurden geprüft? Wer hat geprüft? Zu welchem Datum? Welche Abweichungen wurden festgestellt? Welche Maßnahmen wurden daraus abgeleitet und bis wann umgesetzt? Ein bloßes „zur Kenntnis genommen“ reicht nicht aus, wenn kritische Berechtigungen betroffen sind.

Vom Nachweis zur Steuerung im ISMS

Zugriffsrechte berühren mehrere Bereiche des ISMS. Sie sind Teil der organisatorischen Sicherheitsmaßnahmen, beeinflussen Risiken und liefern Nachweise für interne Kontrollen sowie externe Audits. Werden Auffälligkeiten festgestellt - etwa nicht mehr benötigte Konten, fehlende Genehmigungen oder Rollen mit zu weitreichenden Rechten - sollten sie nicht in einer separaten Liste verschwinden.

Stattdessen werden sie als Befund erfasst, bewertet und mit einer konkreten Maßnahme versehen. Ein fehlender Freigabenachweis kann eine Prozesskorrektur erfordern. Wiederkehrende überhöhte Berechtigungen können auf unpassende Rollenmodelle oder unklare Verantwortlichkeiten hinweisen. So wird die Rechteverwaltung nicht als isolierte IT-Aufgabe behandelt, sondern als Teil der Risikosteuerung.

Genau diese Verbindung ist für die Geschäftsleitung relevant. Sie braucht keine lange Liste technischer Konten, sondern eine verständliche Sicht auf offene Risiken, Verantwortlichkeiten, Fristen und Fortschritt. Revisionssichere Nachweise schaffen dabei Vertrauen, weil sie belegen, dass Sicherheitskontrollen nicht nur definiert, sondern auch umgesetzt und regelmäßig überprüft werden.

Typische Fehler, die Audits unnötig erschweren

Ein häufiger Fehler ist die Verwechslung von Benutzerverwaltung und Berechtigungskonzept. Ein Verzeichnisdienst kann technisch sauber geführt sein, ohne dass fachliche Freigaben, Rollenlogik und Prüfungen nachvollziehbar dokumentiert sind. Ein weiterer Fehler sind Sammelkonten. Sie erschweren die Zuordnung von Aktivitäten und sollten nur in begründeten Ausnahmefällen mit zusätzlichen Kontrollen eingesetzt werden.

Ebenso kritisch sind Rechte, die direkt an einzelne Personen vergeben werden, obwohl eine passende Rolle existiert. Solche Sonderrechte vermehren sich schleichend und fallen bei Austritten oder Umstrukturierungen leicht durch das Raster. Schließlich scheitern viele Organisationen an der Ablage: Freigaben liegen in E-Mails, Tabellen werden lokal gepflegt und Prüfprotokolle fehlen. Das verursacht Medienbrüche und macht eine verlässliche Auswertung unnötig schwierig.

Eine zentrale ISMS-Plattform wie SCMC unterstützt dabei, Assessments, Nachweise, Maßnahmen und Risiken an einem Ort zu führen. Entscheidend bleibt jedoch die interne Disziplin: Verantwortlichkeiten müssen klar sein, Entscheidungen zeitnah erfasst werden und Prüfungen brauchen einen festen Takt.

Wer Zugriffsrechte konsequent dokumentiert, reduziert nicht nur Audit-Aufwand. Die Organisation gewinnt volle Kontrolle darüber, wer ihre kritischen Informationen nutzt - und kann bei Veränderungen schneller, sicherer und nachvollziehbar handeln.