Berechtigungsmanagement: Zugriffskontrolle systematisch umsetzen

© deagreez

Was ist Berechtigungsmanagement?

Berechtigungsmanagement ist die strukturierte Vergabe, Änderung und Entziehung von Zugriffsrechten auf IT-Systeme, Anwendungen und Daten. Ziel ist es, dass jede Person und jedes System nur genau die Rechte erhält, die für die jeweilige Aufgabe erforderlich sind. Laut dem Verizon Data Breach Investigations Report 2025 waren gestohlene Zugangsdaten mit 22 % der häufigste initiale Angriffsvektor bei Datenpannen – bei 60 % aller bestätigten Vorfälle war ein menschlicher Faktor beteiligt. Systematisches Berechtigungsmanagement setzt genau an dieser Schwachstelle an.

Autorisierung, Zugriff und Berechtigung: Worin liegt der Unterschied?

Im Sprachgebrauch werden Zugriff, Berechtigung und Autorisierung oft gleichgesetzt – tatsächlich bezeichnen sie unterschiedliche Ebenen. Ein strukturiertes Vorgehen, beschrieben im Leitfaden zum IT-Sicherheitsmanagement, hilft dabei, diese Ebenen sauber zu trennen. Die Autorisierung prüft, ob eine bereits identifizierte Person eine bestimmte Aktion ausführen darf. Die Berechtigung ist das konkrete Recht, das einer Rolle oder einem Konto zugewiesen wird. Der Zugriff wiederum ist der tatsächliche Vorgang – das Öffnen einer Datei, das Starten einer Transaktion. Wer diese Begriffe im eigenen Berechtigungskonzept klar abgrenzt, vermeidet Lücken in der Zugriffskontrolle.

Welche Arten von Zugriffsrechten gibt es?

Zugriffsrechte lassen sich nach unterschiedlichen Modellen vergeben und verwalten. Das passende Modell hängt von der Organisationsgröße, den Compliance-Anforderungen und der Komplexität der IT-Landschaft ab. In der Praxis setzt sich zunehmend die rollenbasierte Zugriffskontrolle (RBAC) durch, bei der Berechtigungen an Funktionen statt an Einzelpersonen geknüpft werden. Ergänzend schreibt eine Informationssicherheitsleitlinie vor, welche Schutzanforderungen für die Zugangskontrolle gelten.

Die gängigsten Modelle der Zugriffskontrolle:

• RBAC (Role-Based Access Control) – Rechte werden über Rollen vergeben, nicht individuell
• ABAC (Attribute-Based Access Control) – Zugriff basiert auf Attributen wie Standort, Zeit oder Abteilung
• DAC (Discretionary Access Control) – Eigentümer einer Ressource vergibt Rechte selbst
• MAC (Mandatory Access Control) – zentral gesteuert, typisch für Behörden und Militär
• PBAC (Policy-Based Access Control) – regelbasiert, flexibel kombinierbar

Rollenmodell als Fundament der Berechtigungsverwaltung

Ein Rollenmodell bildet die organisatorische Struktur in Zugriffsrechten ab. Statt jedem einzelnen Nutzerkonto individuelle Berechtigungen zuzuweisen, werden typische Funktionsprofile definiert – etwa „Sachbearbeitung Einkauf” oder „Teamleitung Finanzen”. Neue Mitarbeitende erhalten bei Eintritt genau die Rolle, die zu ihrer Funktion passt. Bei einem Abteilungswechsel wird die alte Rolle entzogen und die neue zugewiesen. Dieses Rollenkonzept verhindert die schleichende Ansammlung überflüssiger Rechte – ein Phänomen, das in der Praxis als Privilege Creep bekannt ist.

Least-Privilege-Prinzip und Funktionstrennung

Das Least-Privilege-Prinzip besagt, dass jede Person nur die minimal notwendigen Rechte für ihre Tätigkeit erhalten soll. In Verbindung mit Funktionstrennung (Separation of Duties) entsteht ein wirksamer Schutz gegen Missbrauch: Wer eine Zahlung anlegen darf, soll sie nicht gleichzeitig freigeben können. Beide Prinzipien sind zentrale Bausteine eines belastbaren Berechtigungsmanagements und werden in der IT-Grundschutz-Methodik des BSI – konkret im Baustein ORP.4 – ausdrücklich gefordert.

Rollenmodell im Audit: Nachweisbarkeit sicherstellen

Ein gut dokumentiertes Rollenmodell erleichtert Audits erheblich. Prüfende können anhand der Rollendefinitionen nachvollziehen, wer zu welchem Zeitpunkt auf welche Systeme Zugriff hatte. IT-Compliance verlangt genau diese Transparenz. Ohne saubere Rollendokumentation wird jede Prüfung zum Kraftakt – mit ihr wird der Nachweis zur Routineaufgabe. Für Organisationen, die nach ISO 27001 oder IT-Grundschutz zertifiziert sind, ist ein gepflegtes Rollenmodell faktisch Pflicht.

Identitätsmanagement, IAM und PAM

Identitätsmanagement – auch Identitätsverwaltung oder Identity Management genannt – bildet die technische Grundlage für ein wirksames Berechtigungsmanagement. Es umfasst die Verwaltung digitaler Identitäten über den gesamten Lebenszyklus: Anlegen, Ändern, Deaktivieren und Löschen. In Kombination mit Zugriffskontrolle entsteht daraus Identity and Access Management (IAM) – das übergreifende System, in dem Cybersecurity-Strategie und operative Benutzerverwaltung zusammenlaufen.

Typische Komponenten eines IAM-Systems:

• Verzeichnisdienste – Active Directory, LDAP als zentrale Identitätsquelle
• Provisioning – automatisierte Anlage und Entziehung von Benutzerkonten
• Single Sign-On (SSO) – ein Login für mehrere Anwendungen
• Genehmigungsmanagement – Workflows für Berechtigungsanträge und Freigaben
• Audit-Logging – lückenlose Protokollierung aller Zugriffsänderungen
• Rezertifizierung – regelmäßige Überprüfung bestehender Rechte

Was ist der Unterschied zwischen IAM und PAM?

IAM (Identity and Access Management) verwaltet die Zugriffsrechte aller Nutzenden in einer Organisation – von der Sachbearbeitung bis zur Geschäftsleitung. PAM (Privileged Access Management) konzentriert sich dagegen auf besonders kritische Konten mit erweiterten Rechten, etwa Administratorenzugänge oder Dienstkonten. PAM schützt gezielt die Zugänge, deren Kompromittierung den größten Schaden anrichten würde. In der Praxis ergänzen sich beide Ansätze: IAM steuert die Breite, PAM sichert die Tiefe.

Kernprinzipien im Identitätsmanagement

Ein robustes Identitätsmanagement in Verbindung mit systematischem Berechtigungsmanagement basiert auf klaren Prinzipien, die über einzelne Tools hinausgehen. Die Kombination aus organisatorischen Regeln und technischer Umsetzung entscheidet darüber, ob ein Berechtigungsmanagement-System im Alltag tatsächlich greift. Das Zusammenspiel mit der Authentifizierung in Unternehmenssoftware stellt dabei sicher, dass nicht nur die richtigen Personen Zugang erhalten, sondern auch deren Identität zuverlässig geprüft wird.

Folgende Prinzipien sind dabei ausschlaggebend:

👉 Need-to-know – Zugriff nur auf Informationen, die für die Aufgabe relevant sind
👉 Minimale Rechtevergabe – so wenig Rechte wie möglich, so viele wie nötig
👉 Nachvollziehbarkeit – jede Änderung an Berechtigungen muss dokumentiert sein
👉 Automatisierung – manuelle Prozesse sind fehleranfällig und skalieren schlecht

Privileged Access Management in der Praxis

Privilegierte Konten sind das bevorzugte Ziel von Angreifern, weil ein einziger kompromittierter Admin-Account weitreichenden Schaden ermöglicht. PAM-Lösungen setzen deshalb auf Session-Aufzeichnung, Just-in-Time-Zugriff und automatische Passwortrotation. Gerade in Behörden und bei KRITIS-Betreibern ist ein dediziertes PAM-Konzept inzwischen unverzichtbar, um den Anforderungen an Zugangskontrolle und Datenschutz gerecht zu werden.

Berechtigungsmanagement in der Praxis umsetzen

Ein wirksames Berechtigungsmanagement verbindet technische Maßnahmen mit organisatorischen Prozessen. Aufbauend auf einem funktionierenden Identitätsmanagement folgt der Lebenszyklus einer Berechtigung einem klaren Muster: Beantragung, Genehmigung, Zuweisung, Nutzung, Überprüfung und Entziehung. Jeder dieser Schritte muss dokumentiert und nachvollziehbar sein – nicht nur für Audits, sondern auch für den täglichen Betrieb. Der Cyber Resilience Act unterstreicht, dass Sicherheitsmaßnahmen über den gesamten Lebenszyklus einer Software greifen müssen.

Wie funktioniert die Rezertifizierung von Zugriffsrechten?

Rezertifizierung bedeutet, dass bestehende Zugriffsrechte in regelmäßigen Abständen überprüft und bestätigt oder entzogen werden. Typischerweise erhalten Führungskräfte oder Fachverantwortliche eine Liste der Berechtigungen ihrer Mitarbeitenden und müssen deren Aktualität bestätigen. Was nicht bestätigt wird, wird automatisch entzogen. Dieser Prozess ist entscheidend, um Privilege Creep und verwaiste Konten zu verhindern – zwei der häufigsten Schwachstellen im Access Management.

Berechtigungsmanagement-Software: Worauf es ankommt

Die Wahl der richtigen Berechtigungsmanagement-Software hängt von der Komplexität der IT-Landschaft und den regulatorischen Anforderungen ab. Kleine Organisationen kommen mit einer gut konfigurierten Active-Directory-Struktur aus. Größere Umgebungen profitieren von spezialisierten IAM-Plattformen, die Provisionierung, Genehmigungsworkflows und Rezertifizierung automatisieren. Entscheidend ist, dass das Berechtigungsmanagement-System zum bestehenden Identitätsmanagement passt und sich in vorhandene Verzeichnisdienste integrieren lässt.

Kriterien für die Auswahl einer Berechtigungsmanagement-Software:

• Standardanbindung – LDAP, Active Directory, SAML, SCIM
• Workflow-Engine – automatisierte Antrags- und Genehmigungsprozesse
• Rezertifizierungsmodul – zeitgesteuerte Überprüfung aller Berechtigungen
• Audit-Trail – revisionssichere Protokollierung aller Änderungen
• Rollenmanagement – Unterstützung für RBAC und Rollenmodell-Pflege
• Skalierbarkeit – geeignet für wachsende Organisationen und Konzernstrukturen
• DSGVO-Compliance – Berechtigungsmanagement und Datenschutz-Nachweispflichten abgedeckt

Als zertifizierter IT-Dienstleister mit über 14 Jahren Erfahrung entwickelt TenMedia Individualsoftware, in der Berechtigungskonzepte von Beginn an in die Architektur integriert werden. Im Bereich Wartung und Support übernimmt TenMedia auch die laufende Pflege und Anpassung bestehender Zugriffssysteme. Ob Neuentwicklung oder Modernisierung – fundiertes Access Management ist bei TenMedia kein Zusatzmodul, sondern fester Bestandteil jedes Projekts.