Zugriffe auf sensible Daten kontrollieren

Ein ausgeschiedener Mitarbeiter, ein zu weitreichendes Dienstleisterkonto oder ein gemeinsames Admin-Passwort: Viele Datenschutzvorfälle entstehen nicht durch einen spektakulären Hackerangriff, sondern durch Zugriffe, die im Alltag nie sauber geregelt wurden. Wer Zugriffe auf sensible Daten kontrollieren will, schützt damit nicht nur personenbezogene Daten. Er sichert auch Geschäftsgeheimnisse, Zahlungsprozesse und die eigene Handlungsfähigkeit.

Für mittelständische Unternehmen ist das Thema besonders relevant. Gewachsene IT-Strukturen, Homeoffice, externe Dienstleister und Cloud-Anwendungen sorgen dafür, dass Daten an vielen Stellen verarbeitet werden. Ohne nachvollziehbare Zugriffsrechte bleibt oft unklar, wer auf Personalakten, Kundendaten, Finanzunterlagen oder Konstruktionsdaten zugreifen kann – und ob dieser Zugriff tatsächlich noch erforderlich ist.

Warum unklare Zugriffe ein Geschäftsrisiko sind

Das Bundesamt für Sicherheit in der Informationstechnik weist im Lagebericht zur IT-Sicherheit in Deutschland regelmäßig auf die hohe Professionalität von Cyberkriminellen hin. Zugangsdaten gehören dabei zu den wertvollsten Angriffszielen. Gelangen sie durch Phishing, Schadsoftware oder geleakte Passwörter in falsche Hände, nutzen Angreifer häufig zunächst normale Benutzerkonten. Der Zugriff wirkt dann auf den ersten Blick legitim.

Auch die wirtschaftliche Dimension ist erheblich: Laut Bitkom waren 2024 acht von zehn Unternehmen in Deutschland von Datendiebstahl, Spionage oder Sabotage betroffen. Der dadurch entstandene Gesamtschaden wird auf mehr als 260 Milliarden Euro pro Jahr geschätzt. Nicht jeder Vorfall beginnt mit einem kompromittierten Konto. Aber fehlende Rechtekonzepte machen es Angreifern und internen Fehlhandlungen deutlich leichter, Schaden anzurichten.

Die DSGVO verlangt keine bestimmte Software. Sie fordert jedoch klare Ergebnisse. Nach Artikel 5 dürfen personenbezogene Daten nur zweckgebunden und auf das notwendige Maß beschränkt verarbeitet werden. Artikel 25 verlangt Datenschutz durch Technikgestaltung, Artikel 32 angemessene technische und organisatorische Maßnahmen. Pauschale Sammelberechtigungen nach dem Muster „Das war schon immer so“ sind damit schwer zu begründen.

Sensible Daten sind mehr als Personalakten

Bei sensiblen Daten denken viele zuerst an Lohnabrechnungen, Krankmeldungen oder Bewerbungsunterlagen. Diese Daten benötigen selbstverständlich einen besonders engen Zugriffskreis. Für die Betriebssicherheit ist der Blick aber breiter anzusetzen.

Sensible Informationen finden sich auch in CRM-Systemen, E-Mail-Postfächern, Buchhaltungsprogrammen, Angebotsordnern, Entwicklungsumgebungen und Backup-Systemen. Kundendaten können für Betrugsversuche genutzt werden. Offene Rechnungen und Bankverbindungen erleichtern CEO-Fraud. Konstruktionspläne, Preislisten und Verträge sind wirtschaftlich wertvolle Unternehmensinformationen, auch wenn sie nicht in jedem Fall unter besondere Kategorien personenbezogener Daten fallen.

Besonders kritisch sind Konten mit erweiterten Rechten. Wer eine Firewall verwalten, Backups löschen, neue Benutzer anlegen oder Sicherheitssoftware deaktivieren kann, besitzt einen Schlüssel zur gesamten IT-Umgebung. Solche Zugriffe müssen enger kontrolliert werden als ein gewöhnlicher Zugriff auf eine Abteilungsfreigabe.

Zugriffe auf sensible Daten kontrollieren: Das Prinzip der minimalen Rechte

Ein tragfähiges Berechtigungskonzept folgt dem Need-to-know-Prinzip: Beschäftigte erhalten nur die Rechte, die sie für ihre konkrete Aufgabe benötigen. Das reduziert Risiken, ohne den Arbeitsablauf unnötig zu bremsen.

Entscheidend ist die Vergabe über Rollen statt über Einzelpersonen. Ein Mitarbeiter im Einkauf benötigt beispielsweise Zugriff auf Lieferanteninformationen und Bestellungen, aber nicht automatisch auf alle Personalakten oder die Verwaltung der IT-Systeme. Wechselt die Person intern die Aufgabe, wird die bisherige Rolle entzogen und die neue Rolle zugewiesen. Das ist nachvollziehbar und deutlich weniger fehleranfällig als manuelle Einzelberechtigungen.

Das Prinzip hat Grenzen. In kleinen Unternehmen übernehmen einzelne Personen mehrere Funktionen. Dann kann ein weitergehender Zugriff gerechtfertigt sein. Er sollte aber bewusst vergeben, dokumentiert und regelmäßig geprüft werden. Praktische Anforderungen sind kein Freifahrtschein für dauerhaft unkontrollierte Vollzugriffe.

Vier Fragen für jede Berechtigung

Vor der Vergabe oder Verlängerung eines Zugriffs sollten Verantwortliche vier Fragen beantworten:

• Welche konkrete Aufgabe erfordert den Zugriff?
• Auf welche Daten, Systeme oder Funktionen wird tatsächlich zugegriffen?
• Wie lange wird die Berechtigung benötigt?
• Wer prüft, ob sie weiterhin notwendig ist?

Diese Fragen schaffen eine einfache, aber wirksame Grundlage. Sie machen aus gewachsenen Einzelentscheidungen ein steuerbares Verfahren.

MFA, getrennte Admin-Konten und sichere Anmeldewege

Ein gutes Rechtekonzept scheitert, wenn Passwörter allein den Zugang schützen. Mehr-Faktor-Authentifizierung, kurz MFA, sollte für E-Mail, Remote-Zugänge, Cloud-Anwendungen und insbesondere für Administratoren verbindlich sein. Ein abgefangenes Passwort reicht dann nicht aus, um sich anzumelden.

Administratoren sollten zusätzlich mit zwei getrennten Konten arbeiten: einem normalen Benutzerkonto für E-Mail und tägliche Arbeit sowie einem separaten Administrationskonto für Wartung und Änderungen. Dadurch wird das Risiko begrenzt, dass ein Phishing-Angriff sofort zur vollständigen Übernahme der IT führt.

Gemeinsame Konten sind dagegen problematisch. Wenn mehrere Personen dasselbe Admin-Konto nutzen, lässt sich später nicht zuverlässig feststellen, wer eine Änderung vorgenommen hat. Das widerspricht dem Grundsatz der Nachvollziehbarkeit und erschwert sowohl die Ursachenanalyse als auch den Datenschutznachweis.

Für externe IT-Dienstleister gilt dasselbe. Zugriffe sollten personengebunden, zeitlich begrenzt und nur für die vereinbarte Leistung freigeschaltet werden. Ein Dienstleister benötigt nicht automatisch dauerhaften Vollzugriff auf Server, Firewall, Microsoft-365-Mandant und Backup zugleich. Transparente deutsche Vertrags- und Verarbeitungsstrukturen erleichtern dabei die Kontrolle erheblich.

Protokollieren ist nur sinnvoll, wenn jemand hinsieht

Protokolle zeigen, wer sich wann angemeldet, Daten verändert oder sicherheitsrelevante Einstellungen angepasst hat. Sie sind unverzichtbar, wenn ein Vorfall untersucht werden muss. Doch Protokollierung allein löst kein Problem, wenn die Daten nie ausgewertet werden.

Das BSI empfiehlt im IT-Grundschutz, sicherheitsrelevante Ereignisse zentral zu erfassen und auszuwerten. Für Mittelständler bedeutet das nicht zwingend eine eigene Leitstelle rund um die Uhr. Es bedeutet aber, dass auffällige Anmeldungen, fehlgeschlagene Zugriffe, Rechteänderungen und Manipulationsversuche erkannt, bewertet und dokumentiert werden müssen.

Ein Managed Monitoring kann diese Lücke schließen, wenn klar geregelt ist, welche Systeme überwacht werden, welche Alarmwege gelten und wer im Ernstfall entscheidet. Wichtig ist nicht die Menge der Meldungen, sondern eine verständliche Priorisierung. Ein Geschäftsführer braucht keine endlosen Logdateien. Er braucht die Sicherheit, dass kritische Ereignisse nicht unbemerkt bleiben.

Praxisfall: Der frühere Dienstleisterzugang

In einer anonymisierten Sicherheitsanalyse eines mittelständischen Betriebs im Bergischen Land fiel ein ehemaliges Dienstleisterkonto auf. Der Zugang war nach Abschluss eines Projekts nicht deaktiviert worden und verfügte weiterhin über weitreichende Rechte auf einen Serverbereich mit Kunden- und Vertragsdaten. Einen Hinweis auf missbräuchliche Nutzung gab es nicht. Das Risiko bestand dennoch über Monate.

Die Lösung war nicht kompliziert: Alle externen Konten wurden erfasst, Verantwortliche zugeordnet und die Rechte auf den jeweiligen Einsatzzweck reduziert. Zusätzlich wurde ein fester Austritts- und Wechselprozess eingerichtet. Sobald ein Mitarbeiter ausscheidet, ein Projekt endet oder ein Dienstleister wechselt, werden Zugänge am selben Tag gesperrt oder geprüft.

Der Fall zeigt, woran viele Unternehmen scheitern: nicht an fehlender Technik, sondern an fehlenden Abläufen. Ein Benutzerkonto ist schnell angelegt. Seine kontrollierte Entfernung erfordert klare Verantwortung.

Regelmäßige Rechteprüfung statt einmaliger Aufräumaktion

Berechtigungen verändern sich laufend. Neue Anwendungen kommen hinzu, Teams werden umorganisiert, Mitarbeiter wechseln Abteilungen. Deshalb reicht es nicht, Zugriffsrechte einmal im Jahr bei einer Prüfung anzusehen und anschließend wieder zu vergessen.

Für besonders kritische Systeme wie Buchhaltung, Personalwesen, Backup, Firewall und Administration empfiehlt sich eine mindestens vierteljährliche Prüfung. Bei allgemeinen Fachanwendungen kann je nach Risiko ein halbjährlicher Rhythmus angemessen sein. Entscheidend ist, dass jede Prüfung dokumentiert wird: Welche Rechte wurden bestätigt, welche entfernt und wer hat entschieden?

Ebenso wichtig ist ein verbindlicher Prozess für Eintritt, Rollenwechsel und Austritt. Personalabteilung, Fachbereich und IT müssen hier zusammenarbeiten. Ohne eine klare Meldung an die zuständige IT bleibt der Zugang eines ausgeschiedenen Mitarbeiters leicht bestehen – selbst wenn alle Beteiligten davon ausgehen, dass sich jemand kümmert.

Kontrolle über sensible Daten entsteht nicht durch Misstrauen gegenüber Mitarbeitern. Sie entsteht durch klare Zuständigkeiten, begrenzte Rechte und überprüfbare Abläufe. Eine kostenlose IT-Sicherheitsanalyse kann sichtbar machen, welche Konten, Systeme und externen Zugänge in Ihrem Unternehmen besondere Aufmerksamkeit benötigen. Damit wird aus einer diffusen Unsicherheit ein konkreter Plan – und aus Sicherheit eine verlässliche Grundlage für den täglichen Betrieb.