Audit der Zugriffsrechte: Wer sieht Firmendaten

Die kurze Antwort: Ein Audit der Zugriffsrechte ermittelt, welche Personen tatsächlich auf welche Firmendaten zugreifen können, über welches Konto, welche Gruppe, Rolle oder welchen Freigabelink der Zugriff erfolgt und ob dafür ein betrieblicher Grund besteht. Das Ergebnis sollte eine Übersicht der effektiven Berechtigungen, eine konkrete Risikoliste und einen Maßnahmenplan umfassen, dessen Umsetzung anschließend erneut überprüft werden kann.

Eine Liste der Konten reicht nicht aus

Ein Unternehmen kann eine ordnungsgemäß geführte Mitarbeiterliste haben und trotzdem nicht wissen, wer Gehaltsdaten, Verträge oder Kundenordner einsehen kann. Zugriff entsteht nämlich nicht nur dadurch, dass einer Person direkt eine Berechtigung zugewiesen wird.

Ein Benutzer kann auf Daten zugreifen über:

• die Mitgliedschaft in einer oder mehreren Gruppen;
• eine verschachtelte Gruppe aus Active Directory oder Microsoft Entra ID;
• eine von einem übergeordneten Ordner geerbte Berechtigung;
• eine direkte Ausnahme für eine bestimmte Datei oder ein Verzeichnis;
• eine Systemadministratorrolle;
• ein externes Gastkonto;
• einen Link für bestimmte Personen oder für jeden, der den Link erhält;
• ein gemeinsam genutztes Konto oder Passwort;
• ein Dienstkonto, das von einer Anwendung oder Automatisierung verwendet wird.

Ein Audit betrachtet daher nicht nur die eingerichteten Berechtigungen, sondern vor allem den effektiven Zugriff: was ein bestimmter Benutzer tatsächlich öffnen, ändern, herunterladen, freigeben oder verwalten kann.

Bestimmen Sie zuerst Daten, Rollen und Verantwortliche

Die Prüfung sollte nicht mit dem Export sämtlicher Benutzerkonten beginnen. Zunächst muss festgelegt werden, welche Daten das Unternehmen schützt, wer über den Zugriff darauf entscheidet und welche beruflichen Rollen diese Daten benötigen.

Typische Datenverantwortliche können die Geschäftsführung, die Finanzleitung, die Vertriebsleitung oder die Personalabteilung sein. Ein IT-Administrator kann Berechtigungen technisch einrichten, sollte aber nicht allein darüber entscheiden, ob ein Vertriebsmitarbeiter Zugriff auf Gehaltsdaten oder ein externer Buchhalter auf die gesamte Unternehmensdokumentation benötigt.

Die grundlegende Arbeitsunterlage ist eine Matrix aus Rollen und Systemen:

Rolle	System oder Daten	Erforderlicher Zugriff	Art der Zuweisung	Verantwortlicher
Buchhalter	Buchhaltungsordner auf dem NAS	Lesen und Schreiben	Gruppe UCETNI	Geschäftsleitung
Vertriebsmitarbeiter	CRM	Standardbenutzer	Anwendungsrolle	Vertriebsleitung
Personalmitarbeiter	Personalunterlagen	Lesen und Schreiben	Gruppe PERSONALNI	Geschäftsleitung
Externe IT	Serververwaltung	Administration für die notwendige Dauer	separates Konto	Geschäftsführer

Die Matrix beschreibt den gewünschten Sollzustand. Erst anhand dieses Sollzustands lässt sich sinnvoll beurteilen, ob eine konkrete Berechtigung erforderlich, überflüssig oder im Gegenteil nicht vorhanden ist.

Das Prinzip der geringsten Rechte bedeutet nicht, allen alles zu verbieten. Benutzer sollen den für ihre Arbeit erforderlichen Zugriff erhalten – im notwendigen Umfang und für einen angemessenen Zeitraum. Eine zu restriktive Konfiguration ohne Kenntnis der betrieblichen Abläufe führt häufig dazu, dass Dokumente aus dem verwalteten Speicher herauskopiert oder Passwörter geteilt werden.

Was ein Audit im Unternehmen umfassen sollte

Der Umfang hängt von den eingesetzten Systemen ab, nicht nur von der Zahl der Beschäftigten. Ein kleines Unternehmen mit NAS, Microsoft 365, VPN, Buchhaltungssoftware und mehreren externen Mitarbeitern kann komplexere Berechtigungen haben als ein größeres Unternehmen mit zentral verwalteten Identitäten.

In der Regel sollten mindestens folgende Bereiche geprüft werden:

1. Benutzer-, Administrator-, Gast- und Dienstkonten;
2. Gruppen, verschachtelte Mitgliedschaften und Anwendungsrollen;
3. freigegebene Ordner auf NAS und Windows Server;
4. SharePoint, OneDrive, Teams und freigegebene Postfächer;
5. VPN, Fernwartung und Zugänge von Dienstleistern;
6. öffentliche und externe Freigabelinks;
7. gemeinsam genutzte Passwörter, Mehrfaktor-Authentifizierung und Notfallkonten;
8. Konten ehemaliger Mitarbeiter und Zugriffe ohne festgelegten Verantwortlichen;
9. API-Schlüssel, Integrationskonten und Automatisierungen, die an eine bestimmte Person gebunden sind.

Auch der Umfang einer Berechtigung ist entscheidend. Es reicht nicht, festzuhalten, dass ein Benutzer „Zugriff hat“. Das Audit muss zwischen Lesen, Schreiben, Löschen, Freigeben, Ändern von Berechtigungen und vollständiger Administration unterscheiden.

Windows Server: Freigabe- und NTFS-Berechtigungen zusammenführen

Bei über SMB bereitgestellten Ordnern gelten üblicherweise zwei Ebenen: Freigabeberechtigungen und Berechtigungen des NTFS-Dateisystems. Der resultierende Zugriff über das Netzwerk wird durch beide Ebenen begrenzt.

Bei einer gängigen Konfiguration können die Freigabeberechtigungen weit gefasst sein, während die tatsächliche Einschränkung über NTFS-Gruppen erfolgt. Ein Eintrag Everyone in den Freigabeberechtigungen beweist daher noch nicht, dass alle Benutzer die Inhalte lesen können. Der Auditor muss den gesamten Berechtigungspfad bis zum konkreten Benutzer auswerten.

Die Prüfung sollte klären:

• welche freigegebenen Ordner vorhanden sind und wer für sie verantwortlich ist;
• welche Gruppen Inhalte lesen, ändern oder vollständig verwalten dürfen;
• ob Berechtigungen an Unterordner vererbt werden;
• an welchen Stellen die Vererbung unterbrochen ist;
• ob direkte Ausnahmen für einzelne Benutzer bestehen;
• wie sich die Mitgliedschaft in mehreren Gruppen auswirkt;
• ob der berechnete Zugriff mit der praktischen Überprüfung übereinstimmt.

Ein Befehl oder Export, der die ACL anzeigt, ist nur ein Teil des Nachweises. Die bloße Liste der Einträge bildet Gruppenmitgliedschaften, deren Verschachtelung und die resultierenden Berechtigungen einer konkreten Identität möglicherweise nicht korrekt ab.

Synology und QNAP: Lokale und Domänengruppen berücksichtigen

Auf Synology-Geräten mit DSM und QNAP-Geräten mit QTS kann ein Benutzer über ein lokales NAS-Konto, eine lokale Gruppe, ein Active-Directory-Konto oder von einem übergeordneten Ordner geerbte ACLs Zugriff erhalten. Neben den üblichen freigegebenen Ordnern müssen auch Home-Verzeichnisse, Anwendungsberechtigungen, Administratorgruppen und mögliche Verbindungen zu Cloud-Diensten geprüft werden.

Das NAS-Audit sollte dieselben Fragen beantworten wie die Prüfung eines Windows Servers:

• wer einen freigegebenen Ordner öffnen darf;
• wer darin Daten ändern oder löschen darf;
• wer seine Berechtigungen ändern darf;
• ob individuelle Ausnahmen bestehen;
• ob das Konto oder die Gruppe weiterhin der tatsächlichen beruflichen Rolle entspricht.

Die Vergabe von Rechten an Gruppen ist in der Regel übersichtlicher als Dutzende Ausnahmen für einzelne Personen. Beim Eintritt eines neuen Buchhalters wird lediglich die Mitgliedschaft in der Gruppe UCETNI geändert; sein Name muss nicht in jedem Ordner einzeln gesucht werden.

Microsoft 365: Rollen, Gäste und Links prüfen

In Microsoft 365 kann Zugriff über eine Microsoft-365-Gruppe, eine Sicherheitsgruppe, ein Team, eine SharePoint-Website, eine direkte Berechtigung, einen externen Gast oder einen Freigabelink entstehen. Diese Zugriffswege müssen gemeinsam beurteilt werden.

Ein Dokument kann korrekt auf Teammitglieder beschränkt sein, während gleichzeitig noch ein älterer Link des Typs „Jeder mit dem Link“ besteht. Ein solcher Link kann an weitere Personen weitergegeben werden und erfordert je nach Konfiguration möglicherweise keine Anmeldung. Ein Link für bestimmte Personen ist präziser, sollte jedoch ebenfalls nicht ohne Verantwortlichen und nachvollziehbaren Grund aktiv bleiben.

Die Prüfung sollte Folgendes umfassen:

• externe Gäste und ihren letzten bekannten Zweck;
• anonyme Links und Links ohne begrenzte Gültigkeitsdauer;
• direkte Berechtigungen außerhalb der üblichen Teammitgliedschaft;
• Eigentümer von Teams und SharePoint-Websites;
• Berechtigungen für einzelne Ordner und Dokumente;
• freigegebene Postfächer und die Rechte Full Access, Send As und Send on behalf;
• Administratorrollen in Microsoft Entra ID;
• Arbeitskonten, die gleichzeitig die höchste Administratorrolle verwenden.

Das reguläre Arbeitskonto eines Administrators sollte nicht allein aus Bequemlichkeit globaler Administrator sein. Für die Administration empfiehlt sich ein separates Konto, und die Zahl der Administratoren mit den höchsten Rechten sollte sich am tatsächlichen Bedarf sowie an der erforderlichen Vertretung orientieren. Wenn es bereits zu einer verdächtigen Anmeldung oder einer Änderung von E-Mail-Regeln gekommen ist, folgen Sie der Anleitung zum kompromittierten Microsoft-365-Konto.

Ausscheiden eines Mitarbeiters: Zugriff sperren, nicht unüberlegt löschen

Beim Ausscheiden eines Mitarbeiters müssen seine Anmeldung schnell gesperrt und aktive Sitzungen beendet werden. Davon zu unterscheiden ist die unwiderrufliche Löschung der Identität. Vor diesem Schritt muss das Unternehmen benötigte Daten, E-Mails, Dokumente, Eigentumsrechte an Teams und abhängige Automatisierungen übertragen.

Das Audit sollte insbesondere nach Folgendem suchen:

• aktiven Konten ehemaliger Mitarbeiter;
• externen Mitarbeitern ohne festgelegtes Ende des Zugriffs;
• ungenutzten lokalen Konten auf Servern und NAS-Geräten;
• Zugängen, die privaten E-Mail-Adressen zugeordnet sind;
• VPN-Profilen und Fernwartungskonten;
• API-Schlüsseln und Dienstkonten, die an eine konkrete Person gebunden sind;
• gemeinsam genutzten Passwörtern, die der ausgeschiedene Mitarbeiter weiterhin kennt.

Eine übereilte Löschung kann Backups, Synchronisierungen, Buchhaltungsintegrationen oder automatisierte Exporte unterbrechen. Wenn ein Unternehmen die Infrastruktur von einem Administrator oder Dienstleister übernimmt, hilft die Checkliste Unser IT-Administrator ist weg und niemand kennt die Passwörter.

Gemeinsam genutzte Konten verschleiern, wer eine Änderung vorgenommen hat

Konten wie sklad, recepce oder admin, deren Passwort mehrere Personen kennen, machen es unmöglich, eine konkrete Aktion zuverlässig einer bestimmten Person zuzuordnen. Nach dem Ausscheiden eines Mitarbeiters lässt sich außerdem nicht nur dessen Zugriff entziehen, ohne das Passwort für alle anderen zu ändern.

Jede Person sollte ein eigenes Konto haben. Technische Passwörter, die sich nicht vollständig abschaffen lassen, gehören in einen unternehmenseigenen Passwortmanager mit kontrollierter Freigabe, Änderungshistorie und der Möglichkeit, einzelnen Benutzern den Zugriff zu entziehen. Die Auswahl einer geeigneten Lösung behandeln wir im Artikel Passwortmanager für Unternehmen.

Wichtige Konten sollten eine Mehrfaktor-Authentifizierung verwenden. Bei Systemen, die diese Verfahren unterstützen, bieten Passkeys oder FIDO2-basierte Hardware-Schlüssel einen besseren Schutz vor gefälschten Anmeldeseiten als ein manuell eingegebener Code. Das Unternehmen muss jedoch auch eine alternative Anmeldemethode, den Verlust eines Geräts und den Notfallzugriff berücksichtigen. Die praktischen Unterschiede erläutert die Übersicht MFA im Unternehmen: Passkeys und FIDO2 statt SMS.

Wie ein brauchbares Ergebnis aussehen sollte

Das Ergebnis eines Audits sollte nicht aus mehreren technischen Exporten ohne Erläuterung bestehen. Das Unternehmen benötigt mindestens drei aufeinander aufbauende Ergebnisse.

Matrix aus Rollen und Systemen

Sie beschreibt den genehmigten Sollzustand: Welche Rolle benötigt welchen Zugriff, wer hat ihn genehmigt und wer ist für die betreffenden Daten verantwortlich?

Liste der Feststellungen

Jede Feststellung sollte ein konkretes Konto, eine Gruppe, einen Ordner, eine Rolle oder einen Link benennen. Dazu gehören ein Nachweis der Feststellung, die geschäftlichen Auswirkungen und ein Vorschlag für den nächsten Schritt.

Anstelle der allgemeinen Aussage „Die Berechtigungen sind nicht in Ordnung“ sollte beispielsweise Folgendes stehen:

Die Gruppe OBCHOD kann aufgrund geerbter NTFS-Berechtigungen den Ordner Mzdy ändern. Der Verantwortliche für die Personaldaten hat diesen Zugriff nicht bestätigt. Vor dem Entzug wird geprüft, ob dieselbe Gruppe einen erforderlichen Export in das Buchhaltungssystem ausführt.

Maßnahmen- und Prüfplan

Der Plan legt die verantwortliche Person, die Reihenfolge der Änderungen, den Termin, ein Verfahren zur Rückgängigmachung und die anschließende Kontrolle fest. Eine Änderung gilt nicht allein deshalb als abgeschlossen, weil der Administrator sie gespeichert hat. Es muss überprüft werden, ob ein unberechtigter Benutzer den Zugriff tatsächlich verloren hat und berechtigte Personen weiterhin arbeiten können.

Wenn im Unternehmen niemand zuverlässig feststellen kann, wer sensible Daten sieht, können wir dieses Verfahren im Rahmen eines IT-Audits durchführen. Wie ein solches Audit Schritt für Schritt abläuft, beschreibt der Artikel IT-Audit eines kleinen Unternehmens. Das Ergebnis umfasst einen dokumentierten Istzustand, priorisierte Maßnahmen und Unterlagen für wiederholte Kontrollen – nicht nur einen unkommentierten Export der Konten.

Trennen Sie die Maßnahmen von der Erhebung

Das eigentliche Audit kann überwiegend durch das Lesen von Konfigurationen und Exporten sowie durch die Überprüfung ausgewählter Szenarien erfolgen. Es sollte nicht automatisch Passwörter ändern, Konten deaktivieren oder die Vererbung von Berechtigungen überschreiben.

Eine umfassende Änderung von NTFS-Rechten, die Entfernung sämtlicher externer Links oder die Deaktivierung von Dienstkonten kann den laufenden Betrieb beeinträchtigen. Vor einer größeren Änderung ist Folgendes erforderlich:

1. die Feststellung mit dem Datenverantwortlichen bestätigen;
2. Abhängigkeiten des Kontos oder der Gruppe ermitteln;
3. die ursprüngliche Konfiguration dokumentieren;
4. ein Verfahren zur Rückgängigmachung vorbereiten;
5. eine begrenzte Änderung durchführen;
6. sowohl den erwarteten als auch den unerwünschten Zugriff überprüfen;
7. erst danach mit weiteren Konten oder Ordnern fortfahren.

Vorrang haben verwaiste Administratorkonten, öffentlich zugängliche sensible Dokumente, unkontrollierte Fernzugriffe und gemeinsam genutzte Passwörter für wichtige Systeme. Die genaue Reihenfolge muss sich jedoch nach den Auswirkungen auf das konkrete Unternehmen richten.

Wie häufig Zugriffsrechte geprüft werden sollten

Ein einmaliges Audit bereinigt historisch entstandene Probleme, verhindert aber keine neuen Ausnahmen. Weitere Kontrollen sollten an Ereignisse anknüpfen, durch die sich Berechtigungen ändern:

• Eintritt oder Ausscheiden eines Mitarbeiters;
• Wechsel der beruflichen Rolle;
• Beauftragung oder Ausscheiden eines externen Dienstleisters;
• Einführung eines neuen Systems oder Speichers;
• Umstrukturierung freigegebener Ordner;
• Sicherheitsvorfall;
• Übernahme der IT von einem anderen Administrator.

Eine regelmäßige vierteljährliche Überprüfung kann für kleinere Unternehmen ein sinnvoller Ausgangspunkt sein, ist jedoch keine allgemeingültige Pflicht. Sensiblere Umgebungen oder häufige personelle Veränderungen können kürzere Zyklen erfordern. Ein stabiles System mit gut verwalteten Rollen kann abhängig vom eigenen Risiko ein anderes Intervall verwenden.

NIS2 und DSGVO: Ein Audit ist kein Konformitätszertifikat

Die Zugriffssteuerung gehört zu den Sicherheitsmaßnahmen, die sowohl beim Schutz personenbezogener Daten als auch in der Cybersicherheit eine Rolle spielen. Ein Audit kann den tatsächlichen Zustand, die Verantwortlichen für Berechtigungen und die umgesetzten Maßnahmen dokumentieren. Für sich allein weist es jedoch weder die vollständige Einhaltung der DSGVO und der NIS2-Richtlinie noch des tschechischen „zákona č. 264/2025 Sb., o kybernetické bezpečnosti“ nach.

Wer unter das neue Gesetz fällt, fasst der Artikel NIS2 und zákon 264/2025 Sb. zusammen. Die Konformität hängt außerdem vom Risikomanagement, von Backups, der Reaktion auf Sicherheitsvorfälle, dem Lieferantenmanagement, der Betriebskontinuität und weiteren Maßnahmen ab. Die Aussage „Wir haben ein Audit der Zugriffe durchgeführt, damit ist alles erledigt“ ist daher nicht vertretbar.

Häufig gestellte Fragen

Wie lange dauert ein Audit der Zugriffsrechte?

Entscheidend sind die Zahl der Systeme, Gruppen und individuellen Ausnahmen sowie die Qualität der Dokumentation. Ein Unternehmen mit zwanzig Beschäftigten kann komplexere Berechtigungen haben als ein Unternehmen mit fünfzig Beschäftigten, wenn es mehrere voneinander getrennte Cloud-Dienste, ein lokales NAS und historische Konten externer Mitarbeiter verwendet.

Müssen bei einem Audit Passwörter geändert werden?

Nicht automatisch. Eine Änderung ist beispielsweise bei einem gemeinsam genutzten, offengelegten oder anderweitig nicht vertrauenswürdigen Passwort angebracht. Die Erhebung sollte von den Maßnahmen getrennt werden, damit das Audit nicht selbst einen Ausfall verursacht.

Ist ein Link des Typs „Jeder mit dem Link“ immer ein Fehler?

Nicht immer. Er muss jedoch einen konkreten Zweck, einen Verantwortlichen, einen angemessenen Umfang und eine begrenzte Gültigkeitsdauer haben. Für interne Dokumente, Personalunterlagen oder Verträge ist eine Freigabe für ausdrücklich benannte und überprüfte Personen in der Regel besser geeignet.

Reicht es, einen ehemaligen Mitarbeiter aus den Gruppen zu entfernen?

Nein. Es müssen auch Cloud-, lokale, VPN- und Administratorkonten, aktive Sitzungen, gemeinsam genutzte Passwörter, Eigentumsrechte an Daten, Integrationsschlüssel und an seine Identität gebundene Automatisierungen geprüft werden.

Woran erkennt man, dass das Audit nicht nur eine Formalität war?

Bei jedem wesentlichen Zugriff muss nachvollziehbar sein, wie er entstanden ist, wer ihn genehmigt hat und ob er einem betrieblichen Bedarf entspricht. Nach den Maßnahmen muss überprüft werden, ob der überflüssige Zugriff tatsächlich entfernt wurde und berechtigte Benutzer den Zugriff auf die benötigten Daten nicht verloren haben.

Wo Sie uns finden

ITHOPE ist eine Firma aus Brno, Tschechien: wir machen Datenrettung von Festplatten, RAID und NAS, PC- und Notebook-Service und IT für Unternehmen, alles im eigenen Labor in der Viniční 3587/216, 615 00 Brno.

Telefon +420 775 556 063 (rund um die Uhr). Das Gerät können Sie persönlich bringen oder per Kurier schicken (Zásilkovna, PPL).