Ablaufdiagramm Berechtigungsantrag (Zugriffsrechte)
Ablaufdiagramm für den Berechtigungsantrag: rollenbasierter Antrag, Freigabe durch Führungskraft und Systemverantwortlichen, Funktionstrennung, Einrichtung und Rezertifizierung.
So funktioniert es
Benennen Sie Ihre echten Freigebenden
Passen Sie die fünf Bahnen an die Rollen an, die es bei Ihnen gibt. In kleineren Organisationen sind Systemverantwortlicher und Sicherheitsprüfer oft dieselbe Person; führen Sie diese Bahnen zusammen, statt eine Freigabe zu zeichnen, die es nie gibt. Eine Bahn je Entscheidungsträger, nicht je Person — so übersteht das Diagramm einen Stellenwechsel.
Legen Sie fest, was als privilegiert oder sensibel gilt
Die Entscheidung „Privilegierter oder sensibler Zugriff?“ funktioniert nur, wenn die Kriterien daneben stehen. Typische Auslöser sind Administrator- und Root-Konten, Servicekonten, Zugriff auf personenbezogene oder finanzielle Daten und alles, was Produktivsysteme verändern kann. Setzen Sie die Schwelle so, dass der Sicherheitszweig nur bei einer Minderheit der Anträge greift — sonst wird er zum Abnicken.
Schreiben Sie Ihre Regeln zur Funktionstrennung auf
Listen Sie die Kombinationen, die niemand allein halten darf, etwa einen Lieferanten anlegen und dessen Zahlung freigeben oder Code schreiben und in Produktion bringen. Ohne diese Matrix ist die Konfliktprüfung reine Fassade. Legen Sie außerdem fest, wer eine ausgleichende Kontrolle freigibt, wenn der Konflikt unvermeidbar ist, und dokumentieren Sie sie an der Berechtigung.
Entscheiden Sie, wo das Berechtigungsregister liegt
Richten Sie den Dokumentationsschritt auf das System aus, das Sie tatsächlich pflegen werden — ein Identity-Governance-Werkzeug, Ihre ITSM-Plattform oder eine gelenkte Tabelle. Stellen Sie sicher, dass auch der Entzugszweig denselben Datensatz aktualisiert, sonst wird aus dem Register langsam eine Liste vergebener statt bestehender Zugriffe.
Setzen Sie Takt und Verantwortung der Rezertifizierung
Ersetzen Sie die allgemeine turnusmäßige Überprüfung durch Ihre eigene Frequenz und Ihre Auslöser, etwa privilegierte Konten quartalsweise, Standardrollen jährlich, dazu eine außerplanmäßige Überprüfung bei jedem Rollenwechsel. Benennen Sie, wer die Prüfer nachhält und was bei Fristüberschreitung passiert — eine Überprüfung ohne Verantwortlichen ist der Schritt, der still einschläft.
Lassen Sie das Diagramm freigeben und halten Sie eine gültige Fassung
Teilen Sie das Diagramm mit den darin benannten Freigebenden, halten Sie deren Freigabe fest und verlinken Sie die freigegebene Fassung aus Ihrer Richtlinie zur Zugangssteuerung. Wenn das Diagramm versioniert und mit dokumentierter Freigabe geführt wird, sind der gelebte Prozess und der Prozess, den Sie einem Auditor zeigen, derselbe.
Häufig gestellte Fragen
Was ist ein Prozess für Berechtigungsanträge?
Es ist der festgelegte Weg, den ein Antrag auf Systemzugriff nimmt — vom Moment der Anfrage bis zur Vergabe, Dokumentation und späteren Überprüfung. Ein vollständiger Prozess hat vier Teile: einen Antrag, der eine definierte Rolle und eine fachliche Begründung nennt; die Freigabe durch jemanden, der für die Person verantwortlich ist, und jemanden, der für das System verantwortlich ist; die technische Einrichtung durch die Stelle mit den administrativen Rechten; und einen Registereintrag mit Prüfdatum. Beantragen und Einrichten sind bewusst getrennte Schritte unterschiedlicher Personen, damit sich niemand selbst Zugriff erteilt.
Wer sollte einen Berechtigungsantrag freigeben?
Zwei Freigebende decken die meisten Fälle ab. Die Führungskraft bestätigt, dass die Person den Zugriff für ihre Arbeit braucht — eine Frage über den Antragsteller. Der System- oder Datenverantwortliche bestätigt, welche Rechte die Rolle tatsächlich gewährt und ob diese Person sie halten sollte — eine Frage über das System. Eine dritte Freigabe durch die Informationssicherheit lohnt sich nur bei privilegierten oder sensiblen Zugriffen, und genau so leitet diese Vorlage sie weiter. Mehr Freigebende verbessern die Entscheidung selten, verlängern die Wartezeit aber zuverlässig — und genau das erzeugt informelle Umgehungen wie geteilte Passwörter.
Was ist eine Prüfung der Funktionstrennung im Berechtigungsmanagement?
Sie prüft, ob die beantragte Rolle zusammen mit bereits vorhandenen Rechten eine Person in die Lage versetzen würde, einen sensiblen Vorgang von Anfang bis Ende ohne unabhängigen Schritt abzuschließen. Typische Beispiele sind einen Lieferanten anlegen und dessen Zahlungen freigeben oder Code schreiben und in Produktion bringen. Die Prüfung braucht eine abgestimmte Liste unzulässiger Kombinationen, gegen die sie testet. Lässt sich ein Konflikt nicht vermeiden, etwa in einem kleinen Team, ist die übliche Antwort eine dokumentierte ausgleichende Kontrolle — beispielsweise eine nachgelagerte Prüfung durch eine andere Person, festgehalten an der Berechtigung.
Wie oft sollten Zugriffsrechte rezertifiziert werden?
Das Risiko bestimmt die Frequenz. Verbreitet ist quartalsweise für privilegierte und administrative Konten, jährlich für Standardrollen und eine sofortige außerplanmäßige Überprüfung bei jedem Rollen- oder Teamwechsel. Die Maßnahme A.5.18 aus ISO/IEC 27001:2022 verlangt eine regelmäßige Überprüfung der Zugriffsrechte, schreibt aber kein Intervall vor — die Frequenz müssen Sie selbst begründen. Beachten Sie: Ein Ablaufdiagramm dokumentiert die Absicht, es belegt keine Konformität. Der Nachweis, nach dem ein Auditor fragt, sind die Freigaben und das Register, die der Prozess erzeugt.