Berechtigungsentzug: Flussdiagramm zur Deprovisionierung

So funktioniert es

1. Benennen Sie Ihre echten Auslöserquellen

   Das Diagramm kennt vier Auslöser: Austritt, Vertragsende, Rollenwechsel und Prüfbefund. Halten Sie fest, welches System oder welche Person je Auslöser führend ist — etwa das Personalsystem für Angestellte, das Vertragsregister für Lieferanten und externe Kräfte und das Prüfergebnis für Befunde. Wo ein Auslöser heute keinen Verantwortlichen hat, ist das die Lücke, die zuerst zu schließen ist: Ein Prozess, den niemand startet, lässt sich auch nicht messen.

2. Schreiben Sie die Regel für den sofortigen Entzug auf

   Die Entscheidung „Sofortiger Entzug erforderlich?“ funktioniert nur, wenn die Kriterien danebenstehen. Typische Auslöser sind Kündigung, Verdacht auf Fehlverhalten und jede Person mit Administrator-, Produktions- oder Zahlungsfreigaberechten. Ergänzen Sie Ihre eigene Zielzeit und benennen Sie, wer sie außerhalb der Regelzeiten auslösen darf. Bei einer Kündigung wird der Entzug üblicherweise auf das Gespräch selbst abgestimmt — der Zweig betrifft also ebenso die Reihenfolge wie die Geschwindigkeit.

3. Hängen Sie Ihr Systeminventar an den Ermittlungsschritt

   Ersetzen Sie die allgemeine Kontenliste durch das Inventar, das Sie tatsächlich pflegen, und markieren Sie, welche Systeme hinter Single Sign-on liegen und welche nicht. Alles außerhalb des Identity Providers ist der Ort, an dem übersehene Zugriffe wohnen: lokale Administratorkonten, Datenbankanmeldungen, SSH-Schlüssel, API-Token und Werkzeuge, die ein Team auf eigene Rechnung beschafft hat. Fragen Sie die Führungskraft, was die IT nicht verwaltet.

4. Entscheiden Sie über Deaktivieren gegen Löschen, bevor Sie es brauchen

   Setzen Sie Deaktivieren als Standard und legen Sie fest, wann gelöscht werden darf — etwa nach einer festgelegten Aufbewahrungsfrist oder zum Vertragsende, wenn eine Vereinbarung es verlangt. Halten Sie fest, wer das entscheidet. Zu frühes Löschen vernichtet Mail-Daten, Dateieigentum und die Audit-Historie, auf die der Abgleichsschritt und jede spätere Untersuchung angewiesen sind.

5. Behalten Sie die Reihenfolge von Daten und Lizenzen bei

   Übertragen Sie zuerst Postfach und Dateieigentum, ziehen Sie erst danach die Lizenzen ein. Andersherum verwaisen geteilte Dateien und Postfächer, und sie nachträglich zurückzuholen ist mühsam. Wenn Sie eine Weiterleitung oder eine Stellvertretung einrichten, geben Sie ihr im selben Schritt einen benannten Verantwortlichen und ein Enddatum, sonst wird aus der Übergangslösung still eine Dauerlösung.

6. Vereinbaren Sie, was als Nachweis gilt und wer abgleicht

   Legen Sie fest, was der Entzugsnachweis enthalten muss — üblicherweise System, Maßnahme, Zeitstempel und ausführende Person — und wo er abgelegt wird. Benennen Sie dann, wer die Prüfung „Noch aktive Zugriffe?“ durchführt und wogegen, denn nur der Abgleich gegen die ursprüngliche Kontenliste statt gegen das Gedächtnis findet eine Auslassung. Veröffentlichen Sie das freigegebene Diagramm neben Ihrer Zugriffsrichtlinie, damit der gelebte Prozess und der Prozess, den Sie einem Auditor zeigen, derselbe sind.

Häufig gestellte Fragen

Was ist der Prozess zum Berechtigungsentzug?

Es ist der festgelegte Weg, den der Entzug von Zugriffen nimmt — vom Auslöser bis zum bestätigten und belegten Abschluss. Ein vollständiger Prozess hat fünf Teile: einen Auslöser mit benannter Quelle, eine Entscheidung darüber, wie dringend die Zugriffe verschwinden müssen, die Ermittlung aller Konten und Berechtigungen der Person, den Entzug in jedem System samt der Folgen für Daten und Lizenzen sowie einen Abgleich, der zeigt, dass nichts aktiv geblieben ist. Die Auslöser sind breiter, als die meisten Teams annehmen: Neben Austritten sollte der Prozess bei Rollen- und Teamwechseln, bei Vertrags- oder Auftragsende und bei jedem Prüfbefund laufen, denn genau auf diesen Wegen entstehen die Berechtigungen, die später niemand erklären kann.

Wie schnell müssen Zugriffe bei einem Austritt entzogen werden?

Standards formulieren die Anforderung, nicht die Uhr. Control A.5.18 der ISO/IEC 27001:2022 verlangt, Zugriffsrechte bei Beendigung oder Änderung des Beschäftigungsverhältnisses zu entziehen oder anzupassen, gibt aber kein Intervall vor — die Zielzeit müssen Sie selbst setzen und begründen. Verbreitet ist der Entzug zum Ende des letzten Arbeitstages bei einem geplanten Ausscheiden und der sofortige, auf das Gespräch abgestimmte Entzug bei einer Kündigung oder bei privilegierten Zugriffen. Was Sie auch wählen: Schreiben Sie es in den Prozess, messen Sie die tatsächliche Zeit vom Auslöser bis zum letzten Entzug und behandeln Sie die Differenz zwischen beiden als die Kennzahl, die es zu berichten lohnt.

Sollten wir das Konto deaktivieren oder löschen?

Deaktivieren ist der sichere Standard und das, was die meisten Organisationen zuerst tun. Es sperrt das Konto, beendet aktive Sitzungen und verhindert die Anmeldung, während Postfachinhalte, Dateieigentum, Gruppenmitgliedschaften und die Audit-Historie erhalten bleiben, die eine Untersuchung oder eine spätere Berechtigungsprüfung braucht. Löschen gehört ans Ende einer festgelegten Aufbewahrungsfrist oder ans Vertragsende, wenn eine Vereinbarung oder eine Datenschutzzusage es verlangt. Wofür Sie sich auch entscheiden: Aktive Sitzungen zu beenden und Token zu widerrufen zählt genauso viel wie der Kontostatus — ein deaktiviertes Konto mit einer laufenden Sitzung oder einem gültigen Refresh-Token hat weiterhin Zugriff, bis diese Sitzung abläuft.

Wie entzieht man Zugriffe auf Sammel-, Dienst- und privilegierte Konten?

Ein Sammel- oder Dienstkonto lässt sich nicht durch Deaktivieren deprovisionieren, weil andere Personen und Systeme davon abhängen. Die Entzugsmaßnahme ist stattdessen die Rotation der Zugangsdaten: Passwort oder Schlüssel ändern, die Person aus dem Tresor oder der Gruppe entfernen, die den Zugang hält, von ihr erzeugte API-Token, SSH-Schlüssel und Personal Access Tokens widerrufen und aktive Sitzungen beenden. Privilegierte persönliche Konten brauchen dieselbe Behandlung von Sitzungen und Token zusätzlich zum normalen Deaktivieren. Die Vorlage führt diesen Fall auf einem eigenen Zweig in der Verantwortung der Informationssicherheit, weil er am häufigsten übersehen wird und die weitreichendsten Folgen hat, wenn er ausbleibt.

Welche Nachweise sollte dieser Prozess erzeugen?

Mindestens einen Vorgang oder Datensatz je Entzug mit dem Auslöser und seinem Datum, der zusammengestellten Konten- und Berechtigungsliste, der Maßnahme in jedem System samt Zeitstempel und ausführender Person sowie dem Ergebnis des Abgleichs. Genau diesen Datensatz zieht ein Auditor als Stichprobe, und er erlaubt Ihnen, einen Sicherheitsfragebogen mit einem Datum statt mit einer Beschreibung zu beantworten. Dabei lohnt Klarheit darüber, was ein Flussdiagramm hier leistet: Es dokumentiert den beabsichtigten Prozess und die Verantwortlichkeiten je Schritt — der Nachweis der Konformität sind jedoch die Aufzeichnungen, die der Prozess im Betrieb hervorbringt.