Berechtigungsentzug: Flussdiagramm zur Deprovisionierung

Was ist berechtigungsentzug: flussdiagramm zur deprovisionierung?

Berechtigungsentzug, auch Deprovisionierung genannt, ist der Prozess, nicht mehr benötigte Zugriffe zu entziehen, und belegen zu können, dass sie entzogen wurden. Er läuft von einem Auslöser, der ein Austritt, ein Rollenwechsel, ein endendes Vertrags- oder Auftragsverhältnis oder eine Berechtigungsprüfung mit einer nicht begründbaren Berechtigung sein kann, bis zu einem Nachweis, dass jedes Konto und jede Berechtigung behandelt wurde. Er ist auf eine Weise zeitkritisch, wie es kaum ein anderer Verwaltungsprozess ist: Das Risikofenster öffnet sich in dem Moment, in dem der Auslöser eintritt, und bleibt offen, bis die letzte Sitzung beendet ist.

Das ist nicht der gesamte Austrittsprozess. Übergabe, Austrittsgespräch, Rückgabe von Arbeitsmitteln und Schlussabrechnung gehören zum Mitarbeiter-Offboarding, einer breiteren Koordinationsaufgabe in der Verantwortung der Personalabteilung. Dieser Prozess ist dessen Berechtigungshälfte, und er läuft auch für Personen, die gar nicht ausscheiden. Deshalb ist die Auslöserbahn nach der Quelle benannt und nicht nach einem Austritt. Es ist ebenso wenig die Vergabeseite: Wie Zugriffe beantragt, begründet, freigegeben und bereitgestellt werden, beschreibt der Zugriffsantrag. Der Entzug beginnt dort, wo diese beiden aufhören, und ein einziger Ablauf bedient alle vier Auslöser, statt für Austritte sauber geschrieben und für alles andere improvisiert zu sein.

Die Vorlage zeichnet den Ablauf über fünf Bahnen, Auslösende Stelle (HR oder Führungskraft), IT-Service-Desk, Systemverantwortlicher, Informationssicherheit und Audit, auf sechs Phasen vom Auslöser bis zu Nachweis und Abschluss. Sie enthält die Verzweigung, die entscheidet, ob sofort oder zum Stichtag entzogen wird, den Umgang mit Sammel-, Dienst- und privilegierten Konten, die sich nicht einfach abschalten lassen, die Entscheidung zwischen Deaktivieren und Löschen sowie einen Abgleich am Ende, der das tatsächlich Entzogene gegen die zu Beginn erstellte Liste hält. Die Form folgt der Entzugshälfte des Berechtigungslebenszyklus aus Control A.5.18 in Anhang A der ISO/IEC 27001:2022, das den Entzug oder die Anpassung von Zugriffsrechten bei Ende oder Änderung eines Beschäftigungs- oder Auftragsverhältnisses verlangt.

Was dieses Flussdiagramm abdeckt

In dieser Vorlage

• Vier Wege hinein, ein Ablauf: Die Entscheidung „Art des Auslösers?“ in der Bahn der auslösenden Stelle führt Austritt und Vertragsende, Rollenwechsel sowie Prüfbefund auf denselben Entzugsweg, nichts hängt davon ab, ob zufällig die Personalabteilung das Ticket eröffnet hat
• Die Entscheidung „Sofortiger Entzug erforderlich?“ in der Bahn des IT-Service-Desks, mit einem Sofortzweig, der bei Kündigungen und privilegierten Konten alle Zugriffe binnen einer Stunde sperrt, und einem terminierten Zweig, der den Entzug auf den Stichtag legt; beide treffen sich wieder beim selben Ermittlungsschritt
• Ein einziger Ermittlungsschritt, der die vollständige Konten- und Berechtigungsliste zusammenstellt, bevor irgendetwas gesperrt wird, mit einem Knotenkommentar, der die üblichen Lücken benennt: lokale Konten, Dienst- und Sammelkonten, VPN und Fernzugriff, Cloud- und Datenbankkonsolen, per Kreditkarte beschaffte SaaS-Dienste und der Gebäudezugang
• Die Entscheidung „Sammel- oder privilegiertes Konto?“ in der Verantwortung des Systemverantwortlichen, die Sammel-, Dienst- und privilegierte Konten an die Informationssicherheit zur Rotation von Zugangsdaten und Schlüsseln leitet, weil sich diese Konten nicht deaktivieren lassen, ohne etwas zu zerstören, das von ihnen abhängt
• Die Entscheidung „Konto deaktivieren oder löschen?“ in der Entzugsspalte, deren beide Zweige beim Entzug der Berechtigungen in jedem Zielsystem durch den Systemverantwortlichen wieder zusammenlaufen
• Daten und Lizenzen in der Reihenfolge, die verwaiste Dateien vermeidet: erst Postfach und Dateieigentum übertragen, dann Lizenzen einziehen und das Inventar aktualisieren, danach die Nachweisführung in der Bahn Informationssicherheit und der Abgleich „Noch aktive Zugriffe?“ in der Audit-Bahn, der Lücken vor der Abnahme zurück in den Ermittlungsschritt schickt

Wann Sie diese Vorlage verwenden sollten

• Sie schreiben oder überarbeiten ein Verfahren zur Deprovisionierung und brauchen die Berechtigungsschritte getrennt von der allgemeinen Offboarding-Checkliste, mit einem Verantwortlichen je Schritt
• Berechtigungsprüfungen finden immer wieder aktive Konten von Personen, die ausgeschieden sind, das Team gewechselt oder einen Auftrag beendet haben, und Sie müssen zeigen, wo im Prozess der Entzug erfolgt und wer ihn bestätigt
• Sie richten eine Joiner-Mover-Leaver-Automatisierung im Identity Provider oder im Servicemanagement-Werkzeug ein und wollen den Prozess klären, bevor er in Workflow-Regeln gegossen wird
• Ihre Umgebung ist stark von externen Dienstleistern geprägt, sodass Vertragsenden und nicht ein HR-Datenstrom der Hauptauslöser sind und kein Austrittsdatensatz vorliegt
• Sie beantworten einen Auditor oder einen Sicherheitsfragebogen eines Kunden, der wissen will, wie Zugriffe bei Beendigung entzogen werden und welche Nachweise es dafür gibt

So funktioniert es

1. Benennen Sie Ihre echten Auslöserquellen

   Das Diagramm kennt vier Auslöser: Austritt, Vertragsende, Rollenwechsel und Prüfbefund. Halten Sie fest, welches System oder welche Person je Auslöser führend ist: etwa das Personalsystem für Angestellte, das Vertragsregister für Lieferanten und externe Kräfte und das Prüfergebnis für Befunde. Wo ein Auslöser heute keinen Verantwortlichen hat, ist das die Lücke, die zuerst zu schließen ist: Ein Prozess, den niemand startet, lässt sich auch nicht messen.

2. Schreiben Sie die Regel für den sofortigen Entzug auf

   Die Entscheidung „Sofortiger Entzug erforderlich?“ funktioniert nur, wenn die Kriterien danebenstehen. Typische Auslöser sind Kündigung, Verdacht auf Fehlverhalten und jede Person mit Administrator-, Produktions- oder Zahlungsfreigaberechten. Ergänzen Sie Ihre eigene Zielzeit und benennen Sie, wer sie außerhalb der Regelzeiten auslösen darf. Bei einer Kündigung wird der Entzug üblicherweise auf das Gespräch selbst abgestimmt. Der Zweig betrifft also ebenso die Reihenfolge wie die Geschwindigkeit.

3. Hängen Sie Ihr Systeminventar an den Ermittlungsschritt

   Ersetzen Sie die allgemeine Kontenliste durch das Inventar, das Sie tatsächlich pflegen, und markieren Sie, welche Systeme hinter Single Sign-on liegen und welche nicht. Alles außerhalb des Identity Providers ist der Ort, an dem übersehene Zugriffe wohnen: lokale Administratorkonten, Datenbankanmeldungen, SSH-Schlüssel, API-Token und Werkzeuge, die ein Team auf eigene Rechnung beschafft hat. Fragen Sie die Führungskraft, was die IT nicht verwaltet.

4. Entscheiden Sie über Deaktivieren gegen Löschen, bevor Sie es brauchen

   Setzen Sie Deaktivieren als Standard und legen Sie fest, wann gelöscht werden darf, etwa nach einer festgelegten Aufbewahrungsfrist oder zum Vertragsende, wenn eine Vereinbarung es verlangt. Halten Sie fest, wer das entscheidet. Zu frühes Löschen vernichtet Mail-Daten, Dateieigentum und die Audit-Historie, auf die der Abgleichsschritt und jede spätere Untersuchung angewiesen sind.

5. Behalten Sie die Reihenfolge von Daten und Lizenzen bei

   Übertragen Sie zuerst Postfach und Dateieigentum, ziehen Sie erst danach die Lizenzen ein. Andersherum verwaisen geteilte Dateien und Postfächer, und sie nachträglich zurückzuholen ist mühsam. Wenn Sie eine Weiterleitung oder eine Stellvertretung einrichten, geben Sie ihr im selben Schritt einen benannten Verantwortlichen und ein Enddatum, sonst wird aus der Übergangslösung still eine Dauerlösung.

6. Vereinbaren Sie, was als Nachweis gilt und wer abgleicht

   Legen Sie fest, was der Entzugsnachweis enthalten muss (üblicherweise System, Maßnahme, Zeitstempel und ausführende Person) und wo er abgelegt wird. Benennen Sie dann, wer die Prüfung „Noch aktive Zugriffe?“ durchführt und wogegen, denn nur der Abgleich gegen die ursprüngliche Kontenliste statt gegen das Gedächtnis findet eine Auslassung. Veröffentlichen Sie das freigegebene Diagramm neben Ihrer Zugriffsrichtlinie, damit der gelebte Prozess und der Prozess, den Sie einem Auditor zeigen, derselbe sind.

Häufig gestellte Fragen

Was ist der Prozess zum Berechtigungsentzug?

Es ist der festgelegte Weg, den der Entzug von Zugriffen nimmt, vom Auslöser bis zum bestätigten und belegten Abschluss. Ein vollständiger Prozess hat fünf Teile: einen Auslöser mit benannter Quelle, eine Entscheidung darüber, wie dringend die Zugriffe verschwinden müssen, die Ermittlung aller Konten und Berechtigungen der Person, den Entzug in jedem System samt der Folgen für Daten und Lizenzen sowie einen Abgleich, der zeigt, dass nichts aktiv geblieben ist. Die Auslöser sind breiter, als die meisten Teams annehmen: Neben Austritten sollte der Prozess bei Rollen- und Teamwechseln, bei Vertrags- oder Auftragsende und bei jedem Prüfbefund laufen, denn genau auf diesen Wegen entstehen die Berechtigungen, die später niemand erklären kann.

Wie schnell müssen Zugriffe bei einem Austritt entzogen werden?

Standards formulieren die Anforderung, nicht die Uhr. Control A.5.18 der ISO/IEC 27001:2022 verlangt, Zugriffsrechte bei Beendigung oder Änderung des Beschäftigungsverhältnisses zu entziehen oder anzupassen, gibt aber kein Intervall vor: die Zielzeit müssen Sie selbst setzen und begründen. Verbreitet ist der Entzug zum Ende des letzten Arbeitstages bei einem geplanten Ausscheiden und der sofortige, auf das Gespräch abgestimmte Entzug bei einer Kündigung oder bei privilegierten Zugriffen. Was Sie auch wählen: Schreiben Sie es in den Prozess, messen Sie die tatsächliche Zeit vom Auslöser bis zum letzten Entzug und behandeln Sie die Differenz zwischen beiden als die Kennzahl, die es zu berichten lohnt.

Sollten wir das Konto deaktivieren oder löschen?

Deaktivieren ist der sichere Standard und das, was die meisten Organisationen zuerst tun. Es sperrt das Konto, beendet aktive Sitzungen und verhindert die Anmeldung, während Postfachinhalte, Dateieigentum, Gruppenmitgliedschaften und die Audit-Historie erhalten bleiben, die eine Untersuchung oder eine spätere Berechtigungsprüfung braucht. Löschen gehört ans Ende einer festgelegten Aufbewahrungsfrist oder ans Vertragsende, wenn eine Vereinbarung oder eine Datenschutzzusage es verlangt. Wofür Sie sich auch entscheiden: Aktive Sitzungen zu beenden und Token zu widerrufen zählt genauso viel wie der Kontostatus: ein deaktiviertes Konto mit einer laufenden Sitzung oder einem gültigen Refresh-Token hat weiterhin Zugriff, bis diese Sitzung abläuft.

Wie entzieht man Zugriffe auf Sammel-, Dienst- und privilegierte Konten?

Ein Sammel- oder Dienstkonto lässt sich nicht durch Deaktivieren deprovisionieren, weil andere Personen und Systeme davon abhängen. Die Entzugsmaßnahme ist stattdessen die Rotation der Zugangsdaten: Passwort oder Schlüssel ändern, die Person aus dem Tresor oder der Gruppe entfernen, die den Zugang hält, von ihr erzeugte API-Token, SSH-Schlüssel und Personal Access Tokens widerrufen und aktive Sitzungen beenden. Privilegierte persönliche Konten brauchen dieselbe Behandlung von Sitzungen und Token zusätzlich zum normalen Deaktivieren. Die Vorlage führt diesen Fall auf einem eigenen Zweig in der Verantwortung der Informationssicherheit, weil er am häufigsten übersehen wird und die weitreichendsten Folgen hat, wenn er ausbleibt.

Welche Nachweise sollte dieser Prozess erzeugen?

Mindestens einen Vorgang oder Datensatz je Entzug mit dem Auslöser und seinem Datum, der zusammengestellten Konten- und Berechtigungsliste, der Maßnahme in jedem System samt Zeitstempel und ausführender Person sowie dem Ergebnis des Abgleichs. Genau diesen Datensatz zieht ein Auditor als Stichprobe, und er erlaubt Ihnen, einen Sicherheitsfragebogen mit einem Datum statt mit einer Beschreibung zu beantworten. Dabei lohnt Klarheit darüber, was ein Flussdiagramm hier leistet: Es dokumentiert den beabsichtigten Prozess und die Verantwortlichkeiten je Schritt. Der Nachweis der Konformität sind jedoch die Aufzeichnungen, die der Prozess im Betrieb hervorbringt.