Cybersecurity-Wissen · Redaktion 360digital ·
MFA und Zugriffsrechte: Ein belastbares Identitätsmodell für KMU
Mehrfaktor-Authentisierung senkt das Risiko gestohlener Passwörter, löst aber kein übermässiges Vertrauen in Konten. Ein wirksames Identitätsmodell verbindet starke Anmeldung mit minimalen Rechten, Lebenszyklusprozessen und sichtbaren Notfallzugängen. Entscheidend ist, dass privilegierte und geschäftskritische Wege zuerst geschützt werden.
MFA risikobasiert einführen
Inventarisieren Sie Identitäten statt nur Mitarbeitende: Administratoren, Standardkonten, Dienstkonten, externe Partner, Geräte und Notfallkonten. Priorisieren Sie Cloud-Administration, E-Mail, Fernzugriff, Finanzsysteme und Passwortverwaltung. Bevorzugen Sie phishing-resistente Verfahren, wo die Plattform sie unterstützt, und definieren Sie einen sicheren Wiederherstellungsweg. SMS kann in bestimmten Umgebungen verfügbar sein, sollte aber nicht die einzige Schutzmassnahme für besonders privilegierte Zugänge sein.
MFA muss auch bei Support- und Delegationswegen gelten. Ein Helpdesk darf eine Sperre nicht allein aufgrund einer überzeugenden E-Mail umgehen. Wiederherstellung benötigt eine unabhängige Prüfung, Protokollierung und zeitlich begrenzte Freigabe. Notfallkonten werden offline geschützt, nur für den definierten Zweck genutzt und danach überprüft.
- Privilegierte Konten getrennt vom täglichen Benutzerkonto führen.
- Anmelde- und Wiederherstellungsereignisse zentral überwachen.
- Ausnahmen mit Besitzer, Ablaufdatum und Ersatzkontrolle dokumentieren.
Rechte über den Lebenszyklus
Rollen beschreiben Aufgaben, nicht Personen. Eine neue Person erhält nur die Rechte, die für ihre Funktion und den aktuellen Auftrag erforderlich sind. Wechsel, Abwesenheit und Austritt lösen überprüfbare Änderungen aus. Dienstkonten bekommen einen Besitzer, Zweck, technische Begrenzung und Rotationsplan. Gemeinsame Konten erschweren Verantwortlichkeit und sollten ersetzt oder streng kontrolliert werden.
Führen Sie regelmässige Zugriffsprüfungen durch, die Fachverantwortliche tatsächlich verstehen können. Ein Export aller Gruppen genügt nicht: Die verantwortliche Person bestätigt, ob Zugriff, Umfang und Dauer noch nötig sind. Besonders sensible Ablagen und externe Freigaben werden häufiger geprüft als unkritische Standarddienste.
Technisch sollte die Zuweisung nachvollziehbar bleiben: Wer beantragt, wer genehmigt, wer setzt um und wer kontrolliert? Ein klarer Ablauf reduziert Schattenlisten und direkte Sonderrechte. Wenn eine Anwendung keine feine Rolle kennt, wird das als Risiko dokumentiert und durch Prozess, zusätzliche Freigabe oder eine gezielte technische Verbesserung kompensiert. Ausnahmen werden nicht stillschweigend vererbt, sondern bei jeder erneuten Rechteprüfung erneut begründet.
Beispiel und Entscheidung
Hypothetisches Beispiel: Eine Treuhandfirma nutzt einen Cloud-Speicher mit Mandatsordnern. MFA ist aktiv, aber ein früheres Projektkonto besitzt weiterhin breite Leserechte. Die Korrektur besteht aus getrennten Rollen, einem Ablaufdatum für Projektzugriffe, einer Prüfung externer Freigaben und einem Alarm bei ungewöhnlicher Anmeldung. MFA war der notwendige Anfang; die Rechteprüfung schliesst die zweite Lücke.
Messen Sie den Fortschritt an geschützten privilegierten Wegen, abgeschalteten Altzugängen, bearbeiteten Ausnahmen und geprüften erneuten Rechteprüfungen. Eine MFA-Anzeige allein beweist weder minimale Rechte noch sichere Wiederherstellung. Beides gehört in den normalen Betriebsprozess. Beginnen Sie mit den wenigen Konten, die im Ernstfall den grössten Einfluss haben, und erweitern Sie danach auf weniger kritische Gruppen. Die verantwortlichen Fachpersonen brauchen verständliche Rollenlisten, sonst werden erneuten Rechteprüfungen nur formal bestätigt. Dokumentieren Sie bei einer Ablehnung, wer den Zugriff entfernt und wie eine spätere Freigabe beantragt wird. Dieser kleine Prozess verhindert, dass alte Gruppen aus Bequemlichkeit wieder aktiviert werden. Die Prüfung bleibt dadurch auch bei Ferienvertretungen nachvollziehbar. Eine kurze Stichprobe nach der Änderung bestätigt, dass die wirksame Berechtigung zur dokumentierten Rolle passt.
Das Ergebnis wird mit Datum und verantwortlicher Person abgelegt und bei der nächsten erneuten Rechteprüfung erneut herangezogen.
Häufige Fragen
Muss jedes Konto dieselbe MFA-Methode nutzen?
Die Sicherheitsanforderung sollte konsistent sein, die konkrete Methode darf zur Plattform und zum Risiko passen. Privilegierte Konten benötigen die stärkste verfügbare Variante.
Wie oft Rechte prüfen?
Nach Risiko und Veränderung. Privilegierte, externe und sensible Zugriffe sollten regelmässig und zusätzlich bei Rollenwechseln oder Vorfällen geprüft werden.
Was tun mit Dienstkonten?
Besitzer, Zweck, minimale Rechte, technische Begrenzung, Geheimnisrotation und Abschaltkriterium dokumentieren; ungenutzte Konten entfernen.
Von der Orientierung zur konkreten Prüfung
Cloud-Zugänge, MFA, Rollen und Dienstleisterkonten prüfen. Verständliche Empfehlungen für die Zugriffsverwaltung in Schweizer Unternehmen.
Cloud & Identität: Leistung ansehen ↗Quellen und fachliche Orientierung
Die verlinkten Fachquellen erläutern die zugrunde liegenden Konzepte. Checklisten und Planungsbeispiele sind redaktionelle Orientierung für KMU; sie ersetzen keinen auf Ihre Umgebung abgestimmten Prüfauftrag.