.svg)
Gastbeitrag von Julian Lübke, Mitgründer und CEO von deeploi.
Das Wichtigste in Kürze
- Der fehlende Nachweis ist ein Symptom, nicht ein Problem. Wenn niemand zeigen kann, wer worauf Zugriff hatte, liegt das meistens an einem undefiniertenProzess, nicht an Nachlässigkeit
- Ein definierter Prozess braucht drei Dinge: einen Auslöser, eine namentlich benannte Person, die für das Ergebnis verantwortlich ist, und ein System, das die Änderung ausführt und festhält, sie ausgeführt wurde.
- Drei Tage sind entscheidend. Zugriffsrechte wechseln am Tag des Vertragsbeginns, am Tag des Teamwechsels und am letzten Tag. Den Teamwechsel überspringen fast alle.
- Wenn der Prozess steht, schreibt sich der Nachweis von selbst. Die Daten stimmen, weil das System sie beim Ausführen festgehalten hat, statt dass sie in der Auditwoche aus dem Gedächtnis rekonstruiert wird.
Nachlässigkeit ist nicht das Problem
Wenn ein Auditor fragt, wer wann worauf Zugriff hatte, lautet die ehrliche Antwort in den meisten kleinen Unternehmen: Das kann niemand mehr nachvollziehen. Es ist naheliegend, das für ein Disziplinproblem zu halten, doch oft ist dies nicht der Fall.
Zugriffe werden oft über Slack vergeben und zwarvon der Person, die an dem Tag gerade zehn Minuten Zeit hat. Entzogen werden sie, wenn zufällig jemand daran denkt. Es gibt keinen Auslöser, keine verantwortliche Person und keinen definierten Endzustand. Somitgibt es auch nichts zu dokumentieren. Der Nachweis fehlt, weil der Prozess gefehlt hat, und einen Prozess, den es nicht gibt, kann man nicht dokumentieren.
Ein definierter Zugriffsprozess ist einer, bei dem jede Änderung drei Dinge enthält: einen Auslöser, eine namentlich benannte Person, die für das Ergebnis verantwortlich ist, und ein System, das die Änderung ausführt und festhält, dass sie ausgeführt wurde. Nimmt man eines davon weg, verlässt man sich auf das Gedächtnis einer Person.
Es gibt drei Tage in einem Arbeitsverhältnis, an denen Zugriffsrechte den Besitzer wechseln: der erste Tag, der Tag des Wechsels in ein anderes Team und der letzte Tag. Jeder davon lässt sich als definierter Prozess führen, und wenn Sie das tun, entsteht der Nachweis, den Sie im Audit brauchen, ganz von selbst. Er ist dann kein separater Job mehr, den Sie zweimal im Jahr aus dem Gedächtnis erledigen.
Im folgenden beschreiben wir einen definierten Prozess an jedem dieser drei Momente. Geschrieben für ein Unternehmen, in dem die Person, die Zugriffe vergibt, daneben noch einen anderen Vollzeitjob hat; denn genau die macht es normalerweise.
Der erste Arbeitstag
1. Rollenbasierte Zugriffe: jede Rolle hat einen Standard, alles andere ist eine Ausnahme
Die informelle Variante beginnt mit der Frage, was diese Person eigentlich braucht. Wer darauf antwortet, rät, und das Raten fällt großzügig aus, weil zu wenig Zugriff ein Support-Ticket erzeugt und zu viel Zugriff meist keine Konsequenzen hat.
Die Alternative besteht nicht darin, allen mit derselben Jobbezeichnung identische Rechte zu geben. Zwei Personen im selben Marketingteam brauchen oft tatsächlich Unterschiedliches, weil die eine z.B. die Werbekonten betreut und die andere Texte schreibt. Die Alternative besteht darin, einmal festzulegen, was die Rolle standardmäßig bekommt, das automatisch zu vergeben und alles darüber hinaus als Anfrage zu behandeln, die eine benannte Person freigibt.
Genau dieser Unterschied macht eine Zugriffsprüfung überhaupt erst möglich. Wenn es einen Standard gibt, können Sie die Rechte einer Person ansehen, die Abweichung erkennen und nachfragen, warum sie besteht. Ohne Standard gibt es nichts zum Vergleichen und aus der Prüfung wird ein langes Gespräch, das mit einem Schulterzucken endet.
2. Geräteverwaltung fängt damit an, zu wissen, wessen Laptop das ist
Fast jedes Unternehmen mit unter hundert Mitarbeitenden verwaltet seine Hardware in einer Tabelle. Da gibt es ein Tabellenblatt mit Seriennummern, eine Spalte für die Besitzer der Laptops und ein Datum, das jemand bei der Übergabe eingetragen hat. Das ist ein vernünftiger Anfang und es stimmt in der Regel etwa drei Monate lang.
Dann wird ein Laptop ausgetauscht, weil er langsam geworden ist und der Tausch landet nicht in der Tabelle. Ein Gerät wird an einen Freelancer verliehen, der es am Ende des Projekts nicht zurückgibt. Eine Zeile verschwindet beim Aufräumen. Die Tabelle sieht weiterhin verbindlich aus, so wie Tabellen das immer tun, doch sie ist unbemerkt zu einer Aufzeichnung dessen geworden, was irgendwann einmal jemand für richtig hielt.
Das Problem ist nicht das Format, sondern, dass eine Tabelle eine von Hand gepflegte Behauptung über die Wirklichkeit ist, und jede von Hand gepflegte Aufzeichnung driftet in dieselbe Richtung: unvollständig.
Ein Live-Inventar funktioniert andersherum. Das Gerät meldet selbst, was es ist, wer angemeldet ist, welche Betriebssystemversion läuft und ob die Verschlüsselung aktiv ist. Der Eintrag aktualisiert sich, weil das Gerät es gemeldet hat, und nicht, weil jemand daran gedacht hat, es einzutippen. In den Geräteflotten, die bei deeploi betreut werden, ist das Inventar genau das: keine Liste, die jemand pflegt, sondern das, was jedes Gerät gerade über sich selbst meldet. Wenn später nachgewiesen werden muss, dass ein Laptop mit Kundendaten an einem bestimmten Tag verschlüsselt war, liefert das System diesen Nachweis automatisch, ohne dass die Informationen mühsam aus einer Tabelle rekonstruiert werden müssen.
Diese Verbindung zwischen einer benannten Person und einem konkreten Gerät ist auch die Grundlage für alles Weitere. Patch-Status, Verschlüsselung und Remote-Sperrung sind Eigenschaften eines Geräts und sie werden erst dann zum Nachweis über eine Person, wenn die Zuordnung sauber erfasst ist. Wenn die Geräteverwaltung im Moment der Übergabe richtig aufgesetzt wurde, werden die anderen acht Schritte belegbar.
3. Sicherheitseinstellungen gelten ab Tag eins, nicht irgendwann
Festplattenverschlüsselung, Bildschirmsperre, Passwortregeln und automatische Updates werden alle irgendwann nach dem ersten Arbeitstag richtig eingerichtet, wenn jemand dazu kommt. Die Zeitspanne zwischen dem Startdatum und diesem Moment ist unsichtbar, nach oben offen und im Nachhinein nicht mehr zu rekonstruieren.
Die strukturierte Variante setzt die Grundeinstellungen, bevor sich die Person überhaupt zum ersten Mal anmeldet. Das Gerät kommt fertig konfiguriert an und die Einstellungen sind erzwungen statt empfohlen. In diesem Moment wird eine geschriebene Richtlinie entweder zur Realität oder sie bleibt Theorie und am Anfang kostet das einen nichts extra. Später kostet es einen halben Tag pro Gerät und hinterlässt eine Lücke im Zeitverlauf.
Teamwechsel
4. Zugriffe für die neue Rolle kommen dazu
Dieser Schritt passiert immer, weil die Person ihren neuen Job sonst nicht machen kann. Es ist der einzige der neun Schritte, der nie übersprungen wird aufschlussreich ist: Arbeit, die jemanden sonst blockieren würde, wird erledigt, während Arbeit, die niemanden blockiert, nicht erledigt wird.
5. Zugriffe aus der alten Rolle werden entzogen
Das ist der Schritt, den fast alle überspringen: und genau deshalb finden Zugriffsprüfungen in wachsenden Unternehmen immer wieder Berechtigungen von Mitarbeitenden, die diese schon seit Jahren nicht mehr brauchen. Der alte Zugriff stört niemanden. Nichts geht kaputt, niemand beschwert sich, also bleibt er bestehen.
Ein definierter Prozess behandelt einen Teamwechsel als ein Ereignis mit zwei Hälften und nicht als Anfrage nach mehr Rechten. Der Wechsel wird aus dem HR-System ausgelöst, und das Hinzufügen und Entziehen sind Teil derselben Aktion. Wenn das Entziehen eine separate Aufgabe ist, an die sich jemand erinnern muss, wird sie vergessen, und die Person verlässt das Unternehmen irgendwann mit einem Rechteprofil, das niemand mehr erklären kann.
6. Jemand bestätigt das Ergebnis
Der dritte Schritt wirkt bürokratisch, obwohl er es nicht ist. Nachdem die Änderung durchgeführt wurde, sollte es einen fixen Moment geben, in dem eine benannte Person nachsieht, wie die Rechte jetzt tatsächlich aussehen, und bestätigt, dass sie zur neuen Rolle passen.
Ohne diesen Moment nimmt man an, dass die Änderung funktioniert hat. Meistens hat sie das. Die Fälle, in denen sie es nicht hat, sind genau die, die im Audit auftauchen, und der Unterschied zwischen beidem ist eine Bestätigung, die etwa eine Minute dauert und einen datierten Eintrag mit einem Namen hinterlässt.
Ende des Arbeitsverhältnisses
7. IT-Offboarding schließt jeden Account per Auslöser, nicht per Erinnerung
Das E-Mail-Konto wird am letzten Tag geschlossen, weil E-Mail sichtbar ist. Das Projektmanagement-Tool, das Design-Tool, das CRM und das Tool, das ein Team im letzten Frühjahr eingeführt und niemandem gesagt hat, bleiben offen, teilweise über Jahre.
Ein definiertes Offboarding läuft ab dem Austrittsdatum im HR-System, nicht erst, wenn jemand dran denkt. Es deckt alle Accounts in einem Durchlauf ab. deeploi ist mit dem HR-System des Unternehmens verbunden. Sobald jemand im HR-Team ein Austrittsdatum in Personio oder dem jeweils genutzten System einträgt, wird das Offboarding automatisch für dieses Datum eingeplant: Die Accounts stehen zum Schließen bereit, die Lizenzen zur Freigabe, das Gerät zur Sperrung.
Der Auslöser ist genauso wichtig wie die Vollständigkeit. Eine Aufgabe, die davon abhängt, dass sich jemand erinnert, wird zu spät erledigt, und genau das steht später im Nachweis. Beim automatisierten IT-Offboarding geht es nicht um Geschwindigkeit, auch wenn es insgesamt schneller ist. Vielmehr geht es darum, dass der Prozess startet, ohne dass jemand ihn aktiv starten muss.
8. Das Gerät kommt zurück oder wird remote gesperrt und beides wird festgehalten
Beim Austritt verschwindet häufiger Hardware als man zugeben möchte, besonders in Remote-Teams und/oder besonders dann, wenn die Trennung nicht einvernehmlich war. Der Prozess muss beide Fälleabdecken. Entweder kommt das Gerät zurück und wird zurückgesetzt oder es wird aus der Ferne gesperrt. In beiden Fällen wird das Ergebnis mit Datum festgehalten.
Ein nicht zurückgegebener Laptop ist ein beherrschbarer Vorfall, wenn man zeigen kann, dass er am letzten Tag gesperrt wurde. Er wird zum ernsthaften Problem, wenn man zugeben muss, dass niemand weiß, wo er sich befindet.
9. Daten werden übergeben und Lizenzen zurückgeholt, bevor jemand danach suchen muss
Wenn dieser Schritt nicht definiert ist, passieren zwei Dinge: Erstens liegen geschäftskritische Dokumente in einem geschlossenen Account und drei Wochen später muss jemand Zugriff auf das Laufwerk einer ehemaligen Kollegin beantragen. Zweitens verlängern sichbezahlte Lizenzen für Personen, die längst nicht mehr im Unternehmen arbeiten.
Die Übergabe an eine benannte Nachfolge und das Zurückholen der Lizenz gehören in denselben Ablauf wie das Schließen des Accounts, ausgelöst vom selben Ereignis. Auch der DSGVO-Aspekt ist erwähnenswert: Ein definiertes Löschdatum, getrennt vom Austrittsdatum, gibt einen dokumentierten Zeitpunkt, an dem personenbezogene Daten tatsächlich gelöscht werden, statt eines Accounts, der unbemerkt für immer bestehen bleibt.
Die neun Schritte, ihre Auslöser und was sie hinterlassen
Die Lücke, die niemand festhält
Diese eine Situation macht das Argument besser als jedes Prinzip.
Im HR-System steht, dass die Person am 31. ausgetreten ist. Die Accounts wurden tatsächlich erst in der Woche darauf geschlossen, oder in der Woche danach, weil die Person, die Accounts schließt, im Urlaub war und es späternachgeholt hat. Nirgends ist festgehalten, wie groß der Abstand zwischen diesen beiden Daten war, und ein halbes Jahr später kann ihn niemand mehr nennen.
Diese Lücke ist kein Disziplinproblem, und jemand Gewissenhafteres einzustellen schließt sie nicht. Sie entsteht, wenn eine Aufgabe davon abhängt, dass sich eine Person erinnert, statt dass ein Prozess sie auslöst. Die Lösung ist strukturell: Legen Sie den Auslöser fest, benennen Sie die verantwortliche Person, und lassen Sie das System den Schritt ausführen.
Wenn Sie das tun, schreibt sich der Nachweis von selbst. Die Daten stimmen, weil das System sie beim Ausführen festgehalten hat, und nur diese Art von Nachweis ist am Ende etwas wert. Lassen Sie die drei Tage informell, verbringen Sie die Auditwoche damit, die Vergangenheit aus dem Gedächtnis zu rekonstruieren, in der Hoffnung, dass Ihre Version nah genug an dem liegt, was wirklich passiert ist.
Richtlinien beschreiben, wie Zugriffsrechte wechseln sollen. Wahr werden sie durch einen Prozess, der läuft – ob gerade jemand daran denkt oder nicht. Wenn die Arbeit an den Richtlinien stimmt, ist IT-Compliance auf Geräte- und Zugriffsebene das, was als Nächstes strukturiert werden sollte.
Häufige Fragen
In welchen Momenten ändern sich Zugriffsrechte?
Zugriffsrechte ändern sich am ersten Arbeitstag, am Tag des Wechsels in ein anderes Team oder eine andere Rolle und am letzten Arbeitstag. An jedem dieser Punkte werden Rechte vergeben, entzogen oder beides, und jeder sollte durch ein Ereignis im HR-System ausgelöst werden statt durch die Anfrage der Person, der es gerade auffällt.
Warum können kleine Unternehmen selten zeigen, wer worauf Zugriff hatte?
Weil der Prozess nie definiert wurde, nicht, weil jemand nachlässig war. Wenn Zugriffe informell vergeben und dann entzogen werden, sobald sich jemand erinnert, gibt es keinen Auslöser, keine verantwortliche Person und kein System, das die Änderung ausführt. Also wird später auch nichts festgehalten. Der Nachweis fehlt, weil der Prozess, der ihn erzeugt hätte, nicht existiert.
Brauchen Personen in derselben Rolle identische Zugriffsrechte?
Nein, und ein guter Prozess setzt das auch nicht voraus. Die Rolle legt einen Standard fest, der automatisch vergeben wird, und alles darüber hinaus wird beantragt und von einer benannten Person freigegeben. Zwei Personen im selben Team können unterschiedliche Rechte haben, solange der Unterschied eine dokumentierte Ausnahme ist und kein Zufall.
Was sollte ein IT-Offboarding auslösen?
Das Austrittsdatum im HR-System. Ein Auslöser, der an einem Datum hängt, schließt Accounts pünktlich, unabhängig davon, ob gerade jemand daran denkt oder nicht. Ein Auslöser, der davon abhängt, dass sich jemand erinnert, erzeugt eine Lücke zwischen dem offiziellen letzten Arbeitstag und dem Tag, an dem der Zugriff tatsächlich endete. Genau nach dieser Lücke fragen Auditoren und meistens ist sie nicht dokumentiert.
Warum ist eine Geräte-Tabelle ein Problem für die Compliance?
Eine Tabelle hält fest, was jemand in dem Moment für richtig hielt, in dem er es eingetippt hat. Geräte werden ausgetauscht, verliehen und zurückgegeben, ohne dass die Tabelle nachgezogen wird, also veraltet sie, während sie weiterhin verbindlich aussieht. Ein Live-Inventar liest den Zustand direkt vom Gerät. Verschlüsselung und Patch-Status sind damit beobachtete Tatsachen mit Datum statt Behauptungen, die man im Nachhinein rekonstruieren muss.
