Wenn ein ehemaliger Mitarbeiter noch auf die Buchhaltung zugreifen kann oder ein gemeinsames Administrator-Konto im Umlauf ist, fehlt keine einzelne Einstellung – es fehlt eine klare Regelung. Ein Berechtigungskonzept für kleine Firmen legt nachvollziehbar fest, wer welche Daten, Anwendungen und Systeme nutzen darf. Das reduziert Sicherheitsrisiken, schützt vertrauliche Informationen und erleichtert den Arbeitsalltag.
Für kleine und mittlere Unternehmen ist das besonders relevant. Angreifer nutzen häufig gültige Zugangsdaten, statt technische Schwachstellen aufwendig auszunutzen. Zu weitreichende Rechte, unübersichtliche Freigaben und nicht deaktivierte Benutzerkonten machen diesen Weg unnötig leicht. Ein gut umsetzbares Konzept schafft hier Ordnung, ohne Mitarbeitende mit komplizierten Prozessen auszubremsen.
Was ein Berechtigungskonzept konkret regelt
Ein Berechtigungskonzept ist keine umfangreiche IT-Richtlinie für die Schublade. Es verbindet Geschäftsprozesse mit klaren Zugriffsrechten. Die zentrale Frage lautet: Welche Person benötigt für ihre Aufgabe tatsächlich welchen Zugriff – und wie lange?
Dabei geht es nicht nur um Dateien auf dem Server. Berücksichtigt werden sollten auch E-Mail-Postfächer, die Buchhaltungssoftware, Personalakten, Fachanwendungen, Cloud-Speicher, VPN-Zugänge, Backup-Systeme, Netzwerkgeräte und Administrator-Konten. Gerade in kleineren Firmen wachsen diese Zugriffe oft über Jahre. Neue Mitarbeitende erhalten die Rechte ihrer Vorgänger, externe Dienstleister behalten Fernzugänge und einzelne Personen verfügen über deutlich mehr Berechtigungen als ihre Aufgaben erfordern.
Das Konzept definiert Rollen, Rechte und Verantwortlichkeiten. Eine Rolle kann zum Beispiel Buchhaltung, Projektleitung, Montage, Kanzleiassistenz oder IT-Administration sein. Mitarbeitende erhalten die Rechte ihrer Rolle, nicht eine individuell gewachsene Sammlung von Einzelberechtigungen. Das macht Änderungen bei Eintritt, Rollenwechsel und Austritt schneller und überprüfbar.
Das Prinzip der minimalen Rechte
Die wichtigste Regel heißt: so viele Rechte wie nötig, so wenige wie möglich. Dieses Prinzip der minimalen Rechte begrenzt die Folgen eines kompromittierten Benutzerkontos. Kann ein Angreifer nur auf einen begrenzten Bereich zugreifen, kann er sich nicht automatisch im gesamten Unternehmen bewegen.
Das bedeutet nicht, dass jede Freigabe restriktiv sein muss. Eine Projektleitung darf auf Projektdaten zugreifen, aber nicht zwingend auf Personalakten oder die Finanzbuchhaltung. Ein externer IT-Dienstleister benötigt für eine Wartung möglicherweise zeitlich begrenzten Zugriff auf ein bestimmtes System, jedoch kein dauerhaftes Standardkonto mit umfassenden Rechten.
Besondere Aufmerksamkeit verdienen privilegierte Konten. Administratoren können Sicherheitsvorgaben ändern, Benutzer anlegen, Daten lesen oder löschen und Systeme konfigurieren. Deshalb sollten administrative Tätigkeiten über eigene Admin-Konten erfolgen. Das normale Benutzerkonto für E-Mail, Office und Webzugriffe bleibt davon getrennt. Wird dieses Standardkonto durch Phishing kompromittiert, ist der Schaden deutlich besser begrenzbar.
Berechtigungskonzept für kleine Firmen Schritt für Schritt erstellen
Der Einstieg muss nicht kompliziert sein. Entscheidend ist, die vorhandene Umgebung ehrlich zu erfassen und anschließend klare Regeln für die Zukunft zu setzen.
1. Systeme, Daten und Konten erfassen
Erstellen Sie zunächst eine Übersicht aller Anwendungen und Speicherorte, die geschäftskritische oder personenbezogene Daten verarbeiten. Dazu zählen etwa Dateiserver, Cloud-Speicher, E-Mail, Warenwirtschaft, Zeiterfassung, Buchhaltung, Backup, Firewall und Fernzugänge.
Notieren Sie zusätzlich alle Benutzerkonten: Mitarbeitende, Geschäftsführung, Aushilfen, Auszubildende, externe Dienstleister und technische Servicekonten. Häufig werden bei dieser Bestandsaufnahme bereits alte Konten, gemeinsam genutzte Zugänge oder unklare Administratorrechte sichtbar. Diese Punkte sollten nicht einfach dokumentiert, sondern priorisiert bereinigt werden.
2. Schutzbedarf und Rollen festlegen
Nicht jede Information braucht denselben Schutz. Angebote und allgemeine Projektunterlagen können unter Umständen für mehrere Teams relevant sein. Lohnabrechnungen, Mandantenakten, Gesundheitsdaten oder Zugangsdaten für Systeme benötigen dagegen einen deutlich engeren Kreis berechtigter Personen.
Definieren Sie danach wenige, verständliche Rollen. Für einen Handwerksbetrieb können das beispielsweise Geschäftsführung, Büro, Bauleitung, Monteur und externe Buchhaltung sein. In einer Kanzlei oder Steuerberatung sind Rollen wie Partner, Sachbearbeitung, Assistenz und IT-Betreuung sinnvoll. Wichtig ist nicht die Zahl der Rollen, sondern dass sie reale Aufgaben abbilden und nicht bei jeder Ausnahme angepasst werden müssen.
3. Rechte zuordnen und Freigaben dokumentieren
Ordnen Sie jeder Rolle die benötigten Zugriffe zu. Dokumentieren Sie dabei, ob die Rolle Daten nur lesen, bearbeiten, freigeben oder administrieren darf. Diese Unterscheidung verhindert, dass Bearbeitungs- oder Löschrechte versehentlich zu weit vergeben werden.
Auch die Verantwortung gehört in die Dokumentation: Wer beantragt einen Zugriff? Wer genehmigt ihn? Wer setzt ihn technisch um? In kleinen Firmen können mehrere Aufgaben bei einer Person liegen. Dennoch sollte die Freigabe für sensible Rechte nicht allein durch die Person erfolgen, die sie später technisch einrichtet. Das Vier-Augen-Prinzip ist besonders bei Administratorrechten, Finanzfreigaben und Zugriffen auf Personal- oder Mandantendaten sinnvoll.
4. Eintritt, Wechsel und Austritt verbindlich regeln
Die meisten Probleme entstehen nicht bei der ersten Rechtevergabe, sondern bei Veränderungen. Ein Berechtigungskonzept braucht deshalb einen festen Ablauf für drei Situationen: neue Mitarbeitende, Rollenwechsel und Ausscheiden aus dem Unternehmen.
Beim Eintritt werden Rechte über die definierte Rolle vergeben. Bei einem Wechsel prüft die verantwortliche Führungskraft, welche alten Zugriffe entfallen müssen. Beim Austritt werden Konten zum festgelegten Zeitpunkt deaktiviert, aktive Sitzungen beendet, Fernzugänge gesperrt und gegebenenfalls Geräte zurückgesetzt. Bei kritischen Rollen sollte zusätzlich geprüft werden, ob Kennwörter von gemeinsam verwalteten Dienstkonten geändert werden müssen.
Sicherer Zugriff außerhalb des Büros
Mobiles Arbeiten, Baustellen, Kundentermine und externe Betreuung gehören für viele KMU zum Alltag. Genau deshalb darf Remote Access nicht als Sonderfall behandelt werden. Wer von außen auf Anwendungen und Daten zugreift, benötigt dieselben klaren Berechtigungen wie im Büro – ergänzt um eine sichere Authentifizierung und eine kontrollierte Zugangstechnik.
Eine Mehrfaktor-Authentifizierung sollte für E-Mail, Fernzugänge und besonders schützenswerte Anwendungen Standard sein. Ein Passwort allein reicht nicht aus, wenn es durch Phishing abgegriffen wird. Ebenso wichtig ist, Zugriffe nach Personen statt über geteilte VPN-Konten zu ermöglichen. Nur dann lässt sich nachvollziehen, wer wann auf ein System zugegriffen hat.
Für viele Unternehmen ist ein konventioneller Vollzugriff ins Netzwerk zudem zu weit gefasst. Ein Secure-Access-Ansatz kann den Zugriff gezielt auf die benötigte Anwendung beschränken. Lösungen wie Kyvion Secure Access powered by SparkView ermöglichen es, Anwendungen kontrolliert bereitzustellen, ohne das interne Netzwerk für jeden externen Zugriff vollständig zu öffnen. Welche Variante sinnvoll ist, hängt von den eingesetzten Anwendungen, Arbeitsplätzen und Schutzanforderungen ab.
Technische Umsetzung: Rechte allein reichen nicht
Ein Berechtigungskonzept wirkt nur, wenn es technisch umgesetzt und kontrolliert wird. Benutzer- und Gruppenverwaltung, Mehrfaktor-Authentifizierung, sichere Endgeräte und Protokollierung greifen dabei ineinander. Die Firewall spielt ebenfalls eine wichtige Rolle: Sie segmentiert Netzwerke, begrenzt unnötige Verbindungen und hilft, auffällige Zugriffe frühzeitig zu erkennen. Eine korrekt konfigurierte Fortinet Firewall kann die Regeln des Berechtigungskonzepts auf Netzwerkebene sinnvoll ergänzen.
Backup-Systeme verdienen eine eigene Betrachtung. Wer Daten wiederherstellen kann, besitzt oft weitreichende Rechte. Diese Berechtigungen sollten getrennt von normalen Benutzerrechten vergeben werden. Zusätzlich brauchen Backup-Administratoren Schutz durch Mehrfaktor-Authentifizierung und eine nachvollziehbare Protokollierung. Sonst kann ein kompromittiertes Konto nicht nur Produktivdaten, sondern auch Wiederherstellungspunkte gefährden.
Regelmäßig prüfen statt einmal abhaken
Rechte verändern sich mit dem Unternehmen. Neue Software, Umstrukturierungen, externe Projekte oder personelle Wechsel machen eine regelmäßige Prüfung erforderlich. Für die meisten kleinen Firmen ist ein fester halbjährlicher oder jährlicher Termin sinnvoll. Bei sensiblen Bereichen wie Buchhaltung, Personal, Mandantendaten und Administration sollte die Kontrolle häufiger erfolgen.
Prüfen Sie dabei insbesondere, ob alle Konten noch benötigt werden, ob Rollen weiterhin passen, ob externe Zugänge aktiv sind und ob Administratorrechte begründet bleiben. Auch ungewöhnliche Freigaben verdienen Aufmerksamkeit: Ordner mit Zugriff für „Alle“, gemeinsam verwendete Konten oder dauerhafte Sonderrechte sind typische Kandidaten für eine Bereinigung.
Ein Berechtigungskonzept muss nicht perfekt starten. Es muss verständlich, dokumentiert und im Alltag gelebt werden. Beginnen Sie mit den kritischsten Daten und Konten, schaffen Sie klare Verantwortlichkeiten und prüfen Sie Rechte regelmäßig. So wird aus einer oft übersehenen Verwaltungsaufgabe ein wirksamer Baustein für Cybersicherheit, Datensouveränität und die Wiederherstellbarkeit Ihres Unternehmens.
