Ein ausgeschiedener Mitarbeiter hat noch Zugriff auf das Zeiterfassungssystem. Eine externe Buchhaltung nutzt einen gemeinsamen Login. Im Homeoffice wird eine wichtige Anwendung direkt aus dem Internet erreichbar gemacht. Solche Situationen entstehen selten aus Nachlässigkeit. Meist fehlen klare Regeln dafür, wer auf welche Systeme zugreifen darf. Genau hier setzt Identitätsmanagement im Mittelstand an: Es schafft nachvollziehbare, sichere und im Alltag handhabbare Zugriffe.
Für kleine und mittlere Unternehmen ist das keine reine IT-Disziplin. Identitäten entscheiden darüber, ob vertrauliche Mandantendaten geschützt bleiben, ob ein Ransomware-Angriff sich schnell ausbreiten kann und ob Mitarbeitende auch außerhalb des Standorts sicher arbeiten können. Wer Zugriffe sauber steuert, verbessert gleichzeitig Cybersicherheit, Datenschutz und Betriebsfähigkeit.
Was Identitätsmanagement im Mittelstand konkret bedeutet
Identitätsmanagement, oft auch Identity and Access Management oder IAM genannt, regelt den gesamten Lebenszyklus eines Benutzerkontos. Dazu gehören Anlage, Änderung, Prüfung und Löschung von Zugängen. Es betrifft nicht nur Mitarbeitende, sondern auch Geschäftsführer, Aushilfen, Dienstleister, externe IT-Partner und technische Konten für Anwendungen oder Sicherungen.
Die zentrale Frage lautet nicht: „Hat diese Person ein Benutzerkonto?“ Sie lautet: „Welche Aufgaben hat diese Person heute, welche Daten braucht sie dafür und wie lange soll der Zugriff bestehen?“ Eine Steuerfachangestellte benötigt beispielsweise Zugriff auf Fachanwendungen und Mandantenakten, aber in der Regel keinen administrativen Zugang zur Firewall. Ein externer Dienstleister braucht vielleicht kurzfristig Zugriff auf ein bestimmtes System, jedoch nicht auf das gesamte Netzwerk.
Gutes Identitätsmanagement verbindet drei Dinge: eine eindeutige Identität, passende Berechtigungen und eine sichere Anmeldung. Fehlt eines davon, entstehen unnötige Risiken. Ein starkes Passwort hilft wenig, wenn mehrere Personen denselben Zugang nutzen. Ebenso reicht eine Mehrfaktor-Authentifizierung nicht aus, wenn ehemalige Mitarbeitende weiterhin aktiv sind.
Warum Zugriffsrechte für KMU ein Sicherheitsfaktor sind
Cyberangriffe beginnen häufig mit gestohlenen Zugangsdaten. Angreifer kaufen Passwörter aus früheren Datenlecks, versenden täuschend echte E-Mails oder nutzen schlecht geschützte Remote-Zugänge. Gelingt die Anmeldung, prüfen sie oft zuerst, welche Berechtigungen das kompromittierte Konto besitzt.
Hat ein normales Benutzerkonto weitreichende Rechte, kann der Schaden schnell steigen. Angreifer können Daten kopieren, weitere Konten anlegen, Sicherheitssoftware abschalten oder Verschlüsselungstrojaner im Netzwerk verteilen. Das Prinzip der geringsten Rechte begrenzt diesen Spielraum. Mitarbeitende erhalten nur die Zugriffe, die sie für ihre aktuelle Tätigkeit benötigen.
Das ist kein Aufruf zu übertriebener Einschränkung. Zu wenig Zugriff bremst Arbeitsabläufe und führt dazu, dass Mitarbeitende nach Umwegen suchen. Zu viel Zugriff erhöht dagegen das Risiko. Die richtige Balance hängt vom Betrieb ab: Eine kleine Kanzlei hat andere Rollen als ein Handwerksunternehmen mit mobilen Teams oder ein Dienstleister mit mehreren Standorten. Entscheidend ist, Berechtigungen bewusst zu vergeben statt sie über Jahre unverändert weiterlaufen zu lassen.
Gemeinsame Konten sind bequem, aber nicht nachvollziehbar
Ein gemeinsames Konto für die Werkstatt, den Empfang oder ein Fachprogramm scheint praktisch. Aus Sicherheits- und Datenschutzsicht schafft es jedoch ein Problem: Aktionen lassen sich keiner einzelnen Person zuordnen. Bei einem Vorfall bleibt offen, wer sich angemeldet, Daten verändert oder eine Einstellung angepasst hat.
Wo es technisch möglich ist, sollten persönliche Konten die Regel sein. Wenn ein gemeinsamer Zugang ausnahmsweise unvermeidbar ist, braucht er klare Verantwortlichkeiten, eine geschützte Passwortverwaltung und eine dokumentierte Regel für Passwortwechsel. Für administrative Systeme ist ein gemeinsames Konto keine gute Lösung.
Die vier Grundlagen einer tragfähigen Zugriffskontrolle
Ein praktikables Konzept muss nicht mit einem Großprojekt beginnen. Häufig reichen klare Entscheidungen zu vier Grundlagen, um die Sicherheitslage spürbar zu verbessern:
- Eindeutige Benutzerkonten: Jede Person arbeitet mit einer eigenen Identität. Auch externe Partner erhalten zeitlich und fachlich begrenzte Zugänge.
- Rollen statt Einzelberechtigungen: Rechte werden nach Funktion vergeben, etwa Buchhaltung, Vertrieb, Montage oder IT-Administration. Das erleichtert Neueinstellungen und Änderungen.
- Mehrfaktor-Authentifizierung: Neben dem Passwort ist ein zweiter Faktor erforderlich, etwa eine Authenticator-App oder ein Sicherheitsschlüssel. Besonders für E-Mail, Administratoren und externe Zugänge ist sie unverzichtbar.
- Regelmäßige Überprüfung: Verantwortliche prüfen in festen Abständen, ob Konten, Rollen und administrative Berechtigungen noch erforderlich sind.
Diese Punkte greifen ineinander. Rollen schaffen Ordnung, Mehrfaktor-Authentifizierung schützt die Anmeldung, und regelmäßige Prüfungen verhindern, dass sich alte Rechte unbemerkt ansammeln.
Sicheren Remote Access an Identitäten ausrichten
Remote Access ist im Mittelstand oft geschäftskritisch. Außendienst, Homeoffice, mobile Montageteams oder externe Betreuung benötigen Zugriff auf Anwendungen und Daten. Das Problem entsteht, wenn Fernzugänge pauschal ins Unternehmensnetz führen oder einzelne Systeme offen über das Internet erreichbar sind.
Sicherer Remote Access sollte immer an der Identität und der konkreten Anwendung ausgerichtet sein. Mitarbeitende erhalten dann nicht automatisch Zugang zum gesamten Netzwerk, sondern nur zu den freigegebenen Arbeitsumgebungen. Vor jeder Verbindung wird geprüft, wer sich anmeldet und ob eine zusätzliche Bestätigung vorliegt.
Lösungen wie Kyvion Secure Access powered by SparkView unterstützen diesen Ansatz. Anwendungen können bereitgestellt werden, ohne dass sie direkt aus dem Internet erreichbar sein müssen. Das reduziert die Angriffsfläche und erleichtert die Kontrolle: Zugriffe lassen sich personenbezogen vergeben, protokollieren und bei Bedarf sofort entziehen. Für Unternehmen mit sensiblen Daten ist das auch ein Beitrag zur Datensouveränität, weil der Zugriff kontrolliert bleibt und nicht über unübersichtliche Freigaben organisiert wird.
Wichtig ist die Abstimmung mit Netzwerk- und Firewall-Regeln. Eine Fortinet Firewall kann Zugriffe nach Benutzer, Standort und Anwendung absichern. Sie ersetzt jedoch kein Identitätsmanagement. Die Firewall kontrolliert den Datenverkehr, während das Identitätsmanagement festlegt, welche Person welche Berechtigung besitzt. Erst zusammen entsteht eine wirksame Sicherheitsarchitektur.
Der oft unterschätzte Moment: Eintritt, Wechsel und Austritt
Viele Berechtigungsprobleme entstehen nicht bei der technischen Einrichtung, sondern bei Personaländerungen. Neue Mitarbeitende benötigen am ersten Arbeitstag produktive Zugänge. Bei einem Abteilungswechsel müssen alte Rechte wegfallen und neue hinzukommen. Beim Austritt müssen Konten, Sitzungen, VPN-Zugänge, E-Mail-Weiterleitungen und gegebenenfalls Gerätezugriffe zeitnah gesperrt werden.
Dafür braucht es einen einfachen, verbindlichen Prozess zwischen Geschäftsführung, Personalverantwortlichen und IT. Die Personalstelle oder Führungskraft meldet Änderungen frühzeitig. Die IT arbeitet mit einer festen Checkliste. Kritische Zugänge, etwa für Buchhaltung, Administration, Fernwartung oder Cloud-Speicher, werden besonders sorgfältig geprüft.
Auch Vertretungen verdienen Aufmerksamkeit. Temporäre Zugriffe sollten ein Ablaufdatum haben. Sonst wird aus einer zweiwöchigen Urlaubsvertretung schnell ein dauerhaftes Konto, das niemand mehr auf dem Schirm hat. Bei externen Dienstleistern gilt dasselbe: Zugang nur für die vereinbarte Aufgabe, nur für den benötigten Zeitraum und möglichst mit Mehrfaktor-Authentifizierung.
Administratorrechte klar trennen
Administratoren benötigen weitreichende Rechte. Genau deshalb sollten sie nicht mit ihrem normalen Büro-Konto arbeiten. Wenn ein Phishing-Angriff das alltägliche E-Mail-Konto kompromittiert, darf daraus kein direkter Zugriff auf Server, Firewall, Backup oder Benutzerverwaltung entstehen.
Sinnvoll sind getrennte Konten: ein persönliches Standardkonto für E-Mail und Fachanwendungen sowie ein separates Administrationskonto für technische Tätigkeiten. Die Nutzung administrativer Rechte sollte nachvollziehbar sein und nur erfolgen, wenn sie tatsächlich erforderlich ist. Wo möglich, sollten besonders kritische Änderungen durch einen zweiten Faktor oder ein Vier-Augen-Prinzip abgesichert werden.
Backup-Systeme gehören ausdrücklich in diese Betrachtung. Ein Angreifer, der Administrationsrechte erhält, versucht häufig zuerst, Sicherungen zu löschen oder zu verschlüsseln. Separate Berechtigungen, Mehrfaktor-Authentifizierung und unveränderbare Sicherungskopien erhöhen die Daten-Resilienz erheblich. Identitätsmanagement und Backup & Recovery sind daher keine getrennten Themen.
So starten Unternehmen ohne Stillstand im Tagesgeschäft
Der erste Schritt ist eine Bestandsaufnahme. Welche Systeme gibt es? Wer hat Zugriff? Welche Konten sind administrativ? Welche externen Zugänge bestehen? Viele Unternehmen stellen dabei fest, dass ihre Übersicht in Tabellen, E-Mails und einzelnen Köpfen verteilt ist. Das ist ein klares Signal, Zuständigkeiten und Prozesse zu vereinheitlichen.
Danach sollten besonders kritische Systeme priorisiert werden: E-Mail, Remote Access, Buchhaltung, Fachanwendungen, Backup, Serververwaltung und Firewall. Für diese Bereiche lohnt es sich, Mehrfaktor-Authentifizierung zügig einzuführen und alte oder unklare Konten zu bereinigen. Erst anschließend folgen weniger kritische Anwendungen.
Ein Cybersecurity Assessment kann helfen, den Ist-Zustand strukturiert zu bewerten. Es zeigt nicht nur technische Schwachstellen, sondern auch organisatorische Lücken bei Rollen, Konten und Berechtigungen. Daraus entsteht eine realistische Reihenfolge statt einer langen Wunschliste, die im Tagesgeschäft liegen bleibt.
Identitätsmanagement ist gelebte Verantwortung
Technik allein löst das Thema nicht. Mitarbeitende müssen wissen, warum persönliche Konten, Mehrfaktor-Authentifizierung und gesperrte Altzugänge notwendig sind. Klare Regeln wirken besser als komplizierte Vorgaben. Wer erklärt, dass ein zusätzlicher Anmeldeschritt sowohl Mandantendaten als auch den eigenen Arbeitsplatz schützt, schafft Akzeptanz.
Der sinnvollste nächste Schritt ist deshalb nicht die Auswahl eines möglichst großen Systems. Beginnen Sie mit Transparenz: Prüfen Sie, wer heute Zugriff auf Ihre wichtigsten Anwendungen, Administrationsoberflächen und Sicherungen hat. Jede bereinigte Berechtigung und jeder abgesicherte Remote-Zugang macht das Unternehmen im Alltag ein Stück widerstandsfähiger.
