Ein ehemaliger Mitarbeiter kann sich noch im E-Mail-Postfach anmelden. Ein gemeinsames Administrator-Konto ist mehreren Personen bekannt. Oder ein Angreifer nutzt ein schwaches Passwort für den Fernzugriff. Solche Fälle beginnen nicht mit einem komplexen technischen Angriff, sondern mit einer Identität, die zu viele oder falsch verwaltete Rechte besitzt. Dieser Leitfaden Identity Security für KMU zeigt, wie Unternehmen Zugriffe beherrschbar machen, ohne den Arbeitsalltag unnötig zu erschweren.
Identity Security bedeutet: Jede digitale Identität wird eindeutig verwaltet, angemessen berechtigt und zuverlässig geschützt. Dazu gehören Beschäftigte, externe Dienstleister, Administrationskonten sowie technische Konten für Anwendungen und Geräte. Für kleine und mittlere Unternehmen ist das besonders relevant. Die IT ist oft schlank organisiert, Zuständigkeiten überschneiden sich und ein einzelnes Konto kann Zugriff auf viele kritische Systeme erhalten.
Warum Identity Security für KMU ein Geschäftsthema ist
Wer auf Buchhaltung, Kundendaten, Baupläne, Kanzleidokumente oder kommunale Fachverfahren zugreifen kann, entscheidet indirekt über deren Schutz. Werden Zugangsdaten gestohlen, kann ein Angreifer mit einer gültigen Identität arbeiten. Das ist schwerer zu erkennen als ein offensichtlicher Schadsoftware-Angriff, weil die Anmeldung zunächst legitim wirkt.
Die Folgen reichen von unberechtigtem Datenabfluss bis zu verschlüsselten Servern. Gerade bei Ransomware werden häufig zuerst Konten und Rechte ausgenutzt: Ein kompromittiertes Benutzerkonto dient als Einstieg, ein zu weitreichendes Administrationskonto als Beschleuniger. Identity Security reduziert dieses Risiko, indem sie Angriffswege begrenzt und auffällige Zugriffe schneller sichtbar macht.
Dabei geht es nicht darum, jede Anmeldung zu einem Hindernislauf zu machen. Ein Monteur braucht unterwegs einen einfachen Zugang zu Aufträgen und Dokumenten. Die Geschäftsführung benötigt verlässlichen Zugriff auf Auswertungen. Entscheidend ist, dass Zugang, Gerät und Berechtigung zum jeweiligen Arbeitskontext passen.
1. Alle Identitäten und Zugriffswege erfassen
Der erste Schritt ist eine nüchterne Bestandsaufnahme. Viele Unternehmen kennen ihre zentralen Benutzerkonten, nicht aber alle Sonderfälle: frühere Mitarbeitende, externe IT-Betreuer, gemeinsam verwendete Konten, lokale Administratoren auf Notebooks oder Konten für Backup, Drucker und andere Dienste.
Erstellen Sie eine Übersicht, die für jedes Konto mindestens Verantwortliche, Zweck, verwendete Systeme, Berechtigungen und letzten Nutzungszeitpunkt festhält. Besonders wichtig sind Konten mit erweiterten Rechten. Sie sollten nicht in einer unübersichtlichen Liste zwischen normalen Benutzerkonten verschwinden.
Prüfen Sie auch die Zugriffswege. Greifen Mitarbeitende aus dem Homeoffice über ein klassisches VPN, per Remote Desktop oder über einen browserbasierten Secure-Access-Zugang auf Anwendungen zu? Werden Cloud-Dienste genutzt? Gibt es Zugänge von Dienstleistern? Erst wenn diese Wege bekannt sind, lassen sich sie sinnvoll absichern.
2. Persönliche Konten statt geteilter Zugänge nutzen
Geteilte Benutzerkonten wirken auf den ersten Blick praktisch. In der Praxis verhindern sie jedoch nachvollziehbare Verantwortung. Wenn sich mehrere Personen mit demselben Konto anmelden, lässt sich nicht mehr eindeutig klären, wer Daten geändert, exportiert oder gelöscht hat.
Jede Person sollte daher ein eigenes Konto erhalten. Das gilt auch für Aushilfen, Praktikanten und externe Partner. Für Ausnahmefälle, etwa einen Notfallzugang, braucht es einen klar dokumentierten Prozess: Wer darf ihn verwenden, wo werden die Zugangsdaten sicher verwahrt und wie wird die Nutzung anschließend geprüft?
Bei technischen Konten ist die Lage differenzierter. Ein Backup-Dienst oder eine Anwendung benötigt oft ein eigenes Konto. Auch diese Konten müssen einen eindeutigen Zweck haben, minimal berechtigt sein und regelmäßig überprüft werden. Passwörter technischer Konten dürfen nicht dauerhaft unverändert bleiben, nur weil sie bei einer Umstellung Probleme verursachen könnten.
3. Rechte nach Aufgaben vergeben – nicht nach Gewohnheit
Das Prinzip der minimalen Rechte ist einfach: Mitarbeitende erhalten nur die Berechtigungen, die sie für ihre Aufgabe benötigen. Wer Rechnungen prüft, muss nicht automatisch Personalakten oder die gesamte Dateistruktur ändern können. Wer im Außendienst arbeitet, braucht oft Zugriff auf bestimmte Anwendungen, aber keine weitreichenden Netzwerkrechte.
In kleinen Teams entstehen überhöhte Rechte häufig aus Bequemlichkeit oder Zeitdruck. Einmal vergebene Administratorrechte bleiben bestehen, obwohl die ursprüngliche Aufgabe längst erledigt ist. Deshalb sollten Berechtigungen an Rollen gekoppelt werden, etwa Buchhaltung, Projektleitung, Werkstatt, Verwaltung oder externe IT-Betreuung. Ändert sich eine Rolle, wird der Zugriff gezielt angepasst.
Besondere Aufmerksamkeit verdienen Administratorrechte. Für die tägliche Arbeit sollte niemand dauerhaft mit einem Administrationskonto angemeldet sein. Sinnvoller ist ein separates, persönliches Administrationskonto, das nur für klar definierte Wartungsaufgaben genutzt wird. Damit sinkt der Schaden deutlich, falls ein normales Benutzerkonto kompromittiert wird.
4. Mehrfaktor-Authentifizierung gezielt verpflichtend machen
Ein Passwort allein ist kein ausreichender Schutz. Es kann erraten, wiederverwendet oder durch Phishing abgegriffen werden. Mehrfaktor-Authentifizierung ergänzt das Passwort durch einen zweiten Nachweis, beispielsweise eine Authenticator-App oder einen Sicherheitsschlüssel.
Priorisieren Sie zunächst die Konten mit dem größten Schadenspotenzial: E-Mail, Fernzugriff, Cloud-Verwaltung, Backup-Verwaltung und Administrationskonten. Anschließend folgen weitere geschäftskritische Anwendungen. Bei besonders sensiblen Zugriffen sollte die zusätzliche Bestätigung auch dann verlangt werden, wenn sich jemand von einem neuen Gerät oder einem ungewöhnlichen Standort anmeldet.
Nicht jede Methode ist gleich gut geeignet. SMS-Codes sind besser als kein zweiter Faktor, bieten aber weniger Schutz als Authenticator-Apps oder hardwarebasierte Sicherheitsschlüssel. Welche Lösung passt, hängt von Arbeitsplätzen, Mobilgeräten und vorhandenen Anwendungen ab. Wichtig ist ein durchdachter Notfallprozess, damit ein verlorenes Smartphone nicht zu einem längeren Arbeitsausfall führt.
5. Secure Remote Access vom internen Netzwerk trennen
Fernzugriffe sind für viele KMU unverzichtbar. Sie dürfen aber nicht dazu führen, dass jedes externe Gerät nach der Anmeldung weitreichend im internen Netzwerk arbeiten kann. Ein sicherer Zugang sollte gezielt nur die Anwendungen bereitstellen, die Mitarbeitende benötigen.
Kyvion Secure Access powered by SparkView verfolgt diesen Ansatz: Anwendungen und Daten bleiben im geschützten Unternehmensumfeld, während der Zugriff kontrolliert bereitgestellt wird. Das kann besonders für Kanzleien, Steuerberater, Dienstleister und mobile Teams sinnvoll sein, die mit sensiblen Daten arbeiten. Entscheidend ist dabei nicht allein das Produkt, sondern die passende Rechte- und Zugriffskonzeption.
Eine Firewall ergänzt diesen Schutz. Mit einer professionell konfigurierten Fortinet Firewall lassen sich Zugriffe segmentieren, Kommunikationswege beschränken und sicherheitsrelevante Ereignisse besser überwachen. Secure Remote Access, Netzwerksegmentierung und Identitätsschutz gehören zusammen. Fehlt einer dieser Bausteine, bleibt häufig ein unnötig großer Angriffsraum.
6. Ein- und Austritte als festen Sicherheitsprozess behandeln
Bei neuen Mitarbeitenden muss der Zugang rechtzeitig funktionieren. Bei Austritten muss er sofort enden. Gerade der zweite Teil wird im Arbeitsalltag übersehen, wenn ein Beschäftigungsverhältnis kurzfristig endet oder ein externer Dienstleister nicht mehr beauftragt wird.
Legen Sie deshalb einen verbindlichen Prozess fest. Personalverantwortliche oder Führungskräfte melden Eintritt, Rollenwechsel und Austritt an die zuständige IT-Stelle. Diese erstellt oder passt Konten an, entzieht Rechte und dokumentiert die Erledigung. Auch Geräte, Authenticator-Apps, E-Mail-Weiterleitungen, Gruppenmitgliedschaften und externe Plattformen gehören in diese Prüfung.
Ein quartalsweiser Rechtecheck ist für viele KMU ein realistischer Rhythmus. Bereiche mit besonders sensiblen Daten oder vielen Personalwechseln sollten häufiger prüfen. Ziel ist nicht Bürokratie, sondern die Frage: Hat jede aktive Identität noch einen nachvollziehbaren geschäftlichen Zweck?
7. Protokolle, Backup und Wiederherstellung zusammen denken
Identity Security endet nicht bei der Anmeldung. Unternehmen müssen erkennen können, wenn sich ein Konto ungewöhnlich verhält: viele fehlgeschlagene Anmeldungen, Zugriffe außerhalb üblicher Zeiten, plötzlich erhöhte Berechtigungen oder massenhafte Dateiänderungen. Protokolle aus Firewall, Zugangslösung und zentralen Anwendungen helfen bei der Einordnung, wenn sie regelmäßig geprüft und nicht nur gesammelt werden.
Trotz guter Schutzmaßnahmen bleibt ein Restrisiko. Deshalb gehört ein belastbares Backup-Konzept zur Daten-Resilienz. Backups müssen getrennt geschützt sein und dürfen nicht mit denselben weitreichenden Konten verwaltet werden wie die produktive Umgebung. Sonst kann ein Angreifer mit einem kompromittierten Administrationskonto nicht nur Daten verschlüsseln, sondern auch Sicherungen löschen.
Entscheidend ist die Wiederherstellbarkeit. Testen Sie regelmäßig, ob sich Dateien, Systeme und wichtige Anwendungen innerhalb eines für den Betrieb akzeptablen Zeitraums zurückholen lassen. Bei einem Handwerksbetrieb kann ein fehlender Zugriff auf Auftragsdaten Termine und Abrechnung beeinträchtigen. Bei einer Kanzlei kann er Fristen gefährden. Wiederherstellung ist deshalb keine technische Nebenaufgabe, sondern Teil der betrieblichen Vorsorge.
Die ersten 30 Tage sinnvoll nutzen
Wenn Identity Security bisher nicht strukturiert behandelt wurde, starten Sie nicht mit einem Großprojekt. Beginnen Sie mit den Konten, die den größten Zugriff ermöglichen. Eine klare Reihenfolge hilft:
- Administrator-, E-Mail-, Fernzugriffs- und Backup-Konten identifizieren und mit Mehrfaktor-Authentifizierung absichern.
- Nicht mehr benötigte Konten sofort deaktivieren sowie gemeinsame Zugänge durch persönliche Konten ersetzen.
- Administratorrechte und Zugriffe externer Dienstleister prüfen und auf das notwendige Maß reduzieren.
- Einen festen Prozess für Eintritte, Rollenwechsel und Austritte schriftlich definieren.
- Einen Wiederherstellungstest durchführen und dokumentieren, welche Konten im Notfall Zugriff auf Backups erhalten.
Ein Cybersecurity Assessment kann dabei helfen, blinde Flecken strukturiert aufzudecken und Maßnahmen nach Risiko und Aufwand zu priorisieren. Für ein KMU muss nicht jede Kontrolle sofort perfekt sein. Aber jede unklare Identität, jedes ungenutzte Konto und jedes ungeschützte Administrationsrecht ist ein konkreter Ansatzpunkt für Verbesserung.
Gute Identity Security zeigt sich daran, dass berechtigte Mitarbeitende zuverlässig arbeiten können, während unberechtigte Zugriffe früh scheitern oder auffallen. Wer seine Identitäten, Rechte und Wiederherstellungswege kontinuierlich pflegt, stärkt damit nicht nur die IT-Sicherheit, sondern auch die Handlungsfähigkeit des gesamten Unternehmens.
