Zugriffsverwaltung für KMU: Die erste Cybersicherheitsebene

Intelligentes Türschloss mit Zugangskarte und Häkchen als Symbol für sichere Zugriffsverwaltung und Cybersicherheitskontrollen.

Zugriffsverwaltung steht am Anfang jeder Cybersicherheits-Checkliste für KMU, denn sie legt fest, wer die Systeme öffnen kann, auf denen das Unternehmen läuft. Ist der Zugriff unklar oder zu weitreichend, können ein Patch, ein Backup oder ein Sicherheitstool nicht zuverlässig verhindern, dass die falsche Person an Unternehmensdaten gelangt.

Für ein kleines oder mittleres Unternehmen (KMU) bedeutet Zugriffsverwaltung, vier Dinge zu kontrollieren:

Identität: Wer in Ihren Systemen existiert.
Authentifizierung: Wie die Person nachweist, wer sie ist.
Autorisierung: Was die Person tun kann, sobald sie angemeldet ist.
Entzug: Wie dieser Zugriff verschwindet, wenn es nötig ist.

Passworks Cybersicherheits-Checkliste für kleine Unternehmen beschreibt die vollständige Basis, die ein KMU benötigt. Dieser Artikel vertieft einen Teil dieser Basis: wie Sie Identität, Authentifizierung, Autorisierung und Entzug als System aufbauen, das sich im Alltag bewährt.

Die wichtigsten Punkte

Zugriffsverwaltung braucht eine Inventarisierung von Personen, Konten, Anwendungen, Zugangsdaten und Verantwortlichen, bevor eine Richtlinienentscheidung überhaupt sinnvoll ist.
Multi-Faktor-Authentifizierung (MFA) muss zuerst E-Mail-, Administrator-, Remote-Access-, Finanz-, Cloud-Speicher- und Konten mit sensiblen Daten abdecken.
Rollenbasierte Zugriffskontrolle (RBAC) und kontrollierte gemeinsame Nutzung von Zugangsdaten verringern Zugriffe, die länger aktiv bleiben, als eine Aufgabe es tatsächlich erfordert.
Zugriffsüberprüfungen, Offboarding und Audit-Protokolle machen aus einer einmaligen Einrichtung einen laufenden Prozess, der dauerhaft funktioniert.

Warum Zugriffsverwaltung in der Cybersicherheits-Checkliste für KMU an erster Stelle steht

Zugriffsverwaltung steht an erster Stelle, weil jede andere Kontrolle davon abhängt. Backups, Endpoint-Schutz und Monitoring-Tools gehen alle davon aus, dass die Konten, die mit ihnen interagieren, die richtigen sind – mit den richtigen Berechtigungen zur richtigen Zeit.

Identity and Access Management (IAM) ist die Disziplin, die genau das steuert. NIST beschreibt IAM als „eine grundlegende und kritische Cybersicherheitsfunktion", die sicherstellen soll, dass die richtigen Personen und Dinge zur richtigen Zeit den richtigen Zugriff auf die richtigen Ressourcen haben. Authentifizierung weist nach, dass ein Benutzer oder System tatsächlich der ist, der er vorgibt zu sein. Autorisierung legt fest, was dieser Benutzer oder dieses System nach der Anmeldung tun darf. Beide Schritte müssen funktionieren, damit jede nachgelagerte Kontrolle überhaupt etwas bewirkt.

Diese Abhängigkeit zeigt sich im gesamten Unternehmen:

E-Mail- und SaaS-Konten sind der Weg zu Passwort-Zurücksetzungen, gemeinsam genutzten Dokumenten und Kundendaten.
Administratorrechte auf Endgeräten bestimmen, ob ein Benutzer Software installieren oder Sicherheitseinstellungen deaktivieren kann.
Backup-Administratorkonten und Cloud-Speicher-Berechtigungen bestimmen, ob Wiederherstellungsdaten verändert oder gelöscht werden können.
Zugriff von Auftragnehmern und Dienstleistern entscheidet, ob Personen außerhalb des Unternehmens nach Projektende weiterhin Zugriff behalten.
Incident Response hängt von der Fähigkeit ab, Konten zu deaktivieren, Sitzungen zu widerrufen und nachzuvollziehen, wer mit welchen Zugangsdaten gearbeitet hat.

Der IBM-Bericht „Cost of a Data Breach" 2026 beziffert die weltweiten durchschnittlichen Kosten eines Sicherheitsvorfalls auf 4,99 Millionen US-Dollar. Diese Zahl verdeutlicht, warum die Zugriffsentscheidungen hinter einem solchen Vorfall erhebliches Gewicht haben.

Passwork bietet Ihrem Team einen organisierten Tresor für gemeinsam genutzte Passwörter und Geheimnisse, mit Berechtigungen, die sich an den Arbeitsabläufen Ihres Teams orientieren. Erfahren Sie, wie Passworks Zugriffsverwaltung funktioniert.

Jede Identität und jeden Zugriffspfad inventarisieren

Eine Identitätsinventur listet jeden Kontotyp auf, der auf Unternehmensressourcen zugreifen kann, zusammen mit der Person oder dem Team, das dafür verantwortlich ist. Sie geht über eine einfache Bestandsliste hinaus, da sie für jeden Eintrag einen Verantwortlichen benennt – auch für Konten, die gemeinsam genutzt, automatisiert oder außerhalb der Gehaltsabrechnung angesiedelt sind.

Trennen Sie zunächst menschliche Identitäten von nicht-menschlichen. Mitarbeiter und Administratoren benötigen individuelle Konten. Dienstleister, Auftragnehmer und gemeinsam genutzte Postfächer brauchen einen benannten Verantwortlichen, auch wenn das Konto selbst von mehreren Personen genutzt wird. Servicekonten und API-Schlüssel – die Zugangsdaten, mit denen Anwendungen miteinander kommunizieren – benötigen dieselbe Verantwortlichkeit, da sie oft Berechtigungen besitzen, über die kein menschliches Konto verfügt.

Identitäts- oder Kontotyp	Beispiele	Verantwortlicher	System oder Tresor	Zugriffslevel	MFA-Status	Überprüfungsdatum
Mitarbeiter	Standard-Mitarbeiteranmeldung	Manager	Identity-Provider	Rollenbasiert	Aktiviert	Vierteljährlich
Administrator	System- oder Netzwerkadministrator	IT-Leiter	Verzeichnis / Infrastruktur	Erweitert	Aktiviert	Monatlich
Auftragnehmer / Dienstleister	Portal-Anmeldung, Projektzugriff	Projektverantwortlicher	Dienstleistersystem	Zeitlich begrenzt	Aktiviert, sofern unterstützt	Bei Vertragsmeilensteinen
Gemeinsam genutzte Zugangsdaten	Altsystem, Dienstleisterportal	Tresor-Verantwortlicher	Passwortmanager-Tresor	Minimale Rechte	Entfällt oder Tresor-MFA	Vierteljährlich
Servicekonto / API-Schlüssel	Automatisierung, Integration	Systemverantwortlicher	Anwendungskonfiguration	Eingeschränkt, minimal	Entfällt	Bei Rotation

Ein gemeinsam genutztes Passwort, ein API-Token oder ein Dienstleister-Portal-Login, das sich nicht sofort ersetzen lässt, braucht trotzdem noch heute einen dokumentierten Verantwortlichen. Genau dieses eine Feld macht aus einer Inventur etwas, auf dessen Basis Sie bei einer Überprüfung oder einem Vorfall handeln können.

Starke Identitäten authentifizieren und nur den erforderlichen Zugriff autorisieren

Authentifizierung und Autorisierung sind die Punkte, an denen die meisten Kontoübernahmen gelingen oder scheitern. MFA auf den richtigen Konten einzuführen, gemeinsam genutzte Logins durch namentlich zugeordneten Zugriff zu ersetzen und Rollen anhand der tatsächlichen Aufgaben aufzubauen, schließt die Lücken, die Angreifer am häufigsten nutzen, um einzudringen und sich danach im System zu bewegen.

MFA auf die Konten anwenden, die das Unternehmen steuern

Multi-Faktor-Authentifizierung (MFA), eine Anmeldemethode, die mehr als einen Verifizierungsfaktor erfordert, sollte durch technische Kontrollen durchgesetzt und überprüft werden. CISA empfiehlt kleinen Unternehmen, MFA technisch zu erzwingen und sie für alle Administratorkonten zu aktivieren. Beginnen Sie mit E-Mail-, Administrator-, Remote-Access-, Finanz-, Cloud-Speicher- und Konten mit sensiblen Daten, da diese einem Angreifer im Falle einer Kompromittierung die größte Reichweite verschaffen.

Phishing-resistente Authentifizierung bindet die Anmeldung an den legitimen Dienst, wodurch gestohlene Zugangsdaten deutlich schwerer wiederzuverwenden sind. FIDO2-Sicherheitsschlüssel und Passkeys sind die derzeit gängigen Beispiele. NIST SP 800-63B Revision 4 verlangt von Anwendungen auf Authenticator Assurance Level 2 (AAL2), eine phishing-resistente Option anzubieten, ohne sie für jedes Unternehmen als einzige zulässige Methode vorzuschreiben. Betrachten Sie dies als die Richtung, in die Sie sich zunächst bei Ihren risikoreichsten Konten bewegen sollten, und erweitern Sie sie anschließend auf weitere Logins, soweit es Ihre Umgebung zulässt.

Dokumentieren Sie Wiederherstellungswege separat. Beschränken Sie, wer das MFA einer anderen Person zurücksetzen darf, schützen Sie jedes „Break-glass"-Notfallkonto durch einen benannten Verantwortlichen und eine begrenzte Nutzung, und überprüfen Sie dieses Konto nach jeder Verwendung.

Eindeutige Zugangsdaten mit einem kontrollierten Passwortmanager praktikabel machen

Credential Stuffing ist die automatisierte Wiederverwendung gestohlener Benutzername-Passwort-Kombinationen gegen andere Dienste. Es funktioniert, weil Menschen dasselbe Passwort für mehrere Konten verwenden – ein einziger durchgesickerter Login liefert Angreifern damit einen Schlüssel, der zu mehreren Türen passt. Der Verizon-Bericht „Data Breach Investigations Report" 2026 beziffert den Missbrauch von Zugangsdaten auf 13 % der initialen Zugriffsvektoren und Zugangsdaten auf 28 % der bei Datenschutzverletzungen gestohlenen Datentypen.

Eindeutige Passwörter durchbrechen diesen Angriff: Geleakte Zugangsdaten schalten nur den einen Dienst frei, aus dem sie stammen. Das praktische Ziel sind vom Unternehmen kontrollierte, eindeutige Zugangsdaten mit namentlich zugeordnetem Zugriff – als Ersatz für die gemeinsam genutzte Tabelle oder Chat-Nachricht, auf die sich noch zu viele Teams verlassen. Eine Passwortrichtlinie, die für jedes Konto ein eindeutiges, generiertes Passwort vorschreibt, gibt diesem Ziel eine schriftliche Grundlage. Ein für Teams konzipierter Passwortmanager macht diese Richtlinie im Alltag realistisch umsetzbar, indem er Zugangsdaten generiert und speichert und dabei genau kontrolliert, wer sie abrufen kann.

Rollen an der Arbeit ausrichten und dauerhafte Administratorrechte entfernen

Rollenbasierte Zugriffskontrolle (RBAC) vergibt Berechtigungen anhand der aktuellen Aufgaben und nicht anhand historisch angesammelter Rechte. Jeder Administrator sollte zusätzlich ein separates Standardkonto für die tägliche Arbeit besitzen, damit Routineaufgaben wie E-Mail und Surfen niemals über ein hochprivilegiertes Konto laufen.

Ein kurzes Beispiel: Mitarbeiter im Finanzbereich erhalten Zugriff auf Buchhaltungssysteme, Support-Mitarbeiter erhalten Zugriff auf die Helpdesk-Plattform, und IT-Administratoren erhalten genehmigten administrativen Zugriff auf die Infrastruktur. Anwendungsverantwortliche genehmigen die Rollenzuweisungen, die IT bestätigt, dass die technische Einrichtung der Genehmigung entspricht.

Anonymen gemeinsamen Zugriff durch nachvollziehbaren Zugriff ersetzen

Individuelle Konten sorgen für bessere Nachvollziehbarkeit als gemeinsam genutzte Logins, da sich jede Aktion auf eine Person zurückführen lässt. Einige Altsysteme und Dienstleisterportale erzwingen weiterhin gemeinsam genutzte Zugangsdaten. In diesem Fall speichern Sie die Zugangsdaten in einem kontrollierten Tresor mit namentlich zugeordnetem Benutzerzugriff, minimalen Rechten, einem Audit-Trail und einem geplanten Rotationsauslöser.

Wenn ein Dienstleisterportal oder ein Altsystem weiterhin einen gemeinsamen Login erzwingt, können Sie ihn mit Passwork einmal speichern, den Zugriff namentlich vergeben und jeden Abruf protokollieren. Entdecken Sie die Tresor-Berechtigungen von Passwork für Konten, die Sie noch nicht eliminieren können.

Der KMU-Zugriffskontrollkreislauf

Der Zugriff muss sich ändern, wenn sich Personen und Rollen ändern, und jemand muss bestätigen, dass diese Änderung tatsächlich erfolgt ist. Der Joiner-Mover-Leaver-Lebenszyklus beschreibt die drei Momente, in denen der Zugriff aktualisiert werden muss: wenn jemand eintritt, wenn sich die Rolle ändert und wenn die Person das Unternehmen verlässt.

Onboarding, ein Rollenwechsel, ein auslaufender Vertrag, längere Inaktivität, eine Systemänderung oder eine vermutete Kompromittierung sollten jeweils eine Zugriffsaktualisierung auslösen. Statt eines einheitlichen Zeitziels für das Offboarding sollten Sie ein risikobasiertes Service-Level für Ihr Unternehmen dokumentieren und in jedem Einzelfall bestätigen, dass Sie es eingehalten haben.

Beispielszenario: Ein Vertriebsleiter verlässt das Unternehmen. Die IT muss das Identity-Provider-Konto, die aktive E-Mail-Sitzung, die CRM-Rolle, Freigabeberechtigungen im Cloud-Speicher, den VPN-Zugriff, das Mobilgerät und jede Zugehörigkeit zu einem Zugangsdaten-Tresor prüfen. Fehlt auch nur einer dieser Punkte, bleibt ein funktionierender Zugangsweg in die Unternehmenssysteme bestehen, nachdem die Person das Unternehmen verlassen hat.

Der KMU-Zugriffskontrollkreislauf, der in der folgenden Tabelle dargestellt ist, umfasst fünf Phasen: inventarisieren, authentifizieren, autorisieren, ändern oder entfernen und überprüfen. Jede Phase lässt sich direkt einer Kontrolle zuordnen, die ein kleines oder mittleres Unternehmen auch ohne ein Enterprise-IAM-Budget umsetzen kann.

Kontrolle	Verantwortlicher	Auslöser oder Rhythmus	Aufzubewahrender Nachweis	Abgeschlossen, wenn
Identitätsinventur	IT-Leiter oder MSP	Vierteljährlich und nach größeren Systemänderungen	Export oder kontrolliertes Register	Jedes Unternehmenssystem und jede Kontoklasse hat einen Verantwortlichen.
MFA-Abdeckung	IT-Leiter oder MSP	Neues Konto; monatliche Compliance-Prüfung	MFA-Bericht des Identity-Providers	Prioritätskonten sind registriert und Ausnahmen sind dokumentiert.
Rollen- und Rechtevergabe	Anwendungsverantwortlicher mit IT-Freigabe	Neue Rolle oder Zugriffsanfrage	Genehmigtes Ticket oder Workflow-Protokoll	Der Zugriff entspricht der aktuellen Rolle.
Offboarding	Manager, Auslöser durch HR, Umsetzung durch IT	Austritt oder Vertragsende	Checkliste zum Zugriffsentzug und Zeitstempel	Zugriff, Sitzungen, Geräte und Tresor-Zugehörigkeit sind entfernt oder übertragen.
Zugriffsüberprüfung	Anwendungsverantwortlicher	Risikobasierter Rhythmus, bei sensiblen Systemen meist vierteljährlich	Prüfprotokoll und Liste der Korrekturmaßnahmen	Nicht benötigter Zugriff wird entfernt, und Ausnahmen haben einen Verantwortlichen und ein Ablaufdatum.
Überprüfung gemeinsam genutzter Zugangsdaten	Tresor-Verantwortlicher	Rollenwechsel, vermutete Kompromittierung oder geplante Überprüfung	Tresor-Audit-Protokoll und Rotationsprotokoll	Nur genehmigte Benutzer behalten Zugriff, und Rotationsmaßnahmen sind dokumentiert.

Wie Passwork die Zugriffsverwaltung für Zugangsdaten handhabt

Passwork zentralisiert Team-Passwörter und Geheimnisse, kontrolliert, wer sie abrufen kann, und protokolliert jedes Zugriffsereignis – als Ergänzung zu einem Identity-Provider, nicht als Ersatz dafür. Es übernimmt Autorisierung und Zugriffsentzug: Es gewährt Personen die richtigen Zugangsdaten und entzieht diesen Zugriff in dem Moment, in dem sich eine Rolle oder ein Beschäftigungsstatus ändert.

Der Workflow für Zugangsdaten läuft in vier Schritten ab:

Identitätsquelle verbinden. Verknüpfen Sie Active Directory, LDAP oder einen SAML-2.0-Identity-Provider, zum Beispiel Microsoft Entra ID, Okta, ADFS oder Google Workspace.
Gruppen auf Tresore abbilden. Jede Verzeichnisgruppe erhält je nach Rolle Lese-, Schreib-, Freigabe- oder reinen Prüfzugriff auf einen Tresor oder Ordner.
Zugangsdaten zentralisieren. Speichern Sie Passwörter, API-Schlüssel und Zertifikate in gemeinsam genutzten, unternehmenseigenen Tresoren statt in persönlichen Browser-Speichern, Tabellen oder Chat-Verläufen.
Jede Aktion prüfen. Prüfen Sie im Protokoll, wer wann auf Zugangsdaten zugegriffen, sie geändert, freigegeben oder exportiert hat. Exportieren Sie das Protokoll bei Bedarf in ein SIEM-Tool Ihres Sicherheitsteams.

Passwork steuert den Zugriff auf Zugangsdaten. Es ersetzt weder die Identitätsquelle noch den dokumentierten Lebenszyklus noch den benannten Verantwortlichen hinter jeder Zugriffsentscheidung. Diese Verantwortlichkeiten bleiben beim Unternehmen.

Fazit

Ein kleines Unternehmen braucht kein Enterprise-IAM-Budget, um das richtig zu machen. Es braucht vier Dinge in dieser Reihenfolge: wissen, wer Zugriff hat, ihn korrekt authentifizieren und autorisieren, ihn entfernen, sobald sich etwas ändert, und überprüfen, dass die Entfernung tatsächlich stattgefunden hat. Ein Verantwortlicher, ein Nachweis – jedes Mal.

Bereit, Team-Passwörter und Geheimnisse unter eine strukturierte, prüfbare Zugriffskontrolle zu stellen? Testen Sie Passwork in Ihrer Infrastruktur und erleben Sie, wie Verzeichnisgruppen, Tresor-Berechtigungen und Audit-Protokolle zu Ihrem Rollout passen.

Häufig gestellte Fragen

Was ist Zugriffsverwaltung für ein kleines Unternehmen?

Zugriffsverwaltung ist der Prozess, mit dem festgelegt wird, wer Unternehmenssysteme und -daten nutzen darf, was diese Person nach der Anmeldung tun kann und wie dieser Zugriff überprüft oder entzogen wird. Für ein kleines oder mittleres Unternehmen umfasst das Mitarbeiterkonten, Administratorzugriff, Auftragnehmer, gemeinsam genutzte Zugangsdaten und Servicekonten.

Welche Zugriffskontrollen sollte ein KMU zuerst einführen?

Beginnen Sie damit, die Konten und Anwendungen zu identifizieren, die den Geschäftsbetrieb steuern. Erzwingen Sie MFA für Prioritätskonten, entfernen Sie unnötigen Administrator- und gemeinsamen Zugriff, und dokumentieren Sie anschließend Offboarding und Zugriffsüberprüfungen, damit die Kontrollen auch nach der Einrichtung weiter funktionieren.

Wie oft sollte ein kleines Unternehmen den Zugriff überprüfen?

Die Häufigkeit der Überprüfung sollte sich am Risiko eines Systems und an der Veränderungsgeschwindigkeit des Unternehmens orientieren. Sensible Systeme benötigen häufigere Kontrollen, und jede regelmäßige Überprüfung sollte den Prüfer, die entfernten Zugriffe und alle genehmigten Ausnahmen mit Ablaufdatum festhalten.

Wie sollte mit Auftragnehmern und ausscheidenden Mitarbeitern umgegangen werden?

Versehen Sie den Zugriff von Auftragnehmern mit einem Ablaufdatum, das an den Vertrag gekoppelt ist, statt mit einem unbefristeten Datum. Entziehen Sie bei ausscheidenden Mitarbeitern den Identity-Provider-Zugriff, aktive Sitzungen, den Gerätezugriff und die Tresor-Zugehörigkeit gemeinsam, und dokumentieren Sie die Zeitstempel als Nachweis, dass der Entzug stattgefunden hat.

Kann ein Passwortmanager ein IAM-System ersetzen?

Ein Unternehmens-Passwortmanager regelt den Zugriff auf Passwörter und Geheimnisse. IAM verwaltet Identitäten, Authentifizierung und Zugriff anwendungsübergreifend in einem viel breiteren Rahmen. Passwork arbeitet für den Teil dieses umfassenderen Modells, der den Zugriff auf Zugangsdaten betrifft, mit Verzeichnisdiensten und Identity-Providern zusammen.