Rezertifizierung von Zugriffsrechten: Ablauf, Rollen und Intervalle

Zugriffsrechte wachsen mit. Eine Mitarbeiterin wechselt vom Einkauf in den Vertrieb und behält ihren Zugriff auf die Lieferantenverträge. Ein Praktikant ist längst weg, sein Konto noch aktiv. Ein Dienstleister hat seit dem letzten Projekt weiterhin Administratorrechte. Gegen diese schleichende Ansammlung von Rechten hilft die Rezertifizierung von Zugriffsrechten. Dieser Beitrag erklärt, was eine Rezertifizierung ist, was das BSI dazu verlangt, wer prüfen sollte und wie Sie in sechs Schritten vorgehen.

Was bedeutet Rezertifizierung von Zugriffsrechten?

Bei einer Rezertifizierung bestätigen die zuständigen Personen in festen Abständen, dass vergebene Zugriffsrechte noch benötigt werden. Was nicht bestätigt wird, wird entzogen. Geprüft werden Benutzerkonten, Gruppenmitgliedschaften, Rollen und die Rechte in einzelnen Anwendungen.

Die Rezertifizierung ist ein Teil des Identitäts- und Berechtigungsmanagements, englisch Identity and Access Management (IAM). Das BSI beschreibt Berechtigungsmanagement im IT-Grundschutz-Baustein ORP.4 Identitäts- und Berechtigungsmanagement als die Prozesse, die für Zuweisung, Entzug und Kontrolle von Rechten erforderlich sind. Die Rezertifizierung ist der Kontrollteil.

Wichtig ist die Abgrenzung zu laufenden Änderungen. Wenn jemand eintritt, die Abteilung wechselt oder das Unternehmen verlässt, müssen die Rechte zeitnah angepasst werden (Empfehlung). Nicht mehr benötigte Rechte sind laut BSI bei personellen Veränderungen zu entfernen. Die Rezertifizierung ersetzt diesen Ablauf nicht. Sie ist das Sicherheitsnetz, das findet, was dabei übersehen wurde.

Warum eine regelmäßige Überprüfung nötig ist

Das BSI nennt in ORP.4 typische Schwachstellen: Der IT-Betrieb erfährt nichts von personellen Veränderungen, sodass Konten ausgeschiedener Mitarbeitender bestehen bleiben und weiter Zugriff haben. Mitarbeitende, die in eine andere Abteilung wechseln, behalten ihre alten Berechtigungen und sammeln so mit der Zeit umfangreiche Rechte an. Werden Berechtigungen „auf Zuruf“ vergeben, entsteht ein Wildwuchs, den niemand mehr überblickt.

Microsoft weist in der Dokumentation zu den Zugriffsüberprüfungen in Microsoft Entra ID auf zwei Folgen hin: Zu weit reichende Rechte können zu Kompromittierungen führen. Und übermäßige Rechte können bei Prüfungen auffallen, weil sie auf fehlende Kontrolle über den Zugriff hindeuten.

Was BSI, DSGVO und NIS2 verlangen

Der Baustein ORP.4 im IT-Grundschutz-Kompendium (Edition 2023) enthält dazu klare Anforderungen:

• Regelmäßige Überprüfung (ORP.4.A3): Die Dokumentation der Kennungen, Gruppen und Rechteprofile muss regelmäßig daraufhin geprüft werden, ob sie den tatsächlichen Stand widerspiegelt. Dabei muss auch geprüft werden, ob die Rechte noch den Sicherheitsanforderungen und den aktuellen Aufgaben entsprechen.
• Geringste Rechte (ORP.4.A2): Rechte dürfen nur nach tatsächlichem Bedarf vergeben werden. Bei personellen Veränderungen müssen nicht mehr benötigte Kennungen und Rechte entfernt werden.
• Inaktive Konten (ORP.4.A1): Kennungen, die längere Zeit inaktiv sind, sollen deaktiviert werden. Jede Kennung muss einer Person zugeordnet werden können.
• Gemeinsam genutzte Kennungen (ORP.4.A14): Es soll kontrolliert werden, dass nicht mehrere Personen unter derselben Kennung arbeiten.

Einen festen Rhythmus schreibt ORP.4 nicht vor. Das Wort „regelmäßig“ legen Sie selbst aus, und zwar nachvollziehbar.

Die Datenschutz-Grundverordnung (DSGVO) verlangt in Art. 32 Abs. 1 Buchst. d ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen. Eine Rezertifizierung der Zugriffsrechte kann Teil eines solchen Verfahrens sein. Ob sie in Ihrem Fall ausreicht, klären Sie am besten mit Ihrer Datenschutzberatung.

Für Unternehmen, die unter NIS2 fallen, gilt seit dem 6. Dezember 2025 das neue BSI-Gesetz. Nach § 30 BSIG gehören zu den Mindestmaßnahmen unter anderem Konzepte für die Zugriffskontrolle und Verfahren, mit denen die Wirksamkeit der Risikomanagementmaßnahmen bewertet wird. Was das für Ihr Unternehmen bedeutet, lesen Sie auf unserer Seite zu NIS2 und Risikomanagement.

Was wird überprüft?

Welche Bereiche Sie einbeziehen, hängt von Ihrer Umgebung ab. Bewährt hat sich diese Liste (Empfehlung):

• Benutzerkonten: Gibt es zu jedem Konto eine aktive Person mit Bedarf?
• Gruppen und Rollen: Passen die Mitgliedschaften noch zur aktuellen Aufgabe?
• Anwendungsrechte: Wer hat in ERP, Buchhaltung, Personalverwaltung oder CRM welche Rechte?
• Freigaben und Stellvertretungen: Ordnerfreigaben, Zugriffe auf fremde Postfächer, Freigabelinks in der Cloud.
• Administratorrechte: Wer darf Systeme verändern? Diese Konten verdienen besondere Aufmerksamkeit; mehr dazu im Ratgeber zu Privileged Access Management.
• Externe Zugänge: Gäste, Dienstleister, Partner. Hier fehlt oft ein Ereignis wie ein Austritt, das die Rücknahme auslöst.
• Inaktive und verwaiste Konten: Konten ohne Anmeldung oder ohne zuständige Person.
• Dienstkonten: Konten, unter denen Anwendungen laufen, und die Frage, wer für sie verantwortlich ist.

Wer prüft?

Die IT kann Rechte technisch auslesen, aber selten beurteilen, ob sie fachlich noch gebraucht werden. Deshalb hat sich eine Aufteilung bewährt (Empfehlung):

• Vorgesetzte oder Fachverantwortliche bestätigen die Rechte ihrer Mitarbeitenden oder ihrer Anwendung.
• Die IT liefert verständliche Übersichten und setzt Entscheidungen um.
• Die oder der Informationssicherheitsbeauftragte steuert den Ablauf. Im BSI-Baustein ORP.4 ist diese Rolle dafür zuständig, dass die Anforderungen erfüllt und überprüft werden.

Niemand sollte die eigenen Rechte allein bestätigen. Das folgt dem Grundsatz der Funktionstrennung, den ORP.4.A4 für unvereinbare Aufgaben verlangt.

Rezertifizierung in sechs Schritten

So können Sie eine Rezertifizierung aufsetzen (Empfehlung):

1. Umfang und Verantwortliche festlegen: Welche Systeme, Anwendungen und Datenbereiche gehören dazu? Wer bestätigt jeweils?
2. Rechte verständlich aufbereiten: Exportieren Sie Konten, Gruppen und Rechte so, dass Fachleute sie verstehen. Ein Gruppenname wie „GG_FS02_Proj_RW“ sagt einer Abteilungsleiterin wenig; eine Spalte „Lese- und Schreibzugriff auf Projektordner“ hilft.
3. Prüfung verteilen: Jede verantwortliche Person erhält nur ihren Ausschnitt, mit klarer Frist.
4. Entscheiden: Für jedes Recht gilt „bestätigen“ oder „entziehen“. Ausnahmen werden begründet und befristet.
5. Umsetzen und nachkontrollieren: Die IT entzieht abgelehnte Rechte und prüft anschließend, ob die Änderung wirkt.
6. Dokumentieren und verbessern: Halten Sie fest, wer wann was bestätigt oder entzogen hat. Werten Sie die Ergebnisse aus: Wo wurde viel entzogen? Wo fehlen Verantwortliche? Daraus ergeben sich Änderungen für den nächsten Durchlauf.

Wie oft sollten Sie rezertifizieren?

Da weder ORP.4 noch die DSGVO einen Rhythmus festlegen, richtet sich die Häufigkeit nach dem Risiko. Ein möglicher Ansatz (Empfehlung): Administratorrechte, externe Zugänge und Rechte auf besonders schützenswerte Daten prüfen Sie häufiger, zum Beispiel vierteljährlich. Übliche Rechte für Büroanwendungen genügen oft einmal im Jahr. Welche Daten besonders schützenswert sind, ergibt sich aus Ihrer Datenklassifizierung. Wichtiger als der genaue Abstand ist, dass die Prüfung tatsächlich stattfindet und dokumentiert wird.

Werkzeuge: Zugriffsüberprüfungen in Microsoft Entra ID

Wenn Sie Microsoft 365 nutzen, bietet Microsoft mit den Zugriffsüberprüfungen ein eingebautes Werkzeug. Laut Microsoft lassen sich damit unter anderem überprüfen:

• Mitglieder von Sicherheitsgruppen und Microsoft-365-Gruppen,
• Benutzer, die einer Unternehmensanwendung zugewiesen sind,
• Microsoft-Entra-Rollen und Azure-Ressourcenrollen über Privileged Identity Management,
• Zuweisungen von Zugriffspaketen.

Als Prüfer kommen festgelegte Personen, Gruppenbesitzer oder die Benutzer selbst infrage. Überprüfungen können wiederkehrend laufen, zum Beispiel wöchentlich, monatlich, vierteljährlich oder jährlich. Die Prüfer werden zu Beginn jeder Überprüfung benachrichtigt. Nach den Lizenzangaben von Microsoft (Stand 29.10.2026) setzen Zugriffsüberprüfungen Microsoft Entra ID Governance voraus; einige Funktionen sind auch mit Microsoft Entra ID P2 nutzbar.

Für Dateiserver, lokales Active Directory oder Fachanwendungen ohne solche Funktion genügen für den Anfang oft Exporte und eine strukturierte Liste, die die Verantwortlichen abzeichnen.

Typische Fehler

• Blind bestätigen: Wer hundert Zeilen ohne Erklärung erhält, klickt schnell alles durch. Weniger und verständlichere Einträge helfen.
• Ergebnis nicht umgesetzt: Ein entzogenes Recht, das technisch bestehen bleibt, ist kein Fortschritt.
• Sonderfälle vergessen: Administrator-, Dienst- und Gastkonten fallen aus vielen Abläufen heraus.
• Keine Nachweise: Ohne Dokumentation lässt sich die Prüfung später nicht belegen.

Wie GSL Sie unterstützen kann

Wir betreuen Unternehmen bei der IT-Sicherheit, bei Microsoft 365 und weiteren Cloud-Lösungen und im laufenden Betrieb mit Managed Services. Dazu gehört auch die Frage, wie sich Benutzerkonten und Rechte übersichtlich verwalten lassen.

Sprechen Sie mit uns

Sie möchten wissen, wer in Ihrem Unternehmen heute welche Rechte hat und wie Sie eine Rezertifizierung aufsetzen? Die GSL Groß GmbH ist von Idar-Oberstein aus für Sie da; im Raum Darmstadt arbeitet sie mit einem Partnersystemhaus zusammen. Nehmen Sie Kontakt mit uns auf, und wir besprechen Ihre Ausgangslage.