Berechtigungen, die zur heutigen Organisation passen

Wenn wir in einem seit langem bestehenden Unternehmen die Berechtigungen auswerten, ergibt sich fast immer dasselbe Bild. Es existieren mehr Gruppen als Beschäftigte. Ein erheblicher Teil der Freigaben stammt aus Projekten, die abgeschlossen sind. Einzelne Personen haben durch Abteilungswechsel Rechte angesammelt, ohne dass alte je entzogen wurden. Und es gibt Konten, deren Zweck niemand mehr benennen kann.

Der erste Schritt ist deshalb keine Änderung, sondern eine Auswertung. Wir erheben, welche Konten existieren, welchen Gruppen sie angehören und welcher Zugriff daraus tatsächlich folgt, einschließlich verschachtelter Gruppen. Das Ergebnis legen wir in einer Form vor, die auch außerhalb der IT lesbar ist.

Ein einmaliges Aufräumen hält nicht lange. Ohne wiederkehrende Prüfung ist die Struktur nach zwei bis drei Jahren wieder im Ausgangszustand, weil jede Änderung Rechte hinzufügt und praktisch keine welche entfernt.

Wir führen deshalb einen festen Ablauf ein: In vereinbarten Abständen erhält jede Führungskraft eine Übersicht der Zugriffe ihres Bereichs und bestätigt oder streicht. Die Übersicht ist bewusst kurz gehalten und in Fachsprache formuliert, nicht in Systembezeichnungen. Was ohne Bestätigung bleibt, wird nach Ablauf einer Frist entzogen.

Unternehmen mit mehreren Gesellschaften oder Niederlassungen stehen vor einer doppelten Aufgabe: Zusammenarbeit soll einfach sein, gleichzeitig sollen Bereiche getrennt bleiben, etwa wenn eine Gesellschaft eigene Vertraulichkeitsanforderungen hat oder ein Zukauf noch nicht integriert ist.

Wir verbinden Standorte über verschlüsselte Kopplungen zwischen gehärteten Firewalls und legen fest, welche Systeme aus welchem Netz erreichbar sind. Statt einer durchgehenden Verbindung entsteht eine Struktur mit bewussten Übergängen. Fällt ein Standort aus oder wird dort ein Gerät kompromittiert, bleibt die Wirkung begrenzt.

Vertriebs- und Verwaltungseinheiten arbeiten viel außerhalb des Büros. Historisch entstanden dafür oft Behelfslösungen: eine Fernsteuerung auf den Bürorechner, eine Portfreigabe auf der Firewall, ein privater Speicherdienst für Angebotsunterlagen.

Wir ersetzen das durch einen einheitlichen Zugang mit zweitem Faktor und Prüfung des Gerätezustands. Zugriff erhält, wer sich von einem verwalteten, verschlüsselten und aktuellen Gerät anmeldet. Direkt aus dem Internet erreichbare Fernsteuerungszugänge schalten wir ab, weil sie ein bekannter Einstiegsweg sind.

Für etablierte Mittelständler wird die NIS2-Umsetzung häufig zunächst mittelbar spürbar: Größere Auftraggeber, die selbst verpflichtet sind, geben Anforderungen an ihre Zulieferer und Dienstleister weiter. Aus einem Fragebogen wird dann rasch eine vertragliche Zusage.

Wir sorgen dafür, dass die technischen Antworten belegbar sind. Dazu gehören eine gepflegte Übersicht der Systeme, dokumentierte Zugriffsregelungen, Protokollierung, Aktualisierungsstand und eine getestete Notfallvorsorge. Die Datenschutz-Grundverordnung deckt parallel den Umgang mit personenbezogenen Daten ab. Ob und in welchem Umfang Pflichten für Sie gelten, beurteilen Ihre Rechtsberatung und Ihr Datenschutzbeauftragter; unsere Leistung ist die technisch-organisatorische Umsetzung und ersetzt keine Rechtsberatung.