Wenn ein Mitarbeiter geht, bekommst du den Büroschlüssel zurück. Das ist selbstverständlich, daran denkt jeder. Aber was ist mit den vielen digitalen Schlüsseln, die diese Person über die Jahre bekommen hat? Der Login fürs Postfach, der Zugang zur Cloud, das Passwort fürs Warenwirtschaftssystem, vielleicht ein Fernzugang von zu Hause. Genau diese Schlüssel sammelt beim Abschied fast nie jemand ein. Sie bleiben einfach liegen, und niemand merkt es. Deshalb lohnt sich ein ehrlicher Blick auf die Zugriffsrechte in deinem Betrieb, denn dort schlummern die Türen, die eigentlich längst zu sein müssten.
Wie verbreitet das Problem ist, zeigt eine Zahl von Kaspersky. Fast die Hälfte der mittelständischen Unternehmen in Deutschland, genau 46 Prozent, kann nicht ausschließen, dass ehemalige Mitarbeiter noch Zugriff auf Daten und Systeme haben.1 Das ist keine Ausnahme, das ist der Normalfall. Für dich als Geschäftsführung ist das heikel, denn wer noch reinkommt, kann Daten mitnehmen, löschen oder zum Einfallstor für andere werden. Ich zeige dir hier ohne Fachchinesisch, warum alte Zugänge so oft offen bleiben, wo sie sich verstecken und wie du deine Zugriffsrechte Schritt für Schritt wieder in Ordnung bringst. Egal ob deine Firma in Gevelsberg, Ennepetal oder Hagen sitzt.
Warum alte Zugänge so oft offen bleiben
Den Schlüssel nimmt man zurück, den Login vergisst man
Der Grund ist selten böser Wille, sondern schlicht der Alltag. Scheidet jemand aus, dreht sich alles um die letzten Aufgaben, die Übergabe, das Zeugnis. An den Büroschlüssel denkt jeder, weil man ihn anfassen kann. Die digitalen Zugänge sind dagegen unsichtbar. Niemand sieht, dass da noch ein Konto aktiv ist, und so bleibt es bestehen. Über die Jahre sammeln sich auf diese Weise verwaiste Konten an, und mit jedem davon werden die Zugriffsrechte in deinem Betrieb ein Stück unübersichtlicher.
Externe Dienstleister, an die keiner mehr denkt
Noch häufiger vergessen werden externe Partner. Die Werbeagentur, die mal Zugriff auf euer System brauchte. Der frühere IT-Dienstleister, der einen Fernzugang eingerichtet hat. Der Programmierer, der vor zwei Jahren etwas angepasst hat. Diese Zugänge wurden für einen bestimmten Zweck geöffnet und danach nie wieder angefasst. Der Auftrag ist längst erledigt, die Zusammenarbeit beendet, aber die Zugriffsrechte laufen weiter. Gerade bei Dienstleistern weiß oft niemand mehr genau, wer eigentlich noch einen Zugang hat.
Gewachsen und nie aufgeräumt
Dazu kommt ein hausgemachtes Problem. In den meisten mittelständischen Betrieben gibt es keine eigene IT-Abteilung, die den Überblick behält. Mal richtet der Chef schnell etwas ein, mal ein Kollege, mal ein wechselnder Dienstleister. Eine zentrale Liste, wer worauf zugreifen darf, fehlt. So wachsen die Zugriffsrechte über die Jahre wild vor sich hin, ohne dass jemand bewusst die Verantwortung dafür trägt. Niemand räumt auf, weil sich niemand zuständig fühlt, und genau in diesem Vakuum bleiben die alten Zugänge jahrelang bestehen. Je länger das so läuft, desto unübersichtlicher werden die Zugriffsrechte, und desto größer ist die Chance, dass du einen vergessenen Zugang übersiehst.
Ein kurzer Check ist günstiger als jeder Schaden. Lass uns prüfen, wer noch Zugänge hat, bevor es jemand ausnutzt. Kostenloses Erstgespräch sichern
Wie gefährlich offene Zugänge wirklich sind
Der verärgerte Ex-Mitarbeiter
Stell dir vor, jemand verlässt die Firma im Streit und hat noch Zugriff auf das gemeinsame Laufwerk. Er könnte Daten mitnehmen und zur Konkurrenz tragen, wichtige Unterlagen löschen oder einfach in Ruhe mitlesen, was im Betrieb läuft. Das ist kein Kinofilm, das passiert. Und selbst ohne böse Absicht ist jedes aktive Konto eines Ehemaligen ein Risiko, weil niemand mehr darauf achtet. Saubere Zugriffsrechte sorgen dafür, dass mit dem letzten Arbeitstag auch wirklich der letzte Zugang endet.
Das vergessene Konto als Einfallstor für Angreifer
Noch gefährlicher sind diese Konten als Hintertür für Fremde. Ein altes Zugangskonto wird selten genutzt, also fällt auch niemandem auf, wenn sich plötzlich jemand damit anmeldet. Angreifer lieben genau das. Sie übernehmen so ein vergessenes Konto und bewegen sich dann in aller Ruhe durch dein Netz, ohne dass ein Alarm losgeht. Je mehr ungenutzte Zugriffsrechte in deinem Betrieb herumliegen, desto mehr solcher stillen Türen gibt es. Jede davon ist eine Einladung, die du selbst gar nicht mehr auf dem Schirm hast.
Das Risiko wächst mit jeder offenen Tür
Das Gemeine daran ist, dass sich das Risiko still aufsummiert. Ein einzelnes vergessenes Konto klingt harmlos. Aber über die Jahre werden daraus viele, und jedes einzelne ist eine Möglichkeit, dass etwas schiefgeht. Du weißt nicht, wer die alten Passwörter noch kennt, ob sie irgendwo auf einem Zettel stehen oder längst in einem Datenleck im Internet gelandet sind. Je mehr aktive Zugriffsrechte es gibt, die eigentlich niemand mehr braucht, desto größer ist die Angriffsfläche deiner Firma. Und anders als beim Büroschlüssel siehst du dieser Angriffsfläche nichts an, sie liegt unsichtbar in deinen Systemen.
Genau deshalb reicht es nicht, nur beim Austritt einmal kurz daran zu denken. Wer seine Zugriffsrechte wirklich im Griff haben will, muss regelmäßig nachsehen, denn es kommen ständig neue Zugänge dazu und alte bleiben liegen. Kontrolle über die Zugriffsrechte heißt genau das: diese unsichtbare Angriffsfläche so klein wie möglich zu halten, statt sie Jahr für Jahr weiter wachsen zu lassen.
Wo ehemalige Mitarbeiter und Dienstleister noch drinstecken könnten
E-Mail, Cloud und das Firmennetz
Die offensichtlichsten Stellen sind die, mit denen jeder täglich arbeitet. Das E-Mail-Postfach, das vielleicht noch Nachrichten empfängt. Der Cloud-Speicher mit den gemeinsamen Dokumenten. Das Anmeldekonto, mit dem man überhaupt an die Rechner und Programme kommt. Hier lohnt sich der erste Blick, denn hier liegen die wichtigsten Daten. Prüfe für jede dieser Stellen, wessen Zugriffsrechte noch aktiv sind, obwohl die Person oder Firma gar nicht mehr für dich arbeitet.
Fernzugänge und geteilte Passwörter
Die versteckteren Stellen sind oft die gefährlicheren. Ein Fernzugang, über den sich jemand von außen einwählt, wird selten überprüft. Dazu kommen geteilte Passwörter, die über die Jahre herumgereicht wurden, etwa ein gemeinsames Konto für ein bestimmtes Programm, dessen Passwort die halbe alte Belegschaft kennt. Solche geteilten Zugänge sind ein blinder Fleck, weil sie zu niemandem persönlich gehören. Auch sie gehören auf die Liste, wenn du deine Zugriffsrechte ernsthaft prüfst.
Online-Dienste und Abos, die nebenbei dazukamen
Leicht übersehen werden außerdem die vielen kleinen Online-Dienste, die sich über die Jahre ansammeln. Das Tool für den Newsletter, der Zugang zum Onlineshop, die Verwaltung der Firmenseite bei Social Media, ein Portal bei einem Lieferanten. Oft hat ein bestimmter Mitarbeiter das damals eingerichtet und ist bis heute als Verwalter hinterlegt, obwohl er längst weg ist. Solche Dienste tauchen auf keiner klassischen IT-Liste auf und werden deshalb fast immer vergessen. Dabei stecken auch hier Zugriffsrechte, die in falschen Händen Schaden anrichten können, etwa wenn jemand in deinem Namen postet oder an Kundendaten im Shop kommt. Eine vollständige Prüfung der Zugriffsrechte denkt diese Dienste von Anfang an mit.
So prüfst du eure Zugriffsrechte Schritt für Schritt
Erst eine ehrliche Liste: wer hat was
Der erste Schritt ist eine simple Bestandsaufnahme. Schreib auf, welche Systeme es gibt, also Postfach, Cloud, Netzwerk, Fernzugänge und wichtige Programme, und dann für jedes, wer darauf zugreifen kann. Oft ist schon das Erstellen dieser Liste ein Aha-Moment, weil Namen auftauchen, mit denen niemand mehr gerechnet hat. Diese Übersicht ist die Grundlage, um die Zugriffsrechte überhaupt beurteilen zu können, denn du kannst nur abschalten, was du auch kennst.
Alles abschalten, was keiner mehr braucht
Aus der Liste wird dann aufgeräumt. Jeder Zugang, der zu einer ausgeschiedenen Person oder einem beendeten Auftrag gehört, wird gesperrt. Im Zweifel lieber einmal zu viel zumachen, denn einen Zugang wieder zu öffnen ist einfach, einen Datenabfluss rückgängig zu machen nicht. Wichtig ist auch, dass du nicht nur die offensichtlichen Konten anfasst, sondern auch die geteilten Passwörter änderst. Nach dieser Runde sind deine Zugriffsrechte zum ersten Mal seit Langem wieder auf einem sauberen Stand.
Einen festen Ablauf fürs Ausscheiden
Damit das Problem nicht gleich wieder von vorn anfängt, braucht es einen festen Ablauf, oft Offboarding genannt. Das heißt nur: Wenn jemand geht oder ein Auftrag endet, gibt es eine kleine Checkliste, die abgearbeitet wird, und auf der stehen eben auch alle digitalen Zugänge. So wird aus einer einmaligen Aufräumaktion eine Gewohnheit. Richtig gepflegte Zugriffsrechte sind kein Projekt mit Enddatum, sondern eine Routine, die bei jedem Abschied einfach mitläuft.
Ein Beispiel aus der Praxis
Nimm einen Handwerksbetrieb in Witten, dreißig Leute. Bei einer Prüfung kam heraus, dass der Zugang eines vor drei Jahren ausgeschiedenen Monteurs noch aktiv war, inklusive Zugriff auf die geteilte Cloud mit allen Angeboten und Kundenadressen. Niemand hatte das je abgeschaltet, weil sich schlicht niemand zuständig fühlte. Dazu lief noch ein Fernzugang des alten IT-Dienstleisters, der längst gewechselt worden war. Passiert war zum Glück nichts, aber beides waren offene Türen, die niemand mehr auf dem Schirm hatte. Nach einem halben Tag Aufräumen waren die alten Zugriffsrechte gesperrt und ein kleiner Ablauf fürs Ausscheiden eingerichtet. Seitdem endet jeder Zugang mit dem letzten Arbeitstag, und die Chefin weiß wieder genau, wer worauf zugreifen kann.
Weißt du sicher, wer gerade alles in deine Systeme kommt? Wir gehen mit dir die Liste durch und schließen, was offen steht. Jetzt Zugänge prüfen lassen mit edv-trend
Was das Gesetz von dir verlangt
Datenschutz ist Pflicht, nicht Kür
Das Thema ist nicht nur eine Frage der Vorsicht, sondern auch des Gesetzes. Die Datenschutz-Grundverordnung verlangt, dass du personenbezogene Daten angemessen schützt, und dazu gehört, dass nur befugte Personen darauf zugreifen. Ein Ex-Mitarbeiter mit aktivem Konto ist aus dieser Sicht ein klarer Verstoß. Kontrollierte Zugriffsrechte sind damit kein nettes Extra, sondern eine Pflicht, die du erfüllen musst. Wer sie vernachlässigt, riskiert bei schweren Verstößen Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.2
Im Ernstfall zählt der Nachweis
Dazu kommt, dass du im Zweifel belegen können musst, dass du dich gekümmert hast. Wenn eine Behörde nachfragt oder etwas passiert ist, hilft dir kein gutes Gewissen, sondern nur ein nachvollziehbarer Überblick, wer wann welche Zugriffsrechte hatte und wann sie entzogen wurden. Genau deshalb lohnt es sich, das Aufräumen und das Sperren kurz zu dokumentieren. Diese Dokumentation ist im Ernstfall dein Beweis, dass deine Zugriffsrechte unter Kontrolle sind. Und sie kostet dich kaum Zeit, wenn du sie beim Aufräumen gleich nebenbei anlegst, statt sie später mühsam zusammensuchen zu müssen.
Warum ein IT-Partner aus der Region den Unterschied macht
Kurze Wege und ein Blick von außen
Die eigenen Zugriffsrechte sauber zu durchleuchten, fällt von innen schwer, weil man die gewachsenen Gewohnheiten gar nicht mehr hinterfragt. Ein erfahrener Partner schaut mit frischem Blick drauf und kennt die typischen Verstecke für vergessene Zugänge. Und ob dieser Partner zwei Stunden über die Autobahn anreist oder aus der Nachbarstadt kommt, merkst du spätestens, wenn schnell etwas geklärt werden muss. edv-trend ist ein IT-Systemhaus aus Gevelsberg und betreut Unternehmen in der Region, von Ennepetal über Schwelm und Wuppertal bis nach Hagen, Witten und Sprockhövel. Wer deinen Betrieb kennt, bringt deine Zugriffsrechte so in Ordnung, dass es zu deinen Abläufen passt, und richtet gleich einen Ablauf ein, damit es so bleibt.
Dein nächster Schritt
Es beginnt mit einer ehrlichen Bestandsaufnahme
Wenn du bis hierher gelesen hast, geht dir wahrscheinlich schon ein Name durch den Kopf, bei dem du nicht sicher bist, ob der Zugang wirklich zu ist. Das ist ein gutes Zeichen. Es heißt, jetzt ist der richtige Moment, deine Zugriffsrechte einmal gründlich zu prüfen, bevor ein offener Zugang dich zum falschen Zeitpunkt daran erinnert. Du musst dafür kein Großprojekt starten. Ein Gespräch reicht, um zu klären, wo du stehst und wo zuerst aufgeräumt werden muss. Ohne Fachchinesisch und ohne Verpflichtung, dafür mit der Sicherheit, dass niemand mehr in deine Systeme kommt, der da längst nicht mehr hingehört.
Lass uns herausfinden, wer noch einen digitalen Schlüssel zu deiner Firma hat. Ein Gespräch mit edv-trend genügt für den Anfang. Gespräch mit edv-trend starten
Häufige Fragen zum Thema
Kann ein ehemaliger Mitarbeiter nach der Kündigung noch auf unsere Daten zugreifen?
Ja, und zwar öfter, als man denkt. Eine Kaspersky-Studie zeigt, dass 46 Prozent der mittelständischen Unternehmen in Deutschland nicht ausschließen können, dass Ex-Mitarbeiter noch Zugriff haben. Der Grund ist meist simpel: Der Büroschlüssel wird zurückgegeben, die digitalen Zugänge aber vergisst man. Deshalb solltest du beim Weggang jedes Mal die Zugriffsrechte der Person sperren. Nur wenn die Zugriffsrechte sauber entzogen werden, endet mit dem letzten Arbeitstag auch wirklich der Zugang.
Hat unser alter IT-Dienstleister vielleicht noch einen Zugang zu unseren Systemen?
Gut möglich. Externe Partner bekommen für ihre Arbeit oft einen Fernzugang, der nach Projektende nie wieder angefasst wird. Der Auftrag ist erledigt, die Zusammenarbeit beendet, aber der Zugang läuft weiter. Gerade bei Dienstleistern weiß später kaum jemand, wer eigentlich noch reinkommt. Deshalb gehören auch externe Partner auf die Liste, wenn du deine Zugriffsrechte prüfst. Eine ehrliche Durchsicht der Zugriffsrechte deckt genau solche vergessenen Zugänge auf.
Woher weiß ich überhaupt, wer alles in unsere Systeme kommt?
Das weißt du erst, wenn jemand einmal eine ehrliche Liste erstellt. Schreib auf, welche Systeme es gibt, also Postfach, Cloud, Netzwerk, Fernzugänge und wichtige Programme, und dann für jedes, wer darauf zugreifen kann. Schon das Erstellen dieser Übersicht ist oft ein Aha-Moment. Sie ist die Grundlage, um die Zugriffsrechte beurteilen zu können, denn du kannst nur abschalten, was du auch kennst. Ohne diese Liste bleiben deine Zugriffsrechte ein blinder Fleck.
Was muss ich tun, wenn ein Mitarbeiter die Firma verlässt?
Am besten arbeitest du eine kleine Checkliste ab, auf der neben Schlüssel und Firmenwagen auch alle digitalen Zugänge stehen. Postfach sperren, Cloud-Zugang entziehen, Anmeldekonto deaktivieren, geteilte Passwörter ändern. Fachleute nennen diesen festen Ablauf Offboarding. Wichtig ist, dass dabei die Zugriffsrechte der Person vollständig entzogen werden, nicht nur die offensichtlichen. So wird das Sperren der Zugriffsrechte zur Routine statt zur vergessenen Nebensache.
Kann ein verärgerter Ex-Mitarbeiter uns wirklich schaden?
Ja. Wer im Streit geht und noch Zugang hat, könnte Daten mitnehmen, wichtige Unterlagen löschen oder in Ruhe mitlesen, was im Betrieb läuft. Das ist kein Kinofilm, das passiert. Und selbst ohne böse Absicht ist jedes aktive Konto eines Ehemaligen ein Risiko, weil niemand mehr darauf achtet. Saubere Zugriffsrechte sorgen dafür, dass so ein Fall gar nicht erst möglich wird. Deshalb sind kontrollierte Zugriffsrechte gerade bei Austritten so wichtig.
Ein altes Passwort kennen mehrere Leute. Ist das ein Problem?
Ja, geteilte Passwörter sind ein echter blinder Fleck. Ein gemeinsames Konto, dessen Passwort die halbe frühere Belegschaft kennt, gehört zu niemandem persönlich, also achtet auch niemand darauf. Wer da alles noch Bescheid weiß, lässt sich kaum sagen. Beim Prüfen der Zugriffsrechte gehören solche geteilten Zugänge deshalb unbedingt dazu, und das Passwort muss geändert werden. Erst dann sind die Zugriffsrechte wieder nachvollziehbar einer Person zugeordnet.
Kann ein vergessenes Konto auch von Hackern missbraucht werden?
Genau das ist die große Gefahr. Ein altes Konto wird selten genutzt, also fällt niemandem auf, wenn sich plötzlich jemand damit anmeldet. Angreifer übernehmen solche verwaisten Konten und bewegen sich dann unbemerkt durch dein Netz. Je mehr ungenutzte Zugriffsrechte herumliegen, desto mehr solcher stillen Türen gibt es. Wer die Zugriffsrechte regelmäßig aufräumt, nimmt Angreifern genau diese bequemen Einfallstore weg.
Muss ich das aus rechtlichen Gründen überhaupt regeln?
Ja. Die Datenschutz-Grundverordnung verlangt, dass du personenbezogene Daten angemessen schützt, und dazu gehört, dass nur befugte Personen darauf zugreifen. Ein Ex-Mitarbeiter mit aktivem Konto ist aus dieser Sicht ein klarer Verstoß, und bei schweren Fällen drohen hohe Bußgelder. Kontrollierte Zugriffsrechte sind damit nicht nur klug, sondern Pflicht. Im Zweifel musst du sogar nachweisen können, dass die Zugriffsrechte korrekt vergeben und entzogen wurden.
Wie oft sollte ich prüfen, wer Zugang zu unseren Systemen hat?
Am besten bei jedem Austritt und bei jedem Ende einer Zusammenarbeit sofort, und zusätzlich einmal im Jahr als kompletter Durchlauf. So fängst du die laufenden Veränderungen ab und findest trotzdem die Fälle, die durchgerutscht sind. Regelmäßig geprüfte Zugriffsrechte bleiben überschaubar, während ein jahrelang gewachsenes Durcheinander irgendwann kaum noch zu entwirren ist. Der jährliche Blick auf die Zugriffsrechte ist schnell gemacht und spart dir großen Ärger.
Wie fange ich mit dem Aufräumen am besten an?
Ganz unkompliziert mit einem Gespräch und einer gemeinsamen Bestandsaufnahme, wer gerade worauf zugreifen kann. Danach wird gesperrt, was niemand mehr braucht, und ein fester Ablauf fürs Ausscheiden eingerichtet, damit es so bleibt. Genau dabei hilft edv-trend als IT-Systemhaus aus Gevelsberg Unternehmen in Ennepetal, Schwelm, Wuppertal, Hagen, Witten, Sprockhövel und der ganzen Region, die Zugriffsrechte wieder in Ordnung zu bringen, ohne Fachchinesisch und ohne Verpflichtung.
