Bildquelle: Bildquelle: Pexels / Foto-ID 1181354 / https://www.pexels.com/photo/1181354/ / C00 Lizenz
Ein Admin-Zugang ist selten deshalb gefährlich, weil er neu angelegt wurde. Kritisch wird er, wenn er nach Projektende, Rollenwechsel oder Dienstleistereinsatz weiterlebt und niemand mehr sagen kann, wofür er gebraucht wird. Genau deshalb gehört jeder privilegierte Zugang regelmäßig auf eine einfache Prüfliste: Service, Besitzer, Zweck, letzter Gebrauch und Ablaufdatum.
Privilegierte Zugänge sind Konten mit erweiterten Rechten. Sie dürfen Systeme ändern, Benutzer anlegen, Daten einsehen oder Sicherheitsregeln anpassen. Für ITSM-Generalisten ist daran nicht nur die Technik wichtig. Entscheidend ist, ob ein solcher Zugang einem echten Service, einer verantwortlichen Person und einem nachvollziehbaren Betriebszweck zugeordnet ist.
Ein alter Zugang ist ein offenes Betriebsticket
Alte Admin-Konten entstehen oft ganz unspektakulär. Ein Projektteam braucht kurzfristig Rechte für eine Migration. Ein Dienstleister erhält Zugriff für eine Störung. Ein ehemaliger Administrator wechselt die Rolle, das Konto bleibt aber erhalten, weil noch niemand die Abhängigkeit geprüft hat. Im Alltag wirkt das harmlos, solange nichts passiert. Im Sicherheitsfall wird daraus aber eine unangenehme Frage: Wer hätte sehen müssen, dass dieser Zugang noch aktiv ist?
Die Antwort liegt selten in einem einzelnen Tool. Ein Identity-System kann anzeigen, dass ein Konto existiert. Es erklärt aber nicht automatisch, ob der Zugang fachlich noch gebraucht wird. Dafür braucht der Betrieb die Verbindung zu Servicekatalog, Ticket, Change, Providervertrag und Verantwortlichem. Ohne diese Verbindung wird Berechtigungsprüfung zu einer technischen Liste, die niemand wirklich entscheiden kann.
Die Prüfliste braucht fünf sichtbare Felder
Eine wirksame Prüfung alter Admin-Zugänge muss nicht kompliziert starten. Sie braucht zuerst fünf Felder, die im Review wirklich beantwortbar sind. Erstens der betroffene Service. Zweitens der fachliche oder technische Owner. Drittens der Zweck des Zugangs. Viertens der letzte nachvollziehbare Gebrauch. Fünftens ein Ablaufdatum oder ein nächster Prüftermin. Fehlt eines dieser Felder, ist das Konto nicht automatisch falsch. Es ist aber nicht ausreichend kontrolliert.
NIST behandelt Account Management in SP 800-53 als eigenen Sicherheitsbaustein und beschreibt unter anderem Verwaltung, Überprüfung und Deaktivierung von Konten. Für den ITSM-Alltag heißt das: Berechtigungen sind kein einmaliger Einrichtungsvorgang. Sie brauchen einen Lebenszyklus. Wer Konten nur anlegt und später nie wieder mit dem Servicebedarf abgleicht, baut eine stille Restfläche für Risiken auf.
Der Service Owner muss entscheiden können
Ein häufiger Fehler ist die falsche Zuständigkeit. Die Security-Abteilung findet ein altes Konto, der Plattformbetrieb kennt den technischen Namen, aber der Service Owner soll die geschäftliche Wirkung tragen. Damit diese Entscheidung möglich wird, muss die Prüfliste in normale Sprache übersetzen. Nicht nur Benutzerkennung und Gruppe zählen, sondern die Frage, welcher Service bei Sperrung betroffen wäre und wer eine Ausnahme verantwortet.
Das CIS Control zum Account Management betont ebenfalls die Inventarisierung und Kontrolle von Konten. In der Praxis wird daraus ein einfacher Arbeitsauftrag: Jeder privilegierte Zugang braucht einen Zweck, eine Zuordnung und einen regelmäßigen Nachweis. Ohne diese Angaben sollte der Zugang nicht still weiterlaufen, sondern in einen Klärungsstatus wechseln.
So senkst Du das Risiko ohne Aktionismus
- Ziehe regelmäßig alle privilegierten Konten aus Identity-System, Verzeichnisdienst, Cloud-Konsole und wichtigen Fachsystemen.
- Ordne jedes Konto einem Service, einem Owner und einem nachvollziehbaren Betriebszweck zu.
- Markiere Konten ohne letzten Gebrauch, ohne Besitzer oder ohne Ablaufdatum als Klärungsfälle.
- Sperre nicht blind, sondern frage zuerst nach Betriebsfolgen, Wartungsfenstern und Notfallwegen.
- Dokumentiere Ausnahmen im Ticket mit Begründung, Frist und nächstem Prüftermin.
- Prüfe Dienstleister- und Projektzugänge besonders streng nach Übergabe, Vertragsende oder Rollenwechsel.
CISA empfiehlt für Nutzer und Administratoren starke Zugangssicherung, etwa belastbare Passwörter und zusätzliche Schutzfaktoren. Das ersetzt aber nicht die organisatorische Frage, ob ein Konto überhaupt noch gebraucht wird. Ein stark abgesicherter Altzugang bleibt ein Risiko, wenn niemand ihn verantwortet.
Die beste Berechtigungsprüfung ist deshalb nicht die längste Excel-Liste. Sie ist die Liste, bei der jeder Eintrag eine Entscheidung auslöst. Wird der Zugang weiter gebraucht, bekommt er Owner, Zweck und Frist. Wird er nicht mehr gebraucht, wird er geschlossen. Ist die Lage unklar, entsteht ein Ticket mit konkreter Folgehandlung. So wird aus einer technischen Kontenliste ein steuerbarer Sicherheitsprozess.
Quellen und Einordnung: NIST SP 800-53 Rev. 5, CIS Control Account Management, CISA Secure Our World. Stand der Quellenprüfung: 23.07.2026. Bildquelle: Pexels, Foto-ID 1181354, C00 Lizenz.
