Berechtigungsrezertifizierung effizient

Berechtigungen sind wie Unkraut: Einmal gesät, wachsen sie unaufhörlich weiter, wenn niemand regelmäßig nachschaut. Jeder Mitarbeiterwechsel, jedes Projekt, jede „nur kurz benötigte" Sonderfreigabe hinterlässt Spuren im Berechtigungsgefüge — und ohne periodische Überprüfung sammeln sich über Jahre Zugriffe an, die längst niemand mehr braucht. Genau hier setzt die Berechtigungsrezertifizierung an: die regelmäßige, dokumentierte Überprüfung, ob jede vergebene Zugriffsberechtigung noch berechtigt ist.

Dieser How-To-Beitrag zeigt, wie Sie Rezertifizierungskampagnen effizient aufsetzen — wer prüfen sollte, in welchem Turnus, mit welchem Tooling und wie Sie den Bezug zu ISO 27001 herstellen. Vor allem aber: wie Sie die größte Stolperfalle vermeiden, das gedankenlose Durchwinken („Rubber-Stamping"), das eine Rezertifizierung zur reinen Pflichtübung verkommen lässt. Eine gut gemachte Berechtigungsrezertifizierung ist mehr als ein Audit-Häkchen — sie ist ein wirksames Instrument der Risikoreduktion.

Was Rezertifizierung leistet — und was nicht

Die Berechtigungsrezertifizierung — international meist „Access Review" genannt — ist der Kontrollmechanismus, der den schleichenden Rechte-Zuwachs aufhält. Während JML-Prozesse dafür sorgen, dass Rechte beim Eintritt, Wechsel und Austritt korrekt vergeben und entzogen werden, fängt die Rezertifizierung das ab, was trotzdem durchrutscht: vergessene Sonderrechte, vererbte Altlasten, verwaiste Konten, Zugriffe aus abgeschlossenen Projekten.

Wichtig ist das richtige Verständnis: Rezertifizierung ersetzt keine sauberen JML-Prozesse, sondern ergänzt sie. Wer hofft, mit halbjährlichen Access Reviews ein kaputtes Onboarding zu reparieren, betreibt teure Symptombekämpfung. Die Rezertifizierung ist das Sicherheitsnetz, nicht das Fundament — sie deckt auf, was die laufenden Prozesse durchgelassen haben.

Merksatz
JML-Prozesse vergeben und entziehen Rechte im Tagesgeschäft. Die Rezertifizierung ist das periodische Sicherheitsnetz darunter — kein Ersatz für saubere Prozesse, aber ihre unverzichtbare Ergänzung.

Wer rezertifiziert? Die Verantwortlichen

Die wohl wichtigste Designentscheidung einer Rezertifizierungskampagne ist die Frage: Wer prüft? Die falsche Antwort — „die IT" — ist leider die verbreitetste. Die IT-Abteilung kann technisch sehen, wer welche Rechte hat, aber sie kann fachlich nicht beurteilen, ob ein Vertriebsmitarbeiter den Zugriff auf ein bestimmtes Laufwerk wirklich braucht. Diese Beurteilung kann nur jemand treffen, der den fachlichen Kontext kennt.

In der Praxis haben sich zwei Verantwortungsmodelle bewährt, die sich ergänzen:

• Manager-basierte Reviews: Die direkte Führungskraft prüft, ob die Rechte ihrer Mitarbeiter zu deren aktuellen Aufgaben passen. Die Führungskraft kennt die Rollen ihres Teams und erkennt, wenn jemand Zugriffe aus einer früheren Position mitschleppt.
• Owner-basierte Reviews: Der fachliche Eigentümer einer Ressource (etwa der Verantwortliche für eine Anwendung oder einen sensiblen Datenbestand) prüft, wer auf seine Ressource zugreifen darf. Dieser Blickwinkel ist besonders wirksam für hochsensible Systeme.

Für die meisten Mittelständler ist der Manager-basierte Ansatz der pragmatische Einstieg, ergänzt um Owner-Reviews für die wirklich kritischen Systeme. Entscheidend ist in jedem Fall: Die Prüfung gehört in die Hände derer, die den fachlichen Bedarf beurteilen können — nicht in die der IT, die nur die Technik sieht.

Der richtige Turnus

Wie oft sollte rezertifiziert werden? Die Antwort lautet: risikobasiert. Nicht jede Berechtigung verdient denselben Prüfrhythmus. Ein einheitlicher Turnus für alles führt entweder zu Überlastung (wenn man alles häufig prüft) oder zu Lücken (wenn man alles selten prüft). Sinnvoll ist eine Staffelung nach Risiko:

• Privilegierte und hochkritische Zugriffe: vierteljährlich. Administrator-Rechte, Zugriffe auf besonders sensible Daten und sicherheitskritische Systeme verdienen die häufigste Überprüfung.
• Sensible, aber nicht kritische Zugriffe: halbjährlich. Zugriffe auf personenbezogene Daten, Finanzsysteme oder wichtige Fachanwendungen.
• Standard-Zugriffe: jährlich. Allgemeine Berechtigungen mit geringem Risiko.

Zusätzlich zu diesem periodischen Turnus sollten ereignisbasierte Reviews stattfinden — etwa bei größeren Reorganisationen, nach Projektabschlüssen oder wenn ein Sicherheitsvorfall Anlass gibt. Der jährliche Mindestturnus für alle relevanten Berechtigungen ist dabei nicht nur Best Practice, sondern für ISO-27001-zertifizierte Unternehmen faktisch Pflicht.

Tooling: von Excel zu Entra Access Reviews

Eine Rezertifizierung lässt sich grundsätzlich mit Excel-Listen durchführen — und genau das ist in vielen Mittelständlern die Ausgangslage. Die IT exportiert Berechtigungslisten, schickt sie per Mail an die Führungskräfte, sammelt die Antworten ein und setzt Änderungen manuell um. Das funktioniert für eine kleine Erstkampagne, skaliert aber schlecht und ist fehleranfällig: Listen veralten, Antworten gehen verloren, die Dokumentation ist mühsam.

Wer Microsoft 365 mit Entra ID P2 einsetzt, sollte stattdessen Entra Access Reviews nutzen. Das Werkzeug automatisiert den gesamten Ablauf:

• Es erstellt automatisch Review-Kampagnen für definierte Gruppen, Rollen oder Anwendungszugriffe.
• Es benachrichtigt die zuständigen Prüfer und erinnert sie automatisch.
• Es bietet den Prüfern eine klare Oberfläche mit Entscheidungshilfen (etwa: „dieser Nutzer hat sich seit 90 Tagen nicht angemeldet").
• Es setzt die Entscheidungen automatisch um — entzogene Rechte werden tatsächlich entfernt, nicht nur notiert.
• Es dokumentiert lückenlos, wer wann was geprüft und entschieden hat — die ideale Grundlage für jedes Audit.

Gerade die automatische Umsetzung und die lückenlose Dokumentation sind der entscheidende Vorteil gegenüber dem Excel-Ansatz. Bei manuellen Reviews werden Entscheidungen oft getroffen, aber nicht umgesetzt — der Klassiker. Wie Access Reviews in das größere Entra-Bild passen, beschreibt unser Leitfaden zu Entra ID für den Mittelstand.

Praxis-Tipp
Nutzen Sie die „Last sign-in"-Information als Filter. Konten, die sich seit 90 oder mehr Tagen nicht angemeldet haben, sind erstklassige Kandidaten für den Entzug — und oft die verwaisten Konten, die sonst jahrelang unentdeckt bleiben.

Der Audit-Bezug: ISO 27001 A.5.18

Die Berechtigungsrezertifizierung ist nicht nur Sicherheits-, sondern auch Compliance-Pflicht. Die ISO/IEC 27001:2022 adressiert sie ausdrücklich. Control A.5.18 „Access rights" (Zugangsrechte) verlangt, dass Zugriffsrechte regelmäßig überprüft und bei Änderungen oder Beendigung des Arbeitsverhältnisses angepasst, entzogen oder widerrufen werden. Ergänzt wird dies durch A.5.15 (Zugangssteuerung) und A.5.16 (Identitätsmanagement).

Für die Praxis bedeutet das: Ein Auditor wird Nachweise sehen wollen, dass Sie Zugriffsrechte tatsächlich periodisch und nachvollziehbar überprüfen. Drei Dinge muss Ihre Rezertifizierung dafür belegen können:

1. Regelmäßigkeit: Es gibt einen definierten Turnus, und er wird eingehalten.
2. Verantwortlichkeit: Es ist klar, wer prüft, und diese Person hat tatsächlich geprüft.
3. Wirksamkeit: Entscheidungen werden umgesetzt — entzogene Rechte sind wirklich entzogen.

Genau hier zahlt sich toolgestützte Rezertifizierung aus: Sie liefert diese Nachweise automatisch. Wer mit Excel arbeitet, muss die Beweiskette mühsam von Hand zusammentragen. Die Rezertifizierung ist damit ein zentraler Baustein der ISO-27001-Konformität und ein häufiges Prüffeld in Überwachungsaudits.

Die große Stolperfalle: Rubber-Stamping

Die größte Gefahr für jede Rezertifizierung hat keinen technischen, sondern einen menschlichen Ursprung: das gedankenlose Durchwinken, im Fachjargon „Rubber-Stamping". Eine Führungskraft bekommt eine Liste mit dreißig Mitarbeitern und hunderten Berechtigungen, klickt unter Zeitdruck überall auf „bestätigen" — und schon ist die Rezertifizierung formal erledigt, ohne dass irgendetwas geprüft wurde. Das Ergebnis ist ein gefährliches Scheingefühl von Kontrolle: Auf dem Papier ist alles rezertifiziert, in Wirklichkeit hat sich nichts verändert.

Rubber-Stamping macht die gesamte Übung wertlos. Schlimmer noch: Es erzeugt Audit-Nachweise, die eine Kontrolle vortäuschen, die es nicht gibt. Gegen diese Stolperfalle helfen mehrere Maßnahmen:

• Kleine Häppchen statt Mammut-Listen: Niemand prüft dreihundert Zeilen sorgfältig. Brechen Sie Kampagnen in kleine, fokussierte Einheiten auf — lieber häufiger und kürzer.
• Entscheidungshilfen liefern: Zeigen Sie den Prüfern Kontext — letzte Anmeldung, Herkunft des Rechts, Vergleich mit Kollegen derselben Rolle. Wer Anhaltspunkte hat, prüft eher.
• Stichproben durch Dritte: Lassen Sie einen Teil der Rezertifizierungen stichprobenartig gegenprüfen. Das schärft das Bewusstsein, dass nicht blind durchgewunken werden darf.
• Default auf „Entzug" bei Untätigkeit: Wer nicht reagiert, sollte nicht stillschweigend alles bestätigen. Sinnvoller ist, nicht geprüfte Rechte nach Frist automatisch zu entziehen (mit Wiederherstellungsmöglichkeit) — das dreht den Anreiz um.
• Kultur statt Pflichtübung: Machen Sie klar, warum die Rezertifizierung wichtig ist. Wer den Sinn versteht, winkt seltener durch.

Merksatz
Eine durchgewunkene Rezertifizierung ist gefährlicher als gar keine — sie erzeugt einen Audit-Nachweis für eine Kontrolle, die in Wahrheit nie stattgefunden hat.

Effizient statt aufwendig: der pragmatische Ablauf

Damit die Rezertifizierung nicht als Bürokratiemonster empfunden wird, kommt es auf einen schlanken Ablauf an:

1. Scope festlegen: Beginnen Sie mit den risikoreichsten Berechtigungen — privilegierte Konten, sensible Daten. Nicht alles auf einmal.
2. Verantwortliche zuordnen: Klären Sie pro Bereich, wer Manager- bzw. Owner-Prüfer ist.
3. Kampagne aufsetzen: Idealerweise toolgestützt über Entra Access Reviews, mit klarer Frist.
4. Prüfen lassen: Die Verantwortlichen entscheiden je Zugriff — behalten oder entziehen — mit Entscheidungshilfen.
5. Umsetzen: Entzogene Rechte werden tatsächlich entfernt (bei Tooling automatisch).
6. Dokumentieren: Die Nachweise werden für das Audit archiviert.
7. Iterieren: Beim nächsten Turnus wird der Scope schrittweise erweitert.

So wird aus einer gefürchteten Pflichtübung ein eingespielter, wirksamer Routineprozess.

Rollenmodell senkt den Rezertifizierungsaufwand

Ein oft übersehener Zusammenhang: Wie aufwendig Ihre Rezertifizierung ist, hängt unmittelbar davon ab, wie sauber Ihre Berechtigungen strukturiert sind. Wer Hunderte individuell vergebener Einzelrechte prüfen muss, ertrinkt in der Detailarbeit — und genau das treibt das Rubber-Stamping. Wer dagegen über ein gepflegtes rollenbasiertes Modell (RBAC) verfügt, prüft nicht jedes einzelne Recht, sondern die Rollenzuordnung: „Ist diese Person noch im Vertrieb? Dann ist die Vertriebsrolle korrekt."

Das reduziert den Prüfumfang dramatisch. Statt zwanzig Einzelberechtigungen pro Mitarbeiter zu bestätigen, bestätigt die Führungskraft eine Rollenzuordnung. Die eigentliche fachliche Frage — welche Rechte gehören in die Vertriebsrolle? — wird einmal zentral beim Rollendesign beantwortet und nicht bei jeder Rezertifizierung neu aufgerollt.

Die Konsequenz ist klar: Wer seine Rezertifizierung effizient machen will, investiert in ein gutes Rollenmodell. Beides gehört zusammen. Ein sauberes RBAC reduziert nicht nur die Angriffsfläche, sondern macht auch die wiederkehrende Kontrolle erst handhabbar.

Wirksamkeit messen: ein paar einfache Kennzahlen

Eine Rezertifizierung, deren Wirkung niemand misst, verkommt leicht zur Routine ohne Substanz. Ein paar schlichte Kennzahlen zeigen, ob der Prozess tatsächlich greift:

• Entzugsquote: Wie viel Prozent der geprüften Rechte werden entzogen? Eine Quote nahe null ist ein Warnsignal — entweder ist Ihr Berechtigungsmanagement außergewöhnlich sauber, oder es wird durchgewunken. Realistisch werden in den ersten Kampagnen oft 5 bis 15 % der Zugriffe entzogen.
• Bearbeitungsquote: Wie viele Prüfer haben fristgerecht entschieden? Eine niedrige Quote deutet auf Überlastung oder fehlende Verbindlichkeit hin.
• Durchlaufzeit: Wie lange dauert eine Kampagne vom Start bis zur umgesetzten Entscheidung? Lange Laufzeiten erhöhen das Risiko veralteter Datenbasis.
• Umsetzungsquote: Werden entzogene Rechte auch tatsächlich entfernt? Bei toolgestützten Reviews liegt diese Quote bei 100 %, bei manuellen Prozessen oft deutlich darunter.

Diese Kennzahlen sind kein Selbstzweck, sondern liefern auch dem Management und dem Auditor ein belastbares Bild davon, dass die Kontrolle wirkt — nicht nur formal existiert.

Wie welabs Sie bei der Rezertifizierung unterstützt

welabs hilft mittelständischen Unternehmen, Berechtigungsrezertifizierung von der lästigen Excel-Übung in einen schlanken, auditfesten und wirksamen Prozess zu überführen. Im Rahmen unseres Identity & Access Managements bieten wir:

• Rezertifizierungs-Konzept: Festlegung von Scope, risikobasiertem Turnus und Verantwortlichkeiten (Manager- und Owner-Reviews).
• Entra Access Reviews einrichten: Aufbau automatisierter, dokumentierter Review-Kampagnen in Ihrer Microsoft-Umgebung.
• Anti-Rubber-Stamping-Design: Kampagnen, die echte Prüfung erzwingen statt blindes Durchwinken zu ermöglichen.
• Audit-Readiness: lückenlose Nachweise für ISO 27001 (A.5.18) und NIS2.
• Verzahnung mit JML & Rollenmodell: damit die Rezertifizierung auf sauberen Prozessen aufsetzt, nicht Symptome bekämpft.

Wenn Sie Ihre ISMS-Konformität insgesamt absichern wollen, unterstützen wir Sie auch im Bereich Compliance & ISMS. Sie wissen nicht, ob Ihre Zugriffsrechte einem Audit standhalten? Ein kostenloser Security-Check im Erstgespräch schafft Klarheit.

Fazit

Die Berechtigungsrezertifizierung ist das periodische Sicherheitsnetz Ihres Berechtigungsmanagements — der Mechanismus, der den schleichenden Rechte-Zuwachs aufhält und verwaiste Konten aufdeckt. Effizient wird sie durch drei Entscheidungen: die richtigen Verantwortlichen (Manager und Owner, nicht die IT), einen risikobasierten Turnus und toolgestützte Durchführung, die Entscheidungen automatisch umsetzt und lückenlos dokumentiert.

Die eigentliche Kunst liegt jedoch nicht in der Technik, sondern darin, das Rubber-Stamping zu verhindern. Eine Rezertifizierung, die nur durchgewunken wird, ist gefährlicher als gar keine — sie täuscht eine Kontrolle vor, die nicht existiert. Wer kleine Häppchen prüfen lässt, Entscheidungshilfen liefert und den Sinn vermittelt, macht aus der Pflichtübung ein echtes Instrument der Risikoreduktion — und geht entspannt in jedes ISO-27001- und NIS2-Audit.