in Mitarbeiter kommt neu ins Unternehmen. Er bekommt die Zugänge, die er für seine Rolle braucht. Drei Jahre später wechselt er die Abteilung – neue Z

Ein Mitarbeiter kommt neu ins Unternehmen. Er bekommt die Zugänge, die er für seine Rolle braucht. Drei Jahre später wechselt er die Abteilung – neue Zugänge kommen dazu, die alten bleiben. Ein Jahr danach übernimmt er ein Projekt, bekommt temporäre Sonderrechte. Das Projekt endet, die Rechte bleiben. Fünf Jahre nach seinem ersten Tag kann dieser Mitarbeiter Bestellungen auslösen, Rechnungen freigeben und Zahlungen veranlassen – gleichzeitig, ohne dass jemand das so entschieden hat. Niemand hat dieses Risiko gebaut. Es ist gewachsen. Das ist das eigentliche Problem mit Berechtigungen und Zugängen in den meisten Unternehmen – nicht der böswillige Angreifer von außen, sondern die organisatorische Gleichgültigkeit von innen. Jede einzelne Entscheidung war nachvollziehbar. In der Summe ergibt sich ein Zustand, den niemand mehr überblickt und den niemand aktiv gewollt hat. Das Muster ist in jedem Unternehmen dasselbe, egal ob es um SAP-Berechtigungen in einem Finanzinstitut geht oder um Zugänge zu Buchhaltungssoftware, Cloud-Diensten und internen Systemen in einem mittelständischen Betrieb. Mitarbeiter kommen, Zugänge werden vergeben. Mitarbeiter wechseln Rollen, neue Zugänge kommen dazu. Mitarbeiter gehen – und wie viele Unternehmen können sicher sagen, dass alle Zugänge ehemaliger Mitarbeiter tatsächlich vollständig entzogen wurden? Nicht nur der Hauptaccount, sondern alle Systeme, alle Dienste, alle Cloud-Tools, die diese Person jemals genutzt hat? Was das mit Risikomanagement zu tun hat, ist direkt: Ein ehemaliger Mitarbeiter mit aktivem Systemzugang ist ein Risiko, das nicht durch einen Cyberangriff entsteht, sondern durch vergessene Administration. Eine Person mit kombinierten Rechten, die Transaktion, Freigabe und Zahlung ermöglichen, ist ein internes Kontrollrisiko, das kein Audit entdecken wird, wenn niemand danach sucht. Und ein System, das historisch gewachsene Zugänge unreflektiert weiterführt, ist eine Schwachstelle, die sich nicht in einer Firewall-Statistik zeigt. Die Frage, die jeder Geschäftsführer beantworten können sollte: Wer überprüft in unserem Unternehmen regelmäßig, wer auf was Zugriff hat – und ob dieser Zugriff noch gerechtfertigt ist? Nicht einmalig bei der Einführung eines Systems. Nicht anlassbezogen beim nächsten Audit. Regelmäßig, systematisch, als Teil eines laufenden Prozesses. Wenn diese Frage niemand beantworten kann, ist das kein IT-Problem. Es ist ein Führungsproblem.