Identity Governance im Sommer-Stresstest: Warum Vertretungsrechte automatisch verfallen müssen

Urlaubsvertretungen wirken auf den ersten Blick wie ein organisatorisches Detail – für das Identity & Access Management können sie jedoch zum langfristigen Sicherheitsproblem werden. Temporär vergebene Rechte bleiben bestehen, Rezertifizierungen werden vertagt und ausgeschiedene Mitarbeiter verschwinden nicht zuverlässig aus allen Zielsystemen. Gerade die Ferienzeit zeigt deshalb schonungslos, ob Identity Governance tatsächlich automatisiert funktioniert oder noch von manuellen Prozessen und Einzelentscheidungen abhängt.

Temporäre Vertretung, permanente Berechtigung

Im Sommer läuft der Geschäftsbetrieb weiter, obwohl Teile der Belegschaft im Urlaub sind. Aufgaben werden delegiert, Stellvertretungen eingerichtet und zusätzliche Zugriffsrechte vergeben. Was organisatorisch notwendig ist, wird sicherheitstechnisch allerdings häufig nicht konsequent zu Ende gedacht.

Heiko Klarl, CEO bei Nexis kommentiert.

Genau hier beginnt der sogenannte Berechtigungsdrift: Rechte werden für eine begrenzte Situation vergeben, bleiben technisch aber weit über ihren eigentlichen Zweck hinaus bestehen.

Der erste Fehler entsteht häufig bereits bei der Vergabe. Unter Zeitdruck werden Mitarbeiter direkt zusätzlichen Gruppen zugeordnet oder erhalten per Access Cloning die Berechtigungen eines Kollegen. Damit wird jedoch nicht zwingend nur der benötigte Zugriff übertragen, sondern unter Umständen dessen über Jahre gewachsenes Entitlement-Profil.

Fehlt diesen Berechtigungen ein verbindliches Ablaufdatum, gibt es auch keinen automatisierten Entzug. Die Differenz zwischen dem rollenbasierten Soll-Zustand und den tatsächlich vorhandenen Rechten wächst damit schleichend weiter.

Wenn Rezertifizierung zur Formalität wird

Zusätzlich verliert auch die klassische Rezertifizierung während längerer Abwesenheitszeiten schnell an Wirkung. Kalendergesteuerte Access-Review-Kampagnen treffen auf Verantwortliche, die gerade selbst im Urlaub sind. Entscheidungen werden verschoben – oder nach der Rückkehr unter Zeitdruck gesammelt abgearbeitet.

Das Risiko: Berechtigungen werden pauschal bestätigt, obwohl sich darunter privilegierte oder Segregation-of-Duties-kritische (SoD) Zugriffe befinden können.

Statt einer echten Kontrolle entsteht so ein administrativer Prozess, der formal abgeschlossen ist, seine sicherheitstechnische Funktion aber nur eingeschränkt erfüllt.

Besonders problematisch wird es, wenn sich diese Effekte über mehrere Systeme hinweg fortsetzen. Active Directory, Microsoft Entra ID, Cloud-Plattformen oder Fachanwendungen entwickeln dann unterschiedliche Berechtigungsstände, die sich mit manuellen Verfahren kaum noch zuverlässig überblicken lassen.

Die gefährliche Lücke beim Offboarding

Noch gravierender ist ein unvollständiges Offboarding. Fehlt eine kontinuierliche Korrelation zwischen HR-Stammdaten und dem tatsächlich vorhandenen Account-Bestand, kann ein Mitarbeiter organisatorisch längst ausgeschieden sein, während seine Identitäten technisch weiterhin existieren.

Der Austritt ist im HR-System dokumentiert – Zugänge in AD, Entra ID, AWS IAM oder einzelnen Anwendungen bleiben jedoch aktiv. Hinzu kommen Service Accounts und andere nicht-menschliche Identitäten, deren ursprünglicher Verantwortlicher möglicherweise längst nicht mehr im Unternehmen arbeitet.

Damit entstehen Orphaned Accounts: Konten ohne klaren Besitzer, die weiterhin Zugriffsrechte besitzen und damit ein attraktives Ziel für Missbrauch darstellen.

Das eigentliche Problem ist nicht der Urlaub

Der gemeinsame Nenner dieser Szenarien ist weniger die Ferienzeit selbst als vielmehr eine Identity Governance, die zu stark auf periodischen Momentaufnahmen und manuellen Einzelentscheidungen basiert.

Wer Berechtigungen nur zu bestimmten Stichtagen kontrolliert, sieht immer nur einen Ausschnitt. Moderne Identity Security muss dagegen kontinuierlich prüfen, ob der technische Ist-Zustand noch mit dem definierten Soll-Zustand übereinstimmt.

Gerade dynamische Veränderungen wie Stellvertretungen, Rollenwechsel, Projektzugriffe oder Austritte eignen sich kaum für ein Governance-Modell, das erst Wochen oder Monate später reagiert.

Was Unternehmen jetzt konsequent umsetzen sollten

Zugriffe zeitlich begrenzen und policy-basiert vergeben.

Vertretungsrechte sollten grundsätzlich mit eindeutigem Start- und Enddatum versehen werden. Statt vollständige Rollen oder die Rechte eines Kollegen zu kopieren, sollte nur der tatsächlich benötigte Zugriff bereitgestellt werden. Nach Ablauf des definierten Zeitraums muss die Berechtigung automatisiert entzogen werden.

Rezertifizierung nach Risiko priorisieren.

Eine breit angelegte Sammelkampagne mitten in der Urlaubszeit ist wenig hilfreich. Sinnvoller sind gezielte Reviews privilegierter, administrativer und SoD-kritischer Berechtigungen. Nach der Rückkehr können zusätzliche individuelle Rezertifizierungen erforderlich sein. Pauschale Freigaben sollten technisch möglichst verhindert werden.

Exit-Drift kontinuierlich erkennen.

HR-Leaver-Events müssen laufend gegen den realen Account- und Berechtigungsbestand abgeglichen werden. Dadurch lassen sich verwaiste Konten zeitnah identifizieren und Deaktivierung beziehungsweise Deprovisionierung automatisiert anstoßen.

Berechtigungsdrift messbar machen.

Identity Security Posture Management und Entitlement Analytics können sichtbar machen, wo sich reale Zugriffsrechte vom definierten Rollen- und Policy-Modell entfernen. Damit wird der Drift erkannt, bevor er beim Audit oder – deutlich unangenehmer – während eines Sicherheitsvorfalls auffällt.

Identity Governance muss auch funktionieren, wenn niemand hinsieht

Regulatorische Anforderungen erhöhen den Druck zusätzlich. NIS2 und DORA stellen klare Anforderungen an ein nachvollziehbares und belastbares Management von Zugriffsrechten; im regulierten Finanzumfeld sind kontrollierte Berechtigungsprozesse ohnehin ein zentraler Bestandteil der IT-Governance. Dauerhaft bestehende Rechte, die ursprünglich nur für eine dreiwöchige Urlaubsvertretung gedacht waren, passen nicht zu diesem Anspruch.

Die Ferienzeit wird damit zu einer Art Belastungstest für das Identity & Access Management. Sie zeigt, ob Governance tatsächlich systemisch verankert ist – oder nur funktioniert, solange verantwortliche Personen verfügbar sind und manuelle Prozesse wie vorgesehen durchgeführt werden.

Wer Soll- und Ist-Zustand von Identitäten und Berechtigungen kontinuierlich automatisiert miteinander abgleicht, muss den Sommer nicht als besonderes Sicherheitsereignis behandeln. Genau das sollte das Ziel moderner Identity Governance sein.