IT-Sicherheit: NIS2 und DORA erzwingen Zugriffsmanagement
Veröffentlicht am: 15.08.2026 um 18:18 Uhr | Redaktion boerse-global.de
In der IT-Sicherheit rücken die Risiken durch unsachgemäß verwaltete Zugriffsrechte zunehmend in den Fokus. Wie Fachberichte vom 14. August 2026 darlegen, führt insbesondere die Urlaubszeit in vielen Unternehmen zu einer sogenannten Berechtigungsdrift.
Wenn Vertretungsregelungen ohne klare zeitliche Begrenzung implementiert werden, entstehen Sicherheitslücken, die auch durch herkömmliche Kontrollprozesse oft nicht zeitnah geschlossen werden können.
Mangelhafte Rezertifizierung und die Gefahr der Offboarding-Lücke
Ein zentrales Problem bei der Verwaltung von Identitäten und Zugriffsrechten ist der Umstand, dass Vertretungsrechte häufig ohne ein fest definiertes Gültigkeitsende vergeben werden. In der Praxis führt dies dazu, dass Mitarbeiter nach der Rückkehr ihrer Kollegen weiterhin über erweiterte Zugriffsrechte verfügen, die für ihre eigentliche Tätigkeit nicht mehr erforderlich sind.
Analysen zeigen, dass etablierte Rezertifizierungsprozesse in vielen Fällen wirkungslos bleiben. Oftmals erfolgt die Überprüfung der Rechte in zu großen Zeitabständen oder oberflächlich, sodass die schleichende Zunahme ungenutzter oder unzulässiger Berechtigungen unentdeckt bleibt. Besonders kritisch wird diese Entwicklung im Bereich des Offboardings bewertet.
Wer sich mit der Absicherung von Unternehmensdaten befasst, sollte auch die Risiken durch menschliche Fehlbedarfe und gezielte Angriffe minimieren. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Gratis-Report zu neuen Cyberrisiken herunterladen
Besteht eine Lücke zwischen dem tatsächlichen Ausscheiden eines Mitarbeiters und der systemseitigen Deaktivierung seiner Konten, entsteht eine sogenannte Offboarding-Lücke. Diese ermöglicht es im schlimmsten Fall, dass Zugangsdaten auch nach dem Ende eines Beschäftigungsverhältnisses missbraucht werden können.
Regulatorische Anforderungen durch NIS2 und DORA
Die Notwendigkeit, diese Sicherheitsrisiken zu minimieren, ergibt sich nicht allein aus betriebswirtschaftlichen Überlegungen, sondern zunehmend aus einem verschärften rechtlichen Rahmen. Nationale und europäische Richtlinien wie NIS2, DORA sowie die BAIT stellen klare Anforderungen an die IT-Governance und das Risikomanagement in Unternehmen.
Diese Regularien fordern von den Verantwortlichen ein kontinuierliches Zugriffsmanagement. Es reicht demnach nicht mehr aus, Berechtigungen punktuell oder lediglich bei der Einrichtung eines Nutzerkontos zu prüfen.
Die Einhaltung neuer IT-Sicherheitsgesetze lässt sich oft ohne massive Investitionen realisieren, wenn die richtigen Schutzmaßnahmen priorisiert werden. Erfahren Sie in diesem Gratis-E-Book, wie Sie Sicherheitslücken effektiv schließen und gleichzeitig aktuelle gesetzliche Anforderungen erfüllen. IT-Sicherheits-Leitfaden für Unternehmen kostenlos anfordern
Vielmehr verlangen die Aufsichtsbehörden eine lückenlose Überwachung und Dokumentation der Zugriffsrechte über den gesamten Lebenszyklus einer Identität hinweg. Unternehmen sind angehalten, ihre Prozesse so zu gestalten, dass unberechtigte Zugriffe proaktiv verhindert und Abweichungen vom Soll-Zustand sofort erkannt werden.
Strategien zur Vermeidung von Berechtigungsdrift
Um der Drift von Berechtigungen wirksam zu begegnen, empfehlen Experten eine Reihe von technischen und organisatorischen Maßnahmen. Ein wesentlicher Baustein ist die Einführung zeitgebundener Zugriffe. Berechtigungen für Urlaubsvertretungen oder zeitlich befristete Projekte sollten systemseitig mit einem automatischen Ablaufdatum versehen werden, um ein manuelles Vergessen der Entziehung auszuschließen.
Darüber hinaus wird zu einer risikobasierten Rezertifizierung geraten. Anstatt alle Berechtigungen nach dem Gießkannenprinzip in denselben Intervallen zu prüfen, sollten kritische Zugriffspfade mit höherer Priorität und Frequenz kontrolliert werden.
Ein weiterer wichtiger Aspekt ist die Detektion von sogenannten Exit-Drifts. Durch den Einsatz spezialisierter Analysewerkzeuge lässt sich feststellen, ob Konten von ausgeschiedenen Mitarbeitern noch aktiv sind oder ob Zugriffsrechte entgegen der internen Richtlinien fortbestehen.
Ziel dieser Maßnahmen ist es, die Berechtigungsdrift messbar zu machen. Nur wenn Unternehmen den Grad der Abweichung zwischen den erforderlichen und den tatsächlich vergebenen Rechten quantifizieren können, lassen sich gezielte Gegenmaßnahmen einleiten und die Konformität mit regulatorischen Vorgaben sicherstellen.
