Ein ausgeschiedener Mitarbeiter, dessen E-Mail-Konto noch aktiv ist. Ein gemeinsames Passwort für das Lager-Tablet. Oder ein Buchhaltungssystem, auf das mehr Personen zugreifen können als nötig: Sicherheitslücken entstehen in KMU selten durch spektakuläre Hackerangriffe, sondern häufig durch Zugänge, die im Arbeitsalltag zu lange unverändert bleiben. Diese Checkliste für sichere Mitarbeiterzugänge hilft dabei, Ordnung in Berechtigungen, Passwörter und Verantwortlichkeiten zu bringen – ohne Abläufe unnötig kompliziert zu machen.
Sichere Zugänge sind kein reines IT-Thema. Sie schützen Kundendaten, Angebote, Rechnungen, interne Dokumente und die Handlungsfähigkeit des Unternehmens. Gleichzeitig müssen Mitarbeitende rasch arbeiten können. Die passende Lösung ist daher nicht maximale Einschränkung, sondern ein Zugriffsmodell, das zum Betrieb, zu den Rollen und zu den eingesetzten Systemen passt.
Warum Mitarbeiterzugänge oft zum Risiko werden
In vielen Unternehmen wächst die IT-Landschaft schrittweise. Zu E-Mail, Dateiablage und Buchhaltung kommen Zeiterfassung, CRM, Projektmanagement, Branchenlösung, Fernzugriff und Cloud-Dienste. Neue Mitarbeitende brauchen rasch Zugang, externe Partner kurzfristig ebenfalls. Was pragmatisch beginnt, wird ohne klare Regeln schnell unübersichtlich.
Das eigentliche Problem ist nicht, dass Mitarbeitende Berechtigungen benötigen. Problematisch wird es, wenn niemand nachvollziehen kann, wer worauf zugreifen darf, warum diese Berechtigung besteht und wann sie wieder entfernt werden muss. Dann bleiben alte Konten bestehen, Berechtigungen werden weitergegeben oder sensible Bereiche sind breiter geöffnet als erforderlich.
Die Folgen reichen von versehentlich gelöschten Daten über Betrugsversuche bis zu Datenschutzproblemen nach DSGVO. Besonders kritisch ist ein kompromittiertes E-Mail-Konto: Darüber lassen sich oft Passwort-Resets für weitere Systeme auslösen. Ein einzelner Zugang kann damit zum Ausgangspunkt für weitreichende Schäden werden.
Checkliste für sichere Mitarbeiterzugänge im KMU
Die folgenden Punkte eignen sich als praktische Grundlage für einen Sicherheitscheck. Nicht jede Maßnahme muss am ersten Tag vollständig umgesetzt sein. Entscheidend ist, Prioritäten festzulegen und die Regeln dauerhaft im Betrieb zu verankern.
1. Alle Systeme und Konten erfassen
Erstellen Sie zunächst eine zentrale Übersicht: Welche Anwendungen werden genutzt? Dazu zählen nicht nur die offensichtlichen Systeme wie Microsoft 365, Buchhaltung oder ERP, sondern auch Cloud-Speicher, Newsletter-Tools, Lieferantenportale, Fernwartungszugänge, Webshop-Administration und Geräteverwaltung.
Zu jedem System sollte klar sein, wer fachlich verantwortlich ist, wer es technisch betreut und welche Mitarbeitenden Zugriff haben. Gemeinsame Benutzerkonten verdienen besondere Aufmerksamkeit. Sie mögen kurzfristig bequem sein, machen aber nicht nachvollziehbar, wer eine Änderung vorgenommen hat. Wo immer möglich, sollte jede Person ein eigenes Konto erhalten.
2. Zugriffe nach Rolle statt nach Zuruf vergeben
Eine Assistenz benötigt andere Rechte als ein Vertriebsmitarbeiter, eine Lagerkraft oder die Geschäftsführung. Rollenbasierte Berechtigungen schaffen hier Klarheit: Statt einzelne Rechte bei jeder Person neu zusammenzustellen, definieren Sie typische Rollen mit passenden Zugriffsprofilen.
Dabei gilt das Prinzip der minimalen Rechte. Mitarbeitende erhalten nur Zugriff auf jene Informationen und Funktionen, die sie für ihre Aufgabe benötigen. Wer Rechnungen vorbereitet, muss nicht zwingend Bankdaten ändern können. Wer Kundentermine koordiniert, braucht nicht automatisch Zugriff auf sämtliche Personalakten.
Das bedeutet nicht, dass jede Ausnahme verhindert werden muss. In kleinen Teams übernehmen Personen oft mehrere Aufgaben. Ausnahmen sollten jedoch bewusst freigegeben, dokumentiert und später überprüft werden. So bleibt Flexibilität erhalten, ohne dass Berechtigungen unkontrolliert wachsen.
3. Starke Anmeldung mit Mehrfaktor-Authentifizierung absichern
Ein gutes Passwort allein reicht nicht mehr aus. Passwörter können durch Phishing, Schadsoftware oder Datenlecks in falsche Hände geraten. Die Mehrfaktor-Authentifizierung, kurz MFA, verlangt neben dem Passwort einen zweiten Nachweis, etwa über eine Authenticator-App, ein Sicherheitsschlüsselgerät oder eine Freigabe am Mobiltelefon.
Priorität haben E-Mail-Konten, Fernzugriffe, Administrationszugänge, Cloud-Speicher und Systeme mit Kunden-, Finanz- oder Personaldaten. Gerade bei diesen Anwendungen reduziert MFA das Risiko erheblich, dass ein gestohlenes Passwort sofort zu einem erfolgreichen Angriff führt.
SMS-Codes können besser sein als kein zweiter Faktor, sind aber nicht in jeder Situation die beste Wahl. Authenticator-Apps oder Hardware-Schlüssel bieten meist höheren Schutz. Welche Variante passt, hängt von Teamgröße, Geräten, Arbeitsort und vorhandener IT ab. Wichtig ist auch ein geregelter Wiederherstellungsprozess, falls ein Diensthandy verloren geht.
4. Administratorrechte strikt begrenzen
Administrationskonten können Benutzer anlegen, Berechtigungen ändern, Daten exportieren oder Sicherheitsfunktionen abschalten. Deshalb sollten sie klar von normalen Arbeitskonten getrennt sein. Wer eine Anwendung administriert, arbeitet im Alltag trotzdem mit einem gewöhnlichen Benutzerkonto und verwendet das Administratorkonto nur für notwendige Verwaltungsaufgaben.
Prüfen Sie außerdem, ob es mehr Administratoren gibt, als tatsächlich erforderlich sind. Besonders bei externen IT-Partnern oder früheren Dienstleistern bleiben Zugänge manchmal bestehen, obwohl der Auftrag längst beendet ist. Für externe Personen sollten Berechtigungen zeitlich begrenzt und an eine konkrete Aufgabe gebunden sein.
5. Eintritt, Rollenwechsel und Austritt verbindlich regeln
Der kritischste Zeitpunkt für Berechtigungen ist oft nicht die technische Einrichtung, sondern der personelle Wechsel. Damit nichts übersehen wird, braucht es einen einfachen, verbindlichen Ablauf zwischen Führungskraft, Personalverantwortung und IT.
Beim Eintritt sollte vor dem ersten Arbeitstag feststehen, welche Systeme und Rollen benötigt werden. Beim Rollenwechsel werden nicht nur neue Rechte ergänzt, sondern alte Berechtigungen entfernt. Beim Austritt gilt: Zugänge müssen zum vereinbarten Zeitpunkt deaktiviert werden – auch E-Mail, VPN, Cloud-Dienste, mobile Geräte, Zutrittskarten und Anwendungen von Drittanbietern.
Für sensible Funktionen kann eine sofortige Sperre notwendig sein, etwa bei einer Freistellung. Die konkrete Vorgehensweise hängt vom Einzelfall ab. Entscheidend ist, dass die verantwortliche Stelle informiert wird und nicht darauf vertraut werden muss, dass sich jemand später daran erinnert.
6. Zugriffsrechte regelmäßig überprüfen
Berechtigungen verändern sich still. Mitarbeitende wechseln Aufgaben, Projekte enden, Software wird ersetzt und externe Partner verlassen das Unternehmen. Planen Sie daher fixe Überprüfungen ein, mindestens einmal jährlich. Für besonders kritische Systeme wie Buchhaltung, Lohnverrechnung oder Kundenverwaltung kann ein kürzerer Rhythmus sinnvoll sein.
Bei der Prüfung geht es nicht um aufwendige Bürokratie. Eine verantwortliche Person sieht pro System die Nutzerliste durch und bestätigt: Zugang weiterhin erforderlich, Berechtigung anpassen oder Konto deaktivieren. Diese Entscheidung sollte nachvollziehbar dokumentiert werden. So lassen sich Fragen im Sicherheitsfall oder bei einer Datenschutzprüfung rasch beantworten.
7. Geräte und Fernzugriffe mitdenken
Ein sicherer Benutzerzugang schützt wenig, wenn ein ungesperrtes Notebook im Auto liegt oder ein privates Gerät ohne Vorgaben auf Kundendaten zugreift. Legen Sie deshalb fest, welche Geräte für welche Systeme zugelassen sind und wie sie abgesichert werden müssen.
Mindestens erforderlich sind aktuelle Betriebssysteme, Bildschirmsperre, Festplattenverschlüsselung und eine zentrale Möglichkeit, verlorene Firmen-Geräte zu sperren oder Daten zu löschen. Beim Arbeiten von unterwegs sollte der Fernzugriff verschlüsselt sein. Ob dafür ein VPN, ein abgesicherter Cloud-Zugang oder eine andere Lösung sinnvoll ist, hängt von Ihrer Infrastruktur ab.
8. Mitarbeitende auf typische Angriffe vorbereiten
Die beste Technik hilft nicht, wenn ein gefälschtes E-Mail eine angebliche Passwortverlängerung fordert und jemand seine Zugangsdaten eingibt. Schulungen müssen dabei nicht lang oder belehrend sein. Kurze, wiederkehrende Hinweise mit konkreten Beispielen wirken im Alltag meist besser.
Mitarbeitende sollten wissen, woran sie Phishing erkennen, wie sie verdächtige Nachrichten melden und warum Passwörter niemals geteilt werden dürfen. Ebenso wichtig: Wer einen Fehler bemerkt, muss ihn ohne Angst vor Schuldzuweisungen rasch melden können. Geschwindigkeit begrenzt im Ernstfall oft den Schaden.
So wird aus der Checkliste ein funktionierender Prozess
Eine Liste allein schützt noch kein Unternehmen. Starten Sie mit den größten Risiken: deaktivieren Sie nicht mehr benötigte Konten, aktivieren Sie MFA für zentrale Systeme und prüfen Sie Administratorrechte. Danach können Rollenmodelle, Geräteverwaltung und regelmäßige Kontrollen schrittweise aufgebaut werden.
Für Unternehmen mit vielen Einzellösungen lohnt sich ein Blick auf die Gesamtarchitektur. Wenn Benutzerverwaltung, Berechtigungen und Abläufe in mehreren nicht abgestimmten Systemen liegen, steigen Aufwand und Fehlerrisiko. Individuell entwickelte Anwendungen können hier bestehende Prozesse verbinden und Berechtigungen von Anfang an passend abbilden. SMARTSQUARE berücksichtigt Web-Security dabei nicht als Zusatz nach dem Go-live, sondern als Teil einer Lösung, die im Arbeitsalltag funktionieren muss.
Sichere Mitarbeiterzugänge sind dann gut umgesetzt, wenn sie kaum auffallen: Die richtige Person kommt ohne Umwege an die Informationen, die sie braucht – und alle anderen nicht. Beginnen Sie mit einer ehrlichen Bestandsaufnahme. Sie schafft die Übersicht, auf der Sicherheit, Datenschutz und effiziente Abläufe dauerhaft aufbauen können.
Noch kein Kommentar, Füge deine Stimme unten hinzu!