Rezertifizierungen: Wie Sie vierteljährlich nachweisen wer worauf zugreift

Edouard Jacques

Managing Director, Cyber Culture

Rezertifizierung ist die regelmäßige Überprüfung, ob bestehende Berechtigungen noch nötig sind. ISO 27001 verlangt sie in Anhang A 5.18. Für Finanzunternehmen unter DORA schreibt die Delegierte Verordnung (EU) 2024/1774 in Art. 21 sogar Mindestintervalle vor: Zugangsrechte sind mindestens jährlich zu überprüfen, bei Systemen für kritische oder wichtige Funktionen mindestens alle sechs Monate. NIS2 fordert Konzepte für die Zugriffskontrolle, ohne ein Intervall zu nennen. In der Praxis führen viele Unternehmen die Rezertifizierung als Excel-Versand-Marathon durch: Jeder Manager bekommt eine Tabelle mit den Berechtigungen seiner Mitarbeiter, soll diese kommentieren und zurücksenden. Der Rücklauf kommt oft erst nach mehreren Mahnungen. Nutzen für die Sicherheit: gering.

Was ein guter Rezertifizierungsprozess leistet

• Vierteljährliche Frequenz für kritische Berechtigungen (Admin, Finanz, HR), halbjährlich für Standard-Berechtigungen.
• Web-basiertes Self-Service-Portal statt Excel.
• Automatischer Entzug von Berechtigungen, die nicht bestätigt wurden.
• Audit-Log über Zustimmungen, Ablehnungen und Begründungen.
• Reporting an Compliance und Geschäftsleitung.

Tooling

Entra ID Access Reviews, SailPoint Certification Campaigns, Saviynt Access Reviews und One Identity Manager Recertification bieten alle einen gut dokumentierten Standard-Prozess. Excel-basiert sollten Sie nur arbeiten, wenn Ihr Unternehmen unter 100 Mitarbeitern hat.

Wer reviewt was

Die Verantwortung muss klar verteilt sein. Direktvorgesetzte rezertifizieren die Berechtigungen ihrer Mitarbeiter. Application Owner rezertifizieren die Berechtigungen innerhalb ihrer Anwendung. Business Role Owner prüfen, ob ihre Rolle noch zur fachlichen Realität passt. Privilegierte Konten (Admin) werden zusätzlich vom CISO rezertifiziert.

Häufige Fehler

Erstens: Zu viele Items pro Reviewer (>200) führt zu Click-Through ohne echte Prüfung. Lösung: Auf Rollen-Ebene rezertifizieren, nicht auf Einzelberechtigungs-Ebene. Zweitens: Keine Konsequenz bei Nicht-Bestätigung. Lösung: Nicht bestätigte Berechtigungen werden nach 14 Tagen automatisch entzogen. Drittens: Kein Reporting. Lösung: Quartals-Dashboard für Geschäftsleitung mit Completion Rate und Removal Rate.

Einführung in 8 Wochen

Wir führen Rezertifizierungsprozesse in 8 Wochen ein: Tool-Konfiguration, Reviewer-Schulung, erste Pilot-Kampagne. Danach zeigt Ihr Quartals-Dashboard, wie vollständig die Reviews abgeschlossen werden und wie viele Berechtigungen entfallen.