Benutzerrechte sind kein kleines IT-Detail. Sie entscheiden darüber, wer auf Kundendaten, Buchhaltung, Personaldaten, Postfächer, SharePoint-Bereiche, Netzlaufwerke, Backups und administrative Funktionen zugreifen kann – und damit auch darüber, wie groß der Schaden im Ernstfall wird.
In vielen Unternehmen entstehen Berechtigungen nicht nach sauberem Plan, sondern im Alltag: Ein Kollege braucht schnell Zugriff. Ein Dienstleister soll ein Problem lösen. Eine Urlaubsvertretung muss ein Postfach öffnen. Ein Mitarbeiter wechselt die Rolle. Ein Admin-Konto bleibt bestehen. Ein alter VPN-Zugang wird nicht entfernt. Das wirkt praktisch. Langfristig entsteht daraus aber eines der größten Sicherheitsrisiken in der Unternehmens-IT: zu viel Zugriff, zu viele Altlasten und zu wenig Überblick.
Genau darum geht es in diesem Beitrag: Warum alte Konten, zu breite Rechte, lokale Adminrechte, Dienstleisterzugänge und ungepflegte Freigaben nicht nur unordentlich sind, sondern ein echtes Unternehmensrisiko darstellen – und wie eine saubere Rechteverwaltung in der Praxis aufgebaut wird.
Rechte sind keine Nebensache
Viele betrachten Berechtigungen als rein technisches Thema. Wer darf einen Ordner sehen? Wer darf in SharePoint bearbeiten? Wer darf auf den Server? Wer darf ein gemeinsames Postfach öffnen? Das klingt im ersten Moment nach IT-Betrieb. In Wahrheit geht es um Unternehmensschutz.
Benutzerrechte steuern den digitalen Zutritt. Sie entscheiden, wer sensible Informationen lesen, verändern, exportieren oder löschen kann. Sie entscheiden, ob ein kompromittiertes Konto nur einen kleinen Arbeitsbereich betrifft – oder gleich das gesamte Unternehmen. Gute IT bedeutet deshalb nicht, dass jeder alles darf. Gute IT bedeutet, dass jeder genau das darf, was für seine aktuelle Aufgabe notwendig ist. Nicht weniger. Aber eben auch nicht mehr.
- Zugriff auf Kundendaten und Angebote
- Zugriff auf Buchhaltung, Personalunterlagen und Verträge
- Freigaben in Teams, SharePoint und OneDrive
- Administratorrechte und Sonderrechte
- Export-, Backup- und Restore-Berechtigungen
- Zugriffe externer Dienstleister und Gäste
Wer Rechte nur aus Bequemlichkeit vergibt, spart kurzfristig Rückfragen. Langfristig entstehen Unsicherheit, Intransparenz und deutlich größere Risiken.
Das Prinzip ist einfach: so viel wie nötig, so wenig wie möglich
Der klassische Sicherheitsgrundsatz der geringsten Rechte ist nicht theoretisch, sondern sehr praktisch. Ein Benutzer bekommt nur die Rechte, die er für seine Rolle wirklich braucht. Nicht auf Vorrat. Nicht „zur Sicherheit“. Nicht weil es schneller geht. Sondern passend zur Aufgabe.
Die Buchhaltung braucht andere Zugriffe als der Vertrieb. Die Geschäftsführung andere als die Technik. Ein externer Wartungspartner braucht Zugriff auf sein System – aber nicht auf das komplette Netzwerk. Ein Administrator braucht für administrative Tätigkeiten ein getrenntes Admin-Konto und sollte dieses nicht für den täglichen Büroalltag verwenden.
Alte Konten sind stille offene Türen
Eines der häufigsten Probleme in Unternehmen sind alte Benutzerkonten: ehemalige Mitarbeiter, Praktikanten, Aushilfen, externe Dienstleister, Testbenutzer, alte Admin-Konten oder historische Funktionskonten. Manche sind deaktiviert, manche nicht. Manche haben noch Lizenzen, Postfächer oder VPN-Zugriff. Manche hängen noch in Gruppen, die niemand mehr sauber prüft.
Das Gefährliche daran ist nicht der spektakuläre Einzelfall, sondern die Summe vieler kleiner Nachlässigkeiten. Ein altes Konto wird oft nicht überwacht. Niemand erwartet dort einen Login. Passwörter wurden vielleicht nie geändert. MFA fehlt. Zuständigkeiten sind unklar. Genau solche Nebeneingänge mögen Angreifer.
Darum gilt: Ein Austrittsprozess ist keine Formalität, sondern eine Sicherheitsmaßnahme. Wer das Unternehmen verlässt, muss technisch sauber aus der Struktur entfernt oder geregelt überführt werden – nachvollziehbar, dokumentiert und vollständig.
Mitarbeiterwechsel, Rollenwechsel und Rechtewachstum
Noch häufiger als das Offboarding wird der interne Rollenwechsel unterschätzt. Ein Mitarbeiter wechselt die Abteilung. Eine Kollegin übernimmt Teamleitung. Eine Urlaubsvertretung bekommt temporär Zugriff. Ein Projekt startet und endet wieder. In der Praxis werden oft neue Rechte vergeben, die alten bleiben aber bestehen.
So entsteht Berechtigungswachstum: Ein Benutzer sammelt über Jahre immer mehr Rechte an, die mit seiner aktuellen Aufgabe gar nicht mehr zusammenpassen. Wird dieses Konto kompromittiert, ist der Schaden größer. Deshalb muss bei jedem Rollenwechsel nicht nur die neue Aufgabe betrachtet werden, sondern auch die alte: Neue Rechte prüfen, alte Rechte konsequent entfernen.
Administratorrechte gehören nicht in den Arbeitsalltag
Besonders kritisch sind Administratorrechte. Mit ihnen lassen sich Systeme verändern, Benutzer anlegen, Sicherheitsregeln anpassen, Software installieren, Daten verschieben oder Schutzmaßnahmen aushebeln. Genau deshalb gehören Adminrechte nicht breit verteilt und nicht in den normalen Büroalltag.
Ein Administrator sollte nicht mit seinem Admin-Konto E-Mails lesen, im Internet surfen oder Rechnungen öffnen. Warum? Weil genau dort Angriffe stattfinden: Phishing, schadhafte Anhänge, kompromittierte Webseiten, manipulierte Dokumente. Wenn ein normales Benutzerkonto betroffen ist, ist der Schaden begrenzter. Wenn ein Admin-Konto betroffen ist, wird es ernst.
Dasselbe gilt auf Arbeitsplatzrechnern: Lokale Adminrechte sind bequem, aber riskant. Sie ermöglichen Installationen, schwächen die Kontrolle über den Client-Betrieb und erleichtern Schadsoftware zusätzliche Schritte. Sonderfälle kann es geben – Standard dürfen sie nicht werden.
Dienstleisterzugänge, Funktionspostfächer und geteilte Konten
Externe Dienstleister brauchen in vielen Unternehmen Zugriff: für Branchensoftware, Telefonanlagen, Wartung, Fernzugriff, Cloud-Dienste oder Webhosting. Das ist normal. Unsauber wird es, wenn niemand mehr weiß, wer Zugriff hat, auf welche Systeme, seit wann und mit welcher Absicherung.
Ein Dienstleisterzugang darf nicht „vorsichtshalber“ dauerhaft offenbleiben. Er braucht einen klaren Zweck, möglichst MFA, eine nachvollziehbare Zuordnung und eine regelmäßige Prüfung. Wenn der Zugriff nicht mehr benötigt wird, wird er deaktiviert oder entfernt.
Ähnlich kritisch sind Funktionspostfächer und geteilte Konten. Gemeinsame Postfächer wie info@, buchhaltung@ oder support@ sind sinnvoll, müssen aber sauber geregelt sein: Wer darf lesen? Wer darf senden? Wer ist verantwortlich? Welche alten Stellvertretungen sind noch aktiv? Geteilte Benutzerkonten sind noch problematischer, weil Verantwortlichkeit, Nachvollziehbarkeit und MFA darunter leiden.
SharePoint, Teams, OneDrive und Netzlaufwerke: modernes Rechtechaos bleibt Rechtechaos
Früher lag das Problem oft auf dem Netzlaufwerk: Jeder durfte alles. Heute liegen viele Daten in Microsoft 365. Die Oberfläche wirkt moderner, das Grundproblem bleibt aber gleich. Ein Gastbenutzer wurde eingeladen. Ein Link wurde extern geteilt. Ein Team hat zu viele Besitzer. Eine Datei liegt im persönlichen OneDrive statt im Unternehmensbereich. Ein ehemaliger Mitarbeiter besitzt noch wichtige Daten. Eine externe Freigabe blieb einfach bestehen.
Microsoft 365 ist leistungsfähig – aber es räumt Rechte nicht automatisch auf. Gerade Teams, SharePoint und OneDrive brauchen klare Regeln für Besitzer, Gäste, externe Freigaben, Rollen und Projektenden. Sonst entsteht Wildwuchs. Nur eben in moderner Verpackung.
Rechte sind auch Datenschutz und Schadensbegrenzung
Zu breite Rechte sind nicht nur ein IT-Sicherheitsthema. Sie sind auch ein Datenschutz- und Vertraulichkeitsthema. Personaldaten, Kundendaten, Bewerbungsunterlagen, Gesundheitsdaten, Verträge, Gehaltsinformationen oder Preiskalkulationen müssen nicht für jeden sichtbar sein, der technisch irgendwie Zugriff bekommen könnte.
Außerdem gilt im Sicherheitsvorfall: Es zählt nicht nur, ob ein Konto kompromittiert wurde. Es zählt, was dieses Konto darf. Ransomware verschlüsselt nicht „einfach alles“. Sie verschlüsselt, was erreichbar ist. Datenabfluss betrifft nicht automatisch jede Datei, sondern die Daten, auf die zugegriffen werden kann. Rechteverwaltung ist deshalb nicht nur Prävention, sondern ganz konkrete Schadensbegrenzung.
Nach einem verdächtigen Klick oder einer Kontoübernahme gehört deshalb eine Prüfung nach einem möglichen Phishing-Vorfall dazu: Welche Rechte hatte das Konto, welche Postfächer waren erreichbar und welche Weiterleitungen oder App-Berechtigungen wurden verändert?
Besonders kritisch sind mächtige Rechte wie Export, Backup, Restore, Benutzerverwaltung, Berechtigungsänderungen oder Protokolllöschung. Je mächtiger ein Recht, desto restriktiver muss es vergeben werden.
Rechteprüfung ist keine einmalige Aktion
Ein Berechtigungskonzept kann heute sauber sein und in einem Jahr trotzdem nicht mehr passen. Unternehmen verändern sich: Mitarbeiter kommen und gehen, Abteilungen wachsen, Projekte enden, Systeme wechseln, Microsoft 365 wird erweitert, neue Gäste kommen hinzu. Deshalb müssen Rechte regelmäßig überprüft werden – planbar, verständlich und mit klaren Ergebnissen.
- Welche Benutzer sind aktiv?
- Welche ehemaligen Mitarbeiter sind noch vorhanden?
- Wer hat Administratorrechte oder lokale Adminrechte?
- Welche Dienstleisterzugänge und externen Gäste bestehen?
- Welche Konten haben keine MFA?
- Welche Gruppen sind zu groß oder zu mächtig?
- Welche sensiblen Bereiche sind zu breit freigegeben?
Wichtig ist dabei nicht nur die technische Liste, sondern die Einordnung: Was ist kritisch? Was ist organisatorisch unsauber? Was kann sofort bereinigt werden? Was muss geplant werden? Genau darin zeigt sich professionelle Rechteverwaltung.
Dokumentation und Rollenmodell gehören dazu
Rechte, die nicht dokumentiert sind, lassen sich schlecht prüfen. Welche Gruppen gibt es? Welche Admin-Konten? Welche externen Zugänge? Welche Funktionspostfächer? Welche lokalen Adminrechte? Welche Sonderrollen? Welche Notfallkonten? Ohne diese Übersicht arbeitet man nicht systematisch, sondern suchend.
Deshalb gehört zur Rechteverwaltung immer auch Dokumentation – und ein Rollenmodell, das zur Unternehmensrealität passt. Ohne Rollen wird jedes Benutzerkonto individuell zusammengebaut. Das führt fast immer zu Chaos. Rollen sind keine Bürokratie, sondern Ordnung. Und Ordnung ist im IT-Betrieb ein Sicherheitsfaktor.
Was Geschäftsführer dazu wissen müssen
Als Geschäftsführer müssen Sie keine Gruppenmitgliedschaften auswendig kennen. Aber Sie sollten die richtigen Fragen stellen:
- Gibt es eine aktuelle Übersicht aller Benutzerkonten?
- Sind ehemalige Mitarbeiter vollständig entfernt oder deaktiviert?
- Wer hat Administratorrechte und warum?
- Welche Dienstleister haben Zugriff – und ist dieser Zugriff abgesichert?
- Ist MFA für kritische Konten aktiv?
- Gibt es einen Prozess für Eintritt, Wechsel und Austritt?
- Sind Teams-, SharePoint- und OneDrive-Freigaben unter Kontrolle?
- Wer darf exportieren, sichern, wiederherstellen oder Rechte ändern?
Wenn diese Fragen nicht klar beantwortet werden können, besteht Handlungsbedarf. Nicht weil automatisch alles falsch ist, sondern weil unklare Rechte zu den Risiken gehören, die lange still wachsen und im Ernstfall plötzlich sehr groß werden.
Der richtige Einstieg: erst Übersicht, dann Bereinigung
Der erste Schritt ist keine hektische Löschaktion. Bitte nicht einfach Benutzer, Gruppen oder Freigaben entfernen, ohne zu wissen, was davon abhängt. Der richtige Einstieg ist Übersicht: Welche Benutzer gibt es? Welche sind alt? Welche Gruppen sind mächtig? Welche Dienstleisterzugänge bestehen? Welche Gäste sind aktiv? Welche Konten haben keine MFA?
Danach kommt die Bewertung: Was ist kritisch? Was ist unklar? Was kann sofort entfernt werden? Was braucht einen Prozess? Was muss dokumentiert werden? Erst dann wird bereinigt – nicht blind, sondern sauber.
Was wir bei EDV Systeme Donner darunter verstehen
Für uns sind Benutzerrechte kein Nebenthema. Sie verbinden Microsoft 365, SharePoint, OneDrive, Teams, Server, Netzlaufwerke, VPN, Backup, Datenschutz, Administratorenkonten, Dienstleisterzugänge und Dokumentation. Deshalb schauen wir nicht nur auf einzelne Häkchen, sondern auf die Struktur dahinter: Wer arbeitet wie? Welche Daten sind sensibel? Welche Rollen gibt es? Welche historischen Rechte bestehen? Welche Prozesse fehlen? Gerade für Cloud-Daten gehört dazu auch, warum Microsoft 365 ein eigenes Backup-Konzept braucht.
Genau darin liegt der Unterschied zwischen „wir räumen mal Benutzer auf“ und echter Rechteverwaltung. Eine saubere Struktur schafft weniger Risiko, weniger Chaos und mehr Verlässlichkeit im Betrieb.
Die entscheidende Frage lautet nicht: Kommen Ihre Mitarbeiter an ihre Daten? Die bessere Frage lautet: Kommen nur die richtigen Personen an die richtigen Daten – und können Sie das nachvollziehbar belegen?
Wenn Sie diese Frage nicht klar beantworten können, sollten wir miteinander sprechen. EDV Systeme Donner unterstützt kleine und mittelständische Unternehmen dabei, Benutzerrechte, alte Konten, Microsoft-365-Freigaben, Administratorrechte, Dienstleisterzugänge und Zugriffsstrukturen sauber zu prüfen und zu ordnen.
Wenn Sie wissen möchten, ob in Ihrem Unternehmen zu breite Rechte, riskante Alt-Konten oder unkontrollierte Zugriffe bestehen, stellen Sie Ihre Anfrage hier: https://www.edv-donner.de/anfrage/