Ein Mitarbeiter verlässt das Unternehmen, doch sein Konto bleibt wochenlang aktiv. Ein externer Dienstleister behält noch lange nach dem Ende seines Auftrags Administratorzugriff. Solche Situationen sind alltäglich – und stellen dennoch Sicherheitslücken dar, die Angreifer innerhalb weniger Minuten ausnutzen können. Berufliche Zugänge zu sichern, bedeutet mehr, als nur ein gutes Passwort zu wählen: Es geht um eine Reihe technischer und organisatorischer Entscheidungen, die ein Leitfaden zur digitalen Sicherheit strukturiert.
Mehr-Faktor-Authentifizierung: Nicht alle Methoden bieten denselben Schutz
Sie haben sicher schon einmal einen Code per SMS erhalten, um eine Anmeldung zu bestätigen. Dieses Verfahren heißt Mehr-Faktor-Authentifizierung (MFA). Das Prinzip ist einfach: Die eigene Identität wird mit mindestens zwei unterschiedlichen Faktoren nachgewiesen, zum Beispiel mit einem Passwort und einem temporären Code, der auf einem anderen Gerät eingeht.
Der Haken: Man sollte nicht davon ausgehen, dass alle MFA-Verfahren denselben Schutz bieten. Die CNIL veröffentlichte im März 2025 eine Empfehlung, in der sie Passkeys von der herkömmlichen Mehr-Faktor-Authentifizierung unterscheidet. Ein Passkey gilt nicht automatisch als Mehr-Faktor-Authentifizierung. Diese Unterscheidung beeinflusst, wie ein Unternehmen die Optionen seiner Softwareanbieter bewertet.
In ihrem Erfahrungsbericht zur DGFiP geht die ANSSI noch weiter. Sie weist darauf hin, dass ein per E-Mail versendeter Code nur wenig Schutz bietet, wenn auf das Postfach mit denselben kompromittierten Zugangsdaten zugegriffen werden kann. Anders gesagt: Wie unabhängig die Authentifizierungsfaktoren voneinander sind, bestimmt maßgeblich die tatsächliche Sicherheit der MFA. Ein physischer Token oder eine Authentifizierungs-App auf einem separaten Gerät bietet deutlich mehr Schutz als ein einfacher Code per E-Mail.
Ein gut konzipierter Leitfaden zur digitalen Sicherheit hilft genau bei dieser Auswahl. Statt lediglich ein Häkchen bei „MFA aktiviert“ zu setzen, regt er dazu an, zu prüfen, ob die beiden Faktoren tatsächlich voneinander getrennt sind. Weitere konkrete Schritte zur Umsetzung für KMU beschreibt der Leitfaden zur digitalen Sicherheit von P U B.
Zugriffsrechte auf Daten: Das Problem endet nicht an der Eingangstür
Stellen wir uns einen Vertriebsmitarbeiter vor, der auf das CRM des Unternehmens zugreift. Er muss seine Kunden einsehen können, nicht die gesamte Datenbank. Der Zugriff auf eine Anwendung bedeutet nicht, dass man alle darin gespeicherten Daten einsehen können muss.
Dieses Prinzip hat einen Fachbegriff: das Prinzip der geringsten Berechtigung. Jeder Nutzer erhält nur die Rechte, die für seine Aufgaben unbedingt erforderlich sind. Wird ein Konto kompromittiert, kann der Angreifer nur auf einen begrenzten Bereich zugreifen, nicht auf das gesamte Informationssystem.
Die ANSSI empfiehlt, über die reine Zugriffskontrolle hinauszugehen und Obergrenzen für Anfragen und übertragene Datenmengen einzurichten. Diese Limits schützen vor einem konkreten Szenario: dem massenhaften Abzug von Daten über ein eigentlich autorisiertes Konto. Ein Mitarbeiter (oder ein Angreifer, der sein Konto nutzt), der versucht, eine ganze Datenbank herunterzuladen, würde durch diese Begrenzungen gestoppt.
Zugriffsrechte regelmäßig überprüfen
Es reicht nicht, Berechtigungen zu vergeben. Sie müssen auch regelmäßig überprüft werden. Ein Leitfaden zur digitalen Sicherheit empfiehlt in der Regel, die Zugriffsrechte in festen Abständen zu überprüfen. Dabei sollten folgende Punkte kontrolliert werden:
- Werden die Konten ehemaliger Mitarbeiter oder Dienstleister innerhalb von 24 Stunden nach Vertragsende deaktiviert?
- Sind Administratorrechte auf eine kleine, klar benannte Personengruppe beschränkt, und werden alle Aktionen nachvollziehbar protokolliert?
- Wurden temporäre Zugänge für ein Projekt oder eine Fehlerbehebung nach Abschluss des Auftrags wieder entzogen?
Ein vergessenes Konto ist ein dauerhaft offenes Einfallstor. Die meisten Vorfälle im Zusammenhang mit Zugängen sind nicht auf ausgeklügelte Hackerangriffe zurückzuführen, sondern auf Versäumnisse bei der Verwaltung.
NIS-2-Richtlinie und Pflichten zur Absicherung von Zugängen in Frankreich
Die Verwaltung von Zugängen ist nicht mehr nur eine bewährte Praxis, sondern wird zunehmend zur gesetzlichen Pflicht. Die europäische NIS-2-Richtlinie, die derzeit in französisches Recht umgesetzt wird, erweitert den Kreis der Unternehmen, für die Cybersicherheitsanforderungen gelten. Viele KMU, die von der ersten Fassung nicht betroffen waren, fallen nun darunter.
Zu den erwarteten Maßnahmen zählt ausdrücklich die Verwaltung von Identitäten und Zugängen als Anforderung der NIS 2. Betroffene Unternehmen müssen nachweisen, dass sie dokumentierte Verfahren eingeführt haben, mit denen kontrolliert wird, wer worauf zugreift und wie diese Zugriffe überwacht werden.
Für ein KMU, das sich erstmals mit diesen Pflichten auseinandersetzt, übersetzt ein Leitfaden zur digitalen Sicherheit die Anforderungen in konkrete Maßnahmen:
- Die Informationssysteme erfassen und kritische Zugänge identifizieren
- Eine Richtlinie zur Passwortverwaltung dokumentieren, die den Empfehlungen der ANSSI entspricht (Mindestlänge, Erneuerung, Verbot der Wiederverwendung)
- Ein Zugriffsregister mit Zeitstempeln einrichten, anhand dessen sich ein Vorfall im Nachhinein rekonstruieren lässt
- Einen Verantwortlichen für die Sicherheit der Informationssysteme benennen, auch wenn diese Aufgabe nur in Teilzeit ausgeübt wird
Passwörter im Unternehmen: Was Leitfäden wirklich empfehlen
Passwortänderungen alle 90 Tage zu erzwingen, galt lange als bewährte Praxis. Die aktuellen Empfehlungen der ANSSI bewerten diesen Ansatz differenzierter. Zu häufige Änderungen verleiten Nutzer dazu, schwache Passwörter zu wählen oder sie auf einem Haftzettel zu notieren.
Ein aktueller Leitfaden zur digitalen Sicherheit empfiehlt stattdessen, ein langes Passwort (mindestens 12 Zeichen) mit einem professionellen Passwortmanager zu kombinieren. Der Passwortmanager erstellt und speichert komplexe Passwörter, ohne dass sich Mitarbeiter diese merken müssen.
Mitarbeiter schulen, statt immer mehr Vorgaben zu machen
Technik allein schützt nicht, wenn die Nutzer nicht verstehen, warum diese Maßnahmen nötig sind. Die wirksamsten Leitfäden zur digitalen Sicherheit enthalten kurze Sensibilisierungsmodule mit konkreten Beispielen: eine nachgestellte Phishing-E-Mail oder eine Demonstration, wie schnell sich ein kurzes Passwort knacken lässt.
Die Absicherung beruflicher Zugänge hängt ebenso sehr von den Gewohnheiten der Menschen wie von den eingesetzten Tools ab. Ein strukturierter Leitfaden hilft, die Maßnahmen gezielt auszurichten: Er priorisiert Risiken, zeigt, womit man beginnen sollte, und liefert Kriterien, um Fortschritte zu messen. Der nächste Schritt für jedes Unternehmen, das seine Zugriffsverwaltung noch nicht formalisiert hat: alle aktiven Konten erfassen und einzeln prüfen, ob es noch einen Grund gibt, sie beizubehalten.
