Sammelkonten und Adminrechte: Warum unsauberes Zugriffsmanagement Angriffe erst möglich macht

In der Bitkom-Studie zum Wirtschaftsschutz 2026 steht unzureichendes Identitäts- und Zugriffsmanagement mit 55 Prozent auf Platz drei der Ursachen für erfolgreiche Cyberangriffe. Das ist eine abstrakte Formulierung für einen sehr konkreten Zustand, den man in mittelständischen Unternehmen regelmäßig antrifft.

Er sieht ungefähr so aus: Am Empfang läuft ein gemeinsames Konto, weil das praktischer ist. Die Hälfte der Belegschaft hat lokale Administratorrechte, weil irgendwann eine Software das verlangt hat. Drei Konten gehören Personen, die das Unternehmen vor über einem Jahr verlassen haben. Und das Dienstkonto für die Datensicherung hat ein Passwort von 2019 und Vollzugriff auf alles.

Kein einzelner dieser Punkte fühlt sich dramatisch an. Zusammen ergeben sie die Bedingungen, unter denen ein Angriff nicht nur gelingt, sondern hinterher auch nicht mehr aufklärbar ist.

Warum Zugriffsrechte der eigentliche Hebel sind

Die meisten erfolgreichen Angriffe beginnen nicht mit einer technischen Schwachstelle, sondern mit gültigen Zugangsdaten. Passwortangriffe liegen in der Studie bei 18 Prozent, Phishing bei 16 Prozent. Was danach passiert, entscheidet sich an den Rechten des übernommenen Kontos.

Hat das Konto nur die Rechte, die für die Aufgabe nötig sind, bleibt der Schaden begrenzt. Hat es Administratorrechte, kann der Angreifer Sicherheitssoftware abschalten, Protokolle löschen, sich auf weitere Systeme bewegen und die Sicherungen angreifen. Der Unterschied zwischen einem ärgerlichen Vorfall und einem Betriebsstillstand liegt fast immer genau hier.

Dazu kommt die zweite Wirkung, die in der Studie mitschwingt: Der Anteil der Unternehmen, die einen Angriff nur vermuten, aber nicht belegen können, ist von 10 auf 29 Prozent gestiegen. Wenn fünf Personen dasselbe Konto nutzen, ist jede Protokollzeile wertlos. Man sieht, dass etwas passiert ist, aber nicht, von wem und über welchen Weg.

Die vier typischen Muster und was dagegen hilft

Die ersten beiden Punkte sind Organisationsfragen und kosten kein Geld. Der dritte Punkt scheitert fast immer an der Schnittstelle zwischen Personalverwaltung und IT: Die IT erfährt vom Austritt zu spät oder nur zufällig. Wie sich Ein- und Austritte sauber regeln lassen, steht ausführlich im Beitrag zu Onboarding und Offboarding in der IT.

Der vierte Punkt ist der unterschätzte. Dienstkonten laufen im Hintergrund, gehören niemandem und fallen deshalb bei keiner Prüfung auf. Genau deshalb sind sie ein bevorzugtes Ziel: Ihr Passwort läuft nicht ab, ihre Anmeldungen fallen niemandem auf, und sie haben in der Regel deutlich mehr Rechte als nötig.

Persönliche Konten sind keine Lizenzfrage

Das häufigste Gegenargument gegen persönliche Konten lautet, dass jede zusätzliche Anmeldung Geld kostet. Das stimmt in dieser Pauschalität nicht.

Ein gemeinsames Postfach, auf das mehrere Personen mit ihrem eigenen Konto zugreifen, ist in Microsoft 365 lizenzfrei. Dasselbe gilt für gemeinsame Ordner und für Kalender. Was Lizenzen kostet, ist ein eigenes Postfach mit eigener Anmeldung, nicht der Zugriff mehrerer Personen auf eine gemeinsame Ressource. Wer heute ein Sammelkonto betreibt, weil das Team gemeinsam ein Postfach nutzt, löst mit dieser Umstellung beides: Die Zuordnung wird sauber, und die Kosten bleiben gleich. Welche Lizenz was enthält, ordnet der Beitrag zu den Microsoft-365-Business-Plänen ein.

Bleibt der Fall, in dem eine Fachanwendung technisch keine persönlichen Konten kennt. Den gibt es, und er ist ärgerlich. Dann gilt: Der Zugang zum Betriebssystem und zu Microsoft 365 bleibt trotzdem persönlich, das Sammelkonto beschränkt sich auf die eine Anwendung, es wird dokumentiert, und beim Hersteller wird die Unterstützung persönlicher Konten eingefordert. Ein technisch unvermeidbares Sammelkonto ist etwas anderes als ein bequemes.

Administratorrechte trennen, nicht abschaffen

Der Grundsatz heißt: Wer administrieren muss, bekommt dafür ein zweites Konto. Die tägliche Arbeit, also E-Mail, Browser und Office, läuft über das normale Konto. Nur für Aufgaben, die wirklich Rechte brauchen, wird das Administratorkonto genutzt.

Der Effekt ist erheblich. Öffnet ein Administrator eine Phishing-Mail in seinem normalen Konto, hat der Angreifer die Rechte eines normalen Nutzers. Läuft alles über ein Konto mit Vollrechten, hat er sofort die Kontrolle über die Umgebung.

Für die Belegschaft gilt dasselbe Prinzip eine Stufe tiefer: keine lokalen Administratorrechte auf dem eigenen Gerät. Der übliche Einwand lautet, dass dann jede Softwareinstallation über die IT laufen muss. Das ist richtig und in der Sache genau der Zweck. Wo einzelne Anwendungen tatsächlich erhöhte Rechte brauchen, lässt sich das gezielt lösen, statt pauschal Rechte zu vergeben.

Ergänzend gehört Mehrfaktor-Authentifizierung auf jedes Konto, bei Administratorkonten ohne jede Ausnahme. Ein gestohlenes Passwort allein reicht dann nicht mehr. Die Umsetzung und die typischen Stolpersteine stehen im Beitrag zu MFA und Passwortmanagern im Unternehmen.

Die jährliche Rechteprüfung

Rechte wachsen. Jemand wechselt die Abteilung und behält die alten Zugriffe zusätzlich zu den neuen. Ein Projekt endet, der Zugriff auf den Projektordner bleibt. Nach drei Jahren hat eine langjährige Mitarbeiterin Zugriff auf fast alles, ohne dass das jemals entschieden wurde.

Dagegen hilft nur eine wiederkehrende Prüfung. Für ein mittelständisches Unternehmen reicht ein jährlicher Durchgang, der drei Fragen beantwortet:

1. 1
   Kontoliste gegen Personalliste abgleichen
   Alle aktiven Konten auflisten und mit der aktuellen Belegschaft abgleichen. Jedes Konto, das keiner aktiven Person oder keinem dokumentierten Dienst zugeordnet werden kann, wird deaktiviert. Dienstkonten werden dabei ausdrücklich mitgeprüft, nicht übersprungen.
2. 2
   Administratorrechte begründen lassen
   Für jedes Konto mit erhöhten Rechten wird festgehalten, wer es nutzt und wofür. Was sich nicht begründen lässt, wird auf Standardrechte zurückgesetzt. Prüfen Sie dabei beide Ebenen: Cloud-Rollen und lokale Administratoren auf den Geräten.
3. 3
   Freigaben auf Ordner und Postfächer prüfen
   Wer hat Zugriff auf Personal-, Buchhaltungs- und Geschäftsführungsordner? Erfahrungsgemäß sind das mehr Personen als vorgesehen, meist als Rest aus alten Vertretungsregelungen.
4. 4
   Externe Zugänge durchgehen
   Dienstleister, Steuerberater, Softwarehersteller mit Fernwartung: Jeder externe Zugang wird bestätigt oder abgeschaltet. Dauerhaft offene Zugänge werden auf Freigabe bei Bedarf umgestellt.
5. 5
   Ergebnis protokollieren
   Datum, geprüfte Bereiche, getroffene Entscheidungen und offene Punkte in ein kurzes Protokoll. Das ist der Nachweis nach Art. 32 DSGVO und gleichzeitig die Grundlage für den nächsten Durchgang.

Quelle: Verordnung (EU) 2016/679 (DSGVO)

Quelle: BSI IT-Grundschutz-Kompendium

Einordnung

Zugriffsmanagement funktioniert nur als Routine im Betrieb. Ein Produkt, das man dafür kauft, gibt es nicht. Genau deshalb steht es in der Bitkom-Studie so weit oben: Es fällt im Alltag nie auf, dass es fehlt, und es lässt sich beliebig lange aufschieben, ohne dass etwas passiert. Bis etwas passiert.

Der Aufwand ist überschaubar und die Wirkung ist hoch, weil saubere Rechte gegen jede Tätergruppe gleichzeitig wirken. Ob der Einstieg über eine Phishing-Mail, ein geleaktes Passwort oder einen kompromittierten Dienstleister erfolgt, entscheidet sich der Schaden immer an derselben Frage: Was durfte das übernommene Konto?

Wenn Sie wissen möchten, wie viele Konten in Ihrem Unternehmen heute mehr dürfen als nötig, sprechen Sie uns an. ITCC erstellt diese Übersicht im Rahmen der laufenden Betreuung und räumt sie gemeinsam mit Ihnen auf.