Wie man Compliance-Verstöße mit proaktivem Berechtigungsmanagement verhindert

Wie bei vielen Dingen im Leben ist auch der Umgang mit Compliance-Vorgaben und die Vermeidung von Compliance-Verstößen in Ihrem Unternehmen eine Frage der Perspektive.

Ich habe in Organisationen gearbeitet und an Compliance-Audits teilgenommen, bei denen die Haltung gegenüber dem externen Auditor von Feindseligkeit geprägt war und das Ganze als lästige Pflicht betrachtet wurde, die schnell erledigt und bis zum nächsten Audit vergessen werden sollte.

Ich war aber auch in Unternehmen, in denen Compliance-Vorgaben als Ausgangspunkt für stabile und sichere Prozesse betrachtet wurden und Audits als Chance zur Verbesserung des Unternehmens – und nicht nur als lästige Pflicht – gesehen wurden.

In diesem Artikel vertreten wir die Ansicht, dass proaktives Compliance-Management zu besseren Ergebnissen führt, die Cyberresilienz verbessert und die Produktivität Ihres Unternehmens erhöht.

Die Einhaltung gesetzlicher Vorschriften wird zunehmend schwieriger

Alle sicherheitsbezogenen Compliance-Vorgaben (z. B. GDPR, NIS2, HIPAA etc.) enthalten Anforderungen zur Berechtigungsvergabe und zur Umsetzung des „Least-Privilege“-Prinzips. Dies ist ein Grundpfeiler von Zero Trust und seit Jahrzehnten ein fester Bestandteil von Cybersicherheit.

Leicht gesagt, aber schwer effektiv umzusetzen. In diesem Artikel zeigen wir Ihnen jedoch eine praktikable Lösung zur Verwaltung von Zugriffsrechten, ohne dass Sie dafür ein riesiges IT-Team benötigen oder hohe Kosten entstehen.

Da Unternehmen und Gesellschaft zunehmend auf digitale Systeme und Daten angewiesen sind, setzen Regierungen weltweit immer mehr Vorschriften durch. Im Folgenden finden Sie eine chronologische Übersicht über die Datenschutzbestimmungen in Europa:

Warum ein schlechtes Berechtigungsmanagement zu Compliance-Verstößen führt

Homeoffice & Remote Work bergen Sicherheitsrisiken

Das Rückgrat der modernen IT besteht aus zwei zentralen Komponenten: Identitätsauthentifizierung („Beweise, wer du bist“) und Autorisierung („Was darfst du?“).

Früher war das recht einfach: Fast jeder arbeitete an einem Desktop-PC im Büro, acht Stunden am Tag, von Montag bis Freitag, und griff auf Dokumente auf internen Servern zu.

Heute nutzen die meisten Mitarbeiter Laptops und mobile Geräte im Homeoffice oder unterwegs und greifen auf Daten in zahlreichen Cloud-Systemen zu.

In der Microsoft-365-Welt werden die meisten Dokumente in SharePoint und OneDrive for Business (basiert auf SharePoint) gespeichert. Dort findet auch der Großteil der Zusammenarbeit und des Dateiaustauschs statt – intern wie extern.

Schwache Daten-Governance

Die meisten Organisationen haben bisher einen ziemlich lockeren Umgang mit der Datenverwaltung dieser Speicherorte verfolgt. Zwei Faktoren rücken dieses Thema nun verstärkt in den Fokus: Zum einen werden Compliance-Vorgaben immer häufiger und strenger, sodass ein besseres Berechtigungsmanagement gefordert ist. Zum anderen zeigt die Einführung von Microsoft 365 Copilot überflüssige Zugriffsrechte deutlich auf.

Copilot hat dieselben Berechtigungen wie der Benutzer, der den Prompt eingibt. Genau hier liegt das Risiko: Nachlässige Berechtigungen können den Unterschied zwischen einer allgemeinen Antwort aus dem Web auf die Frage „Wie hoch ist das durchschnittliche Gehalt in meiner Position?” und einer konkreten Zahl aus einer Gehaltstabelle im HR-SharePoint ausmachen. Auf diese hat der Benutzer zwar Zugriff, sollte ihn aber eigentlich nicht haben.

Übermäßig großzügige Zugriffsrechte müssen dringend eingeschränkt werden, um Compliance-Verstöße zu verhindern. Doch die Zugriffsrechte manuell zu identifizieren, indem man die Berechtigungen jeder einzelnen Site plus externer Freigabelinks prüft, ist eine riesige Aufgabe – besonders, da regelmäßig neue Sites hinzukommen und sich Dokumente ständig ändern. Neben möglichen Compliance-Verstößen stellen großzügige Berechtigungen auch ein erhebliches Sicherheitsrisiko dar, etwa wenn Benutzerkonten kompromittiert werden.

Compliance-Verstöße kosten mehr als nur Geld

Sie können nicht nur Geldstrafen nach sich ziehen, sondern auch Arbeitszeit der Mitarbeiter zur Behebung des Problems sowie einen möglichen Reputationsschaden verursachen.

SharePoint verfügt über keine besonders guten integrierten Tools für diese Form der Daten- und Berechtigungsverwaltung, weshalb wir Hornetsecuritys 365 Permission Manager entwickelt haben.

Proaktives Berechtigungsmanagement zur Vermeidung von Compliance-Verstößen

In den meisten Unternehmen sammeln Benutzer Berechtigungen an, wenn sie zwischen Abteilungen wechseln oder befördert werden. Jede neue Rolle bietet in der Regel Zugriff auf neue Anwendungen und Daten, der alte Zugriff wird jedoch selten entzogen.

Anwendung des Least-Privilege-Prinzips

Um sowohl Vorschriften einzuhalten als auch die Sicherheit im Falle eines kompromittierten Benutzerkontos zu erhöhen, ist die Einführung des Least-Privilege-Prinzips die einzige Möglichkeit. Das bedeutet, dass Benutzer nur auf die Daten zugreifen können, die sie für ihre aktuelle Funktion benötigen. Das bedeutet konkret, dass Sie regelmäßige Audits der Benutzerberechtigungen durchführen müssen.

Diese Audits zeigen auf, wo Benutzer zu weitreichende Zugriffsrechte haben und wo ihnen Zugriff gewährt wurde, den sie in der Praxis gar nicht nutzen.

Implementierung rollenbasierter Berechtigungen

Darüber hinaus empfiehlt es sich, Berechtigungen rollenbasiert zu vergeben (Role Based Access Control, RBAC). So können zukünftige Zugriffsrechte einzelner Benutzer von vornherein möglichst gezielt und restriktiv gewährt werden.

BeST Practices zur Vermeidung von Compliance-Verstößen

Durchführung interner Audits zur Einhaltung der Vorschriften

Aus meiner Erfahrung ist es am sinnvollsten, zunächst intern mit der Prüfung der Einhaltung von Vorschriften zu beginnen. Verteilen Sie dazu die einzelnen Aufgaben für die jeweiligen Kontrollen an die entsprechenden Mitarbeiter aus dem gesamten Unternehmen. Sobald diese zurückmelden, dass sie die Konfiguration oder Bestandsaufnahme abgeschlossen haben, beginnen Sie mit Ihrem eigenen Audit.

Wichtig ist zu erkennen, dass Compliance kein reines IT-Projekt ist, sondern dass jede Abteilung im Unternehmen eingebunden sein muss.

Bei der Durchführung des internen Audits werden Sie mit hoher Wahrscheinlichkeit feststellen, dass es Bereiche gibt, in denen Sie sich regelkonform wähnten, es in der Praxis aber nicht sind. Diese Lücken sollten unbedingt vor dem Eintreffen externer Prüfer geschlossen werden.

Schulen Sie Ihr Personal

Sie benötigen außerdem Schulungsprogramme für alle Mitarbeiter. Personen in besonders sensiblen Bereichen oder solche, die mit vielen vertraulichen Daten umgehen, müssen dabei besonders vertieft geschult werden.

Entwickeln Sie eine Risikobewertung für die Einhaltung der Vorschriften

Erstellen Sie darüber hinaus eine Compliance-Risikobewertung für Ihr Unternehmen. Identifizieren Sie die Risiken im Zusammenhang mit den für Sie relevanten Vorschriften und verfolgen Sie Änderungen dieser Vorgaben laufend. Entwickeln und implementieren Sie Richtlinien und Verfahren, die sowohl Ihren Geschäftsabläufen als auch den jeweiligen Vorschriften entsprechen.

Überwachen Sie Verstöße gegen die Vorschriften

Nutzen Sie außerdem technologische Unterstützung für die Überwachung und Berichterstattung Ihrer Compliance-Aktivitäten. Microsoft bietet mit dem Compliance Manager beispielsweise ein umfassendes Tool, das Sie dabei unterstützen kann.

So hilft der 365 Permission Manager dabei, Compliance-Verstöße zu verhindern

Der 365 Permission Manager automatisiert regelmäßige Audits und ermöglicht die Erstellung von Vorlagen für verschiedene SharePoint-Site-Typen. So wird sichergestellt, dass beim Erstellen neuer Sites automatisch die richtigen Berechtigungen vergeben werden. Diese Vorlagen lassen sich auch auf bestehende Sites anwenden. Eine automatisch generierte To-do-Liste hilft dabei, übermäßige oder falsch vergebene Zugriffe gezielt abzuarbeiten.

Das Risiko interner übermäßiger Freigabe von Dokumenten ist real – vor allem, wenn Microsoft 365 Copilot auf vorhandene Daten zugreift, um Antworten zu generieren, nach denen ein Benutzer selbst womöglich nie aktiv gesucht hätte. Noch gravierender ist jedoch das Risiko durch externe Freigaben von Dokumenten.

Sowohl die Standardeinstellungen von SharePoint als auch von OneDrive for Business erlauben es, Dokumente sehr einfach mit jedem zu teilen – ein kritischer Punkt, der aus Sicherheits- und Compliance-Sicht aktiv angegangen werden muss.

Mit dem 365 Permission Manager können Sie integrierte Richtlinien (Public, Evergreen, Confidential, Sensitive) oder benutzerdefinierte Richtlinien nutzen, um den internen und externen Zugriff sowohl bei neuen als auch bei bestehenden SharePoint-Sites gezielt zu konfigurieren. Das reduziert nicht nur die manuelle Arbeit, sondern verhindert durch Automatisierung auch Verstöße gegen Compliance-Vorgaben.

SharePoint-Berechtigungen sind komplex und unterliegen einer veralteten Vererbungsstruktur (die über 20 Jahre alt ist). Versteckte Berechtigungen und verschachtelte Gruppen machen eine manuelle Überprüfung der effektiven Berechtigungen nahezu unmöglich.

---

Übernehmen Sie die Kontrolle über Berechtigungen mit dem 365 Permission Manager

Die manuelle Verwaltung von Berechtigungen erhöht das Risiko von Compliance-Verstößen. Der 365 Permission Manager von Hornetsecurity automatisiert die Verwaltung von Berechtigungen, reduziert Sicherheitsrisiken und gewährleistet Compliance.

• Automatisierte Prüfungen und Anpassungen von Berechtigungen; 
• Klarer Einblick in Benutzerzugriffe; 
• Anpassen von Berechtigungen an Compliance-Anforderungen. 

Schützen Sie Ihr Unternehmen vor Compliance-Verstößen — vereinbaren Sie noch heute einen Termin für eine Demo! 

---

Fazit

Die Rolle eines CISO – oder allgemein jeder Person, die für Compliance-Audits verantwortlich ist – ist heute anspruchsvoller denn je. Zahlreiche sicherheitsrelevante Themen konkurrieren um ihre Aufmerksamkeit, wobei die Vermeidung von Compliance-Verstößen nur ein Aspekt von vielen ist. Wir hoffen, dass wir Ihnen dennoch verdeutlichen konnten, dass ein proaktives Berechtigungsmanagement die Grundlage jeder Compliance- und Sicherheitsstrategie ist und wie der 365 Permission Manager Sie dabei wirksam unterstützen kann.