Berechtigungen werden vergeben. Entzogen werden sie selten.
Nach ein paar Jahren kann niemand mehr erklären, wer wofür Zugriff hat – bis ein Audit oder ein Vorfall die Frage stellt. Und die Vergabe selbst ist Handarbeit: Rechte kommen teils automatisch, teils per Ticket und Zuruf – was fehlt, fällt erst auf, wenn jemand nicht arbeiten kann. Wir geben Ihnen ein Konzept, das beide Lücken schließt: ein Prozess, der dokumentiert ist, automatisiert läuft und seine Kontrollen gleich mitbringt.
Rechte nur für die, die sie brauchen: Externe Treiber.
„Konzepte für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen“ – § 30 Abs. 2 Nr. 9 BSIG (EU: Art. 21 Abs. 2 lit. i). Rollenkonzept, Antragsweg und Rezertifizierung zahlen auf diese Anforderung ein.
Sicherheit der Verarbeitung (Art. 32 Abs. 1) sowie Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f): Zugriff auf personenbezogene Daten nur für die, die ihn brauchen – Antrags- und Prüfprotokolle machen die Vergabe prüfbar.
Zugang zu Informations- und IKT-Assets ausschließlich auf den erforderlichen Umfang beschränken (Art. 9 Abs. 4 lit. c) – Rollenmodell, Befristung und Rezertifizierung machen diese Begrenzung prüfbar.
VDA ISA 6, Kapitel Identitäts- und Zugriffsmanagement, verlangt ein Berechtigungskonzept und Rechte nur im erforderlichen Umfang (Need-to-know) – Rollenmodell und Prüfzyklen unterstützen das TISAX-Assessment.
Risikofragebögen fragen regelmäßig nach MFA, begrenzten Admin-Rechten und geregelter Rechtevergabe – die Antworten beeinflussen Prämie, Selbstbehalt und Deckung. Ein dokumentiertes Berechtigungskonzept liefert sie.
Unsere technische Basis.
Angepasst an Ihre Umgebung und Lizenzen.
01 · Zielsysteme
Microsoft Entra ID und Active Directory – dort entstehen und gelten die Rechte, als Gruppen- und Rollenstruktur nach Ihrem Konzept. Fachsysteme kommen über Schnittstellen dazu.
02 · Durchführung & Self-Service
Hier werden Rechte beantragt, gesetzt und wieder entzogen: AvePoint Cloud Governance macht Teams, SharePoint-Bereiche und Zugriffe bestellbar; die Freigabe erteilen benannte Verantwortliche der jeweiligen Ressource.
03 · Prozess-Dokumentation & Ablauf
Jeder Antrag wird ein Vorgang samt Begründung und Frist, jede Änderung am Rollenmodell ein Change mit Spur – festgehalten in Jira Service Management.
Jeder Zugriff bekommt einen Zweck, eine Freigabe und ein Ende.
Der Zuschnitt folgt Ihrer Ausgangslage und Lizenzsituation – der Kern ist in jedem Projekt derselbe. Sie nutzen andere Tools? Wir prüfen, wie sich unser Konzept am besten bei Ihnen abbilden lässt.
Berechtigungslandkarte
Ihre Berechtigungslage als Befund: privilegierte Rollen, direkt an Einzelne vergebene Rechte, externe Zugriffe – priorisiert nach Risiko.
Rollen- und Gruppenmodell
Das Zielmodell in Active Directory und Entra ID – mit benannten Verantwortlichen je Ressourcentyp; Fachsysteme über SCIM oder eigenen Sync angebunden.
Prozess: Antrag, Freigabe, Rezertifizierung
Self-Service-Beantragung mit Befristung und automatischem Entzug; Standardrechte kommen mit der Rolle, ohne Einzelantrag. Prüfzyklen nach Kritikalität – dokumentiert als Abläufe in Jira Service Management.
Pilot & Umsetzung
Konfigurierte Entra-, AvePoint- und Jira-Bausteine; Fachsysteme bei Bedarf per Schnittstelle angebunden. Produktiv, dokumentiert, übergeben.
Fragen vor dem Start.
Ist das alles in unserer Lizenz enthalten?
Mit Entra ID P1 kommen Sie schon sehr weit – Gruppenmodell, Antragswege und die Basis der Automatisierung lassen sich damit abbilden. Rechte auf Zeit und automatische Prüfzyklen setzen nach Microsoft-Dokumentation Entra ID P2 voraus, erweiterte Abläufe die Zusatzlizenz Microsoft Entra ID Governance; AvePoint-Funktionen brauchen die passende Edition. Die Lizenzprüfung gehört deshalb an den Anfang des Projekts – vor der Umsetzung.
Deckt das auch Systeme außerhalb von Microsoft ab?
Ja – wenn das Fachsystem eine Schnittstelle mitbringt: über den SCIM-Standard oder eine von uns gebaute Anbindung an seine API. Systeme ohne Schnittstelle bleiben trotzdem im Prozess: Dort vergibt ein Mensch die Rechte nach demselben Antragsweg – als Vorgang in Jira Service Management, geprüft im selben Zyklus.
Was passiert mit den bestehenden Berechtigungen?
Sie bleiben zunächst, wie sie sind. Der Befund zeigt, welche Zugriffe kritisch sind – die werden zuerst behandelt. Alles andere wird schrittweise in den neuen Antrags- und Prüfweg überführt, ohne den laufenden Betrieb zu stören.
Würden Ihre Berechtigungen eine Prüfung überstehen?
30 Minuten Ausgangslage besprechen: Sie schildern Stand und Schmerzpunkte – etwa Admin-Zahl und letzte Rezertifizierung –, Loptr ordnet ein.
Der passende Einstieg ist manchmal ein anderer.
Nicht jedes Rechteproblem beginnt bei den Berechtigungen – vier typische Fälle:
Oder der Überblick: alle Lösungen im Bereich Identity- & Access-Management →