An einem Montagmorgen stösst Daniel A. auf einen freigegebenen Ordner, der im Microsoft 365 seiner Werkstatt herumliegt: die Zeichnungen eines an einen Uhrenkunden gelieferten Teils, geöffnet «für die ganze Firma». Im selben Moment denkt er an den Praktikanten, der im Frühling gegangen ist — funktioniert dessen Konto noch? Niemand hat je richtig aufgeräumt, und an diesem Morgen hat keine dieser Fragen eine klare Antwort.
Es ist eine ganz gewöhnliche Situation, und genau das macht sie beunruhigend. In einem Industrie-KMU, das von seinen Zeichnungen und seinem Auftragsbuch lebt, haben sich die digitalen Zugriffe über Einstellungen, Abgänge und schnelle Hilfen angehäuft, ohne dass je jemand das Ganze angeschaut hätte.
Warum Microsoft-365-Zugriffe prüfen, nicht nur Passwörter
Microsoft 365 ist Ihre E-Mail, Ihre geteilten Dateien, Teams, der Kalender: das administrative Nervensystem der Firma. Jede Person hat ein Konto, und jedes Konto öffnet die Tür zu einer gewissen Zahl von Dingen. Das Problem ist, dass sich diese Zugriffe nur ansammeln. Man öffnet sie zur Aushilfe, für ein Projekt, für eine Vertretung — und man schliesst sie fast nie wieder.
Drei Fehlentwicklungen treten in KMU immer wieder auf.
Zunächst das verwaiste Konto: das Konto einer Person, die die Firma verlassen hat oder es nicht mehr nutzt, das aber weiterhin aktiv ist. Solange es existiert, kann es benutzt werden — von der Person, die gegangen ist, oder von einem Angreifer, der es in die Hände bekommen hat. Es ist eine offen gelassene Tür in einem Gebäude, das niemand mehr bewacht.
Danach die zu weite Freigabe: ein Dateiordner, den man eines Tages «für alle» geöffnet hat, um schnell zu sein, und den man nie wieder geschlossen hat. In einer Zulieferwerkstatt kann das heissen, dass die technischen Zeichnungen eines Kunden — sein geistiges Eigentum, das Sensibelste, was er Ihnen anvertraut — für Leute sichtbar sind, die keinen Grund haben, sie zu sehen.
Schliesslich die Anhäufung von Rechten, manchmal «Privilege Creep» genannt. Eine Person wechselt die Stelle, übernimmt neue Aufgaben… und behält all ihre alten Zugriffe zusätzlich zu den neuen. Nach ein paar Jahren weiss niemand mehr richtig, wer was tun kann. Fügen Sie dem noch den externen Gast hinzu — einen Lieferanten, einen Treuhänder, einen Kunden, dem man für die Dauer eines Projekts einen Ordner freigegeben hat — und Sie erhalten eine Zugriffsliste, die niemand je vollständig durchgelesen hat.
Keine dieser Fehlentwicklungen entsteht aus einem Verschulden. Sie entstehen aus dem Tempo des Alltags: man öffnet einen Zugriff, weil geliefert werden muss, man schliesst ihn nie, weil nichts mehr daran erinnert. Genau darum verwaltet man einen Zugriff nicht «ein für alle Mal», sondern prüft ihn regelmässig, so wie man ein Lager neu inventarisiert.
Als Leitlinie dient ein einfaches Prinzip: die geringsten Rechte. Im Klartext sollte jede Person nur Zugriff auf das haben, was sie für ihre Arbeit braucht — nicht mehr, und nicht für immer. Es ist eine anerkannte gute Praxis, im Kern von Normen wie ISO 27001:2022 — genau jener, die Ihre Uhrenkunden anschauen, wenn sie Ihnen vor einer Vertragsverlängerung einen Lieferanten-Sicherheitsfragebogen schicken.
Was man sich merken sollte
Drei Gedanken genügen, um zu verstehen, worum es geht.
Zugriffe häufen sich lautlos an. Niemand entscheidet eines Morgens, seine Daten weit zu öffnen; es geschieht Schritt für Schritt, ohne böse Absicht. Genau darum braucht es von Zeit zu Zeit jenen Abstand, den der Alltag nie erlaubt.
Ein Konto ohne Daseinsgrund ist ein Risiko, kein Detail. Das Konto des gegangenen Praktikanten, das Sammelpostfach, das sich drei Personen teilen, der «nur dieses eine Mal» gewährte Zugriff: jedes ist ein möglicher Eintrittspunkt. Sie zu entfernen kostet nichts und nimmt ebenso viele zu bewachende Türen weg.
Zu wissen, wer auf was zugreift, erwartet auch das revDSG. Das neue Schweizer Datenschutzgesetz (revDSG), in Kraft seit September 2023, verlangt von Firmen eine «angemessene» Sicherheit der Daten, die sie halten. Die Zugriffe zu beherrschen gehört dazu: Es ist schwer, eine Angabe zu schützen, wenn man nicht weiss, wer sie einsehen kann. Wenn Sie auch mit Kunden in der Europäischen Union arbeiten, erwartet die DSGVO dasselbe.
Schritte für diese Woche
Sie brauchen weder ein vollständiges Audit noch einen externen Dienstleister, um anzufangen. Drei Schritte, machbar durch Sie oder Ihre IT-Ansprechperson, genügen, um die Kontrolle zurückzugewinnen.
1. Die Konten auflisten und die verwaisten aufspüren
Verlangen Sie die Liste aller Personen, die ein Microsoft-365-Konto haben. Gehen Sie sie mit einer einfachen Frage für jede Zeile durch: Arbeitet diese Person noch hier, und nutzt sie dieses Konto wirklich? Konten von Personen, die gegangen sind, werden zuerst deaktiviert. Von mehreren geteilte Sammelpostfächer werden notiert: Das sind Fälle, die zu behandeln sind, denn wenn alle Zugriff haben, ist niemand wirklich verantwortlich.
2. Anschauen, wer wirklich auf Ihre sensiblen Ordner zugreift
Wählen Sie Ihre zwei oder drei kritischsten Ordner — für eine Werkstatt sind das oft die Kundenzeichnungen und die Bearbeitungsprogramme. Öffnen Sie die Liste der Personen mit Zugriff und lesen Sie sie langsam. Jeder Name sollte Ihnen einleuchtend erscheinen. Eine «für alle» geöffnete Freigabe oder ein externer Zugriff, den Sie nicht erkennen, ist ein Signal, das sofort zu korrigieren ist. Das Ziel der Woche ist nicht, alles zu durchkämmen, sondern nur Ihre Tresore zu prüfen.
3. «Geringste Rechte» bei jeder Veränderung zum Reflex machen
Der eigentliche Umschwung ist kein einmaliges Aufräumen, sondern eine Gewohnheit. Bei jedem Abgang, jeder Ankunft, jedem Stellenwechsel stellen Sie die Zugriffsfrage in dem Moment, in dem es passiert, nicht sechs Monate später. Ein Abgang schliesst die Zugriffe noch am selben Tag. Ein Rollenwechsel entzieht die alten Rechte, während er neue öffnet. Dieser Reflex allein verhindert, dass sich die meisten Fehlentwicklungen einnisten — und er kostet nichts weiter als eine zur richtigen Zeit gestellte Frage.
In einem KMU wie dem von Daniel A. hängt eine solche Disziplin oft an einer einzigen überlasteten Person, einer IT-Ansprechperson mit halbem Pensum, die «Brände löscht». Umso mehr Grund, daraus eine leichte, geteilte Routine zu machen statt eines Vorhabens, das vom Gedächtnis eines Einzelnen abhängt.
Wo stehen Sie wirklich?
Diese drei Schritte geben Ihnen eine Momentaufnahme, noch kein System. Die Microsoft-365-Zugriffe einmal zu prüfen ist gut; zu wissen, wie oft man es wiederholt, wie man Änderungen nachverfolgt, wer verantwortlich ist und wie man es einem Auftraggeber belegt, ist eine andere Sache — die Arbeit einer echten Zugriffsverwaltung über die Zeit.
Genau hier kommt die Cyber-Passport-Selbstbewertung ins Spiel. Sie zertifiziert nichts und erklärt Sie nicht für «regelkonform»: Sie zeigt Ihnen Frage für Frage, wo Ihre Organisation fest steht und wo sie noch auf dem Gedächtnis der Einzelnen ruht. Sie gehen mit einem klaren Bild Ihrer Reife heraus und einem ehrlichen Ausgangspunkt, um das Weitere zu strukturieren. Das Bundesamt für Cybersicherheit (BACS, ehemals NCSC) zählt die Beherrschung der Zugriffe im Übrigen zu den Grundmassnahmen, die es KMU empfiehlt.
Um weiterzugehen und einen vollständigen Lebenszyklus der Zugriffe einzurichten — persönliche Konten, periodische Prüfung, Austrittsverfahren — führt unser Blueprint «Zugriffsverwaltung» die Methode Schritt für Schritt durch.
