Die größte Schwachstelle ist oft kein Hacker, sondern ein Benutzerkonto mit zu vielen Rechten.
Viele Unternehmen haben ihre technischen Schutzmaßnahmen in den vergangenen Jahren deutlich verbessert. Doch gerade bei Zugriffsrechten zeigt sich häufig ein anderes Bild: historisch gewachsene Berechtigungen, externe Dienstleister mit weitreichenden Zugängen und Konten, bei denen im Ernstfall nicht sofort klar ist, wer sie eigentlich genutzt hat. Für Finanzunternehmen macht DORA aus dieser organisatorischen Schwachstelle ein konkretes Governance-Thema.
Ein externer IT-Dienstleister benötigt für eine Wartung Zugriff auf ein kritisches System. Ein Administrator erhält zusätzliche Rechte für ein Projekt. Ein Mitarbeiter wechselt die Rolle, behält aber einen Teil seiner bisherigen Berechtigungen. Ein technisches Konto existiert seit Jahren und niemand weiß mehr genau, wofür es ursprünglich eingerichtet wurde. Gerade in diesem Kontext stellt sich mit Bezug auf DORA und Zugriffsrechte: Wer hat Zugriff auf kritische Systeme? immer häufiger die entscheidende Frage nach Übersicht und Kontrolle.
Jeder dieser Fälle kann für sich genommen nachvollziehbar entstanden sein. Das Problem beginnt dort, wo aus einzelnen Ausnahmen ein Zustand wird, den niemand mehr vollständig überblickt.
Die entscheidende Frage: Können wir nachvollziehbar erklären, wer auf welche Systeme zugreifen darf, warum diese Berechtigung besteht, wer sie genehmigt hat und ob sie heute noch notwendig ist?
Zugriffsmanagement ist keine reine IT-Aufgabe
Der Digital Operational Resilience Act, kurz DORA, verlangt von betroffenen Finanzunternehmen einen umfassenden und dokumentierten Rahmen für das Management von IKT-Risiken.
Dabei geht es ausdrücklich nicht nur um Firewalls, Security-Produkte oder technische Überwachung. DORA verbindet Technik mit Governance, Verantwortlichkeiten und nachvollziehbaren Prozessen. Das Leitungsorgan eines Finanzunternehmens trägt die letztendliche Verantwortung für das Management der IKT-Risiken und muss klare Rollen und Verantwortlichkeiten etablieren.
Das wird beim Thema Identitäten und Zugriffsrechte besonders greifbar.
Die ergänzenden technischen Regulierungsstandards zu DORA verlangen Richtlinien und Verfahren für das Identitätsmanagement. Mitarbeitern sowie Mitarbeitern von IKT-Drittdienstleistern, die auf Informations- oder IKT-Assets zugreifen, muss grundsätzlich eine eindeutige Identität zugeordnet werden können. Außerdem müssen Prozesse für den gesamten Lebenszyklus von Konten existieren, von der Einrichtung über Änderungen und Überprüfungen bis zur Deaktivierung und Beendigung.
Das klingt zunächst nach einem technischen Thema. In der Praxis ist es vor allem eine Organisationsfrage.
Besonders kritisch: Zugriffe externer Dienstleister
Kaum ein Unternehmen betreibt seine IT heute vollständig allein. Systemhäuser administrieren Infrastruktur. Softwareanbieter erhalten Supportzugänge. Cloud- und Security-Dienstleister greifen auf Systeme zu. Spezialisten werden für einzelne Projekte eingebunden.
Das ist normal und häufig notwendig. Kritisch wird es, wenn Zugänge eingerichtet, aber anschließend nicht mehr systematisch hinterfragt werden.
- Welche externen Unternehmen besitzen aktuell Zugriffsrechte?
- Welche konkreten Personen können diese Zugänge tatsächlich nutzen?
- Welche Rechte wurden nur für ein einzelnes Projekt vergeben?
- Existieren noch Konten ehemaliger Mitarbeiter oder Dienstleister?
- Wann wurde zuletzt überprüft, ob eine Berechtigung weiterhin erforderlich ist?
- Wer genehmigt privilegierte Zugriffe?
- Können Zugriffe im Nachhinein einer konkreten Person und einem konkreten Anlass zugeordnet werden?
Wenn diese Fragen nicht zuverlässig beantwortet werden können, besteht nicht nur ein technisches Sicherheitsproblem. Es fehlt ein wirksames Berechtigungsmanagement.
DORA verlangt mehr als eine einmalige Berechtigungsvergabe
Eine wesentliche Konsequenz der DORA-Regelungen ist deshalb: Zugriffsrechte dürfen nicht einfach eingerichtet und anschließend vergessen werden.
Für Systeme, die kritische oder wichtige Funktionen unterstützen, müssen Zugriffsrechte mindestens alle sechs Monate aktualisiert beziehungsweise überprüft werden. Bei anderen IKT-Systemen gilt grundsätzlich mindestens eine jährliche Überprüfung. Nicht mehr benötigte Zugriffsrechte sind ohne unnötige Verzögerung zu entziehen.
Damit wird aus einem häufig informell behandelten IT-Prozess ein wiederkehrender Kontrollprozess.
Joiner: Welche Rechte benötigt eine neue Person tatsächlich?
Mover: Welche bisherigen Rechte müssen bei einem Rollenwechsel entzogen werden?
Leaver: Werden Zugänge beim Ausscheiden zuverlässig deaktiviert?
Externe Dienstleister: Besteht der ursprüngliche Anlass für einen Zugang überhaupt noch?
Privilegierte Nutzer: Sind weitreichende administrative Rechte dauerhaft erforderlich oder können sie nur bei konkretem Bedarf freigeschaltet werden?
Für besonders weitreichende Rechte folgt DORA den Prinzipien Need-to-know, Need-to-use und Least Privilege. Diese Prinzipien werden damit Teil eines kontrollierbaren Zugriffsmanagements.
Bedeutet das das Ende aller generischen Konten?
Nein. An dieser Stelle lohnt sich eine genauere Betrachtung.
Immer wieder wird DORA so zusammengefasst, als seien gemeinsame oder generische Konten grundsätzlich nicht mehr zulässig. Die regulatorischen Anforderungen sind differenzierter.
Die technischen Standards sehen ausdrücklich Verfahren für generische Konten und generische Administratorkonten vor. Gleichzeitig soll die Nutzung generischer und geteilter Nutzerkonten so weit wie möglich begrenzt werden, und Nutzer müssen für ihre Handlungen in IKT-Systemen identifizierbar bleiben.
Für Unternehmen ergibt sich daraus die sinnvollere Frage: Können wir für einen relevanten Zugriff Verantwortung und Nutzung tatsächlich nachvollziehen? Ein technisch vorhandener Account allein beantwortet diese Frage nicht.
Starke Authentifizierung reicht ebenfalls nicht aus
Auch starke Authentifizierungsverfahren spielen unter DORA eine wichtige Rolle.
Die technischen Standards verlangen starke Authentifizierung unter anderem für Fernzugriffe, privilegierte Zugriffe und den Zugriff auf IKT-Assets, die kritische oder wichtige Funktionen unterstützen oder öffentlich zugänglich sind.
Aber auch hier wäre es zu kurz gedacht, lediglich eine weitere technische Lösung einzuführen. Ein hervorragend abgesicherter Zugang bleibt problematisch, wenn die zugrunde liegende Berechtigung längst nicht mehr benötigt wird.
Ein PAM-System kann privilegierte Zugriffe technisch kontrollieren. Ein Identity-Governance-System kann Rezertifizierungen automatisieren. Moderne Authentifizierungsverfahren können den Missbrauch gestohlener Zugangsdaten erheblich erschweren.
Diese Lösungen sind wertvoll. Sie beantworten aber nicht automatisch die organisatorischen Fragen.
- Wer entscheidet über eine Berechtigung?
- Nach welchen Kriterien wird sie vergeben?
- Wer ist für ihre regelmäßige Überprüfung verantwortlich?
- Welche Systeme und Zugänge sind besonders kritisch?
- Wie wird mit Dienstleistern umgegangen?
- Welche Nachweise müssen im Audit verfügbar sein?
Erst wenn diese Fragen geklärt sind, kann Technologie einen definierten Prozess wirksam unterstützen.
Der eigentliche DORA-Test beginnt beim Nachweis
In vielen Organisationen existiert ein Unterschied zwischen einem beschriebenen Prozess und einem tatsächlich belastbaren Prozess.
Ein Berechtigungskonzept kann auf dem Papier sauber aussehen. Im Audit oder bei einem Sicherheitsvorfall zählt jedoch etwas anderes: Kann das Unternehmen zeigen, dass der Prozess auch funktioniert?
- Wann wurde der Zugang zuletzt überprüft?
- Wer hat die Berechtigung bestätigt?
- Warum benötigt die Person diese Rechte?
- Wann endet die Berechtigung?
- Was geschieht, wenn sich Aufgabe oder Vertragsverhältnis ändern?
- Wie werden privilegierte Zugriffe protokolliert?
- Welche Ausnahmen bestehen und wer hat sie genehmigt?
Genau deshalb sollte Access Governance nicht erst als technisches Umsetzungsprojekt verstanden werden. Am Anfang steht Transparenz.
Ein pragmatischer DORA-Check für Zugriffsrechte
Für eine erste Standortbestimmung müssen Unternehmen nicht sofort ihr gesamtes IAM neu aufbauen. Hilfreicher ist zunächst eine strukturierte Bestandsaufnahme.
Sie sollte mindestens klären:
- Welche Systeme unterstützen kritische oder wichtige Funktionen?
- Welche internen und externen Identitäten besitzen darauf Zugriff?
- Gibt es privilegierte, technische oder generische Konten?
- Sind Verantwortlichkeiten für Vergabe, Änderung und Entzug definiert?
- Werden Zugriffsrechte regelmäßig und nachweisbar überprüft?
- Werden nicht mehr benötigte Berechtigungen zuverlässig entfernt?
- Sind privilegierte und externe Zugriffe technisch angemessen abgesichert?
- Können Entscheidungen und Zugriffe gegenüber Prüfern nachvollziehbar belegt werden?
Erst danach lässt sich sinnvoll entscheiden, wo tatsächlich Handlungsbedarf besteht.
Manchmal fehlt eine technische Lösung. Häufig fehlt aber zunächst ein klarer Prozess. Und gelegentlich ist die Technik längst vorhanden, wird organisatorisch jedoch nicht konsequent genutzt.
Was bedeutet das für IKT-Dienstleister?
Das Thema ist nicht nur für Finanzunternehmen relevant. Auch deren IT- und IKT-Dienstleister sollten sich damit beschäftigen, wenn Mitarbeiter regelmäßig auf Systeme ihrer Kunden zugreifen.
Das bedeutet nicht automatisch, dass jeder Dienstleister selbst in gleicher Weise unmittelbar unter sämtliche DORA-Anforderungen fällt. DORA stellt jedoch umfangreiche Anforderungen an das Management von IKT-Drittparteien und an die vertragliche Ausgestaltung relevanter IKT-Dienstleistungen. Finanzunternehmen müssen ihre Risiken aus solchen Beziehungen kontrollieren können.
Für IT-Dienstleister entsteht dadurch ein sehr praktischer Marktmechanismus: Der regulierte Kunde wird Nachweise verlangen.
Wer Zugriffe auf Kundensysteme sauber personengebunden, kontrolliert und nachvollziehbar organisiert, erleichtert seinen Kunden damit nicht nur die Compliance. Er verbessert gleichzeitig die eigene Lieferfähigkeit für regulierte Märkte.
DORA sinnvoll umsetzen heißt nicht, möglichst viele Tools einzukaufen
DORA erzeugt an vielen Stellen technischen Handlungsbedarf. Trotzdem sollte die Reihenfolge stimmen.
Zuerst muss klar sein, welches Risiko kontrolliert werden soll, welche Verantwortlichkeiten bestehen und wie der gewünschte Prozess funktioniert. Danach lässt sich beurteilen, welche technische Unterstützung benötigt wird.
Für Zugriffsrechte bedeutet das: Transparenz schaffen. Verantwortlichkeiten klären. Berechtigungen strukturieren. Kontrollen etablieren. Nachweise sicherstellen. Technik gezielt einsetzen.
So entsteht aus einer regulatorischen Anforderung ein tatsächlich belastbarer Sicherheitsprozess.
Nicht nur DORA-konform auszusehen. Sondern im entscheidenden Moment zu wissen, wer Zugriff hat und warum.
Wie Compliant Business Solutions GmbH unterstützen kann
Compliant Business Solutions GmbH unterstützt Unternehmen dabei, regulatorische und organisatorische Anforderungen an Informationssicherheit in belastbare Strukturen, Prozesse und Nachweise zu übersetzen. Dazu gehört auch die Analyse bestehender Governance- und Kontrollstrukturen rund um Rollen, Zugriffsrechte, externe Dienstleister und Informationssicherheitsmanagement.
Dabei ersetzen wir keine technische IAM- oder PAM-Implementierung. Wo technische Maßnahmen erforderlich sind, können diese auf Basis klar definierter Anforderungen gezielt umgesetzt werden.
Sie möchten wissen, wo Ihre Organisation bei DORA, Informationssicherheit oder Access Governance tatsächlich steht?
Sprechen Sie uns an. Gemeinsam schaffen wir zuerst Transparenz und leiten daraus die nächsten sinnvollen Schritte ab.
Sie erreichen uns per Email oder buchen Sie sich einen Termin für ein unverbindliches Erstgespräch.
Hinweis: Dieser Beitrag dient der fachlichen Einordnung organisatorischer und informationssicherheitsbezogener Anforderungen und stellt keine Rechtsberatung dar.
Quellen und weiterführende Informationen Verordnung (EU) 2022/2554 (DORA): https://eur-lex.europa.eu/eli/reg/2022/2554/oj?locale=de Delegierte Verordnung (EU) 2024/1774, insbesondere Art. 20 und 21: https://eur-lex.europa.eu/eli/reg_del/2024/1774/oj/deu Security-Insider, Gastbeitrag „DORA zwingt Finanzinstitute zu echten Identitäten“, 20.08.2026 Bild: KI generiert
