Wie werden Useraccounts im Unternehmen sicher verwaltet?

wpseoai.com · 07 Okt. 2026

Useraccounts im Unternehmen werden sicher verwaltet, indem jeder Mitarbeiter nur die Zugriffsrechte erhält, die er für seine Aufgaben tatsächlich benötigt, und diese Rechte konsequent gepflegt, dokumentiert und beim Austritt sofort entzogen werden. Grundlage dafür ist ein strukturiertes Berechtigungskonzept, das auf technischen Systemen wie dem Active Directory aufbaut. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um sicheres User Account Management im Mittelstand.

Welche Risiken entstehen durch schlecht verwaltete Useraccounts?

Schlecht verwaltete Useraccounts sind eines der häufigsten Einfallstore für Datenpannen und unbefugten Zugriff. Wenn Konten ehemaliger Mitarbeiter aktiv bleiben, Rechte unkontrolliert angehäuft werden oder Passwörter nie ablaufen, entstehen Sicherheitslücken, die von innen wie außen ausgenutzt werden können. Für den Mittelstand sind die Folgen oft gravierend: Datenverlust, Compliance-Verstöße und Reputationsschäden.

Konkret zeigen sich die Risiken in mehreren Bereichen. Ehemalige Mitarbeiter, deren Konten nicht deaktiviert wurden, können unter Umständen noch Wochen oder Monate nach ihrem Austritt auf Systeme zugreifen. Konten mit übermäßigen Rechten, die im Laufe der Zeit angesammelt wurden, vergrößern die Angriffsfläche erheblich. Und Konten ohne Mehrfaktor-Authentifizierung sind bei Phishing-Angriffen besonders verwundbar. Hinzu kommen regulatorische Anforderungen: Die DSGVO verlangt nachweisbare Kontrolle darüber, wer auf personenbezogene Daten zugreifen kann. Wer mehr darüber erfahren möchte, wie sich Unternehmen technisch und organisatorisch absichern, findet bei den IT-Sicherheitsleistungen von Thönnes einen passenden Einstieg.

Was ist ein Berechtigungskonzept und welche Elemente gehören dazu?

Ein Berechtigungskonzept ist ein dokumentiertes Regelwerk, das festlegt, welche Benutzer oder Benutzergruppen auf welche Systeme, Daten und Anwendungen zugreifen dürfen. Es bildet die organisatorische Grundlage für die gesamte Benutzerverwaltung im Unternehmen und macht Zugriffsrechte nachvollziehbar und prüfbar.

Zu einem vollständigen Berechtigungskonzept gehören mindestens die folgenden Elemente:

Eine Übersicht aller Systeme und Ressourcen, für die Zugriffsrechte vergeben werden
Eine Definition von Rollen oder Gruppen, die bestimmte Rechte bündeln
Klare Verantwortlichkeiten: Wer darf Rechte vergeben, ändern oder entziehen?
Prozesse für Onboarding, Rollenänderungen und Offboarding
Regelungen für privilegierte Konten wie Administratoren
Dokumentation und regelmäßige Überprüfung der vergebenen Rechte

Ein gut gepflegtes Berechtigungskonzept ist keine einmalige Aufgabe, sondern ein lebendiges Dokument, das mit der Organisation wächst. Gerade im Mittelstand fehlt dieses Konzept oft vollständig, was dazu führt, dass Rechte ad hoc vergeben und selten wieder entzogen werden.

Wie funktioniert rollenbasierte Zugriffskontrolle in der Praxis?

Rollenbasierte Zugriffskontrolle, im Englischen als Role-Based Access Control (RBAC) bekannt, ordnet Zugriffsrechte nicht einzelnen Benutzern, sondern definierten Rollen zu. Ein Mitarbeiter erhält eine Rolle (zum Beispiel „Buchhaltung“ oder „Vertrieb“), und diese Rolle bringt automatisch die passenden Rechte mit sich.

In der Praxis bedeutet das: Wenn ein neuer Mitarbeiter in der Buchhaltung anfängt, wird sein Konto der Gruppe „Buchhaltung“ zugeordnet. Er erhält damit Zugriff auf die Finanzsoftware, das entsprechende Netzwerklaufwerk und die relevanten SharePoint-Bereiche, aber nicht auf Produktionssysteme oder HR-Daten. Wechselt er in eine andere Abteilung, wird die alte Rolle entfernt und eine neue zugewiesen.

Dieser Ansatz reduziert den Verwaltungsaufwand erheblich, weil Rechte zentral an der Rolle gepflegt werden, nicht an hunderten einzelnen Konten. Im Active Directory lässt sich RBAC über Sicherheitsgruppen abbilden, die Berechtigungen auf Dateifreigaben, Anwendungen und Dienste steuern. Voraussetzung ist allerdings, dass die Rollen sauber definiert und aktuell gehalten werden.

Wie werden Useraccounts beim Onboarding und Offboarding korrekt angelegt und deaktiviert?

Beim Onboarding wird ein Useraccount idealerweise vor dem ersten Arbeitstag angelegt, mit den rollenspezifischen Rechten ausgestattet und dem Mitarbeiter zusammen mit seinen Zugangsdaten übergeben. Beim Offboarding muss das Konto am letzten Arbeitstag oder unmittelbar danach deaktiviert werden, nicht gelöscht, damit Protokolldaten erhalten bleiben.

Onboarding: Was vor dem ersten Arbeitstag erledigt sein sollte

Ein strukturierter Onboarding-Prozess beginnt nicht am ersten Tag, sondern spätestens eine Woche vorher. Die IT benötigt von der Personalabteilung die Information, welche Rolle der neue Mitarbeiter übernimmt, welche Systeme er braucht und wann er startet. Auf dieser Basis wird das Konto im Active Directory angelegt, in die passenden Gruppen aufgenommen und mit einer temporären Passwortvorgabe versehen. Geräte, Softwarelizenzen und Zugänge zu spezifischen Anwendungen lassen sich so vorbereiten, dass der erste Arbeitstag reibungslos verläuft.

Offboarding: warum sofortige Deaktivierung entscheidend ist

Der häufigste Fehler beim Offboarding ist Verzögerung. Jeder Tag, an dem ein ausgeschiedener Mitarbeiter noch Zugang zu Systemen hat, ist ein unnötiges Risiko. Ein geregelter Offboarding-Prozess sieht vor, dass das Konto am letzten Arbeitstag gesperrt wird, E-Mails weitergeleitet oder archiviert werden, Lizenzen freigegeben werden und alle Gerätezugänge widerrufen werden. Das Konto selbst bleibt für eine definierte Frist im System, damit Audit-Logs und Dateihistorien nachvollziehbar bleiben.

Welche Tools und Systeme werden für die Benutzerverwaltung eingesetzt?

Das am weitesten verbreitete System für die Benutzerverwaltung in Unternehmen ist Microsoft Active Directory. Es verwaltet Benutzerkonten, Gruppen, Computer und Richtlinien in einer zentralen Verzeichnisstruktur und bildet die Basis für die Authentifizierung in Windows-Umgebungen.

Darüber hinaus kommen je nach Unternehmensumgebung weitere Systeme zum Einsatz:

Azure Active Directory (Entra ID): Die cloudbasierte Erweiterung von Microsoft für hybride und reine Cloud-Umgebungen, mit Single Sign-On für Microsoft 365 und andere SaaS-Dienste
Software-Deployment-Systeme wie Matrix42: Ermöglichen die automatisierte Installation von Software bei der Kontoanlage und die Verwaltung von Lizenzen
Ticketsysteme und ITSM-Plattformen: Dokumentieren Anfragen für Kontoänderungen und schaffen eine Nachvollziehbarkeit für Audits
Privileged Access Management (PAM): Speziallösungen für die Verwaltung und Überwachung von Administrator- und Dienstkonten

Welches System sinnvoll ist, hängt von der Größe des Unternehmens, der genutzten Infrastruktur und dem Grad der Cloud-Integration ab. Nicht jede Lösung, die technisch möglich ist, ist für jeden Betrieb auch wirtschaftlich.

Wann lohnt sich die Auslagerung der Benutzerverwaltung an einen IT-Dienstleister?

Die Auslagerung der Benutzerverwaltung lohnt sich, wenn das interne IT-Team zu klein ist, um Onboarding, Offboarding und laufende Rechtepflege zuverlässig und zeitnah zu erledigen, oder wenn das Know-how für strukturierte Berechtigungskonzepte fehlt. Für viele mittelständische Unternehmen ist das der Regelfall. Ein externer IT-Dienstleister kann diese Aufgaben strukturiert und skalierbar übernehmen, ohne dass intern zusätzliches Personal aufgebaut werden muss.

Typische Situationen, in denen externe Unterstützung sinnvoll ist:

Kein dediziertes IT-Personal vorhanden, Verwaltungsaufgaben hängen an einzelnen Personen
Hohe Fluktuation oder saisonale Schwankungen bei Mitarbeiterzahlen
Wachsendes Unternehmen, das Prozesse skalieren muss, ohne sofort intern aufzustocken
Regulatorische Anforderungen (DSGVO, ISO 27001), die eine lückenlose Dokumentation verlangen
Sicherheitsvorfälle oder Audits, die Handlungsbedarf aufgezeigt haben

Outtasking, also die gezielte Auslagerung einzelner Aufgaben wie der Kontoverwaltung, ist dabei oft effizienter als ein vollständiges Outsourcing. Es erlaubt Unternehmen, Kontrolle zu behalten und gleichzeitig Kapazitäten zu entlasten.

Wie Thönnes die Benutzerverwaltung für mittelständische Unternehmen übernimmt

Thönnes Datensysteme GmbH übernimmt die vollständige Verwaltung von Useraccounts als Teil des IT Service Desk, remote oder vor Ort, und passt den Leistungsumfang flexibel an den tatsächlichen Bedarf an. Das Leistungsangebot im Bereich Benutzerverwaltung umfasst konkret:

Anlage, Pflege und Deaktivierung von Benutzerkonten im Active Directory
Verwaltung von Gruppen, Berechtigungen und Sicherheitsrichtlinien
Softwareinstallation und Lizenzverwaltung, unter anderem über Matrix42
Strukturierte Onboarding- und Offboarding-Prozesse nach definierten Abläufen
Dokumentation und Unterstützung bei Audits und Compliance-Anforderungen
Betreuung als Dienst- oder Werkvertrag sowie als Arbeitnehmerüberlassung

Da Thönnes herstellerunabhängig arbeitet und keinen Handel mit Hard- oder Software betreibt, erhalten Kunden neutrale Empfehlungen, die auf die jeweilige Unternehmensumgebung zugeschnitten sind. Wer die IT-Expertise von Thönnes für die eigene Benutzerverwaltung nutzen möchte, kann direkt Kontakt aufnehmen und gemeinsam klären, welches Modell am besten passt.