Der Abschlussbericht ist genehmigt. Der externe Subunternehmer hat seine Rechnung gestellt und ist aus der Organisationsstruktur verschwunden. Alles läuft nach Plan? Nicht ganz.
Das Projektkonto im System des Kunden existiert weiterhin. Das Postfach teams@projekt-x.de empfängt munter Nachrichten. Das Passwort für das Admin-Panel des SaaS-Tools, das drei Teammitglieder auswendig kannten, wurde nie geändert. Und der Chatverlauf in Slack, in dem mal schnell jemand die Zugangsdaten gepostet hat („schnell, das Meeting fängt in fünf Minuten an!“), ist für jeden einsehbar, der Zugriff auf den Channel hat.
Das jest keine Ausnahme, sondern der Standard in Organisationen, die Projekte ohne einen systemischen Ansatz zur Zugriffskontrolle verwalten.
Projektumgebungen sind ein Sonderfall im Sicherheitsmanagement. Wechselnde Teamzusammensetzungen, enormer Zeitdruck, die Zusammenarbeit mit externen Dienstleistern und der natürliche Impuls, Prozesse abzukürzen, schaffen Bedingungen, in denen schlechte Passwortpraktiken eher die Regel als die Ausnahme sind. Das Problem hat zwei Dimensionen: die Sicherheit der Zugangsdaten und die operative Effizienz bei der Rechteverwaltung. Beide erfordern eine systemische Lösung.
Warum Projektumgebungen so anfällig für Datenlecks sind
Wenn ein neues Teammitglied oder ein externer Dienstleister zu einem Projekt stößt, ist der schnellste Weg, ihn arbeitsfähig zu machen, die Weitergabe bestehender Zugangsdaten. Es wird kein neues Konto angelegt, es werden keine separaten Berechtigungen konfiguriert – denn das Projekt läuft bereits, die Deadline rückt näher und die Einrichtung „dauert einfach zu lange“.
Das Ergebnis: Fünf, acht oder zwölf Personen teilen sich dasselbe Passwort. Wenn etwas schiefgeht – ein Systemfehler, eine unbefugte Änderung oder ein Datenleck –, ist es unmöglich nachzuvollziehen, wer die Aktion ausgeführt hat. Wie eine Analyse von CyberFox zeigt, löst sich die Rechenschaftspflicht komplett auf, wenn mehrere Personen dieselben Zugangsdaten nutzen. Tritt ein Problem auf, lässt sich die verantwortliche Person schlicht nicht mehr ermitteln.
Zeitdruck vs. IT-Sicherheit
Projektteams stehen unter permanentem Termindruck. Sicherheitsverfahren, die in einer stabilen Linienorganisation akzeptiert werden, mutieren mitten im „Sprint“ zum Hindernis. Das führt zu einem Phänomen, das als Security Fatigue (Sicherheitsmüdigkeit) bezeichnet wird: Mitarbeiter umgehen Richtlinien aus reiner Erschöpfung. Laut einer AwareGO-Studie fühlen sich 67 % der Mitarbeiter durch ständige Sicherheitsabfragen und starre Passwort-Policys überfordert. Diese Frustration schlägt sich in konkreten Verhaltensweisen nieder: Passwörter werden auf Zettel geschrieben, identische Zugangsdaten für mehrere Systeme genutzt oder Passwörter über Messenger-Dienste geteilt.
Das Paradoxon: Zu komplizierte Verfahren, die eigentlich die Sicherheit erhöhen sollen, provozieren erst recht Verhaltensweisen, die das Sicherheitsniveau massiv senken.
Dynamische Teamrotation – der unkontrollierte Zuwachs an Mitwissern
Jeder Wechsel im Projektteam birgt ein potenzielles Risiko. Ein neues Mitglied kommt hinzu – und erfährt die Passwörter. Ein Subunternehmer schließt seine Phase ab – aber die Passwörter bleiben in seinem Gedächtnis, auf seinem Smartphone oder in seinem Notizbuch.
Bei der für Projektumgebungen typischen Dynamik wächst die Zahl der Personen, die jemals Zugriff auf diese Zugangsdaten hatten, linear an – während die Kontrolle über diese Daten statisch bleibt oder sogar abnimmt.
Typische Risiken in Projektumgebungen
Der Subunternehmer geht, die Passwörter bleiben
Eine externe Agentur hat drei Monate lang ein Implementierungsprojekt betreut. Sie hatte Zugriff auf die Testumgebung des Kunden, das Admin-Panel des CMS und das Code-Repository. Das Projekt ist beendet, die Rechnung bezahlt, der Vertrag ausgelaufen.
Niemand hat die Passwörter geändert. Niemand hat geprüft, ob die Zugriffe auf externe Systeme entzogen wurden. Die – teils ehemaligen – Mitarbeiter der Agentur können sich theoretisch immer noch in die Systeme des Ex-Kunden einloggen. Daten von Bravura Security zeigen, dass nur 5 % der IT-Leiter absolut sicher sind, dass ein ausscheidender Mitarbeiter keine Passwörter mitgenommen hat. Bei externen Dienstleistern dürfte diese Gewissheit noch deutlich geringer sein.
Wechsel des Projektmanagers ohne geordnete Übergabe
Ein Projektmanager (PM) verlässt das Unternehmen mitten im Projekt oder direkt nach dem Abschluss. Die Zugangsdaten zu mehreren Projektsystemen verschwinden mit ihm. Der neue PM muss alle Zugriffe mühsam neu beantragen, was wertvolle Zeit kostet und die Kontinuität des Projekts gefährdet.
Der Messenger als unsicheres Passwort-Archiv
Ein Thread in Slack, Teams oder einem anderen Projekt-Messenger: Jemand hat „mal eben schnell“ ein Passwort gepostet, weil ein Kollege sofort Zugriff brauchte. Diese Nachricht von vor acht Monaten befindet sich immer noch im Chatverlauf des Channels. Zugriff auf diesen Channel haben jedoch nicht tylko die aktuellen Projektmitglieder, sondern auch Personen, die später hinzugekommen sind und die vollständige Historie einsehen können.
Daten von Exploding Topics zeigen, dass 41 % der IT-Spezialisten zugeben, Passwörter über Messenger-Dienste zu teilen. Jede dieser Nachrichten ist ein unkontrollierter Speicherort für Zugangsdaten – völlig außerhalb jedes Identitätsmanagements.
Zentrales Zugriffsmanagement in Projektumgebungen
perc.pass als Werkzeug für das zentrale Passwortmanagement im Unternehmen führt eine Architektur in Projektumgebungen ein, die beide Dimensionen des Problems gleichzeitig löst: die Sicherheit der Zugangsdaten und die operative Effizienz bei der Rechtevergabe.
Projektgruppen mit granularer Rechtekontrolle
Jedes Projekt kann eine dedizierte Gruppe mit präzise definierten Berechtigungen für seine Mitglieder erhalten – vom Vollzugriff bis zum reinen Lesemodus. Neue Personen, die zum Projekt stoßen, erhalten Zugriff auf die benötigten Daten innerhalb von Minuten. Personen, die das Projekt verlassen, verlieren ihn augenblicklich.
Aktivitätshistorie auf Projektebene
Ein zentrales Zugriffsregister protokolliert haargenau, wer wann auf welche Projektressourcen zugegriffen hat. Bei einem Vorfall – sei es ein Konfigurationsfehler, eine unautorisierte Änderung oder ein Datenleck – ermöglicht die Aktivitätshistorie eine präzise Rekonstruktion des Geschehens und definiert das genaue Ausmaß des Vorfalls.
Zugriffsentzug ohne Arbeitsunterbrechung
Wenn ein Subunternehmer die Zusammenarbeit beendet oder ein Mitarbeiter das Projekt wechselt, wird sein Zugriff mit einem einzigen Klick gesperrt. Der Rest des Teams arbeitet ungestört mit denselben Passwörtern weiter, ohne dass diese aufwendig geändert werden müssen, da die Benutzer sie dank Autofill ohnehin nie im Klartext gesehen haben.
Effizientes Onboarding neuer Mitglieder
Ein neuer Entwickler steigt mitten im Sprint in ein Projekt ein. Statt ihm eine Liste mit Passwörtern für ein Dutzend Systeme per E-Mail oder Teams zu schicken, fügt der Projektverantwortliche ihn einfach der entsprechenden Projektgruppe in perc.pass hinzu. Ab diesem Moment verfügt er sofort über alle notwendigen Zugriffe.
Wenn Sie erfahren möchten, wie zentrales Zugriffsmanagement in der Projektpraxis aussieht – testen Sie perc.pass jetzt in der kostenlosen Trial-Phase. Die Einrichtung Ihrer ersten Projektgruppe ist mit wenigen Klicks erledigt.