Stellen Sie sich vor, es kam gerade zu einem Sicherheitsvorfall. Die Aufsichtsbehörde stellt unangenehme Fragen: Wer hatte wann Zugriff auf die Daten? Welches Benutzerkonto wurde verwendet? Wann wurde das Passwort zuletzt geändert und von wem?
Die meisten Organisationen antworten darauf: „Wir wissen es nie.“ Nicht, weil sie etwas verheimlichen wollen – sie haben es einfach nie protokolliert.
Ein Szenario, das im Kontext steigender regulatorischer Anforderungen (EU-DSGVO, NIS2) und verschärfter Befugnisse der Kontrollbehörden immer kostspieliger wird. Dabei geht es nicht um das formelle Fehlen von Dokumenten, sondern um die eklatante Lücke zwischen dem deklarierten Sicherheitsniveau und der tatsächlichen Fähigkeit, dieses im Ernstfall auch nachzuweisen.
Die Rechenschaftspflicht in der Cybersicherheit ist nicht nur eine rechtliche Vorgabe. Sie ist eine rein operative Frage – und ihre Quelle ist die Kontrolle. Wo keine Kontrolle existiert, ist Rechenschaftspflicht unmöglich – völlig unabhängig davon, wie viele Sicherheitsrichtlinien in den Schubladen der Geschäftsführung liegen.
Regulierung fordert harte Beweise
DSGVO: Der Verantwortliche muss nachweisen, nicht nur deklarieren
Artikel 5 Absatz 2 der EU-DSGVO formuliert das Prinzip der Rechenschaftspflicht (Accountability) unmissverständlich: Der Verantwortliche ist für die Einhaltung der Datenschutzgrundsätze verantwortlich und muss deren Einhaltung nachweisen können. Es reicht nicht, Richtlinien nur zu beschreiben od zu deklarieren. Nachweisen bedeutet, handfeste Beweise vorzulegen.
In der Praxis heißt das: Die bloße Implementierung von Sicherheitsmaßnahmen reicht nicht aus. Die Rechenschaftspflicht besteht aus zwei fundamentalen Pflichten: der Einführung von Maßnahmen, die die Einhaltung der Vorschriften garantieren, und der Führung einer Betriebshistorie, mit der die Wirksamkeit dieser Maßnahmen belegt werden kann. Das eine ohne das andere erfüllt die gesetzlichen Anforderungen nicht.
Wichtig ist: Die DSGVO schreibt keine spezifische Methode zur Umsetzung dieses Prinzips vor. Sie bietet Flexibilität, aber diese Flexibilität verpflichtet: Die Organisation muss selbst adäquate Werkzeuge wählen und im Falle einer Prüfung deren Effektivität begründen.
NIS2 und BSIG: Zugriffsmanagement als technische und organisatorische Maßnahme
Mit dem Inkrafttreten der nationalen Gesetze zur Umsetzung der NIS2-Richtlinie (wie dem novellierten BSI-Gesetz in Deutschland) wurden die Daumenschrauben für kritische und wichtige Einrichtungen massiv angezogen. Organisationen müssen ihre Systeme und Prozesse innerhalb strenger Fristen konform aufstellen.
Unter den geforderten technischen und organisatorischen Maßnahmen nennt das Gesetz explizit: die Gewährleistung einer angemessenen Zugriffskontrolle, die Durchsetzung der Zwei-Faktor-Authentisierung (2FA), System-Monitoring oraz ein strukturiertes Vorfallsmanagement. Betroffene Unternehmen sind verpflichtet, regelmäßige Sicherheitsaudits durchzuführen. Bei schwerwiegenden Vorfällen können Behörden zudem Ad-hoc-Audits anordnen.
Auch die Meldung von Vorfällen ist streng zeitgebunden: Eine Erstmeldung muss innerhalb von 24 Stunden nach Entdeckung an das zuständige CSIRT/BSI erfolgen, der Abschlussbericht innerhalb eines Monats. Um diese Fristen einzuhalten, benötigt eine Organisation sofortigen Zugriff auf präzise Daten. Für die manuelle Rekonstruktion von Ereignissen aus dem Gedächtnis der Mitarbeiter bleibt da schlicht keine Zeit.
Die Kluft zwischen Sicherheitsrichtlinien und der Realität
Papier-Richtlinien ja, Betriebshistorie nein
Die Mehrheit der Unternehmen besitzt eine schriftliche Sicherheitsrichtlinie. Deutlich weniger verfügen jedoch über das, co im Falle eines Incidents echten Wert besitzt: eine lückenlose Betriebshistorie. Also ein digitales Register darüber, wer wann worauf zugegriffen hat, wann Passwörter geändert wurden, wem Berechtigungen erteilt und wann sie wieder entzogen wurden.
Sicherheitsrichtlinien beschreiben den Soll-Zustand. Eine Betriebshistorie dokumentiert den Ist-Zustand. Bei einer Prüfung verifiziert die Aufsichtsbehörde ausschließlich Letzteren. Ein Dokument, das die theoretischen Regeln einer Passwort-Policy beschreibt, ersetzt niemals das Audit-Log, das die tatsächliche Einhaltung dieses Standards beweist.
Shared Accounts und Passwort-Versand per E-Mail zerstören jegliche Rechenschaftspflicht
Die Dokumentation von Berechtigungen und Zugriffen spielt eine zentrale Rolle bei der Beweisführung. Im Falle einer Verletzung lässt sich so schnell feststellen, wer zu einem bestimmten Zeitpunkt Zugriff auf die kompromittierten Daten hatte. Dies ist die Grundvoraussetzung für eine effektive Forensik und die Eindämmung des Vorfalls.
Praktiken wie gemeinsam genutzte Konten (Shared Accounts) od die Weitergabe von Passwörtern über E-Mails und Messenger machen diese Nachvollziehbarkeit unmöglich. Wenn sich mehrere Personen mit denselben Zugangsdaten beim selben Konto anmelden, lässt sich im Nachhinein nicht mehr feststellen, wer eine bestimmte Aktion ausgeführt hat.
„Wer hat sich eingeloggt?“ – Eine Frage ohne Antwort
Ein Sicherheitsvorfall startet eine Kaskade von Fragen, auf die das Unternehmen schnell und präzise antworten muss:
Welches Konto wurde verwendet?
Waren die Zugangsdaten einer eindeutigen Person zugeordnet?
Wann wurde das Passwort dieses Kontos zuletzt geändert?
War der Systemzugriff auf autorisierte Personen beschränkt?
Wurden die Zugriffe nach dem Ausscheiden eines Mitarbeiters sofort entzogen?
Jede dieser Fragen erfordert operative Daten – keine theoretischen Erklärungen. Eine Organisation, die diese Antworten nicht liefern kann, scheitert nicht nur beim Compliance-Nachweis, sondern ist auch unfähig, den Schaden des Vorfalls effektiv zu begrenzen, da sie das reale Ausmaß des Lecks nicht kennt.
Zugriffskontrolle als Fundament, nicht als Formalität
Die Kontrolle über Zugriffe und Passwörter ist primär ein Element der operativen Sicherheit – und genau aus dieser realen Sicherheit resultiert ihr regulatorischer Wert, nicht umgekehrt. Eine Organisation, die genau weiß, wer Zugriff auf welche Ressourcen hat, kann blitzschnell auf Vorfälle reagieren, deren Reichweite minimieren und die ergriffenen Abwehrmaßnahmen revisionssicher dokumentieren. Ein Unternehmen ohne dieses Wissen agiert träge, rekonstruiert Vorfälle vage aus Erinnerungen und kann niemals glaubhaft nachweisen, was tatsächlich passiert ist.
Zentrales Identitätsmanagement
Ein zentrales Repository für Zugangsdaten, in dem jeder Zugriff einem konkreten Benutzer zugeordnet ist, jede Freigabe protokolliert wird und jeder Entzug von Rechten augenblicklich sowie dokumentiert erfolgt, schafft eine Betriebshistorie, die auf anderem Wege nicht reproduzierbar ist.
Im Kontext der Rechenschaftspflicht ist entscheidend, dass diese Historie als natürliches Nebenprodukt eines korrekten Zugriffsmanagements entsteht – ohne zusätzlichen Dokumentationsaufwand. Ein Unternehmen, das Zugriffe zentral über einen Passwortmanager steuert, kann bei einer Prüfung per Klick nachweisen: wann das Konto erstellt wurde, wer Zugriff hatte, wann Berechtigungen modifiziert wurden oraz wann das Passwort von wem geändert wurde.
Dowiedz sie jak menedżer haseł wpisuje sie w wymagania NIS2.
Der Passwortmanager im Unternehmen
Ein Enterprise-Passwortmanager wie perc.pass verwandelt theoretische Absichtserklärungen auf Papier in harte operative Beweise. Die Dokumentation aller Aktivitäten rund um Ihre Zugangsdaten erfolgt vollautomatisch im Hintergrund des Arbeitsalltags.
Kontrolle über „Gemeinschaftskonten“
Wenn sich ein Team bei einem gemeinsamen Postfach (z. B. vertrieb@unternehmen.de) über traditionelle Wege anmeldet, zirkuliert das Passwort unkontrolliert. Sie wissen nie, wer es aktuell wirklich kennt (ehemalige Mitarbeiter eingeschlossen). Mit perc.pass sperren Sie dieses Passwort in einen zentralen Tresor und weisen es den berechtigten Nutzern präzise zu. Im Falle eines Vorfalls muss der Administrator nie raten: Er generiert sofort eine namentliche Liste der Personen, die zum fraglichen Zeitpunkt über die Zugangsdaten verfügten, inklusive der lückenlosen Historie der Rechtevergabe.
Automatisches Audit-Log
Wenn Prüfungsfragen gestellt werden, müssen Sie nicht im Dunkeln tappen. Jede Erstellung, Bearbeitung oder Freigabe eines Passworts in perc.pass hinterlässt einen manipulationssicheren digitalen Stempel. Bei einer Kontrolle generieren Sie einfach den entsprechenden Report, der als harter Beweis für die Einhaltung Ihrer internen IT-Prozesse dient.
Unterstützung bei der Meldung von Vorfällen
Die Pflicht zur Meldung eines schwerwiegenden Vorfalls (NIS2-Vorgabe) erfordert sofortiges Wissen über dessen Tragweite. Dank der zentralisierten Datenbank kann der Administrator in wenigen Minuten prüfen, auf welche Systeme der kompromittierte Benutzer Zugriff hatte, und diese sofort sperren. Das verkürzt die Analysezeit von Tagen auf wenige Minuten.
Revisionssicherheit bei Audits (On-Premise-Modell)
Gemäß den regulatorischen Vorgaben müssen kritische Akteure regelmäßigen Sicherheitsaudits standhalten. perc.pass bietet die Bereitstellung direkt in der eigenen Infrastruktur des Kunden (On-Premise / Appliance) an. Das bedeutet: Nicht nur die Passwörter selbst, sondern die gesamte strategische Betriebshistorie verlässt zu keinem Zeitpunkt die Server Ihrer Organisation.
Erfahren Sie mehr über die On-Premise-Version von perc.pass.
Wenn Sie wissen möchten, wie zentrales Zugriffsmanagement in der Praxis funktioniert – testen Sie perc.pass jetzt in der kostenlosen Trial-Phase. Ihre revisionssichere Betriebshistorie beginnt vom ersten Tag der Nutzung an zu wachsen.