0800 71 20000
Kontakt
...
Rechte, Rollen, Nachweis

Wer darf was, und wer hat das entschieden

Rechte werden zuverlässig vergeben und fast nie zurückgenommen. Die Rolle existiert, weil dieser Rückweg organisiert werden muss und nicht von selbst entsteht.

Passende Kurse ansehen Persönlich beraten lassen
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Seit 1997 am Markt Kleine Gruppen Präsenz und Live-Online Zertifizierte Trainer
Worum es geht

Der Eintritt ist geregelt, der Wechsel ist es fast nie

Für neue Beschäftigte gibt es in fast jedem Haus einen Ablauf. Für den internen Wechsel gibt es ihn selten. Wer zweimal die Abteilung wechselt, trägt die Rechte aus drei Bereichen mit sich, weil die neuen dazukommen und die alten niemand entzieht. Nach einigen Jahren gibt es Konten, deren Zugriff größer ist als der jeder Führungskraft, ohne dass irgendjemand das entschieden hätte.

Der Schaden zeigt sich in zwei Situationen. Wird ein Konto übernommen, entscheidet der Umfang seiner Rechte darüber, ob daraus ein Zwischenfall oder ein Schaden wird. Und in einer Prüfung lautet die Frage nicht, ob Rechte vergeben wurden, sondern wer sie genehmigt hat, wann sie zuletzt bestätigt wurden und wie das nachgewiesen wird. Genau diese Antworten fehlen dort, wo Rechte nach Zuruf entstanden sind.

Dazu kommt die Lage der Rolle selbst. Sie setzt Regeln, die andere umsetzen, und hat in der Regel keine Systemhoheit. Ohne klare Zuständigkeiten wird sie zur Instanz, die Listen verschickt und Erinnerungen schreibt, und wirkt genau so viel, wie die Fachbereiche mitmachen. Deshalb ist die wichtigste Arbeit in dieser Rolle nicht technisch, sondern die Festlegung, wer wofür geradesteht.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wer entscheidet was

Wer entscheidet, und wer setzt um

Diese Rolle lebt davon, dass Zuständigkeiten benannt sind. Diese fünf Zeilen sind die, an denen es in den meisten Häusern hakt, und sie sind zugleich die Punkte, an denen eine Prüfung ansetzt.

Rollenmodell und Rechtezuschnitt

Wer entscheidet
Der Fachbereich beschreibt die Aufgaben, das Identity- und Access-Management übersetzt sie in Rollen und hält sie zusammen
Wer setzt um
Die System- und Mandantenadministration bildet die Rollen technisch in Verzeichnis und Anwendungen ab
Stolperfalle
Rollen entstehen als Kopie eines bestehenden Kontos, weil jemand die Rechte wie beim Kollegen bekommen soll. Damit vererbt sich jeder alte Fehler weiter, und niemand kann später sagen, welches Recht wofür gedacht war.

Genehmigung von Sonderrechten

Wer entscheidet
Die fachlich verantwortliche Führungskraft, namentlich und mit Befristung, nicht die IT
Wer setzt um
Die Administration richtet ein, das Identity- und Access-Management prüft, ob die Genehmigung dokumentiert und noch gültig ist
Stolperfalle
Die Zustimmung kommt per Zuruf oder als kurze Nachricht im Ticket. Ein Jahr später lässt sich nicht mehr belegen, wer sie erteilt hat, und im Zweifel steht die Administration dafür gerade.

Regelmäßige Bestätigung bestehender Rechte

Wer entscheidet
Revision und Informationssicherheit legen Turnus und Umfang fest, die Fachbereiche bestätigen inhaltlich
Wer setzt um
Das Identity- und Access-Management bereitet lesbare Listen vor und verfolgt nach, was aus den Streichungen wurde
Stolperfalle
Die Liste enthält technische Bezeichnungen und vierhundert Zeilen. Sie wird in zehn Minuten pauschal bestätigt, und der Nachweis existiert formal, ohne dass jemand hingesehen hat.

Meldung von Austritten und Wechseln

Wer entscheidet
Die Personalabteilung legt den Meldeweg fest, für Externe der beauftragende Fachbereich
Wer setzt um
Die Administration sperrt und entzieht, das Identity- und Access-Management prüft die Vollständigkeit gegen die Personalliste
Stolperfalle
Der Meldeweg gilt für Beschäftigte. Externe, Werkstudenten und Zeitarbeitskräfte laufen daran vorbei, und genau deren Konten bleiben nach Projektende offen.

Privilegierte Konten und Dienstkonten

Wer entscheidet
Die Informationssicherheit über die Bedingungen, unter denen erhöhte Rechte überhaupt vergeben werden
Wer setzt um
Die Administration mit getrennten Konten und zeitlich begrenzter Anhebung, dokumentiert und auswertbar
Stolperfalle
Dienstkonten von Anwendungen gehören keiner Person und tauchen deshalb in keiner Bestätigung auf. Sie sammeln über Jahre Rechte an, und ihr Kennwort steht in einer Konfigurationsdatei.

Ein Konto in fünf Stationen

  1. 01 Die Personalabteilung meldet Eintritt, Rolle und Startdatum.
  2. 02 Aus der Rolle entstehen Rechte, ohne dass jemand einzeln zustimmen muss.
  3. 03 Beim Wechsel enden die alten Rechte, bevor die neuen dazukommen.
  4. 04 In der Rezertifizierung bestätigt eine benannte Person jedes Recht.
  5. 05 Beim Austritt wird gesperrt, und erst nach einer Frist gelöscht.
Was du mitnimmst

Was die Rolle im Alltag verantwortet

Die Aufgaben lassen sich an sechs Punkten festmachen. Sie sind zugleich die Fragen, mit denen du in einem Bewerbungsgespräch herausfindest, ob eine Stelle wirklich das Regelwerk verantwortet oder ob dort Benutzerkonten verwaltet werden.

Den Lebenszyklus vollständig denken

Eintritt, Wechsel, längere Abwesenheit und Austritt gehören zusammen, und der Wechsel ist der schwierige Fall. Du legst fest, dass alte Rechte enden, bevor neue beginnen, und klärst, wer diese Meldung auslöst, auch für Externe, Aushilfen und Werkstudenten.

Rollen bauen, die jemand pflegen kann

Ein Rollenmodell entsteht aus Aufgaben, nicht aus Personen. Wichtiger als Vollständigkeit ist Pflegbarkeit: Zwanzig verständliche Rollen mit klar benannten Verantwortlichen wirken mehr als dreihundert exakte, die nach einem Jahr niemand mehr aktualisiert.

Rezertifizierung als Termin einrichten

Du legst fest, wer welche Rechte in welchem Turnus bestätigt, und sorgst dafür, dass die Liste lesbar ist. Eine Bestätigung von vierhundert Zeilen mit technischen Bezeichnungen wird pauschal abgenickt und ist damit wertlos, aber im Prüfbericht sieht sie gleich aus.

Funktionstrennung festlegen

Wer bestellt, darf nicht freigeben, wer Stammdaten ändert, zahlt nicht aus. Diese Kombinationen definierst du gemeinsam mit den Fachbereichen und der Revision und prüfst regelmäßig, ob sie in den Systemen tatsächlich getrennt sind.

Privilegierte Zugänge befristen

Getrennte Konten für Verwaltungsaufgaben, Rechteanhebung auf Zeit statt dauerhaft, Notfallkonten mit hinterlegtem Verfahren und eine Übersicht über Dienstkonten. Diese sind der blinde Fleck, weil sie keiner Person gehören und deshalb in keiner Bestätigung auftauchen.

Anmeldevorgänge auswerten

Auffällige Muster erkennst du an Anmeldungen aus zwei weit entfernten Orten in kurzer Folge, an wiederholten Bestätigungsanfragen, bis jemand entnervt zustimmt, und an Konten, die sich seit Monaten nicht angemeldet haben und trotzdem alle Rechte tragen.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Was die Rolle tatsächlich tut

Der Alltag besteht zu einem großen Teil aus Abstimmung. Mit Fachbereichen an Rollenzuschnitten arbeiten, mit der Personalabteilung Meldewege klären, mit der Administration die technische Abbildung durchgehen, mit Revision und Datenschutz Nachweise vorbereiten. Dazu kommen Auswertungen: Konten ohne Anmeldung, Rechte ohne Genehmigung, Personen mit unvereinbaren Aufgaben, offene Punkte aus der letzten Bestätigungsrunde.

Falsch erwartet wird meistens, dass hier Zugriffe vergeben werden. Das macht die Administration. Die Rolle entscheidet, nach welchen Regeln Zugriffe entstehen, wer genehmigt und wie oft bestätigt wird, und weist nach, dass es so gelaufen ist. Wer die Rolle als besseren Benutzerverwaltungsdienst ausfüllt, verliert genau die Unabhängigkeit, aus der ihre Wirkung kommt.

Der zweite Irrtum betrifft die Werkzeuge. Ein Identitätsverwaltungssystem einzuführen ist ein Vorhaben von Monaten, das an fehlenden Rollenmodellen und unklaren Zuständigkeiten scheitert, nicht an der Software. Häuser, die vorher aufgeräumt haben, brauchen weniger Werkzeug als erwartet; Häuser, die das Werkzeug zuerst kaufen, bilden ihr Durcheinander teuer ab.

Wo die Grenze zur Administration verläuft

Die Windows-Server-Administration verantwortet, wie ein Konto im Verzeichnis existiert, in welcher Organisationseinheit es steht und welche Gruppen es trägt. Die Mandantenverwaltung verantwortet dasselbe für die Cloudseite samt Lizenzen und Zugriffsrichtlinien. Du verantwortest, welche Rolle überhaupt welche Rechte tragen darf, wer das genehmigt und wann es überprüft wird. Die Systeme sind ihre Sache, die Regeln sind deine.

Diese Trennung ist kein Formalismus. Wer Regeln setzt und sie selbst umsetzt, kann sich jedes Recht selbst geben und es anschließend selbst bestätigen. In kleineren Häusern ist das personell nicht immer zu trennen, und dann braucht es wenigstens eine zweite Person, die bestätigt, sowie eine Protokollierung, die diese Person auch liest. Genau danach wird in Prüfungen gefragt.

Zur Informationssicherheit ist die Grenze fließender. Sie setzt die übergeordneten Vorgaben, du übersetzt sie in Rollen, Genehmigungswege und Bestätigungsläufe. In vielen Häusern ist das dieselbe Abteilung, und dann lohnt die Frage, ob dort Konzepte geschrieben oder auch Nachweise erbracht werden. Das sind zwei sehr verschiedene Arbeitsalltage.

Der Weg hinein, und welche Nachweise zählen

Es gibt drei übliche Wege. Aus der Administration heraus, mit gutem technischem Verständnis und der Aufgabe, das Prozessdenken nachzuholen. Aus Revision, Compliance oder Datenschutz, mit dem umgekehrten Zuschnitt. Und aus einem Fachbereich mit vielen Berechtigungsfragen, etwa aus dem Rechnungswesen oder aus der Anwendungsbetreuung eines großen Systems, wo Funktionstrennung ohnehin Alltag ist.

Bei den Nachweisen ist die Prüfung zum Identity and Access Administrator der verbreitetste Herstellernachweis, sinnvoll aber vor allem in Häusern, die auf Entra ID setzen. Wer herstellerunabhängig arbeiten will, sollte die Protokolle verstehen, mit denen Anmeldung und Rechteübergabe technisch funktionieren, und dafür ist ein selbst betriebenes quelloffenes Anmeldesystem die beste Übung. Dazu kommen die Regelwerke, die diese Rolle in vielen Häusern überhaupt erst geschaffen haben, allen voran die Anforderungen aus der NIS2-Richtlinie und aus ISO 27001.

Was im Gespräch tatsächlich zählt, ist eine Geschichte über Aufräumen. Ein Bestand, den du ausgewertet hast, eine Rezertifizierung, die du durchgezogen hast, ein Meldeweg für Austritte, den du mit der Personalabteilung verabredet hast. Wer das erzählen kann, ist überzeugender als jemand mit Zertifikat und ohne durchgesetzte Änderung.

Woran sich zwei Leute mit gleicher Berufsdauer unterscheiden

Der erste Unterschied ist der Zuschnitt des Rollenmodells. Der eine baut das vollständige Modell, das jede Ausnahme abbildet und deshalb nach einem Jahr nicht mehr gepflegt wird. Die andere baut ein gröberes, das achtzig Prozent trägt, und regelt den Rest als benannte Ausnahme mit Ablaufdatum. Nach drei Jahren funktioniert genau eines der beiden noch.

Der zweite Unterschied ist Lesbarkeit. Ob eine Bestätigungsrunde etwas bewirkt, hängt daran, ob eine Führungskraft versteht, was sie da bestätigt. Wer technische Bezeichnungen in Sätze übersetzt, die eine Aufgabe beschreiben, bekommt echte Streichungen zurück. Wer die Rohliste verschickt, bekommt eine formale Bestätigung und hat nichts verändert.

Der dritte Unterschied ist die Fähigkeit, mit Zahlen zu arbeiten. Wie viele Konten ohne Anmeldung, wie viele Rechte ohne dokumentierte Genehmigung, wie viele privilegierte Konten ohne zweiten Faktor, wie viel wurde in der letzten Runde tatsächlich gestrichen. Diese vier Werte über zwei Jahre hinweg sind das stärkste Argument für Ressourcen, das diese Rolle hat.

Wohin die Rolle führt

Die naheliegendste Richtung ist die Informationssicherheit insgesamt, weil Zugriffsrechte dort einer von mehreren Bausteinen sind. Die zweite ist die Revision oder die Rolle des Beauftragten für Informationssicherheit, wenn dir die Nachweisseite liegt. Die dritte ist die Architektur, also die Frage, wie Anmeldung und Rechteübergabe in einer verteilten Landschaft überhaupt aufgebaut sein sollten. Die vierte ist die Führung eines Teams, das Betrieb und Regelwerk zusammenhält.

Was in allen Richtungen trägt, ist die Fähigkeit, einen unbequemen Zustand belegbar zu machen, ohne jemanden vorzuführen. Wer Fachbereichen erklärt, warum ihre Rechte ein Risiko für sie selbst sind, bekommt Mitarbeit. Wer mit dem Prüfbericht droht, bekommt formale Bestätigungen und keine Veränderung.

Das Gehaltskapitel unten zeigt die Berufsgattung IT-Organisation und nicht die Systemadministration, weil diese Rolle Prozesse verantwortet und keine Systeme. Diese Zelle liegt auf demselben Anforderungsniveau über der reinen Administration, und genau darin steckt der Hinweis: Der Unterschied entsteht nicht durch zusätzliches Fachwissen, sondern dadurch, dass eine Stelle Entscheidungen enthält.

Dazu passende Kurse

Wie sich das in einer Microsoft-Umgebung umsetzen lässt, zeigen Kurse, in denen du Identitäten und Zugriffe für einen ganzen Mandanten ordnest .

Wer auch die Infrastruktur dahinter verantwortet, findet den passenden Unterbau in die Administrationskurse rund um Entra ID und Azure .

Was verdient man

Die amtlichen Zahlen zu dieser Rolle

Die Zahlen kommen aus der Berufsgattung IT-Organisation auf dem Anforderungsniveau Spezialist, weil diese Rolle Prozesse und nicht Systeme verantwortet. Es sind Bruttomonatsverdienste von Vollzeitbeschäftigten ohne Sonderzahlungen, Weihnachts- und Urlaubsgeld kommen also dazu und der Jahresverdienst liegt über dem Zwölffachen. Das Anforderungsniveau beschreibt den Zuschnitt der Stelle und nicht die Berufserfahrung der Person, die sie ausfüllt. Der Median ist die aussagekräftigere Zahl, weil einzelne sehr gut bezahlte Stellen den Durchschnitt nach oben ziehen. Dass diese Zelle über der reinen Systemadministration liegt, ist kein Zufall: In ihr stecken Planung und Steuerung, und genau das unterscheidet die Rolle von der Umsetzung im Verzeichnis.

Amtliche Medianverdienste, April 2025

Brutto im Monat

Statistisches Bundesamt, Verdiensterhebung. Vollzeit, ohne Sonderzahlungen. Die Hälfte der Beschäftigten verdient weniger als der Median, die andere Hälfte mehr.

IT-Organisation Spezialist 5.959 €

KldB 43333, Durchschnitt 6.334 €, gerundet rund 72.000 € im Jahr ohne Sonderzahlungen

02k4k6k
  • Vollzeitbeschäftigte, Bruttomonatsverdienst ohne Sonderzahlungen. Weihnachts- und Urlaubsgeld, Prämien und Boni sind nicht enthalten, der Jahresverdienst liegt also über dem Zwölffachen.
  • Das Anforderungsniveau beschreibt den Zuschnitt der Stelle, nicht die Berufserfahrung. Fachkraft, Spezialist und Experte sagen etwas über die Komplexität der Tätigkeit aus, nicht über Dienstjahre.
  • Die Erhebung geht regional nur bis auf die Bundeslandebene. Für einzelne Städte gibt es keine amtlichen Zahlen, weil der Zufallsfehler zu groß wäre.

Quelle: Statistischer Bericht Verdienste , Statistisches Bundesamt (Destatis). Den eigenen Fall prüfst du im Entgeltatlas der Bundesagentur für Arbeit . Beachte dort: Entgelte oberhalb der Beitragsbemessungsgrenze sind der Statistik nicht bekannt, bei gut bezahlten IT-Rollen steht deshalb nur eine Untergrenze.

Wissen prüfen

Wie sicher bist du beim Thema wirklich?

Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.

Wissenstest SQL Grundlagen QuizTeste dein Wissen zu SELECT, JOIN, WHERE, GROUP BY und den wichtigsten SQL-Befehlen. Quiz starten Wissenstest PostgreSQL Grundlagen QuizTeste dein Wissen zu Abfragen, Joins, Indizes, Transaktionen, MVCC und dem Lesen von EXPLAIN. Quiz starten
Konkrete Kurse

Wo du genau das übst

Ein sehr gutes, praxisorientiertes und nachhaltiges Seminar. So sollte es immer sein. Vielen Dank.
LimeSurvey - Anwendertraining Teil 1 (Grundlagen)
Ein sehr guter und verständlicher Überblick über die Grundlagen im Umgang mit BricsCAD.
BricsCAD 2D Schulung Grundkurs
Alle meine Erwartungen wurden erfüllt und ich habe mich sehr gut aufgenommen gefühlt, jede Frage wurden Probleme direkt beseitigt.
BricsCAD 3D Schulung - Grundlagen

Häufige Fragen

Was macht ein Verantwortlicher für Identity- und Access-Management den ganzen Tag?
Vor allem Abstimmung und Auswertung. Rollenzuschnitte mit Fachbereichen erarbeiten, Meldewege mit der Personalabteilung klären, mit der Administration die technische Abbildung durchgehen, Bestätigungsrunden vorbereiten und nachverfolgen, Nachweise für Revision und Datenschutz zusammenstellen. Zugriffe selbst vergeben gehört ausdrücklich nicht dazu, das macht die Administration, und diese Trennung ist der Kern der Rolle.
Was ist der Unterschied zum Systemadministrator?
Die Administration setzt um, diese Rolle setzt die Regeln. Sie entscheidet, welche Rolle welche Rechte tragen darf, wer Sonderrechte genehmigt, in welchem Turnus bestätigt wird und wann Zugänge enden. In kleineren Häusern macht dieselbe Person beides, und dann braucht es wenigstens eine zweite Person für die Bestätigung, weil sich sonst niemand mehr selbst kontrolliert.
Brauche ich ein IAM-Werkzeug, um anzufangen?
Nein, und der umgekehrte Weg geht meistens schief. Ein Identitätsverwaltungssystem bildet ab, was fachlich schon geklärt ist. Fehlen Rollenmodell, Genehmigungswege und Meldewege für Austritte, verlängert das Werkzeug nur die Einführungszeit und bildet das Durcheinander teuer ab. Sinnvoll ist die Reihenfolge: Bestand auswerten, Rollen grob schneiden, Meldewege verabreden, und erst dann prüfen, was sich automatisieren lässt.
Wie fange ich in einem gewachsenen Bestand an?
Mit einer Bestandsaufnahme, die vier Fragen beantwortet: Welche Konten haben sich seit Monaten nicht angemeldet, welche Personen tragen Rechte aus mehreren früheren Aufgaben, welche Konten haben erhöhte Rechte, und welche Konten gehören keiner Person. Diese vier Listen sind in wenigen Tagen zu erzeugen und geben dir die Reihenfolge für alles Weitere vor, weil sie zeigen, wo Risiko und Aufwand am weitesten auseinanderliegen.

Quellen

Passt thematisch dazu

Wer zuerst die Grundlage sortieren will, findet bei die Begriffe rund um Identität, Authentifizierung und Autorisierung die kurze Fassung.

Hinter der Forderung, jeden einzelnen Zugriff erneut zu prüfen, steht die Annahme, dass kein Netz von sich aus vertrauenswürdig ist .

Persönlich für dich da

Deine Ansprechpartner

Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.

Yves Hoppe

Yves Hoppe

Weiterbildung & Beratung

Hilft dir, aus dem IT-Berufe-Programm den passenden Kurs für deinen Stand zu finden.

0800 71 20000 E-Mail
Norbert Jansen

Norbert Jansen

Beratung & Inhouse

Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.

0800 71 20000 E-Mail

Zugriffsregeln versteht man erst, wenn man sie an einem System durchsetzt

Bei cmt richtest du Identitäten, Rollen und Zugriffsbedingungen selbst ein, in der Microsoft-Welt genauso wie an einem quelloffenen Anmeldesystem, und siehst dabei, was eine Regel an anderer Stelle blockiert.

Alle Kurse und Termine Frage stellen

Passt dazu

Alle Themen zu IT-Berufe