Adminrechte für IT-Dienstleister sicher begrenzen

Adminrechte mit Grenzen: schematische Darstellung der beteiligten Identitäten und Schutzbereiche

Eine Anwendung funktioniert nicht, der Wartungstermin läuft und der externe IT-Dienstleister verlangt zusätzliche Administratorrechte. Im Alltag wirkt die Freigabe wie eine schnelle Lösung. Doch bevor jemand ein Konto in eine weitere Gruppe aufnimmt, muss klar sein: Welches System darf dieses Konto anschließend verändern, wo wird es verwendet und welche Schutzregeln gelten dort?

Aha-Moment

Die Frage lautet nicht nur, wer Administrator sein darf. Entscheidend ist auch, von welchem Gerät aus, für welche Aufgabe und wie lange.

Warum die schnelle Freigabe teuer werden kann

Eine weitreichende Berechtigung löst manchmal das sichtbare Problem, hinterlässt aber eine unsichtbare Abhängigkeit. Der Dienst läuft anschließend nur mit einem persönlichen Administratorkonto. Beim nächsten Kennwortwechsel, Mitarbeiterwechsel oder Umbau fällt er aus. Oder ein Zugang, der für eine Wartung gedacht war, bleibt dauerhaft nutzbar.

Ein sinnvoller Auftrag unterscheidet deshalb zwischen der Berechtigung einer Person und der Identität einer dauerhaft laufenden Anwendung. Der Dienstleister benötigt nachvollziehbaren Zugang für seine Arbeit. Der Dienst benötigt genau die Rechte, die seine technische Funktion voraussetzt. Beide Anforderungen sollten getrennt entschieden werden.

Was AD-Tiering für die Geschäftsführung bedeutet

Beim Tiering werden besonders schützenswerte Administrationsbereiche voneinander getrennt. Die Verwaltung der zentralen Identitäten erhält eine andere Vertrauensstellung als ein gewöhnlicher Arbeitsplatz. Ein Vorfall auf einem Endgerät soll nicht automatisch den Weg zur Kontrolle über die gesamte Umgebung öffnen. Microsoft ordnet AD-Tiering in ein umfassenderes Zugriffsmodell ein. Fachliche Grundlage: Microsoft AD-Tiering.

Für die Geschäftsführung ist dafür kein Auswendiglernen technischer Ebenen erforderlich. Sie sollte sich zeigen lassen, welche Zugänge besonders mächtig sind, wer sie verwenden darf und welche Systeme diese Zugänge berühren. Eine Zeichnung mit drei Kästen reicht nicht, wenn ein gemeinsames Wartungskonto anschließend überall eingesetzt wird.

Vier Fragen vor zusätzlichen Rechten

Frage	Brauchbare Antwort
Welche konkrete Aufgabe scheitert?	Ein reproduzierbarer Vorgang statt „wir brauchen alles“
Welche Rechte fehlen tatsächlich?	Benannte Systeme und Funktionen
Wie lange wird der Zugriff benötigt?	Befristung und zuständige Person
Wie wird die Änderung abgenommen?	Funktionstest, Sicherheitsprüfung und dokumentierter Rückweg

Gibt es keine klare Antwort, sollte zunächst die Ursache untersucht werden. Mehr Berechtigung ist kein Ersatz für eine Fehleranalyse. Umgekehrt darf ein Schutzkonzept nicht dazu führen, dass niemand einen produktiven Dienst im vereinbarten Notfall wiederherstellen kann.

Ein nachvollziehbarer Ablauf für Wartungsarbeiten

Vor dem Termin werden Auftrag, betroffene Systeme und Ansprechpartner festgehalten. Die ausführende Person bekommt einen passenden administrativen Zugang. Änderungen an Gruppen, Anmeldewegen oder Dienstidentitäten werden im Auftrag dokumentiert. Nach der Arbeit folgt die Prüfung: Funktioniert die Anwendung, bestehen unerwünschte Zusatzrechte und wurde der vorübergehende Zugriff wieder beendet?

Für kritische Systeme gehört ein Rückweg dazu. Wer kann die letzte Änderung zurücknehmen? Welche Person entscheidet, wenn die Anwendung zwar wieder läuft, dafür aber eine Schutzgrenze aufgehoben werden müsste? Solche Entscheidungen sollten nicht unter Zeitdruck unbemerkt beim Techniker landen.

Was Sie als Ergebnis verlangen können

Ein verwertbarer Bericht nennt den Umfang, die untersuchten Konten und die wesentlichen Abhängigkeiten. Er trennt bestätigte Befunde von offenen Fragen. Zu jeder empfohlenen Änderung gehören Zuständigkeit, Priorität und eine beschriebene Abnahme. Nicht untersuchte Bereiche dürfen nicht als sicher erscheinen.

Hilfreich ist eine kleine Liste der wichtigsten Zugänge: persönliche Administration, Dienstkonten, externe Wartung und Notfallzugang. Der Nutzen entsteht daraus, dass diese Liste im Betrieb gepflegt und nach Änderungen erneut geprüft wird.

Wie Hamburger IT-Service unterstützt

Wir unterstützen bei der Einordnung administrativer Zugänge und bei der Vorbereitung eines abgegrenzten Prüfauftrags. Ihre interne IT und vorhandene Dienstleister können dabei einbezogen werden. Ziel ist ein Vorgehen, das den Betrieb unterstützt und weitreichende Rechte nachvollziehbar begrenzt.

Unser IT-Audit für Unternehmen ordnet das Thema in die übrigen IT-Risiken ein. Wie mit verbleibenden Risiken umgegangen wird, erläutert IT-Risiken behandeln, akzeptieren oder übertragen.

Besprechen Sie Ihre administrativen Zugänge mit Hamburger IT-Service. Im ersten Gespräch klären wir, welche Frage untersucht werden soll und welcher Umfang dafür sinnvoll ist.

Fachliche Quellenprüfung: 25. September 2026. Ergänzende Grundlage: Microsoft zu Dienstkonten.