Niemand weiß, wer worauf zugreift.
Die Gruppenmitgliedschaften sind über Jahre gewachsen und bis zu vier Ebenen tief verschachtelt. Auf dem Fileserver gibt es außerdem Einzelberechtigungen, die nie dokumentiert wurden.
Klare Berechtigungen, sauber dokumentiert
Wer darf was?Und können Sie es belegen?
In den meisten gewachsenen Umgebungen kann diese Frage niemand vollständig beantworten. Das liegt selten an schlechter Arbeit. Über die Jahre sammeln sich durch Personalwechsel, Projekte und Ausnahmen Berechtigungen an, die nie jemand zurückgenommen hat. Wir räumen das auf, herstellerunabhängig und nachvollziehbar, und dokumentieren es so, dass Sie es einem Prüfer vorlegen können.
Wie es typischerweise aussieht
Ausgeschiedene Mitarbeiter haben noch Zugriff.
Das AD-Konto ist zwar deaktiviert, der Zugang zur Branchensoftware, zum Lieferantenportal und zum gemeinsamen Postfach besteht aber weiter.
Das Onboarding dauert Tage und läuft jedes Mal anders.
Niemand hat aufgeschrieben, was ein Vertriebsmitarbeiter eigentlich braucht. Deshalb werden die Rechte eines Kollegen kopiert, samt seiner Altlasten.
Eine Rezertifizierung findet nicht statt.
Oder sie läuft einmal im Jahr über eine Excel-Liste mit 400 Zeilen kryptischer Gruppennamen, die Abteilungsleiter ungelesen abzeichnen.
MFA ist eingeführt, hat aber Lücken.
Es gibt Ausnahmen für „die Geschäftsführung“, für Altanwendungen und für den Außendienst. Jede dieser Ausnahmen ist ein offener Zugang.
Der Prüfer fragt, und es wird hektisch.
NIS2, ISO 27001, TISAX und GxP verlangen eine belegte Zugriffskontrolle. Nachweisen lässt sich aber nur, was strukturiert erfasst ist.
Vier Bausteine
Berechtigungsanalyse
Wir erheben den Ist-Zustand: wer wo Zugriff hat, auf welchem Weg, seit wann und mit wessen Genehmigung. Sie erhalten einen Bericht, der die Risiken nach Dringlichkeit ordnet, statt einer Excel-Tabelle mit 8.000 Zeilen.
Berechtigungskonzept
Wir arbeiten mit Rollen statt mit Einzelfällen. Dazu legen wir fest, welche Funktion im Unternehmen welchen Zugriff braucht, und bilden das technisch ab. Auf diesem Konzept baut alles Weitere auf, denn wer ohne Konzept automatisiert, automatisiert nur das Durcheinander.
Entra ID, Conditional Access, Intune
Statt einer pauschalen Freigabe entscheidet der bedingte Zugriff anhand von Person, Standort, Gerät und Risikobewertung. Wir härten die Microsoft-Plattform und schließen die Ausnahmen, mit denen sich MFA umgehen lässt.
Prozesse und Tooling
Wir machen Ein- und Austritte zu einem festgelegten Ablauf, richten eine Rezertifizierung ein, die Fachbereiche tatsächlich durchführen können, und führen dort, wo es sich rechnet, ein IAM-Tool zur Automatisierung ein. Wir kennen die gängigen Lösungen am Markt und wählen nach Ihrer Umgebung aus. Partnerprovisionen spielen dabei keine Rolle.
Wie ein Projekt läuft
- 01
Erstgespräch (20 Minuten)
Wir hören zu und sagen Ihnen offen, ob wir zu Ihnen passen.
- 02
Assessment
Wir nehmen den Bestand auf und liefern einen schriftlichen Bericht mit priorisierten Maßnahmen. Das Assessment hat einen Festpreis, der auf das Folgeprojekt angerechnet wird.
- 03
Konzept
Wir erarbeiten Rollenmodell, Zielbild und einen Umsetzungsplan mit Aufwandsschätzung.
- 04
Umsetzung
Wir setzen in Stufen um, abgestimmt mit dem Fachbereich und laufend dokumentiert.
- 05
Übergabe
Die Dokumentation gehört Ihnen, sodass Sie uns jederzeit durch einen anderen Dienstleister ersetzen könnten.
Den letzten Punkt meinen wir ernst: Wir bauen bewusst so, dass Sie nicht von uns abhängig sind. Wer als Dienstleister auf Abhängigkeit setzen muss, hat kein gutes Angebot.
Was das kostet
| Stundensatz Identity & Access Management | 140 € / h |
| Beratung und Projektleitung | 165 € / h |
| Security-Assessment (Berechtigungsanalyse, Entra-Konfiguration, NIS2-Gap-Analyse) | ab 6.900 € |
Typische Projektgröße: Ein Berechtigungsprojekt für 100 bis 250 Anwender kostet ca. 15.000 €, einschließlich Aufnahme, Konzept und Umsetzung.
Den größten Einfluss hat der Zustand Ihrer Dokumentation: Wo nachvollziehbar ist, wer was warum darf, geht die Aufnahme schnell. Außerdem zählt, wie viele Systeme angebunden werden und ob am Ende ein Tool nötig ist. Nach dem Assessment steht der Preis fest, und die Kosten des Assessments rechnen wir an.
Der Preis hängt vor allem von der Zahl der Systeme und Fachbereiche ab, vom Zustand der Dokumentation und davon, ob ein Tool eingeführt wird. Die Kosten des Assessments werden auf ein Folgeprojekt angerechnet.
Warum wir
Wir bringen zehn Jahre Projektleitung in der Pharmaindustrie, bei Automobilzulieferern, im produzierenden Gewerbe und im Bankenumfeld mit. Dazu gehören Berechtigungsprojekte, Dienstleisterwechsel, die Einführung und Ablösung von Tools sowie Neustrukturierungen.
Logistik, international · 10.000+ Anwender
Ablösung der bestehenden IAM-Struktur und Einführung einer neuen Lösung gemeinsam mit einem beauftragten Dienstleister. Wir haben beraten, das Projekt gesteuert, implementiert und die Prozesse zwischen Endkunde und Dienstleister aufgebaut.
Ergebnis: Der Helpdesk arbeitet schneller, weil die Servicemitarbeiter erweiterte Berechtigungen erhalten haben. Außerdem wurden die Identitätsprozesse automatisiert und die HR-Stammdaten als Datengrundlage bereinigt.
Industriezulieferer, international · 2.000 Anwender
Einführung einer IAM-Lösung bei einem international tätigen Industriezulieferer, einem Familienunternehmen. Dazu gehörten die Neuordnung der Dateiablagen und eine Passwortrücksetzung, die Anwender selbst durchführen können.
Ergebnis: Der Support ist entlastet: Anwender setzen ihr Passwort selbst zurück, und die Passwort-Tickets sind von knapp 300 auf 10 pro Woche gesunken.
Beratungsprojekte dieser Art gehören in vielen Bundesländern zu den geförderten Kategorien, typischerweise mit 50 % des Beratungshonorars. Unsere Projektschritte decken sich mit dem, was die Programme fördern: Ist-Analyse, Soll-Konzeption, Software-Auswahl und Begleitung der Implementierung.
Entscheidend ist die Reihenfolge: erst das Angebot einholen, dann den Antrag stellen, den Bescheid abwarten und erst danach beauftragen. Wer vorher startet, verliert den Anspruch. In der Praxis ist das der häufigste und teuerste Fehler.
Mehr zu geförderter IT-BeratungFAQ
Häufige Fragen
Arbeiten Sie mit einem bestimmten IAM-Tool?
Nein. Wir kennen die gängigen Lösungen am Markt und wählen nach Ihrer Umgebung aus. Wir sind an keinen Hersteller gebunden und erhalten keine Provisionen. Oft brauchen Sie zunächst gar kein Tool, sondern ein Konzept.
Brauchen wir überhaupt ein IAM-Tool?
Unterhalb von etwa 150 Anwendern selten. Bis zu dieser Größe erreichen Sie mit Entra ID, sauberen Gruppen und festgelegten Prozessen sehr viel. Ein Tool automatisiert nur, was vorher schon geordnet ist, Ordnung schafft es nicht von selbst.
Wie lange dauert ein Berechtigungsprojekt?
Das Assessment dauert zwei bis drei Wochen einschließlich Bericht, das Konzept je nach Größe vier bis acht Wochen. Die Umsetzung läuft in Stufen über mehrere Monate, damit der Betrieb weitergehen kann.
Wir haben schon MFA. Reicht das nicht?
Nein, denn MFA schützt die Anmeldung und regelt keine Berechtigungen. Wenn ein Konto zu viel darf, ändert MFA daran nichts. Es sichert lediglich den Zugang zu diesen zu weit gefassten Rechten besser ab.
Was hat das mit NIS2 zu tun?
NIS2 verlangt eine Zugriffskontrolle, die sich belegen lässt. Ohne dokumentiertes Rollenmodell und nachvollziehbare Vergabe ist dieser Nachweis nicht möglich. Damit wird Berechtigungsmanagement zu einer Compliance-Frage.
Übernehmen Sie auch den Betrieb danach?
Ja, wenn Sie das möchten. Voraussetzung ist es aber nicht, denn wir bauen so, dass Ihre interne IT selbst weiterarbeiten kann.
Identity & Access Management
Sprechen wir über Ihre Berechtigungen
Schildern Sie uns in 20 Minuten Ihre Situation. Wir sagen Ihnen offen, ob und wie wir helfen können, und auch, wenn wir nicht die Richtigen dafür sind.