Berechtigungskonzept Exchange erstellen: Vorlage in sechs Schritten

Fast jede gewachsene Microsoft 365 Umgebung hat dasselbe Problem: Rechte sind über Jahre einzeln vergeben worden, und niemand kann heute noch sagen, warum eine bestimmte Person Zugriff auf ein bestimmtes Postfach hat. Bei einer Prüfung wird das zur Feststellung, bei einem Personalwechsel zum Risiko.

Die Antwort darauf ist ein Berechtigungskonzept — ein Dokument, das festlegt, wer worauf zugreift und wer das entscheidet. Dieser Beitrag beschreibt, wie ein solches Konzept entsteht und wie es aufgebaut sein muss, damit es nach zwei Jahren noch stimmt.

1. Rollen erfassen, nicht Personen

Der erste Schritt ist eine Liste der Rollen im Unternehmen, nicht der Mitarbeiter. Eine Rolle ist eine Funktion mit einem klar beschreibbaren Informationsbedarf: Buchhaltung, Vertrieb Innendienst, Produktionsleitung, Geschäftsführung.

Für jede Rolle wird eine Frage beantwortet: Welche Daten braucht diese Funktion, um zu arbeiten? Nicht: welche wären praktisch. Der Unterschied entscheidet darüber, ob das Konzept später Rechte begrenzt oder nur den Ist-Zustand beschreibt.

• Rollen aus dem Organigramm ableiten, nicht aus der Benutzerliste
• Je Rolle drei bis fünf Bereiche benennen, auf die zugegriffen wird
• Sonderfälle als Sonderfälle festhalten, nicht als neue Rolle
• Bei Rollen, die nur eine Person betreffen, prüfen ob sie wirklich eigenständig sind

2. Gruppen benennen

Jede Rolle wird zu einer Gruppe. Der Name der Gruppe muss ohne Nachfragen erkennbar machen, was sie ist — sonst entstehen innerhalb eines Jahres Gruppen mit ähnlichem Namen und unterschiedlichem Inhalt.

Eine Konvention, die sich bewährt hat: Präfix für den Typ, dann Bereich, dann Rechtestufe. Etwa ROL-Buchhaltung-Lesen und ROL-Buchhaltung-Bearbeiten. Die Form ist zweitrangig; entscheidend ist, dass es überhaupt eine gibt und sie schriftlich festgehalten wird.

• Ein Präfix, das Rollengruppen von anderen Gruppen unterscheidet
• Keine Abkürzungen, die nur der Ersteller versteht
• Keine Personennamen im Gruppennamen
• Keine Jahreszahlen, außer bei befristeten Projektgruppen

3. Rollenbasierte Zugriffskontrolle Microsoft 365: Rechte an Rollen hängen

Rollenbasierte Zugriffskontrolle bedeutet: Ein Recht wird niemals einer Person, sondern immer einer Gruppe gegeben. Wechselt jemand die Position, ändert sich die Gruppenzugehörigkeit — nicht eine Liste einzelner Freigaben, die niemand vollständig kennt.

Das gilt für alle vier Ebenen einer Microsoft 365 Umgebung:

• Postfach-Berechtigungen: Zugriff auf fremde Postfächer, Stellvertretungen und Kalenderfreigaben über Gruppen, nicht einzeln
• SharePoint und Teams: Websiteberechtigungen über Gruppen; Direktfreigaben nur als dokumentierte Ausnahme
• Entra ID: administrative Rollen getrennt von Alltagskonten, so wenige globale Administratoren wie möglich
• Anwendungen: Zugriff auf Fachanwendungen über dieselben Gruppen, damit ein Austritt an einer Stelle wirkt

Details zu den ersten drei Ebenen stehen im Beitrag zu Berechtigungen in Microsoft 365 und, für die administrative Seite, im Beitrag zu MFA und Conditional Access.

4. Verantwortliche benennen

Ein Konzept ohne Zuständige ist eine Beschreibung. Jeder Bereich — jede SharePoint-Website, jedes Team, jedes Shared Mailbox — braucht mindestens zwei benannte Verantwortliche, die über Aufnahme und Entfernung entscheiden.

Zwei, nicht einer: Bei einer Person ist der Bereich während jedes Urlaubs führungslos und nach jedem Austritt verwaist. Die IT ist dabei nicht der Verantwortliche, sondern die ausführende Stelle. Wer entscheidet und wer umsetzt, sind zwei verschiedene Rollen.

5. Ein- und Austritt als Ablauf festlegen

Die häufigste Feststellung bei einer Prüfung ist ein aktives Konto einer Person, die das Unternehmen verlassen hat. Der Grund ist fast nie Nachlässigkeit, sondern ein fehlender Ablauf: Niemand ist verpflichtet, die IT zu informieren.

Eintritt

• Rolle festlegen, bevor das Konto angelegt wird
• Gruppenzugehörigkeit ergibt sich aus der Rolle — keine Einzelfreigaben zum Start
• Lizenz und Postfachtyp mit der Rolle dokumentieren

Austritt

• Konto am letzten Arbeitstag deaktivieren, nicht löschen
• Postfach in ein Shared Mailbox umwandeln oder einer Vertretung zuweisen
• Gruppenzugehörigkeiten entfernen und protokollieren
• Nach der gesetzlichen Aufbewahrungsfrist endgültig löschen

Entscheidend ist, dass dieser Ablauf zwischen Personalstelle und IT abgestimmt ist — schriftlich, mit einer auslösenden Meldung.

6. Halbjährlich prüfen

Ein Berechtigungskonzept veraltet leise. Ein fester Termin zweimal im Jahr genügt in den meisten Unternehmen, sofern eine Person zuständig ist und die Prüfung eine kurze Checkliste hat:

• Aktive Konten ohne zugeordnete Person
• Direktberechtigungen, die neben den Gruppen entstanden sind
• Gruppen ohne Verantwortliche oder ohne Mitglieder
• Externe Gäste ohne laufendes Projekt
• Personen mit administrativen Rollen: noch aktuell?

Das Ergebnis ist eine Liste mit Entscheidungen, nicht ein Bericht. Was nicht begründet werden kann, wird entfernt.

Wie umfangreich das Dokument sein sollte

Ein Berechtigungskonzept für ein Unternehmen mit 30 bis 100 Mitarbeitern passt auf drei bis fünf Seiten: Rollentabelle, Namenskonvention, Verantwortlichkeitsmatrix, Ablauf für Ein- und Austritt, Prüfcheckliste. Alles darüber wird beim ersten Personalwechsel nicht mehr fortgeschrieben.

Die Vollständigkeit liegt nicht im Umfang, sondern darin, dass jede Frage eine benannte Antwort hat: Wer entscheidet, wer setzt um, wann wird geprüft.

Was bleibt

Rollen statt Personen, Gruppen mit Konvention, Rechte an Gruppen, zwei Verantwortliche je Bereich, ein abgestimmter Ablauf für Ein- und Austritt, ein Prüftermin im Kalender. Sechs Punkte — und die Erkenntnis, dass ein Konzept, das niemand pflegt, schlechter ist als keines, weil es Sicherheit suggeriert, die nicht besteht.