Kunde fragt, wie wir den Zugriff von Mitarbeitern entziehen, die weg sind

Entzug des Zugriffs nach Beendigung des Dienstverhältnisses

Diese Frage prüft, ob der Offboarding-Prozess lückenlos ist: Wird der Zugriff eines ausgeschiedenen Mitarbeiters wirklich gesperrt, und geschieht dies schnell genug? Der Kunde möchte keine Beschreibung des Verfahrens auf dem Papier, sondern einen Beleg dafür, dass es auch FUNKTIONIERT — dass keine Konten nach dem Ausscheiden "hängen bleiben". Dies fällt unter der Zugangsrichtlinie und der Verwaltung von Unternehmensressourcen, insbesondere den Teil, der sich mit der Beendigung von Zugriffsrechten befasst.

Ein konkreter Beleg hierfür ist eine Offboarding-Checkliste oder ein Offboarding-Verfahren, das festlegt, WELCHE Systeme abgeschaltet werden: E-Mail, VPN, freigegebene Laufwerke, SaaS-Anwendungen, Gebäudezugang und eventuell API-Schlüssel oder Service-Logins, die auf den Namen dieses Mitarbeiters liefen. Ein stärkerer Beleg ist ein Protokoll oder eine Ticket-Übersicht, aus der hervorgeht, dass dies auch innerhalb einer festgelegten Frist geschieht, etwa am selben Tag oder innerhalb von 24 Stunden. Falls es regelmäßige Kontoüberprüfungen gibt — eine vierteljährliche Überprüfung, die verwaiste Konten aufspürt — ist das eine gute Ergänzung, und diese Überprüfung gehört auch zu der regelmäßigen Prüfung von Sicherheitsmaßnahmen. Fehlt ein formales Verfahren, dann ist "nein" die ehrliche Antwort; eine Zusicherung, dass es "meistens funktioniert", ist keine fundierte Antwort.

Wo dies unter fällt: Artikel 21 Absatz 2 und Anlage A

Zugriffskontrolle ist mit Namen in Artikel 21 Absatz 2 der NIS2-Richtlinie als eine der zehn erforderlichen Maßnahmen aufgeführt, und das ist genau die Kategorie, unter die diese Frage fällt — nicht separat als "Offboarding" benannt, sondern als Teil der Zugriffskontrolle im weiteren Sinne. In ISO/IEC 27001 findet dies spezifischer in den Kontrollmaßnahmen von Annex A wieder, wobei der Entzug von Zugriffsrechten bei Beendigung des Dienstverhältnisses eine eigene Kontrolle ist, unabhängig von der allgemeinen Zugriffsvergabe. Für Stellen, die unter das Cybersicherheitsgesetz fallen, sobald dieses in Kraft tritt, gilt die gleiche Einteilung wie in der Richtlinie.