Zugänge im Shop entziehen: Offboarding und Rechteinventar

Ein Shop wächst über Zugänge. Für die Datenübernahme kommt ein Datenbankbenutzer dazu, für den Preisfeed ein API-Schlüssel, für die Fehlersuche ein SSH-Konto, für die Kampagne ein Backend-Login der Agentur. Jeder dieser Schritte hat einen Anlass, und jeder wird in dem Moment gebraucht, in dem er entsteht. Was regelmäßig fehlt, ist der Gegenschritt: der Zeitpunkt, an dem derselbe Zugang wieder verschwindet. Diese Schieflage ist der eigentliche Befund. Zugänge entstehen unter Zeitdruck und mit klarer Begründung, sie verschwinden unter keinem von beidem.

Die Größenordnung lässt sich beziffern. Der Auswertungsbestand des Verizon-Berichts umfasst mehr als 31.000 Sicherheitsvorfälle und mehr als 22.000 bestätigte Datenabflüsse bei Organisationen in 145 Ländern (Verizon DBIR 2026). 48 Prozent dieser Datenabflüsse hatten eine Beteiligung Dritter, ein Zuwachs von 60 Prozent gegenüber dem Vorjahresbestand (Verizon DBIR 2026). Im Handel liegt der Wert noch höher: 68 Prozent der dort ausgewerteten Datenabflüsse hatten einen Anteil Dritter, 58 Prozent einen menschlichen Anteil; der Branchenabschnitt umfasst 997 Vorfälle, davon 806 mit bestätigter Offenlegung (Verizon DBIR 2026).

Die deutsche Sicht passt dazu. In einer Befragung von 1.003 Unternehmen ab zehn Beschäftigten nennen 55 Prozent der geschädigten Unternehmen ein unzureichendes Identitäts- und Zugriffsmanagement als Grund dafür, dass ein Angriff überhaupt zum Schaden führte (Bitkom). Bezogen auf die Unternehmen, die Opfer von Datendiebstahl, Industriespionage oder Sabotage wurden, tauchen aktuelle oder ehemalige Beschäftigte als Tätergruppe mit 23 Prozent unabsichtlich und 19 Prozent vorsätzlich auf, Kunden und Lieferanten mit je 8 Prozent (Bitkom). Der Zugang eines Menschen, der einmal dazugehörte, ist damit kein Randfall, sondern eine der Hauptspuren.

Dazu kommt die Zeit. Lediglich 23 Prozent der ausgewerteten Drittorganisationen hatten eine fehlende oder unsauber gesetzte Mehrfaktor-Anmeldung auf ihren Cloud-Konten vollständig behoben; die Hälfte aller Befunde war innerhalb eines Monats erledigt (Verizon DBIR 2026). Bei schwachen Passwörtern und falsch gesetzten Berechtigungen vergingen bis zur Behebung der Hälfte aller Befunde fast acht Monate (Verizon DBIR 2026). Ein Rechteproblem ist erfahrungsgemäß kein Ereignis mit Datum, sondern ein Zustand mit langer Halbwertszeit.

Wer Zugänge über Namen führt, bekommt bei jedem Wechsel eine Suchaufgabe. Wer sie über Rollen führt, bekommt eine Streichung. Der Unterschied zeigt sich erst im Ernstfall: Eine Rolle hat einen Zweck, einen Umfang und eine verantwortliche Person im eigenen Haus, ein Name hat nichts davon. Deshalb steht in einem brauchbaren Inventar die Rolle in der Zeile und der Mensch in der Spalte – und deshalb ist der zweite Faktor an einer Rolle mit weitreichenden Rechten kein Luxus. Wie sich das im Shop-Backend umsetzen lässt, steht in der Absicherung des Shop-Administratorzugangs.

Der Grundsatz steht nicht zur Diskussion: Benutzendenkennungen und Berechtigungen dürfen nur aufgrund des tatsächlichen Bedarfs vergeben werden, und bei personellen Veränderungen müssen die nicht mehr benötigten wieder entfernt werden (BSI IT-Grundschutz-Kompendium 2023, ORP.4.A2). Damit dieser Entzug im Nachhinein sichtbar ist, gehört jede Änderung an Rechten in dieselbe Auswertung wie Anmeldungen und Fehler; wie das praktisch aussieht, beschreibt der Beitrag zu Log-Monitoring und Alarmierung.

Beim Wechsel eines Dienstleisters kommt zur technischen Seite eine rechtliche. Wer im Auftrag personenbezogene Daten verarbeitet, ist Auftragsverarbeiter, und der Vertrag dazu regelt ausdrücklich, was am Ende passiert. Die Verordnung formuliert das als Pflicht des Auftragsverarbeiters und gibt dem Verantwortlichen die Wahl zwischen Löschung und Rückgabe.

Derselbe Artikel verlangt, dass der Auftragsverarbeiter dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung zur Verfügung stellt und Überprüfungen ermöglicht (DSGVO, Artikel 28 Absatz 3 Buchstabe h). Und Artikel 32 verlangt ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen (DSGVO, Artikel 32 Absatz 1 Buchstabe d). Ein Rechteinventar mit Prüfdatum ist genau dieses Verfahren in lesbarer Form – und die Aufbewahrung der Sicherungen gehört mit dazu, wie der Beitrag zur datenschutzkonformen Aufbewahrung von Sicherungen zeigt.

Rezertifizierung heißt: Eine benannte Person bestätigt zu einem Stichtag, dass jeder Eintrag im Inventar noch gebraucht wird. Das ist kein Audit und dauert bei einem mittleren Shop selten länger als eine Stunde. Der Nutzen liegt darin, dass Zugänge damit ein Ablaufdatum bekommen, ohne dass jemand sie kündigen muss. Die Gegenprobe läuft verlässlicher über die Systeme selbst als über die Erinnerung der Beteiligten.

Drei Befehle, drei Befunde: ein Schlüssel aus dem Jahr 2023 ohne benannten Anlass, ein Datenbankbenutzer mit Zugriff von jeder Adresse und ein Webhook, der Bestelldaten an einen früheren Partner meldet. Keiner dieser drei Punkte taucht in der Benutzerliste des Backends auf. Der Termin dafür gehört in denselben Kalender wie die übrigen Wartungsfenster – und der ist zweimal im Jahr in Bewegung, wie der Beitrag zur Zeitumstellung mit Cronjobs und Zeitstempeln zeigt.