Warum die Urlaubszeit zum unterschätzten Berechtigungsrisiko wird

Im Sommer läuft der Betrieb über Vertretungen weiter, während halb die Belegschaft im Urlaub ist.

Sicherheitstechnisch wird das selten zu Ende gedacht, und genau dann entsteht ein Berechtigungsdrift, der lange nach dem letzten Rückkehrtag im System weiterwirkt.

Der erste Fehler liegt in der Vergabe. Vertretungsrechte werden unter Zeitdruck als direkte Gruppenmitgliedschaft gesetzt oder per Access Cloning nach dem Vorbild eines Kollegen vergeben, womit nicht die nötige Berechtigung, sondern dessen gesamtes gewachsenes Entitlement-Profil übertragen wird. Da diese Grants keine Gültigkeitsdauer tragen, fehlt der automatische Entzug, und das Delta zwischen rollenbasiertem Soll und technischem Ist wächst. Parallel verliert die Rezertifizierung ihre Wirkung: Kalendergesteuerte Kampagnen laufen ins Leere, wenn Freigebende abwesend sind, und werden nach der Rückkehr pauschal bestätigt, auch dort, wo sie SoD-relevante oder privilegierte Zugriffe betreffen. Am gravierendsten ist die Offboarding-Lücke. Fehlt eine kontinuierliche Korrelation von HR-Stammdaten und Account-Bestand, bleibt der Austritt technisch unsichtbar: HR-seitig terminiert, im Zielsystem aber weiter aktiv, über AD, Entra ID und AWS IAM hinweg und inklusive der zurückbleibenden Service Accounts.

Der gemeinsame Nenner ist nicht der Urlaub, sondern eine Governance, die auf periodischen Snapshots und manuellen Einzelentscheidungen beruht, statt den Ist-Zustand kontinuierlich gegen das Soll zu validieren.

Worauf Unternehmen jetzt achten sollten:

• Zugriffe zeitgebunden und policy-basiert vergeben.Vertretungen gehören zeit-basiert mit einem klaren Start- und Ende-Datum vergeben, nicht als unbegrenzte Zuweisung von Rollen oder Individualberechtigungen oder als Kopie des Kollegen. Der Entzug erfolgt dann systemseitig zum Stichtag.
• Rezertifizierung risikobasiert führen.Statt einer Sammelkampagne im August braucht es fokussierte Access Reviews auf privilegierte und SoD-kritische Rollen und Entitlements, eine individuelle Rezertifizierungen bei Rückkehr und eine Sperre gegen pauschale Freigaben und Zuweisungen.
• Exit-Drift kontinuierlich detektieren.Ein permanenter Abgleich von HR-Leaver-Events gegen den realen Account-Bestand identifiziert Orphaned Accounts near-real-time und stößt Deaktivierung und Deprovisionierung an.
• Den Drift messbar machen.Identity Security Posture Management und Entitlement-Analytics machen die Abweichung zwischen Soll und Ist sichtbar, bevor sie im Audit auffällt.

Regulatorisch ist die Erwartung eindeutig: NIS2 verlangt ein belastbares Zugriffsmanagement, DORA und BAIT fordern im Finanzsektor eine deterministisch nachvollziehbare Zugriffslage. Keine dieser Vorgaben verträgt sich mit Rechten, die im Sommer unbemerkt entstehen und deren Drift niemand neutralisiert.

Am Ende zeigt die Urlaubszeit, ob Governance systemisch durchgesetzt ist oder nur funktioniert, solange alle an ihrem Platz sitzen. Wer den Soll-Ist-Abgleich kontinuierlich automatisiert betreibt, für den ist der Sommer ein Nicht-Ereignis.