Das Whack-a-Mole bei Zugriffsrechten hört nie auf. Dafür gibt es einen Grund

Ich denke viel über das Whack-a-Mole-Problem bei Zugriffsrechten nach. Neue Mitarbeitende, neue Projekte, neue Dateien, neue Freigaben, und jemand unterbricht die Vererbung eines Ordners, ohne es zu merken. Das ist der Grund, warum es nie endet: Neues kommt schneller hinzu, als irgendjemand prüfen kann, was bereits vorhanden ist, sodass die Liste nie kürzer wird, egal wie oft man aufräumt.

Das Problem gibt es schon ewig, aber es hat sich verschärft. Eine überfreigegebene Datei zu finden, erforderte früher manuelle Sucharbeit, weshalb die meisten einfach jahrelang unbemerkt und unentdeckt herumlagen. Copilot und ähnliche Agenten reduzieren diese gesamte Suche auf eine einzige Frage, die in Sekunden beantwortet wird, für jeden, der sie stellt. KI schafft das Risiko nicht, aber sie vergrößert, was ohnehin da war.

Ich bin ehemaliger Ingenieur und beobachte gern, wie Softwareteams mit ähnlichen Problemen umgehen. Claude Mythos Preview erschien im April, und innerhalb eines Monats hatten Anthropic und seine Partner mehr als 10.000 Schwachstellen mit hohem oder kritischem Schweregrad in weit verbreiteter Software gefunden. Maintainer können das nicht wegpatchen. Jeden Fehler zu beheben, sobald er auftaucht, ist ein bisschen so, als wolle man jede Berechtigungsänderung im Blick behalten: Es hört nie auf. Deshalb versuchen kluge Teams nicht, jeden Fehler zu beheben. Stattdessen verlagern sie den riskantesten Code, mit dem sie realistischerweise nicht Schritt halten können, auf gehärtete, isolierte Plattformen, sodass eine ganze Reihe von Schwachstellen auf einen Schlag keine Rolle mehr spielt.

Ich glaube, dieselbe Idee gilt für Access Governance.

Verlagern Sie die Daten, statt sie nur besser zu bewachen

Eine allgemeine Dateifreigabe ist der schwächste Ort für sensible Daten: Berechtigungen werden unvorhersehbar vererbt, Kennzeichnung oder DLP sind standardmäßig selten aktiviert, und die Audit-Spur ist dünn. Eine versäumte Bereinigung legt alles offen, was dahinter liegt. Häufigere Berechtigungsprüfungen lassen sich kaum skalieren. Die Lösung besteht darin, sensible Daten aus dem am schwersten zu steuernden Bereich herauszuholen.

Bestimmte Kategorien sensibler Daten haben bereits ein besseres Zuhause, meist ein System, das Sie ohnehin besitzen. Finanzdaten gehören in die Finanzplattform, nicht auf ein Netzlaufwerk. Gesundheitsdaten gehören in das klinische oder Abrechnungssystem, das Ihr Compliance-Programm bereits regelt. Nichts davon ist neu, aber es verdient, als die eigentliche Lösung behandelt zu werden, weil es die Daten aus dem Haufen entfernt, den Sie sonst ewig erneut prüfen müssten.

Allgemeine personenbezogene Daten, DSGVO-relevantes Material und alles, was in einer alten Freigabe liegt, weil niemand dafür ein richtiges Zuhause geschaffen hat: Für diese Daten gibt es kein offensichtliches dediziertes System. Dafür ist SharePoint tatsächlich eine bessere Plattform, nicht nur eine aufgeräumtere. Eine Vertraulichkeitsbezeichnung wandert mit der Datei selbst, sodass der Schutz nicht verschwindet, sobald jemand sie herunterlädt oder weiterleitet, was eine flache Dateifreigabe von Haus aus nicht leistet. Bezeichnungen können außerdem identitätsbasierten Zugriff auslösen: Eine Website mit vertraulichem Material kann MFA verlangen, sobald jemand versucht, sie zu öffnen, statt jedem zu vertrauen, der eine Anmeldung besitzt. Und Restricted Access Control erlaubt es, die tatsächliche Zielgruppe einer Website sofort zu begrenzen und den über die Jahre angewachsenen Freigabe-Wildwuchs zu überschreiben, statt Berechtigungen Gruppe für Gruppe zu entwirren. Letzteres ist besonders für Copilot und ähnliche Agenten wichtig: Sie zeigen nur an, was die fragende Person ohnehin erreichen darf, sodass eine kleinere tatsächliche Zielgruppe auch weniger bedeutet, was ein KI-Agent finden kann. Netwrix 1Secure zeigt Ihnen schon heute Ihre Copilot-Gefährdung.

Dieselbe Logik gilt für Dauerzugriffe

Das andere Berechtigungsproblem, das sich ständig anhäuft, ist die Frage, wer erhöhte Zugriffsrechte hält, die er kaum nutzt. Diese Liste zu prüfen, ist dasselbe endlose Whack-a-Mole wie die Prüfung jeder Dateiberechtigung, nur mit höherem Einsatz. Privilegierte Dienstkonten waren wegen ihres großen Schadensradius schon immer ein Ziel, aber KI-Agenten-Identitäten heben das auf eine andere Stufe, weil sie autonom handeln können. Die nachhaltigere Lösung ist Just-in-Time-Berechtigungserhöhung: Zugriff für die Aufgabe gewähren und ablaufen lassen, statt ihn dauerhaft erreichbar zu halten. Dafür gibt es spezielle Tools für privilegierten Zugriff, und man sollte sie als Infrastruktur behandeln, nicht als Richtlinie, an deren Durchsetzung jemand denken muss.

Wo es dringend wird

Die Datenseite funktioniert nicht, wenn Sie nicht zuerst wissen, wo Ihre sensiblen Daten tatsächlich liegen, und genau diesen Schritt überspringen die meisten Teams.

Dauerzugriffe lassen sich heute beheben; das wartet auf nichts. Aber auf der Datenseite können Sie nicht neu gestalten, was Sie nicht sehen. Finden Sie personenbezogene Daten auf einer Dateifreigabe, ist das Ihr Signal, sie an einen dafür gebauten Ort zu verlagern, etwa SharePoint. Zu wissen, was Sie haben und wo es liegt, ist der Ausgangspunkt, um sensible Daten von Plattformen zu holen, die sie nicht schützen können. Genau hier kommt Netwrix 1Secure ins Spiel.