Tim Lipphardt
Head of Consulting
Alle Blogartikel
Rezertifizierung von Berechtigungen: Warum Abnicken 2026 nicht mehr reicht
Ohne Kontext wird nur abgenickt
Wer lange Berechtigungslisten ohne Zusatzinfos bestätigen soll, prüft irgendwann nicht mehr wirklich.
Risikobasiert statt Gießkanne
Moderne Rezertifizierung lenkt die Aufmerksamkeit dorthin, wo das Risiko sitzt, und entlastet beim Unkritischen.
SoD gilt jetzt auch für Maschinen
Service Accounts und KI Agenten müssen in dieselben Regeln und Reviews wie Mitarbeitende.
Einstieg
Kennst du das? Die Liste, die keiner mehr liest
Es ist wieder Quartalsende. Eine Führungskraft bekommt eine Excel mit hunderten Einzelberechtigungen auf den Tisch und soll pro Mitarbeitendem entscheiden, was bleibt und was weg kann. Keine Info dazu, wofür ein Recht zuletzt genutzt wurde. Kein Hinweis, ob da vielleicht ein kritischer Interessenkonflikt drinsteckt.
Was passiert also? Alles wird bestätigt. Häkchen dran, Kampagne durch, weiter im Text.
Fachlich nennt man das Rubber Stamping. Und es ist einer der Hauptgründe, warum Rezertifizierung in vielen Unternehmen zwar formal stattfindet, das tatsächliche Zugriffsrisiko aber kaum sinkt.
Genau darum geht es in diesem Beitrag. Wir schauen uns an, was Rezertifizierung eigentlich ist, warum das klassische Modell an seine Grenzen kommt und wie eine zeitgemäße Rezertifizierung aussieht. Inklusive dem Thema, das 2026 richtig Fahrt aufnimmt: maschinelle Identitäten.
Grundlagen
Was Rezertifizierung und SoD überhaupt sind
Kurz die zwei Begriffe, bevor wir tiefer einsteigen.
Segregation of Duties (SoD) trennt kritische Aufgaben so, dass keine einzelne Person einen sensiblen Vorgang allein anstoßen, ausführen und danach verschleiern kann. Klassisches Beispiel: Wer eine Rechnung erfassen darf, sollte sie nicht auch selbst freigeben können.
Rezertifizierung ist die regelmäßige Kontrolle, ob vergebene Rechte noch zur aktuellen Rolle passen. Also die Frage: Braucht diese Person das Recht heute überhaupt noch, oder ist es ein Überbleibsel aus einem alten Projekt?
Beides gehört fest zusammen und ist Teil einer sauberen Identity Governance. Und ein durchdachtes Rollenmodell ist dabei die Basis, damit die Prüfung überhaupt sinnvoll funktioniert.
Warum die Regulatorik das verlangt
Der Druck kommt nicht nur aus dem eigenen Sicherheitsanspruch. Er steht auch schwarz auf weiß in den Vorgaben:
- ISO 27001:2022, Annex A 5.3: verlangt ausdrücklich die Trennung von Aufgaben.
- ISO 27001:2022, Annex A 5.18: fordert, dass Zugriffsrechte regelmäßig überprüft werden, für privilegierte Konten häufiger.
- DORA, Artikel 9: schreibt need to know, least privilege und Aufgabentrennung fest, inklusive wiederkehrender Zugriffsüberprüfungen.
Kurz gesagt: An regelmäßiger Rezertifizierung kommst du nicht vorbei. Die Frage ist nur, ob du sie ernsthaft machst oder nur formal abhakst.
Problem
Warum das klassische Modell an seine Grenzen kommt
Das Problem am alten Vorgehen ist selten böser Wille. Es ist schlicht Überforderung.
Rubber Stamping als Normalzustand. Ohne die Info, wofür ein Recht zuletzt gebraucht wurde oder ob es eine SoD Regel verletzt, kann ein Reviewer gar nicht fundiert entscheiden. Also wird im Zweifel alles bestätigt, damit niemandem der Zugriff fehlt.
Ermüdung durch Wiederholung. Wer jedes Quartal fast identische Listen abzeichnet, obwohl sich kaum etwas geändert hat, schaut irgendwann nicht mehr genau hin. Die Kampagne wird abgearbeitet, nicht hinterfragt.
Compliance erfüllt, Risiko bleibt. Damit entsteht ein bekanntes Muster: Die Anforderung gilt formal als erfüllt, das echte Zugriffsrisiko sinkt aber kaum. Diese Lücke zwischen Dokumentation und Wirkung ist das eigentliche Problem. Und sie wird selten offen angesprochen.
Unterstützung gefällig?
Wenn du wissen willst, wo deine Rezertifizierung heute steht und wo der Hebel am größten ist, dann sprich mit uns. Wir schauen gemeinsam drauf.
2026
Der Faktor, der 2026 dazukommt: maschinelle Identitäten
Bisher drehte sich Rezertifizierung fast ausschließlich um Menschen. Das ändert sich gerade grundlegend.
Service Accounts, Automatisierungen und KI Agenten übernehmen immer mehr Aufgaben in Finanzprozessen, HR und Betrieb. Oft mit dauerhaften und weitreichenden Rechten. Ein Beispiel: Stell dir vor, ein KI Agent kann Rechnungen sowohl erfassen als auch freigeben. Das ist derselbe Interessenkonflikt wie bei einem Menschen, nur deutlich schwerer sichtbar.
Non Human Identities gehören deshalb in dieselben SoD Regeln und Reviews wie deine Mitarbeitenden.
Policies prüfen statt Einzelfälle
Bei tausenden maschinellen Identitäten wird die Einzelfallprüfung schnell unpraktikabel. Niemand zertifiziert manuell jeden einzelnen Agenten. Der handhabbare Weg führt weg von der Prüfung einzelner Identitäten hin zur Zertifizierung der zugrunde liegenden Policies.
Wichtig dabei: Jeder maschinellen Identität muss eine verantwortliche Person zugeordnet sein. So bleibt die Kontrolle machbar, auch wenn die Zahl der Identitäten weiter steigt.
Lösung
So sieht zeitgemäße Rezertifizierung aus
Der Weg raus aus dem Abnicken führt über vier Verschiebungen. Das Gute daran: Du kannst sie einzeln einführen, und sie bauen aufeinander auf.
- Risikobasiert statt flächendeckend. Privilegierte Rollen und sensible Systeme werden intensiv geprüft, unkritische Zugriffe mit geringem Aufwand durchgewinkt.
- Angereicherte Entscheidungen. Reviewer sehen Kontext: letzte Nutzung, mögliche SoD Konflikte und den Vergleich mit ähnlichen Rollen. Analysten wie KuppingerCole beschreiben diesen Wandel in ihrer Session Modernize Access Recertification.
- Geschlossener Kreis. Eine Entscheidung zieht direkt die passende Konsequenz nach sich. Also automatischer Entzug statt liegen gebliebenem Ticket.
- Mensch und Maschine in einem Regelwerk. SoD Prüfungen gelten für alle Identitäten, egal ob Mensch, Service Account oder Agent.
Unser Expertenrat
Unsere Empfehlung bei amiconsult
Nach unserer Erfahrung scheitert eine Modernisierung selten am Tool, sondern am Fundament. Wer Rollen, Rechte und Policies nicht sauber im Griff hat, automatisiert am Ende nur das bestehende Durcheinander. Garbage in, garbage out. Deshalb setzen wir zuerst an der Struktur an und dann an der Technik.
Rezertifizierung greift eng ineinander mit Rollenmodell, Lifecycle und dem Schutz privilegierter Konten. Wie wir das im Workforce IAM zusammenführen und beim Privileged Access Management absichern, zeigen wir dir gern anhand deiner eigenen Umgebung. Welche Werkzeuge dafür sinnvoll sind, betrachten wir herstellerneutral in unserer Technologieübersicht.
