Permission FOMO: Warum Überberechtigungen mit guten Absichten beginnen

Von Mirko Peters · 2026-08-28

Willkommen zurück am digitalen Arbeitsplatz. Wenn Sie schon einmal dafür verantwortlich waren, herauszufinden, wer in Ihrer Organisation worauf zugreifen darf, kennen Sie dieses ungute Gefühl im…

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück am digitalen Arbeitsplatz. Wenn Sie schon einmal dafür verantwortlich waren, festzulegen, wer in Ihrer Organisation worauf zugreifen darf, kennen Sie dieses ungute Gefühl in der Magengegend. Heute beleuchten wir die psychologischen Fallen der Cloud-Administration, bei denen Bequemlichkeit über Sicherheit siegt, und warum sich der Kampf um das Prinzip der minimalen Berechtigungen lohnt. Dieser Beitrag vertieft unsere aktuelle Podcast-Folge SC-900 Exam Prep 3/8: Microsoft Entra Roles Explained. Falls Sie diese Folge noch nicht gehört haben, holen Sie das nach der Lektüre unbedingt nach!

Warum wir uns damit befassen

Seien wir ehrlich: Niemand möchte absichtlich Sicherheitsalbträume erzeugen. Die meisten Überberechtigungen entstehen aus den besten Absichten. Wir alle kennen hektische Montagmorgen. Sie wollen Ihr Team stärken, Hindernisse beseitigen und die Produktivität hochhalten. Dabei geraten wir jedoch häufig in die Falle von Permission FOMO: die Angst, dass jemand später feststeckt, wenn wir jetzt nicht maximale Zugriffsrechte vergeben.

Der Weg zu Sicherheitsvorfällen ist mit bequemen Entscheidungen gepflastert. Die schnelle Lösung, jemanden einfach „zum Administrator zu machen“, schafft Schwachstellen, die Ihre Organisation jahrelang verfolgen können. Microsoft Entra-Rollen wurden genau dafür entwickelt, festzulegen, was Benutzer tun dürfen, und sind ein zentraler Baustein für die Absicherung Ihrer Ressourcen. Sie korrekt einzusetzen ist nicht nur eine bewährte Methode, sondern das digitale Immunsystem Ihrer Organisation.

Integrierte Rollen vs. benutzerdefinierte Rollen: Das IKEA-Möbelprinzip der Zugriffsverwaltung

Haben Sie schon einmal IKEA-Möbel gekauft? Manche Teile passen perfekt in Ihre Wohnung, andere erfordern eine kleine Anpassung oder lassen Sie mit Ersatzteilen zurück und der Frage, wohin sie gehören. Microsoft Entra-Rollen funktionieren genau nach diesem Prinzip.

Integrierte Rollen sind wie die fertig montierbaren Bücherregale. Sie funktionieren für die meisten üblichen Situationen direkt nach dem Auspacken. Microsoft stellt mehrere vorgefertigte Rollen bereit, die gängige Zugriffsanforderungen abdecken, etwa den Benutzeradministrator, der Konten verwalten und Kennwörter zurücksetzen kann, den Anwendungsadministrator, der die Apps Ihrer Organisation verwaltet, ohne uneingeschränkte Kontrolle zu besitzen, und den Generalschlüssel unter ihnen, den globalen Administrator. Diese Optionen eignen sich hervorragend für Standardanforderungen. Doch was passiert, wenn Standard nicht ausreicht?

Hier kommen benutzerdefinierte Rollen ins Spiel. Sie gleichen maßgefertigten Möbeln, die exakt für Ihren eigenwillig geschnittenen digitalen Arbeitsplatz entworfen wurden. Soll Ihr IT-Techniker Kennwörter zurücksetzen, aber vollständig von Systemkonfigurationen fernbleiben? Mit benutzerdefinierten Rollen lässt sich dies präzise steuern. Der Haken: Für das Erstellen und Verwalten benutzerdefinierter Rollen sind Lizenzen für Microsoft Entra ID Premium P1 oder P2 erforderlich. Ja, dabei handelt es sich um eine finanzielle Hürde, doch die gewonnene Kontrolle rechtfertigt den Preis oft, wenn es Ihnen ernsthaft um die Umsetzung des Prinzips der minimalen Berechtigungen geht.

Rollenkategorien: Warum Ihr Werkzeugkasten mehr als nur Hämmer enthalten sollte

Stellen Sie sich vor, Sie öffnen Ihren Werkzeugkasten und finden nur Hämmer. Damit lässt sich weder ein undichtes Rohr reparieren noch eine lockere Schraube festziehen. Microsoft Entra-Rollen verhalten sich genauso. Sie sind spezialisierte Werkzeuge für bestimmte Aufgaben und lassen sich in drei Kategorien einteilen:

• Verzeichnisspezifische Rollen: Diese dienen der Verwaltung des „Hauses“ selbst, also von Benutzerkonten, Gruppen und zentralen Verzeichnisressourcen.
• Dienstspezifische Rollen: Betrachten Sie diese als präzise Schraubendreher für einzelne Dienste, etwa den Exchange-Administrator für E-Mails, den SharePoint-Administrator für Ihr Intranet oder den Teams-Administrator für die Zusammenarbeit.
• Dienstübergreifende Rollen: Die Schweizer Taschenmesser in Ihrem Admin-Werkzeugkasten, die sich über mehrere Dienste erstrecken. Sie sind besonders wertvoll für Sicherheits- und Compliance-Verantwortliche, die einen Überblick über das Gesamtbild benötigen.

Das falsche Werkzeug führt ins Desaster. Einen Vorschlaghammer zum Aufhängen eines Bilderrahmens zu verwenden, entspricht der Zuweisung überdimensionierter Rollen für einfache administrative Aufgaben. Bevor Sie Administratorzugriffe mit der Gießkanne verteilen, ermitteln Sie stets die tatsächlich anstehende Aufgabe und wählen Sie aus Ihrem Werkzeugkasten das passende Werkzeug aus.

Der Mythos vom „Einmal einrichten, nie wieder anfassen“: Warum Rollenzuweisungen einen regelmäßigen Frühjahrsputz brauchen

Lassen Sie uns gleich einen gefährlichen Mythos entkräften: Rollenzuweisungen sind keine Tattoos. Sie legen sie nicht einmal fest und leben dann für immer damit. Sie erfordern regelmäßige Überprüfungen und Aktualisierungen, besonders wenn sich das Personal ändert, interne Beförderungen anstehen oder neue Projekte starten.

Vergessene alte Rollen sind wie abgelaufene Milch im Kühlschrank: Niemand bemerkt sie, bis es stinkt, und dann ist das Malheur bereits passiert. Machen Sie „Zuweisen, überprüfen, wiederholen“ zu Ihrem neuen organisatorischen Leitsatz. Richten Sie Kalendererinnerungen für vierteljährliche Rollenüberprüfungen ein, nehmen Sie Zugriffsänderungen sofort vor, sobald sich die Tätigkeitsbeschreibung eines Mitarbeiters ändert, und führen Sie nach Projektende eine Bereinigung durch, um temporäre Erhöhungen zu widerrufen. Berechtigungsausweitung ist real. Ohne menschliche Aufsicht sammeln Benutzer Zugriffsrechte an wie digitale Messies.

Wenn sich Least Privilege wie ein Seiltanz anfühlt

Seien wir ehrlich: Least Privilege umzusetzen bedeutet nicht, zum Sicherheitsparanoiker des Büros zu werden. Es geht darum, den richtigen Mittelweg zwischen Freiheit und Zäunen zu finden. Die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC) läuft letztlich darauf hinaus, eine grundlegende Frage zu beantworten: Was braucht diese Person tatsächlich, um ihre Arbeit zu erledigen?

Nicht, was sie irgendwann einmal brauchen könnte. Nicht, was bequem wäre. Sondern das, was sie zur Erfüllung ihrer Aufgaben wirklich benötigt, und nicht eine Berechtigung mehr. Um in diesem Umfeld zurechtzukommen, müssen Sie die Grenze zwischen Verzeichnisrollen und Ressourcenrollen verstehen und dem Drang widerstehen, in die Falle des „Nur für den Fall“ zu tappen.

Was kann schlimmstenfalls passieren?: Ein Katastrophenszenario aus dem Alltag

Stellen Sie sich vor: Es ist Montagmorgen. Admin Bob ist mit Tickets völlig überlastet und muss eine neue Praktikantin namens Jane einarbeiten. Auf der Suche nach einer schnellen Abkürzung sagt Bob: „Hey Jane, ich mache dich einfach zur globalen Administratorin. Das ist einfacher, als jetzt die genauen Berechtigungen herauszufinden.“

Voller Eifer, sich zu beweisen, beginnt Jane, inaktive Konten zu bereinigen. Zwei Stunden später ruft der CEO die IT in heller Panik an, weil seine E-Mails, Kontakte und die bevorstehende Präsentation für den Vorstand spurlos verschwunden sind. Jane hat bei ihrem Bereinigungsskript versehentlich das Konto des CEO erwischt. Während die IT hektisch versucht, aus den Sicherungen wiederherzustellen, klickt Jane auf ihrem privaten Heimgerät auf eine Phishing-E-Mail und speichert ihre Arbeitsanmeldedaten im Browser.

Plötzlich hat der Angreifer globalen Administratorzugriff auf Ihr gesamtes System. Eine kleine Abkürzung hat einen katastrophalen Dominoeffekt ausgelöst. Die strengen Best Practices für die Rollenverwaltung existieren genau deshalb, weil irgendjemand irgendwo diesen Albtraum schon einmal erlebt hat.

Fragen Sie sich selbst: Würden Sie lieber jetzt ein paar Minuten investieren, um die Berechtigungen richtig zu konfigurieren, oder dem Vorstand erklären, warum Kundendaten kompromittiert wurden?

Nicht ganz offensichtliche Tipps für saubere Entra-Rollenzuweisungen

Wenn Sie unter Zeitdruck stehen und mehrere Prioritäten jonglieren, rutscht die Rollenverwaltung oft nach hinten. Genau dann aber öffnen sich Sicherheitslücken. Behalten Sie diese praktischen Tipps im Hinterkopf, damit Sie auch unter Druck sicher arbeiten:

• Erstellen Sie eine Checkliste für Rollenzuweisungen: Verlassen Sie sich im Eilmodus niemals allein auf Ihr Gedächtnis.
• Kombinieren Sie weitreichende Rollen mit harten Grenzen: Wenn Sie eine mächtige Rolle zuweisen müssen, ergänzen Sie sie durch bedingte Zugriffsrichtlinien, die die Nutzung nach Standort, Gerätekonformität oder Tageszeit einschränken.
• Dokumentieren Sie Ihr „Warum“: Ihr zukünftiges Ich und Ihre Compliance-Prüfer werden es Ihnen danken, wenn Sie festhalten, weshalb ein bestimmter Benutzer erhöhten Zugriff benötigte.
• Wechseln Sie Ihre Prüfer regelmäßig: Frische Augen erkennen Annahmen und veraltete Zugriffsstrukturen, die interne Teams übersehen könnten.
• Setzen Sie auf Zugriff im Sinne von „gerade genug“: Bekämpfen Sie aktiv den Drang, Berechtigungen „nur für den Fall“ hinzuzufügen.

Abschließend: Warum wir uns mit diesem Thema beschäftigen

Zum Abschluss unserer Auseinandersetzung mit Microsoft Entra-Rollen und den versteckten Gefahren von Permission FOMO sollten Sie bedenken: Zugriffskontrolle ist letztlich ein Akt der Fürsorge und nicht bloß eine Compliance-Pflicht. Wenn Sie Berechtigungen sorgfältig auf Basis echter betrieblicher Anforderungen statt Bequemlichkeit vergeben, schützen Sie Ihr Unternehmen, Ihre Kollegen und Ihre digitale Infrastruktur.

Um die technischen Hintergründe besser zu verstehen und einen klareren Rahmen für Ihre Zertifizierung oder Ihre tägliche Administration zu gewinnen, sehen Sie sich unbedingt die passende Folge SC-900 Exam Prep 3/8: Microsoft Entra Roles Explained an. Seien Sie stolz auf Ihre Verantwortung als Administrator, halten Sie Ihr Werkzeug ordentlich organisiert und arbeiten Sie weiter daran, einen sichereren digitalen Arbeitsplatz aufzubauen!