In jedem gewachsenen System sitzt ein H. Schmidt, der alles darf. Nicht aus Absicht, sondern weil Rollen nur wachsen und nie schrumpfen. Die Frage ist nur, ob Sie ihn kennen.
Ich habe das über zwei Berufsleben hinweg immer wieder gesehen, auf der Betreiberseite wie in den freiberuflichen Jahren. Es gibt zwei Muster. Beim Neuaufbau eines Systems oder eines Unternehmens liegt anfangs viel Verantwortung in wenigen Händen. Es geht um Schnelligkeit, nicht um Governance. Jeder kommt überall hin, Rollen werden schnell und unkompliziert vergeben, jeder darf alles.
Im laufenden System ist es subtiler. Wo externe Vorschriften keine Grenze ziehen, sammeln sich bei den Mitarbeitern ganz natürlich Rollen an, die an Stellen hängen, die sie vor Jahren einmal innehatten. Interne Rollen werden oft dauerhaft vergeben, externe zeitlich befristet, etwa auf ein Jahr. Zumindest für die kritischen Zugriffe müsste man aber auch intern regelmäßig prüfen, was noch gebraucht wird. Das ist kein IT-Thema. Es ist technische Hygiene, und es ist ein Governance-Risiko.
Was beim Anfassen geschah
In einem Fall wurde die Bereinigung durch ein Audit der Muttergesellschaft ausgelöst. Weil wir Rückendeckung vom Topmanagement hatten, gab es keinen offenen Widerstand. Aber es gab, wieder einmal, viel zu wenig Ressourcen für saubere Tests, und sehr lange Verhandlungen bei der Umsetzung. Ohne Change Management und ohne genug Tiefenwissen, um die Beteuerungen der Fachbereiche einzuschätzen, wäre das nicht zu machen gewesen. „Das brauchen wir alles noch“ hört man oft, und selten stimmt es.
Was der Vorstand wirklich tun muss
Muss der Vorstand wissen, wer in seinem System alles darf? Als Einmal-Report ist das die falsche Frage, und außer für den CIO ist es auch nicht Aufgabe des Gremiums, das im Detail zu kennen. Der Vorstand trifft die Entscheidung, die ein Regelwerk und ein Monitoring überhaupt erst ermöglicht. Darin wird möglichst tief geprüft, wo kritische Rechte sitzen, und regelmäßig bestätigt, ob sie noch nötig sind. Erst wenn dieser Standardprozess versagt, weil nicht geprüft oder nicht bestätigt wird, sollte stufenweise eskaliert werden.
Die Vorstandsfrage ist deshalb nicht „Wer darf alles?“ als Einmal-Report. Die Frage ist: Gibt es einen Prozess, der kritische Rechte laufend prüft und bestätigt? Fehlt der, wächst in Ihrem System längst der nächste H. Schmidt heran.
