Der Generalschlüssel im Postfach – warum zu viele Rechte Angreifern die Arbeit abnehmen

Freitag, 16:40 Uhr, in einem Ingenieurbüro mit 35 Mitarbeitenden. Der Geschäftsführer arbeitet noch schnell die letzten E-Mails ab. Eine Rechnung eines Lieferanten, ein Link zum Dokument, eine Anmeldeseite, die aussieht wie immer. Er gibt sein Passwort ein und fährt ins Wochenende. Was er nicht weiß: Sein Konto ist seit Jahren Mitglied der Gruppe „Domänen-Admins“. Der IT-Dienstleister hatte das einmal eingerichtet, damit der Chef nicht für jede Kleinigkeit anrufen muss. In der Nacht auf Sonntag meldet sich jemand mit genau diesem Konto am Server an. Um 2:13 Uhr sind alle Server verschlüsselt, die Sicherungen auf dem angeschlossenen Speicher gelöscht. Der Angreifer musste nichts knacken. Er hatte den Generalschlüssel.

Diese Situation ist kein Einzelfall.

Was die Zahlen zeigen

Der Sicherheitsanbieter Sophos hat für seinen Active Adversary Report 2026 insgesamt 661 Vorfälle aus 70 Ländern ausgewertet. In 67 Prozent der Fälle lag die Ursache bei Identitäten, also bei gestohlenen, erratenen oder missbrauchten Zugangsdaten. Vom ersten Zugriff bis zum Active Directory, der zentralen Benutzerverwaltung im Windows-Netz, brauchten die Angreifer im Mittel nur 3,4 Stunden. In 59 Prozent der Fälle fehlte eine Mehr-Faktor-Authentifizierung. Und 88 Prozent der Ransomware-Angriffe starteten außerhalb der Geschäftszeiten, wenn niemand hinsieht. Die Botschaft dahinter: Angreifer brechen heute seltener ein. Sie melden sich an. Und dann können sie genau das, was das übernommene Konto kann.

Der Mythos: „Bei uns kennt doch jeder jeden“

Diesen Satz höre ich in kleinen Unternehmen oft, wenn es um Rechte und Rollen geht. Ein Berechtigungskonzept klingt nach Konzern, nach Formularen und nach Misstrauen gegenüber den eigenen Leuten. Was dabei oft vergessen wird: Es geht nicht um Vertrauen in Ihre Mitarbeitenden. Es geht darum, was ein Fremder anrichten kann, der sich als einer von ihnen ausgibt. Jedes Recht, das ein Konto hat, erbt der Angreifer automatisch mit.

Typische Fehler in kleinen Betrieben

• Das Chef-Konto mit Adminrechten: Bequem im Alltag, im Ernstfall der kürzeste Weg zur kompletten Übernahme. Gerade Führungskräfte sind ein bevorzugtes Ziel von Phishing.
• Ein Admin-Konto für alle: Der Dienstleister, der interne IT-Kümmerer und der Azubi teilen sich „admin“ mit einem Passwort, das seit Jahren gleich ist. Wer was getan hat, lässt sich hinterher nicht mehr feststellen.
• Gleiches lokales Administratorpasswort auf allen PCs: Wer es auf einem Rechner ausliest, kommt auf alle anderen.
• Mitwachsende Rechte: Die Kollegin wechselt von der Buchhaltung in den Vertrieb und behält beide Zugänge. Nach zehn Jahren darf sie fast alles.
• Verwaiste Konten: Ausgeschiedene Mitarbeitende oder frühere Dienstleister haben noch gültige Zugänge (vgl. meinen Artikel zum Offboarding in Ausgabe 26/16).
• Dienstkonten mit Vollzugriff: Der Scanner, die Backup-Software oder die Warenwirtschaft laufen mit Domänen-Admin-Rechten, weil es bei der Einrichtung so am schnellsten ging.
• Zu viele globale Administratoren in Microsoft 365: Fünf, sechs Personen haben dort uneingeschränkte Rechte, oft ohne es zu wissen.

Die gute Nachricht: Das kostet vor allem Ordnung, kaum Geld

Eine teure Software für Privileged Access Management, wie Konzerne sie einsetzen, braucht ein Betrieb mit 30 oder 100 Mitarbeitenden in der Regel nicht. Die wirksamsten Maßnahmen sind organisatorisch und lassen sich mit Bordmitteln umsetzen. Die schlechte Nachricht: Jemand muss sich die Zeit dafür nehmen.

So bekommen Sie die Rechte in den Griff

• Zwei Konten für jeden Admin: Wer administriert, bekommt ein normales Konto für E-Mail, Internet und Office und ein separates Admin-Konto, das nur zum Verwalten dient. Mit dem Admin-Konto wird nie gesurft und nie gemailt. So empfiehlt es auch die australische Cybersicherheitsbehörde ACSC.
• Die Geschäftsführung arbeitet ohne Adminrechte: Das ist kein Misstrauensvotum, sondern Schutz. Für den Notfall reicht ein Zugang, dessen Daten versiegelt im Tresor liegen.
• Persönliche Konten für den Dienstleister: Jeder Techniker bekommt ein eigenes, namentlich zugeordnetes Konto. Sammelkonten wie „service“ oder „extern“ werden abgeschafft. Wann der Zugang offen ist, regeln Sie, wie in Ausgabe 26/21 beschrieben.
• Lokale Admin-Passwörter automatisch verwalten: Windows LAPS ist in Windows 10 und 11 bereits eingebaut. Es vergibt jedem Rechner ein eigenes, regelmäßig wechselndes Passwort und legt es im Active Directory oder in Microsoft Entra ID ab. Bitten Sie Ihren Dienstleister, es einzuschalten.
• Microsoft 365 aufräumen: Microsoft empfiehlt, die Rolle „Globaler Administrator“ an weniger als fünf Personen zu vergeben und zusätzlich zwei Notfallkonten einzurichten. Für einen kleinen Betrieb heißt das: zwei benannte Admins, zwei Notfallkonten, fertig. Alle anderen bekommen höchstens eingeschränkte Rollen, etwa für die Benutzerverwaltung.
• Dienstkonten abspecken: Der Scanner braucht Schreibrechte auf genau einen Ordner, nicht auf das ganze Netz. Lassen Sie sich für jedes Dienstkonto erklären, warum es die Rechte hat, die es hat.
• Halbjährliche Rechte-Inventur: Lassen Sie sich eine Liste aller Admin-Konten und der wichtigsten Gruppen ausdrucken. Geschäftsführung und Abteilungsleitungen haken ab, was noch gebraucht wird. Alles andere wird entzogen. Das dauert in einem Betrieb mit 50 Mitarbeitenden selten länger als eine Stunde.
• Mehr-Faktor-Authentifizierung für jedes Admin-Konto: Ohne Ausnahme und am besten Phishing-resistent, wie in Ausgabe 26/20 beschrieben.

Wer sich dabei Unterstützung holen möchte: Der CyberRisikoCheck nach DIN SPEC 27076 wurde speziell für Klein- und Kleinstunternehmen entwickelt und gibt einen guten Einstieg in die eigene Sicherheitslage.

Nicht für den Prüfer, sondern für den eigenen Betrieb

Natürlich verlangen auch Standards wie ISO 27001 oder der BSI IT-Grundschutz ein geregeltes Berechtigungsmanagement. Der bessere Grund liegt aber woanders: Ein Angreifer mit eingeschränkten Rechten kommt nicht weit, wird eher bemerkt und richtet weniger Schaden an. Das kann den Unterschied machen zwischen einem verschlüsselten Arbeitsplatz und einem stillstehenden Betrieb.

Checkliste: Wer darf bei Ihnen was?

1. Wissen Sie, welche Konten Administratorrechte haben, im Netzwerk und in Microsoft 365?
2. Arbeitet die Geschäftsführung im Alltag ohne Adminrechte?
3. Haben alle Admins ein getrenntes Konto für die Verwaltung?
4. Hat jeder Techniker Ihres Dienstleisters ein eigenes Konto?
5. Hat jeder PC ein eigenes lokales Administratorpasswort?
6. Wann wurden die Rechte zuletzt überprüft?
7. Wurden die Konten ausgeschiedener Mitarbeitender und früherer Dienstleister gelöscht?
8. Sind alle Admin-Konten mit einem zweiten Faktor geschützt?

Fazit

Zu viele Rechte fallen im Alltag nicht auf. Sie machen das Arbeiten sogar bequemer. Sichtbar werden sie erst, wenn ein Fremder das Konto übernimmt und plötzlich alles darf. Der Generalschlüssel gehört deshalb nicht ans Schlüsselbrett neben der Tür, sondern in den Tresor.

Die Frage ist nicht mehr, ob ein Konto in Ihrem Unternehmen in falsche Hände gerät, sondern wie weit der Angreifer damit kommt.