Wie viele Administratoren braucht ein Unternehmen? Rechte, Vertretung und Kontrolle sinnvoll regeln

Wie viele Administratoren braucht ein kleines Unternehmen?

In einem kleinen Unternehmen verwaltet häufig eine einzige Person die komplette IT, entweder als interner Verantwortlicher oder als Techniker eines externen Dienstleisters. Das ist im Alltag bequem, weil Fragen schnell geklärt werden können und eine Person sämtliche Besonderheiten kennt, gleichzeitig entsteht dadurch aber eine erhebliche Abhängigkeit, sobald dieser Administrator krank, im Urlaub oder aus anderen Gründen nicht erreichbar ist.

Die entgegengesetzte Lösung, möglichst vielen Mitarbeitern Administratorrechte zu geben, wäre allerdings genauso problematisch. Je mehr Personen weitreichende Berechtigungen besitzen, desto größer wird die Zahl der Konten, über die kritische Einstellungen verändert, Schutzmechanismen deaktiviert oder sensible Daten erreicht werden können. Ein vernünftiges Konzept braucht deshalb ausreichend Vertretung, ohne Administratorrechte unnötig breit zu verteilen.

Ein einziger Administrator ist organisatorisch zu wenig

Wenn nur eine Person die zentralen Systeme administrieren kann, entsteht ein klarer Single Point of Failure. Das kann besonders unangenehm werden, wenn genau während einer Störung niemand an die Firewall, den Server oder das Backup-System kommt und wichtige Informationen ausschließlich im Kopf oder Passwortmanager dieser Person liegen.

Eine funktionierende Vertretung sollte deshalb mindestens für die wirklich zentralen Systeme vorgesehen sein. Das bedeutet nicht, dass zwei Personen sämtliche technischen Details gleichermaßen beherrschen müssen, sondern dass im Notfall ein zweiter qualifizierter Fachmann die erforderlichen Zugänge erhält und anhand der vorhandenen Dokumentation weiterarbeiten kann. Die Abhängigkeit von einzelnen Wissensträgern lässt sich dadurch deutlich reduzieren, ohne unnötig viele Personen zu Administratoren zu machen.

Mehr Administratoren bedeuten nicht automatisch mehr Sicherheit

Ein häufiger Denkfehler besteht darin, Verfügbarkeit dadurch zu lösen, dass möglichst viele Personen weitreichende Rechte erhalten. Wenn fünf Mitarbeiter dieselben Administratorrechte besitzen, stehen zwar mehr mögliche Ansprechpartner zur Verfügung, gleichzeitig existieren aber auch fünf Konten, deren Missbrauch oder Kompromittierung großen Schaden verursachen kann.

Die Zahl der Administratoren sollte deshalb aus den tatsächlichen Aufgaben entstehen. Ein Mitarbeiter, der lediglich neue Drucker einrichten oder eine Anwendung pflegen muss, benötigt möglicherweise deutlich weniger Rechte als derjenige, der Server, Firewall und zentrale Benutzerverwaltung betreut. Ein sauberes Konzept für Administratorrechte unterscheidet solche Aufgaben, anstatt jeden technisch versierten Mitarbeiter mit Vollzugriff auszustatten.

Nicht jeder Administrator muss alles administrieren dürfen

In vielen kleinen Umgebungen gibt es ein einziges weitreichendes Administratorkonto, mit dem nahezu jede technische Aufgabe erledigt wird. Für einfache Strukturen mag das zunächst bequem wirken, langfristig entsteht dadurch jedoch ein Konto, dessen Zugang praktisch die Kontrolle über große Teile des Unternehmens bedeutet.

Sinnvoller ist es, Rechte nach Aufgaben zu trennen, soweit die eingesetzten Systeme dies unterstützen. Ein Administrator für Microsoft- oder Windows-Systeme braucht nicht zwangsläufig dieselben Berechtigungen wie jemand, der ausschließlich Netzwerkgeräte verwaltet, während ein externer Maschinenhersteller wiederum nur Zugriff auf seine eigene Anlage erhalten sollte. Je genauer diese Rollen zugeschnitten sind, desto kleiner wird der Schaden, den ein einzelnes kompromittiertes Konto verursachen kann.

Persönliche Administratoren sind besser als ein gemeinsamer Zugang

Ein gemeinsames Konto namens „Administrator“, dessen Kennwort mehreren Mitarbeitern und Dienstleistern bekannt ist, lässt sich nur schwer kontrollieren. Wenn später eine Änderung nachvollzogen werden soll, ist zwar sichtbar, dass der Administrator gehandelt hat, nicht aber, welche Person tatsächlich hinter der Anmeldung stand.

Persönliche administrative Konten lösen dieses Problem und vereinfachen gleichzeitig Personalwechsel. Verlässt ein Techniker das Unternehmen oder endet die Zusammenarbeit mit einem Dienstleister, wird genau sein Konto deaktiviert, während die Zugänge aller anderen unverändert bleiben können. Das ist wesentlich sauberer als ein gemeinsames Kennwort, das anschließend geändert und an sämtliche verbleibenden Berechtigten neu verteilt werden muss.

Für den Alltag und die Administration sollten getrennte Konten existieren

Auch ein Administrator sollte nicht den gesamten Arbeitstag mit weitreichenden Rechten arbeiten. Wer mit demselben privilegierten Konto E-Mails liest, Webseiten besucht, Dokumente öffnet und anschließend Server verwaltet, verbindet den normalen Arbeitsalltag unnötig mit besonders mächtigen Berechtigungen.

Deshalb ist die Trennung zwischen einem normalen Benutzerkonto und einem zusätzlichen Administratorkonto sinnvoll. Das privilegierte Konto wird nur dann verwendet, wenn tatsächlich eine administrative Aufgabe durchgeführt werden muss, während die normale Arbeit mit den gleichen eingeschränkten Rechten erfolgt wie bei anderen Benutzern. Dadurch sinkt die Wahrscheinlichkeit, dass ein Fehler oder eine Schadsoftware aus dem alltäglichen Benutzerkontext unmittelbar mit Administratorrechten ausgeführt wird.

Die Geschäftsführung braucht Kontrolle, aber keinen täglichen Administratorzugang

Ein Geschäftsführer sollte nicht allein deshalb Administrator sämtlicher Systeme sein, damit das Unternehmen theoretisch die Kontrolle behält. Ein Konto mit umfassenden technischen Rechten, das nur selten genutzt wird und dessen Bedienung nicht zum normalen Aufgabenbereich gehört, schafft eher zusätzliche Risiken als echte Sicherheit.

Wichtiger ist eine organisatorische Kontrolle darüber, welche administrativen Konten existieren, wer sie verwendet und wie das Unternehmen im Notfall Zugriff ermöglichen kann. Eine geschützte Notfallablage wichtiger Administratorzugänge kann dafür sorgen, dass ein anderer qualifizierter Fachmann übernehmen kann, ohne dass die Geschäftsführung im Alltag selbst mit diesen Konten arbeiten muss. Kontrolle über die IT bedeutet damit nicht, jede technische Funktion selbst bedienen zu können, sondern dafür zu sorgen, dass Zugänge, Zuständigkeiten und Vertretungen geregelt sind.

Externe IT-Dienstleister brauchen ebenfalls persönliche Zugänge

Wenn ein externer Dienstleister mehrere Techniker beschäftigt, sollte möglichst nicht jeder über dasselbe gemeinsame Kundenkonto arbeiten. Persönliche administrative Zugänge ermöglichen es, Rechte einzelnen Mitarbeitern des Dienstleisters zuzuordnen und sie später gezielt wieder zu entziehen.

Gerade bei einem Wechsel des IT-Dienstleisters wird diese Struktur wertvoll, weil die Konten des bisherigen Partners geschlossen werden können, ohne gleichzeitig die gesamte administrative Umgebung neu mit Kennwörtern versorgen zu müssen. Zusätzlich lässt sich besser nachvollziehen, welcher Techniker zu welchem Zeitpunkt auf ein System zugegriffen hat. Die langfristige Zusammenarbeit wird dadurch nicht komplizierter, sondern kontrollierbarer.

Vertretung muss praktisch funktionieren und nicht nur auf dem Papier existieren

Ein Unternehmen kann formal zwei Administratoren benennen und trotzdem vollständig von einem davon abhängig bleiben. Wenn der zweite zwar ein Konto besitzt, aber weder die Dokumentation kennt noch weiß, wie die Datensicherung wiederhergestellt oder die Firewall administriert wird, existiert nur eine theoretische Vertretung.

Deshalb sollte gelegentlich geprüft werden, ob ein zweiter Administrator tatsächlich eine typische Aufgabe übernehmen kann. Das kann eine geplante Wartung, eine kleinere Änderung oder die Kontrolle eines Backups sein, während der normalerweise zuständige Techniker bewusst nur im Hintergrund bleibt. Dabei werden fehlende Zugänge und Dokumentationslücken sichtbar, bevor die Vertretung während eines echten Notfalls benötigt wird.

Notfallkonten sollten eine Rückfallebene und kein Arbeitskonto sein

Für besonders zentrale Systeme kann zusätzlich ein administrativer Notfallzugang sinnvoll sein, der unabhängig von den normalen persönlichen Administratoren existiert. Ein solches Konto wird häufig als Rückfallmöglichkeit benötigt, wenn normale Zugänge aufgrund eines technischen Problems, eines Fehlers in der Benutzerverwaltung oder einer anderen Störung nicht funktionieren.

Dieser Zugang sollte besonders geschützt und möglichst nicht für alltägliche Arbeiten verwendet werden. Seine Nutzung sollte auffallen und anschließend nachvollzogen werden, weil ein Notfallkonto mit weitreichenden Rechten gerade nicht zum bequemen gemeinsamen Administratorkonto für alle Techniker werden darf. Die Informationen darüber, wie dieser Zugang erreicht wird, gehören in die IT-Notfalldokumentation.

Administratorrechte müssen regelmäßig überprüft werden

Die Zahl der Administratoren bleibt über Jahre selten automatisch sinnvoll. Mitarbeiter wechseln Aufgaben, externe Dienstleister kommen hinzu, Projekte enden und einzelne Konten bleiben trotzdem bestehen, weil ihre Existenz den täglichen Betrieb nicht sichtbar stört.

Deshalb sollte regelmäßig geprüft werden, welche privilegierten Konten vorhanden sind und welchem Zweck sie dienen. Ein Administratorzugang ohne klaren Eigentümer oder eine Berechtigung eines früheren Dienstleisters sollte nicht allein deshalb weiterbestehen, weil bislang nichts passiert ist. Eine regelmäßige Prüfung der IT sollte solche Konten genauso berücksichtigen wie Server, Backups und Netzwerkgeräte.

Die richtige Zahl hängt von Aufgaben und Ausfallrisiko ab

Es gibt keine feste Zahl, nach der ein Unternehmen mit zwanzig Mitarbeitern genau zwei oder drei Administratoren benötigt. Ein Betrieb mit vollständig extern verwalteter IT kann mit wenigen internen technischen Rechten auskommen, solange Vertretung und Notfallzugänge geregelt sind, während ein Unternehmen mit eigener Produktion und mehreren spezialisierten Systemen unterschiedliche Administratorrollen benötigen kann.

Als Grundprinzip sollte für kritische Systeme keine einzelne Person alternativlos sein, gleichzeitig sollte Vollzugriff nur an diejenigen vergeben werden, die ihn für ihre Arbeit tatsächlich benötigen. Wenn bei euch heute niemand eine klare Übersicht darüber besitzt, wer Server, Netzwerk, Backups oder Produktionssysteme administrieren darf, kann eine Berechtigungsprüfung schnell zeigen, wo unnötige Zugänge bestehen und wo im Gegenteil eine belastbare Vertretung fehlt.

Die beste Zahl von Administratoren ist deshalb nicht möglichst klein und auch nicht möglichst groß. Sie ist dann richtig, wenn jederzeit genügend qualifizierte Personen für Betrieb und Notfall verfügbar sind, ohne dass mehr Menschen weitreichende Rechte besitzen, als für diese Aufgaben wirklich notwendig ist.