Nach der Urlaubszeit steht die IT-Sicherheit auf dem Prüfstand – es zeigt sich, ob dieser Ausnahmezustand beim Erteilen von vertretungsbedingten Berechtigungen in den Status qua ante, also in den Normalzustand, zurückkehrt oder doch unkontrolliert verewigt wird.
„Im Sommer läuft der Betrieb über Vertretungen weiter, während halb die Belegschaft im Urlaub ist. Sicherheitstechnisch wird das selten zu Ende gedacht, und genau dann entsteht ein Berechtigungsdrift, der lange nach dem letzten Rückkehrtag im System weiterwirkt“, gibt Dr. Heiko Klarl, CEO bei Nexis, in seiner aktuellen Stellungnahme zu bedenken. Nach dem Ende der Urlaubszeit zeige sich dann, ob die Governance im Betrieb systemisch durchgesetzt ist oder eben doch nur dann funktioniert, „solange alle an ihrem Platz sitzen“. Seine Empfehlung lautet daher, im Kontext des Berechtigungsmanagements den Soll-Ist-Abgleich kontinuierlich automatisiert zu betreiben, damit die Sommerurlaubszeit aus IT-Sicherheitssicht ein „Nicht-Ereignis“ ist und bleibt.
Kalendergesteuerte Kampagnen zur Rezertifizierung nach dem Urlaub drohen ins Leere zu laufen
Der erste Fehler liege in der Vergabe: „Vertretungsrechte werden unter Zeitdruck als direkte Gruppenmitgliedschaft gesetzt oder per ,Access Cloning’ nach dem Vorbild eines Kollegen vergeben, womit nicht die nötige Berechtigung, sondern dessen gesamtes gewachsenes ,Entitlement-Profil’ übertragen wird.“ Da diese „Grants“ laut Klarl keine Gültigkeitsdauer tragen, fehlt der automatische Entzug, und das „Delta“ zwischen „rollenbasiertem Soll und technischem Ist“ wächst.
Parallel verliere die Rezertifizierung ihre Wirkung: Kalendergesteuerte Kampagnen liefen ins Leere, wenn Freigebende abwesend sind, und würden nach der Rückkehr pauschal bestätigt, auch dort, wo sie SoD-relevante (s, Funktionstrennung innerhalb von Geschäftsprozessen / Segregation of Duties) oder privilegierte Zugriffe betreffen.
Nicht der Urlaub per se, sondern eine zielführende Governance sollte in den Fokus gerückt werden
Am gravierendsten sei die „Offboarding-Lücke“. Fehle eine kontinuierliche Korrelation von HR-Stammdaten und Account-Bestand, bleibe der Austritt technisch unsichtbar: „HR-seitig terminiert, im Zielsystem aber weiter aktiv, über AD, Entra ID und AWS IAM hinweg und inklusive der zurückbleibenden ,Service Accounts’“, so Klarl.
Der gemeinsame Nenner sei eben nicht der Urlaub, sondern eine Governance, welche auf periodischen „Snapshots“ und manuellen Einzelentscheidungen beruhe, statt den Ist-Zustand kontinuierlich gegen das Soll zu validieren.
Worauf Unternehmen (nicht nur in Urlaubszeiten) achten sollten:
- Zugriffe zeitgebunden und policy-basiert vergeben!
Vertretungen gehörten zeit-basiert mit einem klaren Start- und Ende-Datum vergeben, nicht als unbegrenzte Zuweisung von Rollen oder Individualberechtigungen oder als Kopie des Kollegen. Der Entzug erfolge dann systemseitig zum Stichtag. - Rezertifizierung risikobasiert führen!
Statt einer Sammelkampagne im August brauche es fokussierte „Access Reviews“ auf privilegierte und SoD-kritische Rollen und „Entitlements“, eine individuelle Rezertifizierungen bei Rückkehr und eine Sperre gegen pauschale Freigaben und Zuweisungen. - „Exit-Drift“ kontinuierlich detektieren!
Ein permanenter Abgleich von HR-Leaver-Events gegen den realen Account-Bestand identifiziere sogenannte Orphaned Accounts „near-real-time“ und stoße Deaktivierung und Deprovisionierung an. - Den Drift messbar machen!
„Identity Security Posture Management“ und „Entitlement-Analytics“ machten die Abweichung zwischen Soll und Ist sichtbar, bevor sie im Audit auffällt.
Das Ende der Urlaubszeit offenbart die Qualität der Governance im Kontext der Berechtigungen
Regulatorisch sei die Erwartung eindeutig: NIS-2 verlange ein belastbares Zugriffsmanagement, DORA und BAIT forderten im Finanzsektor eine deterministisch nachvollziehbare Zugriffslage.
„Keine dieser Vorgaben verträgt sich mit Rechten, die im Sommer unbemerkt entstehen und deren Drift niemand neutralisiert“, betont Klarl.
Am Ende zeige die Urlaubszeit, ob Governance systemisch durchgesetzt ist oder nur funktioniert, „solange alle an ihrem Platz sitzen“. Wer den Soll-Ist-Abgleich kontinuierlich automatisiert betreibt, für den sei der Sommer ein Nicht-Ereignis.
Zentrale Erkenntnisse der DS-Redaktion
- Eine Vertretungsregelung sollte stets einen klar definierten Beginn und Ablauf haben – fehlen diese Beschränkungen, droht ein Ausnahmefall zur Regel zu werden, womöglich sogar unkontrolliert.
- Nicht nur urlaubsbedingte Vertretungen im Berechtigungsmanagement sind berüchtigt, sondern auch Phasen, in denen externen bzw. temporären Akteuren Zugriffsrechte eingeräumt werden – hierzu werden gerne Vorfälle kolportiert, wonach Praktikanten beim Durchlaufen mehrerer Abteilungen Zugriffsrechte ansammeln, die dann sogar noch nach dem Verlassen des Betriebes gültig sein könnten.
- Jede Phase reduzierter Aufmerksamkeit sollte sorgsam vorab organisatorisch eingehegt werden – neben der langen Sommerurlaubszeit zählen dazu u.a. auch Feier- und Brückentage oder besondere Ereignisse außerhalb der Arbeit, welche ablenken (etwa sportliche Großereignisse).
- Es muss im Rahmen der betrieblichen Sicherheitskonzeption einkalkuliert werden, dass gerade Akteure mit bösartigen Absichten solche besonderen Phasen gezielt ausnutzen.
- Grundsätzlich kennt Datensicherheit keine Auszeit – ebenso wenig Cyberkriminalität oder menschliche Fehlbarkeit.
Fazit
Vertretungsregelungen müssen klar befristet, kontrolliert und konsequent beendet werden, damit temporäre Zugriffsrechte nicht zu dauerhaften Sicherheitsrisiken werden. Gerade in Phasen reduzierter Aufmerksamkeit sind klare Prozesse und Kontrollen entscheidend. Datensicherheit duldet keine Auszeit – ebenso wenig Cyberkriminalität und menschliche Fehlbarkeit.
Weitere Informationen
NEXIS
Über Nexis: Weltklasse bei digitalen Identitäten, Rollen und Berechtigungen
DATENSICHERHEIT.DE, 09.08.2026
6 Ratschläge zur Sicherung der Resilienz auch in Zeiten erhöhter urlaubsbedingter Abwesenheit
DATENSICHERHEIT.DE, 08.08.2026
Zutrittskontrolle als Governance- und Cybersecurity-Priorität
DATENSICHERHEIT.DE, 05.08.2026
ElringKlinger modernisiert Identity- und Access-Management mit Omada Identity
