Identity Lifecycle · Governance
Identity Governance: Wer darf was – und wer hat es bestätigt?
Berechtigungen richtig zu vergeben ist der erste Schritt. Der zweite: sie regelmäßig zu prüfen und nachweisen zu können, wer welchen Zugriff hat und warum. Wir richten dafür Zugriffsüberprüfungen, Zugriffspakete mit Ablaufdatum und eine nachvollziehbare Dokumentation ein und begleiten die Prüfrunden – passend zu Ihren Lizenzen.
Aufbau
Governance in Schichten
Jede Schicht baut auf der darunterliegenden auf. Ohne sauberes Rollenmodell lässt sich nichts sinnvoll prüfen.
- NachweisProtokolle, Prüfergebnisse, Dokumentation
- Regelmäßige PrüfungZugriffsüberprüfungen durch Führungskräfte und Verantwortliche
- Befristete ZugriffeZugriffspakete mit Antrag, Genehmigung und Ablaufdatum
- Rollen- und GruppenmodellStandardrechte je Abteilung und Funktion
Werkzeuge
Was Microsoft Entra ID dafür mitbringt
Lizenzangaben nach Microsoft Learn, abgerufen am 2. November 2026 – maßgeblich ist Ihr Vertrag. Lizenzen für die Automatisierung von Eintritt, Wechsel und Austritt: HR-/IT-Übergaben automatisieren.
Zugriffsüberprüfungen
Führungskräfte, Gruppenbesitzer oder die Personen selbst bestätigen regelmäßig, ob ein Zugriff noch gebraucht wird – für Gruppen, Anwendungen, Rollen und Zugriffspakete, wöchentlich bis jährlich (Microsoft Learn). Teils mit Entra ID P2, vollständig mit Entra ID Governance.
Zugriffspakete
Gruppen, Teams, Anwendungen und SharePoint-Websites werden zu einem Paket gebündelt – mit Regeln, wer es beantragen darf, wer genehmigt und wann der Zugriff abläuft (Berechtigungsverwaltung). Teils mit Entra ID P2, vollständig mit Entra ID Governance.
Privilegierte Rollen auf Zeit
Administratorrechte werden nicht dauerhaft vergeben, sondern bei Bedarf für eine begrenzte Zeit aktiviert. Privileged Identity Management, ab Entra ID P2.
Protokolle
Das Überwachungsprotokoll von Microsoft Entra ID zeigt, wer wann was geändert hat – je nach Lizenz 7 oder 30 Tage lang (Microsoft Learn). Für längere Nachweise werden Protokolle exportiert.
Grundsatz
Ein Zugriff, den niemand mehr bestätigt, sollte enden.
Das ist die Idee hinter Zugriffsüberprüfungen: Statt dass jemand aktiv entziehen muss, läuft ein nicht bestätigter Zugriff aus. Microsoft Entra ID kann Ergebnisse einer Überprüfung automatisch anwenden – auf Wunsch auch für Personen, die nicht geantwortet haben.
Ablauf
So läuft eine Prüfrunde
Umfang festlegen
Welche Gruppen, Anwendungen oder Rollen werden geprüft, von wem und wie oft?
Prüfer benachrichtigen
Die Verantwortlichen erhalten eine Aufforderung mit der Liste der Personen und ihrer Zugriffe.
Entscheiden
Pro Person: bestätigen oder entziehen. Microsoft kann Empfehlungen anzeigen, etwa bei Personen ohne Anmeldung in letzter Zeit.
Ergebnis anwenden
Entzogene Zugriffe werden entfernt – automatisch oder nach Freigabe.
Nachweisen
Ergebnis, Prüfer und Zeitpunkt werden gespeichert und für Ihre Dokumentation exportiert.
Prüfrunde durchspielen
Was wird aus dem Zugriff, wenn die Prüfung endet?
Eine Zugriffsüberprüfung ist nur so gut wie ihre Einstellungen. Wählen Sie, wie die prüfende Person entscheidet und wie die Überprüfung eingerichtet ist – das Modell zeigt, was am Ende mit dem Zugriff einer Person geschieht. Die Einstellungen entsprechen der Microsoft-Anleitung Zugriffsüberprüfung erstellen.
Zugriff danach
Abgelehnt – Zugriff besteht trotzdem
Die Entscheidung ist gefallen, aber der Zugriff ist nicht weg. Genau diese Lücke fällt im Alltag selten auf.
- Die prüfende Person hat den Zugriff abgelehnt. Die Ergebnisse werden aber nicht automatisch angewendet – bis jemand sie manuell umsetzt, besteht der Zugriff weiter.
Vereinfachtes Lernmodell einer einstufigen Überprüfung für eine Person in einer Gruppe, nach Microsoft Learn – keine Nachbildung von Microsoft Entra ID. Nicht abgebildet: mehrstufige Überprüfungen, Gastbenutzer und ihre gesonderten Aktionen, Anwendungen und Rollen, Empfehlungen nach Gruppenzugehörigkeit, der Zeitpunkt der Momentaufnahme zu Beginn jeder Runde. Zugriffsüberprüfungen setzen Microsoft Entra ID Governance oder die Microsoft Entra Suite voraus; einzelne Funktionen sind mit Microsoft Entra ID P2 nutzbar.
Modellregeln als Text
Alle Regeln werden geprüft; es gilt die strengste zutreffende Folge (Zugriff bleibt – bestätigt → Zugriff entfernt → Zugriff bleibt – ungeprüft → Abgelehnt – Zugriff besteht trotzdem).
- Zugriff bleibt – bestätigt, wenn Entscheidung: Bestätigt: wird noch gebraucht – Die prüfende Person hat den Bedarf bestätigt. Die Einstellung für fehlende Antworten wirkt laut Microsoft nicht auf Personen, die geprüft wurden.
- Zugriff entfernt, wenn Ergebnisse anwenden: Automatisch auf die Ressource anwenden und Entscheidung: Abgelehnt: wird nicht mehr gebraucht und Mitgliedschaft: Direktes Mitglied der geprüften Gruppe – Die prüfende Person hat den Zugriff abgelehnt. Mit „Ergebnisse automatisch anwenden“ wird die Mitgliedschaft am Ende der Prüfung entfernt.
- Abgelehnt – Zugriff besteht trotzdem, wenn Ergebnisse anwenden: Manuell nach Abschluss und Entscheidung: Abgelehnt: wird nicht mehr gebraucht – Die prüfende Person hat den Zugriff abgelehnt. Die Ergebnisse werden aber nicht automatisch angewendet – bis jemand sie manuell umsetzt, besteht der Zugriff weiter.
- Abgelehnt – Zugriff besteht trotzdem, wenn Entscheidung: Abgelehnt: wird nicht mehr gebraucht und Mitgliedschaft: Mitglied über eine verschachtelte Gruppe – Die prüfende Person hat den Zugriff abgelehnt. Die Person ist aber über eine verschachtelte Gruppe Mitglied. Laut Microsoft wird sie dann nur aus der direkten Mitgliedschaft entfernt, nicht aus der verschachtelten Gruppe – der Zugriff bleibt.
- Zugriff entfernt, wenn Ergebnisse anwenden: Automatisch auf die Ressource anwenden und Entscheidung: Keine Antwort bis zum Ende der Prüfung und Mitgliedschaft: Direktes Mitglied der geprüften Gruppe und Wenn Prüfer nicht reagieren: Zugriff entfernen – Niemand hat geantwortet; die Einstellung „Zugriff entfernen“ wertet das als Ablehnung. Mit „Ergebnisse automatisch anwenden“ wird die Mitgliedschaft am Ende der Prüfung entfernt. Microsoft warnt: Antwortet in einer Prüfung niemand, kann so der gesamte Zugriff auf die Ressource entzogen werden.
- Abgelehnt – Zugriff besteht trotzdem, wenn Ergebnisse anwenden: Manuell nach Abschluss und Entscheidung: Keine Antwort bis zum Ende der Prüfung und Wenn Prüfer nicht reagieren: Zugriff entfernen – Niemand hat geantwortet; die Einstellung „Zugriff entfernen“ wertet das als Ablehnung. Die Ergebnisse werden aber nicht automatisch angewendet – bis jemand sie manuell umsetzt, besteht der Zugriff weiter.
- Abgelehnt – Zugriff besteht trotzdem, wenn Entscheidung: Keine Antwort bis zum Ende der Prüfung und Mitgliedschaft: Mitglied über eine verschachtelte Gruppe und Wenn Prüfer nicht reagieren: Zugriff entfernen – Niemand hat geantwortet; die Einstellung „Zugriff entfernen“ wertet das als Ablehnung. Die Person ist aber über eine verschachtelte Gruppe Mitglied. Laut Microsoft wird sie dann nur aus der direkten Mitgliedschaft entfernt, nicht aus der verschachtelten Gruppe – der Zugriff bleibt.
- Zugriff entfernt, wenn Letzte Anmeldung: Seit über 30 Tagen nicht angemeldet und Ergebnisse anwenden: Automatisch auf die Ressource anwenden und Entscheidung: Keine Antwort bis zum Ende der Prüfung und Mitgliedschaft: Direktes Mitglied der geprüften Gruppe und Wenn Prüfer nicht reagieren: Empfehlungen annehmen – Niemand hat geantwortet; übernommen wird die Empfehlung – und die lautet bei 30 Tagen ohne Anmeldung „ablehnen“. Mit „Ergebnisse automatisch anwenden“ wird die Mitgliedschaft am Ende der Prüfung entfernt.
- Abgelehnt – Zugriff besteht trotzdem, wenn Letzte Anmeldung: Seit über 30 Tagen nicht angemeldet und Ergebnisse anwenden: Manuell nach Abschluss und Entscheidung: Keine Antwort bis zum Ende der Prüfung und Wenn Prüfer nicht reagieren: Empfehlungen annehmen – Niemand hat geantwortet; übernommen wird die Empfehlung – und die lautet bei 30 Tagen ohne Anmeldung „ablehnen“. Die Ergebnisse werden aber nicht automatisch angewendet – bis jemand sie manuell umsetzt, besteht der Zugriff weiter.
- Abgelehnt – Zugriff besteht trotzdem, wenn Letzte Anmeldung: Seit über 30 Tagen nicht angemeldet und Entscheidung: Keine Antwort bis zum Ende der Prüfung und Mitgliedschaft: Mitglied über eine verschachtelte Gruppe und Wenn Prüfer nicht reagieren: Empfehlungen annehmen – Niemand hat geantwortet; übernommen wird die Empfehlung – und die lautet bei 30 Tagen ohne Anmeldung „ablehnen“. Die Person ist aber über eine verschachtelte Gruppe Mitglied. Laut Microsoft wird sie dann nur aus der direkten Mitgliedschaft entfernt, nicht aus der verschachtelten Gruppe – der Zugriff bleibt.
- Zugriff bleibt – ungeprüft, wenn Entscheidung: Keine Antwort bis zum Ende der Prüfung und Wenn Prüfer nicht reagieren: Keine Änderung – Niemand hat geantwortet; mit „Keine Änderung“ bleibt der Zugriff unverändert.
- Zugriff bleibt – ungeprüft, wenn Entscheidung: Keine Antwort bis zum Ende der Prüfung und Wenn Prüfer nicht reagieren: Zugriff genehmigen – Niemand hat geantwortet; „Zugriff genehmigen“ bestätigt den Zugriff automatisch – ohne dass ihn jemand geprüft hat.
- Zugriff bleibt – ungeprüft, wenn Letzte Anmeldung: In den letzten 30 Tagen angemeldet und Entscheidung: Keine Antwort bis zum Ende der Prüfung und Wenn Prüfer nicht reagieren: Empfehlungen annehmen – Niemand hat geantwortet; die Empfehlung lautet „genehmigen“, weil sich die Person in den letzten 30 Tagen angemeldet hat. Eine Anmeldung belegt Nutzung, nicht Bedarf.
Vereinfachtes Lernmodell einer einstufigen Überprüfung für eine Person in einer Gruppe, nach Microsoft Learn – keine Nachbildung von Microsoft Entra ID. Nicht abgebildet: mehrstufige Überprüfungen, Gastbenutzer und ihre gesonderten Aktionen, Anwendungen und Rollen, Empfehlungen nach Gruppenzugehörigkeit, der Zeitpunkt der Momentaufnahme zu Beginn jeder Runde. Zugriffsüberprüfungen setzen Microsoft Entra ID Governance oder die Microsoft Entra Suite voraus; einzelne Funktionen sind mit Microsoft Entra ID P2 nutzbar.
Ohne Zusatzlizenz
Governance beginnt nicht mit der Lizenz
Die Werkzeuge erleichtern die Arbeit, ersetzen aber nicht das Konzept. Der BSI-Baustein ORP.4 beschreibt, worauf es ankommt – unabhängig vom Produkt:
- Bedarf statt Gewohnheit: Rechte nur nach tatsächlichem Bedarf, nicht mehr benötigte bei personellen Veränderungen entfernen (ORP.4.A2).
- Dokumentiert und geprüft: Vergebene Kennungen und Rechteprofile dokumentieren und regelmäßig überprüfen (ORP.4.A3).
- Getrennte Aufgaben: Wer Rechte beantragt, sollte sie nicht selbst genehmigen (ORP.4.A4).
- Starke Anmeldung: Für weitreichende Rechte mehrstufige Anmeldung nutzen (ORP.4.A10).
Mit einem klaren Gruppenmodell, einer regelmäßigen Liste an die Führungskräfte und einem festen Termin lässt sich das auch ohne Microsoft Entra ID Governance umsetzen – nur mit mehr Handarbeit.
Häufige Fragen zur Identity Governance
Wie oft sollten Berechtigungen geprüft werden?
Das hängt vom Risiko ab. Microsoft Entra ID erlaubt Wiederholungen von wöchentlich bis jährlich. Für Administratorrechte und vertrauliche Bereiche eher häufiger, für Standardgruppen seltener – das legen Sie fest.
Welche Lizenz brauchen wir?
Für einen Teil der Funktionen genügt Microsoft Entra ID P2, enthalten etwa in Microsoft 365 E5. Den vollen Umfang von Zugriffsüberprüfungen und Berechtigungsverwaltung bietet Microsoft Entra ID Governance. Laut Microsoft müssen Governance-Lizenzen nicht einzeln zugewiesen werden, aber für alle Mitglieder im Anwendungsbereich ausreichen.
Was ist mit Gästen?
Auch Gastzugriffe lassen sich prüfen und befristen. Welche Funktionen Microsoft für Gäste gesondert abrechnet, steht unter Gastkonten.
Wer soll prüfen – IT oder Fachbereich?
In der Regel der Fachbereich: Die Führungskraft oder der Gruppenbesitzer weiß, wer einen Zugriff braucht. Die IT richtet die Prüfung ein und setzt das Ergebnis um.
Weiterlesen
Verwandte Themen
Microsoft 365 Sicherheit & Governance
Grundlagen der Sicherheit in Microsoft 365 – von der Anmeldung bis zur Freigabe.
Gastkonten und externe Identitäten
Was Zugriffspakete und Überprüfungen für Gäste bewirken – und wann ein Gastkonto wirklich endet.
Berechtigungs- und Zugriffskonzepte
Das Konzept hinter den Rechten: wer worauf zugreifen darf und wie das festgehalten wird.
Rollenwechsel
Wie Rechteanhäufung beim Abteilungswechsel gar nicht erst entsteht.
Benutzer und Berechtigungen im Betrieb
Die laufende Pflege von Konten und Gruppen.
Zero Trust
Geringste Rechte und regelmäßige Prüfung sind Bausteine dieses Sicherheitsmodells – hier im Zusammenhang erklärt.
Berechtigungen nachvollziehbar machen
Wir sehen uns mit Ihnen an, wie Berechtigungen heute vergeben und geprüft werden, schlagen einen Weg vor, der zu Ihren Lizenzen passt, und setzen ihn mit Ihnen um. Umfang und Vorgehen legen wir gemeinsam fest. Telefon 07131-618726-0.