Was ist eine Zugriffsprüfung oder Rezertifizierung?

Eine wiederkehrende Bestätigung, dass jeder bestehende Zugang noch gebraucht wird. Statt Rechte nur zu vergeben, prüfen Verantwortliche in festen Abständen jede Zuordnung und entscheiden — behalten oder entziehen. Das Ergebnis wird protokolliert und ist damit prüfbar.

Wie oft muss eine Zugriffsprüfung stattfinden?

In kjello richtet sich die Kadenz nach dem Risiko der Anwendung — hoch quartalsweise, mittel halbjährlich, gering jährlich. kjello legt die Kampagnen als Entwurf an; gestartet werden sie von einem Menschen.

Wer entscheidet über die einzelnen Zeilen?

Je nach Kampagne die verantwortliche Person der Anwendung, die vorgesetzte Person der Mitarbeitenden oder ein Admin. Fällt eine Zuständigkeit aus, greift die Kette Verantwortliche → Vorgesetzte → Admin → hagel IT.

Was passiert bei „Entziehen"?

Der Entzug läuft über denselben Weg wie ein Austritt — automatisch bei Anwendungen mit Schnittstelle, über das Verzeichnis bei zentral angemeldeten Anwendungen, als Aufgabe mit Nachweis bei Fachanwendungen ohne Schnittstelle. Es gibt keinen zweiten, abweichenden Pfad.

Kann ich eine Entscheidung zurücknehmen?

Ja. Solange die Kampagne läuft, lässt sich jede Entscheidung per Rückgängig widerrufen. Deshalb gibt es bewusst keinen Bestätigungsdialog je Zeile — das würde 200 Entscheidungen zu 400 Klicks machen.

Zugriffsprüfung (Rezertifizierung) durchführen

2 Min. Lesezeit

Zugänge werden vergeben und selten wieder eingesammelt. Nach zwei Jahren Projektarbeit, Abteilungswechseln und Vertretungen hat fast jedes Unternehmen Menschen mit Rechten, die niemand mehr begründen kann. Die Zugriffsprüfung — im Fachjargon Rezertifizierung — dreht das um: In festen Abständen bestätigt eine verantwortliche Person je Zeile, ob ein Zugang noch gebraucht wird.

Kampagnen entstehen automatisch, starten aber manuell

kjello legt Prüfkampagnen nach dem Risiko der Anwendung als Entwurf an:

Risiko der Anwendung	Kadenz
hoch	quartalsweise
mittel	halbjährlich
gering	jährlich

Eine Prüfung außer der Reihe

Für einen konkreten Anlass — zwei verwaiste Konten, ein Audit nächste Woche — ist der Rhythmus zu langsam. Über Neue Prüfung anlegen im Abschnitt Rezertifizierung erstellen Sie eine eigene Kampagne: Name, Umfang (alle Anwendungen oder eine Risiko-Stufe), wer entscheidet und bis wann. Auch sie entsteht als Entwurf — anlegen ist harmlos, das Starten ist die Entscheidung.

Rezertifizierungs-Kampagnen im kjello-Portal mit Fortschrittsbalken, Frist und Status — Unter Compliance: laufende, abgeschlossene und vorbereitete Kampagnen mit Fortschritt und Frist.

Eine Kampagne durchführen

Öffnen Sie Compliance und dort den Abschnitt Rezertifizierung.
Prüfen Sie den Entwurf: Umfang (welche Anwendungen, welches Risiko) und Frist. Passt beides, klicken Sie Starten. Erst dadurch werden die Prüfenden benachrichtigt.
Öffnen Sie die Kampagne. Jede Zeile nennt Person, Anwendung, Stufe, Herkunft und letzte Nutzung — genug Kontext, um ohne Rückfrage zu entscheiden.
Entscheiden Sie je Zeile:
- Behalten — der Zugang bleibt, die Bestätigung wird protokolliert.
- Entziehen — löst denselben Entzug aus wie ein Austritt, inklusive Nachweis.
- Weitergeben — wenn jemand anderes besser beurteilen kann, ob der Zugang nötig ist.
Vertippt? Rückgängig nimmt die Entscheidung zurück, solange die Kampagne läuft.
Ist jede Zeile entschieden, schließt die Kampagne ab und der Bericht steht als Nachweis bereit.

Kampagnen-Detail im kjello-Portal: je Zeile Person, Anwendung, Stufe und die Aktionen Behalten, Entziehen und Weitergeben — Entscheiden im Kampagnen-Detail — mit Tastatur bedienbar, jede Entscheidung bis zum Kampagnenende widerrufbar.

Was die Entscheidung leichter macht

Letzte Nutzung. „Seit 140 Tagen keine Anmeldung” beantwortet die Frage meist von selbst. Fehlt die Angabe, liegt es an der Entra-Lizenz — siehe Verwaiste Konten & Schatten-IT.
Herkunft. Ein Zugang mit dem Merkmal entdeckt wurde nie bewusst vergeben. Das ist ein guter Grund, ihn zu hinterfragen.
Stufe. Sie zeigt sofort, ob ein Entzug automatisch läuft oder eine Bestätigung braucht.

Für Prüfende ohne Admin-Rechte

Wer nur einzelne Zeilen zu entscheiden hat, sieht eine reduzierte Ansicht: ausschließlich die eigenen Zeilen, ohne die übrige Portal-Navigation. Niemand muss sich durch ein System arbeiten, um vier Häkchen zu setzen.