Verwaiste Konten & Schatten-IT

Zwei Dinge sammeln sich in jedem Unternehmen an, ohne dass es jemand plant: Konten ohne Menschen und Anwendungen ohne Freigabe. Beide entstehen nicht aus Nachlässigkeit, sondern aus normalem Arbeitsalltag — und beide werden erst sichtbar, wenn jemand systematisch nachsieht.

Verwaiste Konten

Ein verwaistes Konto ist ein funktionsfähiger Zugang, hinter dem keine aktive Person mehr steht. Typische Entstehungswege:

• Jemand ist ausgeschieden, aber die Fachanwendung stand auf keiner Checkliste.
• Ein Projektzugang für externe Beteiligte wurde nie zurückgenommen.
• Ein Testkonto aus einer Einführungsphase blieb bestehen.
• Ein Sammelkonto („info”, „scan”, „praxis”) gehört formal niemandem.

Das eigentliche Problem ist die Unsichtbarkeit

Ein verwaistes Konto verhält sich unauffällig: gültige Anmeldedaten, keine Auffälligkeit im Alltag, keine Zuständigkeit, die eine ungewöhnliche Anmeldung bemerken würde. Es taucht in keiner Übergabe auf — genau deshalb ist es ein bevorzugter Weg hinein.

Im kjello-Portal stehen verwaiste Konten als eigene Kennzahl im Zugriffs-Register — ein Klick filtert die Liste.

app.kjello.de/saas?tab=zugriffe&status=orphaned

Der Filter für verwaiste Konten zeigt genau die Anwendungen, in denen ein Zugang ohne Person dahinter existiert.

Schatten-IT

Der zweite Fall ist noch leiser. Ein Team braucht ein Werkzeug, klickt „Mit Microsoft anmelden” und ist in dreißig Sekunden produktiv. Aus Sicht der Mitarbeitenden: vorbildlich pragmatisch. Aus Sicht der IT: Ein unbekannter Dienst hat gerade Rechte auf Unternehmensdaten bekommen, ohne dass ihn jemand geprüft hat.

Genau diese selbst erteilten Zustimmungen liest kjello täglich mit aus. Gefundene Anwendungen erscheinen im Register mit dem Herkunfts-Merkmal entdeckt — sichtbar neben denen, die über kjello vergeben wurden.

Was kjello liest

Registrierte Anwendungen, wer ihnen zugewiesen ist, selbst erteilte Zustimmungen, Gruppenmitgliedschaften und — sofern lizenziert — die letzte Anmeldung je Anwendung.

Wie kjello liest

Ausschließlich lesend, mit auf das Nötige begrenzten Berechtigungen, und nachvollziehbar protokolliert. Siehe GDAP & least-privilege.

Wenn „letzte Nutzung” leer bleibt

Anmeldeprotokolle liefert Microsoft Entra ID erst ab Lizenz P1. Fehlt sie, antwortet die Schnittstelle nicht mit Daten, sondern mit einer Ablehnung.

kjello behandelt das nicht als Fehler: Die Erfassung läuft weiter, die Spalte bleibt leer, und im Portal steht ein Hinweis, woran es liegt. Ehrlichkeit vor Schein — ein erfundener Wert wäre in einer Zugriffsprüfung schlimmer als eine leere Spalte.

Was Sie konkret tun

1. Verwaiste Konten leeren. Filtern Sie im Register auf verwaist und arbeiten Sie die Liste ab — jedes dieser Konten ist entweder überflüssig oder gehört jemandem, der dokumentiert werden muss.
2. Verantwortliche benennen. Fachanwendungen ohne Schnittstelle brauchen eine Person, die beim Austritt entzieht und bestätigt. Ohne sie läuft der Prozess ins Leere.
3. Entdeckte Anwendungen bewerten. Freigeben und in ein Bundle aufnehmen, oder abschalten.
4. Regelmäßig prüfen. Eine Zugriffsprüfung ist der Mechanismus, der verhindert, dass sich alles erneut ansammelt.

Gefunden heißt nicht entzogen

kjello meldet Abweichungen, entzieht aber nie von sich aus. Ein automatischer Entzug trifft irgendwann den Zugang, an dem gerade die Buchhaltung hängt. Entscheidungen über Zugänge treffen Menschen — kjello sorgt dafür, dass sie die nötigen Informationen dabei haben.

Verwandte Artikel

• Zugriffs-Register — alle Anwendungen und Konten an einem Ort.
• Zugriffsprüfung durchführen — regelmäßig bestätigen, wer was noch braucht.
• Offboarding-Nachweis — Austritte lückenlos belegen.
• GDAP & least-privilege — mit welchen Rechten hagel IT arbeitet.
• App-Freigabe verstehen — wie Software geprüft freigegeben wird.