Zugriffskontrolle und MFA nach NIS-2 einfach erklärt

Autor Christian Ehrmann · Stand 28.08.2026 · https://www.catenis.de/lexikon/zugriffskontrolle

Bei Zitat URL und Abrufdatum angeben. Keine Rechtsberatung.

Was es ist

Zugriffskontrolle begrenzt, wer auf Systeme und Daten zugreifen darf. Mehr-Faktor-Authentifizierung, Berechtigungen und Personalsicherheit gehören dazu. NIS-2 und die Cyber-Fragebögen fragen das intern und bei Lieferanten ab; die Leitlinie allein setzt das nicht um.

Zugriff ist Technik und Personal. Konten entstehen, ändern sich, müssen sterben. Rollen müssen zum Job passen. MFA muss an den Zugängen sitzen, die aus der Ferne oder mit hohen Rechten kommen. Eine Leitlinie, die das fordert, ohne dass die Verzeichnisdienste es tun, ist Dekoration.

Personalsicherheit meint Eintritt, Wechsel, Austritt, Vertretung, das jährliche Berechtigungsreview. Nicht jedes KMU braucht ein Konzern-IAM. Es braucht eine Liste der wichtigen Systeme, einen Owner und den Nachweis, dass Konten nicht ewig leben. Catenis führt die Maßnahme und den Nachweis; es ist kein Verzeichnisdienst.

Dieselben Fragen gehen an Lieferanten mit Zugang: Wer kommt per Fernwartung, mit welchem Faktor, wer schaltet ab, wenn der Auftrag endet? Der Standard- und der Premium-Fragebogen holen das ab. Premium geht tiefer in IAM und Logging.

Notfallzugänge und Break-glass-Konten gehören auf dieselbe Liste. Sie retten den Betrieb und sind das erste, was Angreifer suchen, wenn sie schlecht gesichert sind. Catenis hält den Nachweis, dass jemand sie benannt und geprüft hat. Es verwaltet die Konten nicht.

Gesicherte dienstliche Kommunikation und ein Notfallkanal stehen im Gesetz neben MFA. Im Mittelstand reicht oft eine benannte zweite Strecke, wenn Mail und Chat ausfallen. Die Maßnahme bündelt das mit Personal und Zugriff. Getrennte Romane dazu braucht es nicht, eine datierte Notiz schon.

Geltungsbereich

Für die erfasste Einrichtung gehören eigene Systeme, Cloud-Tenants und typische Admin-Wege in den Kreis. MFA mindestens dort, wo Remote-, Admin- oder Cloud-Admin-Zugang besteht. Ausnahmen müssen begründet und kurz sein. Eine globale Ausnahme „weil die Software das nicht kann“ ohne Owner und Termin ist später schwer zu halten.

Dienstleister mit privilegiertem Zugang stehen in derselben Betrachtung. Ein MSP ohne MFA auf dem Sprungserver ist das eigene Risiko, nicht nur seines. Die Lieferketten-Ampel und der Fragebogen machen das sichtbar.

Logging und Nachvollziehbarkeit hängen am Zugriff, sind aber eigene Arbeit. Wer MFA einschaltet und nie prüft, wer privilegiert war, hat die halbe Kontrolle. Der Premium-Bogen fragt Logging; das NIS-2-Minimum verlangt den dokumentierten Zugriff inkl. Personal.

Produktionssysteme, Fernwartung der Maschinenbauer und geteilte Hallen-PCs fallen oft aus der Office-MFA. Genau dort sitzt später der Vorfall. Der Geltungsbereich der Leitlinie und die Zugriffsliste müssen dieselben Systeme meinen. Sonst ist die Office-Cloud grün und die Linie offen.

Werkverträge und Zeitarbeit erzeugen Konten, die niemand als „Mitarbeiter“ führt. Die Personalsicherheit muss sie trotzdem ein- und aussteuern. Catenis fragt das intern als Maßnahme und beim Partner als Bogen. Die Verzeichnisarbeit bleibt bei IT und Personal.

Was zu tun ist

Wichtige Systeme und die Zugangswege listen. Owner je System. MFA-Stand festhalten: wo Pflicht, wo Ausnahme, welcher Nachweis (Config, Screenshot, IT-Bestätigung). In Catenis die Maßnahme Zugriff mit Evidence führen.

Joiner-Mover-Leaver als kurzen Prozess: wer beantragt, wer genehmigt, wer entzieht. Jährliches Review datieren. Vertretungskonten und Generic-Admins besonders markieren.

Lieferanten mit Zugang denselben Maßstab anlegen: Fragebogen, Vertrag, Entzug am Vertragsende. Offene rote Antworten nicht in der Ampel belassen, ohne Frist.

Die Leitlinie auf denselben Stand bringen. Wenn P1 MFA fordert und die Cloud sie nicht hat, ist entweder die Leitlinie oder die Cloud falsch – die Akte muss eine der beiden Wahrheiten tragen.

Reviews kalendern. Nach Austritten sofort, sonst mindestens jährlich. In Catenis das Review-Datum der Maßnahme setzen. Ein Screenshot ohne Datum ist später wertlos. Ausnahmen mit Owner und Termin führen, nicht als ewige Fußnote.

Beim Partner nachfassen, sobald der eigene Admin-Weg sich ändert: neuer MSP, neues VPN, neues Cloud-Tenant. Die alte Antwort im Bogen gilt dann nicht mehr. Frist setzen, sonst bleibt die Ampel aus Gewohnheit grün.

Notfallkanal testen, nicht nur benennen. Eine Nummer, die niemand abnimmt, ist keine gesicherte Kommunikation. Das Protokoll neben den MFA-Nachweis legen.

Typischer Fehler

Der häufigste Fehler: MFA nur für das E-Mail-Konto, Admin-RDP ohne zweiten Faktor. Der zweite: Shared-Accounts „für die Schicht“, die niemand entzieht. Der dritte: den Fragebogen des Lieferanten auf „wir haben eine Policy“ zu akzeptieren, ohne zu fragen, ob dessen Techniker MFA nutzen.

Ein abgelaufener Nachweis (Screenshot von vor zwei Jahren) trägt das Review nicht. Zugriff ändert sich mit jedem Austritt.

Der vierte: Generic-Admins „weil die Software das so will“ ohne benannte Person dahinter. Der fünfte: MFA per SMS als einzige Methode auf dem Konto, das die Domain hält, ohne das Risiko festzuhalten. Catenis bewertet das Verfahren nicht; die Akte muss die Wahl tragen. Wer Austritte nur in der Personalakte führt und IT nicht informiert, lässt Konten leben.

Grenze

Das Lexikon schreibt keine Architektur und sagt nicht, welches MFA-Verfahren im Einzelfall genügt.

Catenis dokumentiert Maßnahme, Fragebogen und Nachweis. Es schaltet keine Konten und spricht nicht mit dem BSI. Portal, Einordnung und Behördenmeldung bleiben extern.