Berechtigungsstrukturen sind das Fundament jeder sicheren IT-Landschaft – und in der Realität häufig historisch gewachsen, redundant und schwer nachvollziehbar. Vetrexa analysiert, bereinigt und optimiert Ihre Rollen- und Zugriffsstrukturen systemübergreifend, governance-konform und auditfähig. Wir kombinieren fachliche Rollenmodellierung (RBAC, ABAC, PBAC), belastbare Segregation-of-Duties-Regelwerke und wirksame Rezertifizierungskampagnen zu einem konsistenten Access-Governance-Zielbild. Als Silver Partner der NEXIS Plattform aktivieren wir den IVIP-Kern für Identitäten-, Rollen- und Entitlement-Analytik und verzahnen ihn mit Ihrem bestehenden Identity-Governance-and-Administration-(IGA)-Stack – von SailPoint über SAP GRC bis Active Directory. Von der Ist-Aufnahme bis zum kontinuierlichen Betrieb liefern wir belastbare Ergebnisse: revisionssicher, KPI-basiert und regulatorisch konform zu MaRisk AT 4.3.1 / AT 7.2, BAIT und DORA Kapitel II. Damit werden Berechtigungen aus einem Compliance-Kostenfaktor zu einem messbaren Steuerungs- und Sicherheitshebel Ihrer Organisation.
Überblick
Warum strukturiertes Berechtigungsmanagement heute unverzichtbar ist.
Regulierte Branchen stehen vor der Herausforderung, tausende Identitäten, Rollen und Berechtigungen über hybride Systemlandschaften hinweg konsistent, revisionssicher und effizient zu verwalten. Fehlende Transparenz, überprivilegierte Konten und ungelöste SoD-Konflikte gehören zu den häufigsten Feststellungen in Audits – und zu den größten Angriffsflächen im Bereich Cybersecurity. Ein tragfähiges Berechtigungsmanagement muss daher gleichzeitig drei Perspektiven bedienen: die fachliche Sicht der Rolleneigentümer, die technische Sicht der Systemadministration und die aufsichtliche Sicht von Revision, Compliance und externem Prüfer. Fehlt eine dieser Perspektiven, verlagern sich Probleme nur – gelöst werden sie nicht.
Wir kombinieren fachliche Beratung, tiefes Tool-Know-how (u. a. NEXIS Plattform, IVIP, SailPoint IIQ) und regulatorische Expertise zu einem integrierten Ansatz. Ergebnis: klare Rollenmodelle, saubere Berechtigungen, wirksame Rezertifizierungen und ein KPI-basiertes Reporting, das Vorstand, Revision und Aufsicht gleichermaßen überzeugt.
Die Komplexität wächst dabei aus mehreren strukturellen Treibern gleichzeitig: Die Cloud-Migration (Microsoft Entra ID, AWS IAM, Google Cloud IAM, SaaS-Portale) verdoppelt praktisch über Nacht die Zahl der zu governierenden Zielsysteme und schafft neue Entitlement-Modelle jenseits klassischer AD-Gruppen. Fusionen, Übernahmen und Carve-Outs zwingen dazu, heterogene Rollenmodelle zusammenzuführen, Namenskonflikte aufzulösen und regulatorische Verantwortungen sauber zu trennen. Fachkarrieren und laterale Wechsel führen zu Berechtigungs-Akkumulation („privilege creep"), wenn beim Rollenwechsel Altrechte nicht konsequent entzogen werden. Technische Nutzer, Service Accounts und Non-Human Identities (NHI) – von RPA-Bots über Kubernetes-Workloads bis zu API-Clients – wachsen in vielen Häusern zahlenmäßig schneller als die menschlichen Identitäten und sind gleichzeitig am schwächsten dokumentiert. Hinzu kommen Drittanbieter-Zugänge (ICT-Third-Party-Provider im Sinne von DORA), Break-Glass-Konten und zeitlich befristete Just-in-Time-Zugriffe, die jeweils eigene Governance-Regeln erfordern. Ein modernes Access-Governance-Zielbild muss diese Vielfalt in einem konsistenten IGA-Datenmodell abbilden, damit Rezertifizierung, SoD-Analyse und Reporting nicht in Silos zerfallen.
Leistungen
Was wir für Sie umsetzen.
Sechs Bausteine für ein konsistentes, auditfähiges und wirtschaftlich tragfähiges Berechtigungsmanagement.
01
Analyse & Bereinigung bestehender Berechtigungen
Wir schaffen Transparenz über gewachsene Berechtigungslandschaften, identifizieren Redundanzen und beseitigen Alt-Lasten systemübergreifend. Mittels Role Mining und Peer-Group-Analyse aus dem IVIP-Kern der NEXIS Plattform quantifizieren wir Über- und Unterberechtigungen faktenbasiert. Die Bereinigung erfolgt in kontrollierten Wellen, jede mit definierten Erfolgs- und Rollback-Kriterien.
Ist-Aufnahme und Inventarisierung aller Berechtigungen
Erkennung verwaister und redundanter Konten
Analyse überprivilegierter User und Toxic Combinations
Peer-Group-Analyse und statistische Ausreißer-Erkennung
Kontrollierte Rollback-Fähigkeit je Bereinigungswelle
02
RBAC-Modellierung & Rollendesign
Wir entwerfen belastbare Rollenmodelle, die fachliche Prozesse abbilden und gleichzeitig technisch effizient betreibbar sind. Business-Rollen bündeln fachliche Aufgabenprofile, technische Rollen kapseln System-Entitlements – dazwischen entsteht eine klare, mehrstufige Rollenhierarchie, die Vererbung, Ausnahmen und Owner Delegation sauber trennt. Ergänzend integrieren wir attributbasierte Steuerung (ABAC) und Policy-basierte Modelle (PBAC), wo statische Rollen nicht ausreichen.
Rollenkonzepte auf Basis von Business-Prozessen
Role Mining und Rollen-Konsolidierung mit NEXIS
Trennung von Business- und IT-Rollen
Genehmigungs- und Antragsprozesse
Governance-Modell inkl. Rolleneigentümer
Mehrstufige Rollenhierarchie mit sauberer Vererbung
Kombination von RBAC, ABAC und PBAC nach Anwendungsfall
03
SoD-Analyse & Konfliktbereinigung
Wir identifizieren, bewerten und beseitigen Konflikte der Funktionstrennung (Segregation of Duties) – regelbasiert und nachvollziehbar. Die SoD-Matrix wird prozessorientiert aus fachlichen Risikoszenarien abgeleitet (z. B. Anlage/Freigabe Kreditor, Bestellung/Wareneingang, Zahlungsauslösung/Kontenpflege) und systemübergreifend gegen SAP, Active Directory und Cloud-Rollen validiert. Für unvermeidbare Konflikte etablieren wir dokumentierte, mitigierende Kontrollen mit klarer Ownership und regelmäßigem Wirksamkeitsnachweis.
Definition und Pflege des SoD-Regelwerks
Systemübergreifende Konfliktanalyse
Risikobewertung und Priorisierung
Mitigierende Kontrollen für Ausnahmen
Kontinuierliches SoD-Monitoring
Prozessorientierte SoD-Matrix mit Risikoszenarien
Nachweis der Kontrollwirksamkeit (Design & Operating Effectiveness)
04
Rezertifizierungskampagnen & Access Reviews
Wir konzipieren und betreiben revisionssichere Rezertifizierungen – von der Kampagnenplanung bis zur Auswertung. Standardisierte Access Review Templates, klar definierte Escalation Rules und rechtssichere Attestation-Workflows stellen sicher, dass jede Entscheidung dokumentiert, zurechenbar und wiederauffindbar ist. Ergänzend etablieren wir Micro-Certification für privilegierte und hochriskante Rollen mit deutlich verkürzten Zyklen.
Kampagnendesign nach Risiko- und Systemklassen
Owner-Reviews und Eskalationslogik
Automatisierte Reminder und Fristensteuerung
Revisionssichere Dokumentation und Audit-Trail
Auswertung und Ableitung von Korrekturmaßnahmen
Access Review Templates mit Owner Delegation
Micro-Certification für privilegierte Zugriffe
05
NEXIS-Plattform-Einführung & IVIP-Aktivierung
Als NEXIS Silver Partner begleiten wir Sie von der Toolauswahl bis zum produktiven Betrieb der NEXIS Plattform mit IVIP-Kern. Wir konsolidieren Identitäten und Entitlements aus SailPoint, SAP, Active Directory und Cloud-Verzeichnissen in einem einheitlichen Analytics-Modell und aktivieren Role Mining, Peer-Group-Analyse sowie kontinuierliche SoD-Prüfung. Der Rollout erfolgt inkrementell mit klar getakteten Datenladewellen und messbaren Governance-Meilensteinen.
Fit/Gap-Analyse und Business Case
Anbindung der Quellsysteme und Datenqualität
Konfiguration von IVIP, Role Mining und Reviews
Integration in bestehende IAM-/IGA-Landschaft
Enablement und Wissenstransfer an Ihre Fachbereiche
Konsolidiertes Analytics-Modell über hybride Quellen
Getaktete Datenladewellen mit klaren Governance-Meilensteinen
06
Governance-Reporting & KPI-Dashboards
Wir liefern Kennzahlen und Reports, die Steuerungsfähigkeit für Fach, IT, Revision und Aufsicht schaffen. Zentrale KPIs wie „Time-to-Certify", „SoD-Konflikte offen/mitigiert", „verwaiste Konten je System" und „Rezertifizierungs-Reaktionsquote" werden in Power BI visualisiert und mit definierten Schwellenwerten hinterlegt. Ergänzend erzeugen wir aufsichtskonforme Ad-hoc-Berichte, die im Prüfungsfall auf Knopfdruck zur Verfügung stehen.
Definition risikoorientierter KPIs
Power-BI-Dashboards für Management und Revision
Regulatorische Reports (MaRisk, BAIT, DORA)
Trend-Analysen und Reifegradmessung
Automatisierte Datenaufbereitung aus IGA-Quellen
Schwellenwert-basierte Alerts und Eskalation
Aufsichtskonforme Ad-hoc-Berichte auf Knopfdruck
Vorgehen
Unser Vorgehen in 4 Phasen.
Ein klar strukturierter Weg von der Analyse bis zum nachhaltigen Betrieb – iterativ, transparent, auditfähig.
01
Analyse
Ist-Aufnahme aller Identitäten, Rollen, Berechtigungen und Prozesse. Auswertung von SoD-Konflikten, überprivilegierten Konten und Governance-Lücken. Ergebnis: belastbares Lagebild und priorisierter Handlungsbedarf.
02
Design
Entwurf des Zielbilds: RBAC-/ABAC-Modell, SoD-Regelwerk, Rezertifizierungsprozess, Rollen-Governance und Tool-Architektur (z. B. NEXIS Plattform, SailPoint IIQ). Abnahme durch Fach, IT und Compliance.
03
Umsetzung
Konfiguration, Rollen-Rollout, Bereinigung, Anbindung von Quellsystemen, Aufbau von Reports und Schulung der Rolleneigentümer. Umsetzung in klar geschnittenen Wellen mit definierten Erfolgskriterien.
04
Kontinuität
Betrieb der Rezertifizierungskampagnen, kontinuierliches Monitoring, KPI-Reporting und iterative Weiterentwicklung des Rollenmodells – als Managed Service oder in Ihrer Organisation verankert.
Regulatorik
Regulatorik & Compliance im Detail.
Wie sich Berechtigungsmanagement konkret zu den relevanten Anforderungen mappen lässt.
MaRisk / BAIT
MaRisk AT 7.2 und BAIT Kapitel 5 (Benutzerberechtigungsmanagement) verlangen eine dokumentierte Bedarfsermittlung, das Vier-Augen-Prinzip bei Vergabe und Änderung sowie eine regelmäßige, risikoorientierte Rezertifizierung. Wir setzen dies über technisch erzwungene Trennung von Antragsteller und Genehmiger, definierte Zyklen für Standard- und privilegierte Rechte sowie eine revisionsfeste Beweiskette in NEXIS und SailPoint um. Auch die Anforderungen an Notfall- und Break-Glass-Zugänge (AT 7.3, BAIT 6) werden konsequent adressiert.
DORA
Die Digital Operational Resilience Act (DORA), Kapitel II und V, adressiert insbesondere ICT-Risk-Management und ICT-Third-Party-Access-Governance. Wir konsolidieren Zugriffe von externen ICT-Dienstleistern in einem gemeinsamen Entitlement-Register, verknüpfen sie mit dem Vertrags- und Konzentrationsrisikoregister und stellen sicher, dass Zugriffsrechte gemäß RTS on ICT Risk Management nachweisbar minimal, zweckgebunden und zeitlich begrenzt sind. Meldepflichtige Vorfälle (Art. 17 ff.) werden über den Access-Governance-Audit-Trail direkt anschlussfähig.
ISO 27001:2022
Die überarbeiteten Controls A.5.15 bis A.5.18 fassen Access Control, Identity Management, Authentication Information und Access Rights zusammen. Wir übersetzen die Controls in konkrete Prozessbausteine – Antrag, Genehmigung, Zuteilung, Überprüfung, Entzug – und dokumentieren sie in einer Kontroll-Matrix, die sich unmittelbar für ISO-27001-Audits und Statement of Applicability (SoA) nutzen lässt. Nachweise werden aus IGA und NEXIS Plattform automatisiert erzeugt.
Projekterfahrung
Ausgewählte Projekte.
Repräsentative Referenzprojekte – ohne Kundennennung.
Banking
Berechtigungsbereinigung & RBAC-Rollout
Systemübergreifende Bereinigung von Alt-Berechtigungen, Rollenkonsolidierung mit NEXIS/IVIP, Aufbau von Governance und KPI-Reporting.
NEXIS · IVIP · SailPoint IIQ · SAP · AD · Power BI · MaRisk
Versicherung
Revisionssichere Rezertifizierung
Konzeption und Betrieb halbjährlicher Kampagnen. Owner-Reviews, Eskalationslogik, Audit-Trail und automatisierte Reports.
Eigenständiger DORA-Case: Konsolidierung von rund 12.000 Entitlement-Rules in ein einheitliches Zielmodell, RTS-konformes ICT-Risk-Register mit direkter Verknüpfung zu Third-Party-Zugriffen und automatisierten Nachweisen für Aufsicht und Wirtschaftsprüfer.
DORA RTS · NEXIS · IVIP · SailPoint IIQ · ServiceNow · Power BI
IT-Services
SoD-Regelwerk & Konfliktbereinigung
Aufbau eines konzernweiten SoD-Regelwerks, systemübergreifende Konfliktanalyse und Etablierung mitigierender Kontrollen.
NEXIS · SAP GRC · Jira/XRay · Power BI · COBIT
Automotive
Rechenzentrums-Berechtigungsbereinigung
Systemübergreifende Bereinigung privilegierter Zugriffe in Rechenzentrumsumgebungen: Analyse von Admin-Accounts, Just-in-Time-Zugriffskonzept und Härtung von Break-Glass-Prozessen unter Einbindung von PAM-Werkzeugen.
Active Directory · PAM · SailPoint IIQ · ServiceNow · ISO 27001
Industrie
NEXIS-Rollout mit IVIP
End-to-End-Rollout der NEXIS Plattform mit IVIP-Kern über hybride SAP-, AD- und Cloud-Verzeichnisse. Rollenkonsolidierung, Role Mining und Aufbau eines konzernweiten Rezertifizierungsprozesses als Managed Service.
NEXIS · IVIP · SAP · AD · Microsoft Entra ID · Power BI
Toolset & Frameworks
Womit wir arbeiten.
Erprobte Werkzeuge und Rahmenwerke für Berechtigungsmanagement und Access Governance.
NEXIS Plattform
IVIP
SailPoint IIQ
SAP
Active Directory
ServiceNow
Power BI
COBIT
MaRisk
DORA
ISO 27001
Verwandte Kompetenzen
Passt gut dazu.
Weiterführende Themen aus dem Vetrexa-Portfolio.
IAM & Security
Zielbild, IGA, PAM und Zero Trust – die strategische Klammer um Ihr Berechtigungsmanagement.
Vier Leitplanken aus der Projektpraxis – was funktioniert und was verlässlich in die Rollen-Explosion führt.
01
Business-Rollen vor technischen Rollen
Rollenmodelle scheitern typischerweise, wenn sie aus technischen Berechtigungen rückwärts konstruiert werden. Startpunkt ist immer der fachliche Aufgabenschnitt („Kreditsachbearbeiter Firmenkunden", „HR-Recruiter"). Technische Rollen (SAP-Profile, AD-Gruppen, Cloud-Rollen) werden erst darunter gebündelt und über Zuweisungslogiken angebunden – nicht umgekehrt.
02
Rollenhierarchie mit Augenmaß
Zwei bis maximal drei Hierarchieebenen sind in der Praxis handhabbar: Basisrolle, Business-Rolle, ergänzende Zusatzrolle. Tiefere Vererbungsbäume erzeugen versteckte Rechte, die weder Owner noch Revision zuverlässig überblicken. Vererbung ist ein Werkzeug – kein Selbstzweck.
03
Reject-Attitüde bei Redundanz
Jede neue Rolle wird aktiv gegen den bestehenden Katalog validiert: Deckungsgrad, Überlappung, Ähnlichkeit. Redundante Rollen werden konsequent abgelehnt oder mit bestehenden konsolidiert. Ohne diese Disziplin wächst das Rollenmodell linear mit der Zahl der Antragsteller – und wird unwartbar.
04
Minimales SoD, konsequent durchgesetzt
Ein SoD-Regelwerk mit zehn hoch relevanten Regeln, die konsequent überwacht und durchgesetzt werden, wirkt besser als ein Katalog mit hunderten Regeln, die niemand mehr pflegt. Priorisierung nach Prozessrisiko und Wesentlichkeit ist Pflicht. Ausnahmen erhalten Ownership, Kompensationskontrolle und Verfallsdatum.
FAQ
Häufige Fragen.
Wie unterscheidet sich RBAC von ABAC?
RBAC (Role-Based Access Control) vergibt Berechtigungen anhand definierter Rollen – strukturell klar, einfach auditierbar und ideal für stabile Organisationen. ABAC (Attribute-Based Access Control) entscheidet dynamisch anhand von Attributen wie Abteilung, Standort, Uhrzeit oder Risikoklasse und ist flexibler bei komplexen, kontextabhängigen Zugriffsentscheidungen. In der Praxis kombinieren wir häufig beide Ansätze: RBAC als Fundament, ABAC für feingranulare Ausnahmen und Risiko-Entscheidungen.
Wie unterscheiden sich RBAC, ABAC und PBAC?
RBAC vergibt Rechte über definierte Rollen und ist statisch, auditierbar und einfach zu erklären. ABAC (Attribute-Based Access Control) trifft Entscheidungen dynamisch auf Basis von Nutzer-, Ressourcen- und Kontext-Attributen und eignet sich für feingranulare, situationsabhängige Zugriffe. PBAC (Policy-Based Access Control) hebt die Steuerung auf die Ebene deklarativer Richtlinien – Policies aggregieren mehrere Attribute und Rollen und werden zentral in einer Policy Engine ausgewertet. In der Praxis nutzen wir RBAC als Fundament, ABAC für Ausnahmen und PBAC insbesondere in Zero-Trust- und Cloud-Architekturen.
Was ist der Nutzen der NEXIS Plattform gegenüber Bordmitteln?
Die NEXIS Plattform mit dem IVIP-Kern liefert eine systemübergreifende Sicht auf Identitäten, Rollen und Berechtigungen inklusive Visualisierung, Role Mining und automatisierten Empfehlungen. Bordmittel einzelner Systeme (SAP, AD, ServiceNow) zeigen jeweils nur den eigenen Ausschnitt und decken SoD-Konflikte, verwaiste Konten oder Redundanzen kaum systemübergreifend auf. NEXIS beschleunigt Bereinigung, Rezertifizierung und Reporting erheblich.
Wie oft sollten Rezertifizierungen durchgeführt werden?
Für kritische Systeme und privilegierte Zugriffe empfehlen wir mindestens halbjährliche Rezertifizierungen, für Standardberechtigungen jährliche Kampagnen. Ereignisgesteuerte Reviews (Mover, Leaver, Reorganisation) sowie risikobasierte Ad-hoc-Rezertifizierungen ergänzen den regulären Zyklus und entsprechen den Anforderungen von MaRisk AT 4.3.1 und DORA Art. 9.
Wie oft sollte man IGA-Reviews durchführen?
Über die reine Rezertifizierung hinaus empfehlen wir ein gestuftes Review-Modell: quartalsweise Reviews für privilegierte Zugriffe und kritische Anwendungen, halbjährliche Reviews für Standardsysteme in regulierten Bereichen und mindestens jährliche Reviews für den Massen-Standard. Ergänzt wird das Modell durch ereignisgesteuerte Reviews (Rollenwechsel, Reorganisation, Austritt), risikobasierte Ad-hoc-Reviews sowie eine kontinuierliche IGA-Kontrolle über Analytics in NEXIS und SailPoint – so entsteht ein Rhythmus, der sowohl aufsichtsrechtlich (MaRisk, DORA) als auch operativ tragbar ist.
Wie geht man mit hunderttausenden Berechtigungen um?
Der Umgang mit sehr großen Berechtigungsvolumina – typischerweise mehrere hunderttausend Entitlements über SAP, Active Directory, Cloud und Fachsysteme – gelingt nur mit einem klaren Analytics-Ansatz. Wir bauen zunächst ein konsolidiertes Datenmodell in der NEXIS Plattform, klassifizieren Entitlements nach Risiko, Nutzung und Redundanz, und leiten daraus Rollen-Kandidaten per Role Mining und Peer-Group-Analyse ab. Rezertifizierungen werden durch Owner Delegation, risikobasiertes Sampling und Micro-Certification wirtschaftlich betreibbar; Bereinigungen erfolgen in Wellen mit klaren Erfolgskriterien statt als Big-Bang.
Wie stellen Sie MaRisk-/DORA-Compliance sicher?
Wir richten Berechtigungsprozesse konsequent an MaRisk AT 7.2, BAIT und DORA Kapitel II aus: dokumentierte Rollenmodelle, nachvollziehbare Antrags- und Genehmigungswege, revisionssichere Rezertifizierungen, SoD-Kontrollen, KPI-Reporting und Audit-Trails. Kontrollen werden als Nachweise in Power BI und im GRC-Tool bereitgestellt und regelmäßig durch interne Revision und Wirtschaftsprüfer bestätigt.
Berechtigungen im Griff. Governance nachweisbar.
Sprechen Sie mit uns über Ihre Berechtigungsstrukturen – wir zeigen Ihnen den schnellsten Weg zu Transparenz, Compliance und wirtschaftlichem Betrieb.