Die meisten Ratschläge zum Zugriffsmanagement teilen Menschen in zwei säuberliche Gruppen: Ihre Mitarbeiter und Ihre externen Dienstleister. Mitarbeiter bekommen verwaltete Geräte, Verzeichniskonten und einen Platz in Ihrem Sicherheitsaufbau. Dienstleister bekommen von außen zugeschnittene, temporäre Verbindungen, wofür genau unsere Secure Remote Access-Lösung mit ihrer Vendor-Access-Komponente gebaut wurde.
Auftragnehmer und Saisonkräfte passen in keine der beiden Schubladen sauber hinein. Ein Entwickler mit Sechs-Monats-Vertrag oder eine Aushilfe, die eine Elternzeit vertritt, arbeitet meist auf Ihren Geräten, meldet sich mit einem Verzeichniskonto an und agiert innerhalb Ihrer Umgebung genau wie ein fest angestellter Mitarbeiter. Eine für den Weihnachtstrubel angeheuerte Saisoncrew im Einzelhandel ist nicht anders.
Doch ihre Zeit bei Ihnen ist kurz und hat oft ein festgelegtes Enddatum, das vom ersten Tag an irgendwo festgehalten ist. Diese Kombination, Insider-Zugriff mit eingebautem Ablaufdatum, ist eine, die viele Organisationen schlechter handhaben als reine Mitarbeiter oder reine Dienstleister.
Warum Zeitpersonal eine eigene Kategorie ist
Der Instinkt sagt, diese Arbeitskräfte als “Mitarbeiter, nur schneller” oder “im Grunde Dienstleister” zu behandeln. Beide Abkürzungen bereiten Probleme.
Das Dienstleister-Drehbuch greift nicht, weil Sie über einen Auftragnehmer weit mehr Kontrolle haben als über einen Dienstleister. Ein externer Dienstleister sitzt an seinem eigenen Laptop, außerhalb Ihrer Domäne, und arbeitet unter Bedingungen, die Sie nicht einsehen können. Ein Auftragnehmer auf einem von Ihnen ausgegebenen Rechner, innerhalb Ihres Netzwerks, mit einem Konto in Ihrem Verzeichnis, ist einem Insider viel näher, sodass ein Zuschnitt wie bei einer externen Partei die Arbeit entweder zu stark einschränkt oder das eigentliche Risiko verfehlt.
Das Mitarbeiter-Drehbuch greift ebenso wenig, und der Grund ist das Timing. Eine Festanstellung wird unter der Annahme bereitgestellt, dass die Beziehung auf unbestimmte Zeit fortbesteht, und das Offboarding setzt erst ein, wenn sich etwas ändert. Zeitpersonal dreht das um. Das Ende ist im Voraus bekannt, doch die auf sie angewandte Zugriffsdisziplin ist meist lockerer als die für Festangestellte, nicht strenger.
Das unterscheidet dies auch von Privilege Creep oder ruhenden Konten, wo Zugriff über Monate durch Nachlässigkeit abdriftet oder sich anhäuft. Hier driftet nichts. Der Zugriff war von Tag eins an bewusst temporär, und die Lücke besteht darin, dass er selten auch so verwaltet wird.
Zu viel, zu schnell gewähren
Saison- und Vertragseinstellungen erfolgen tendenziell in Wellen und unter Zeitdruck. Ein Einzelhändler, der für die Feiertage aufstockt, stellt womöglich Dutzende Menschen in einer Woche ein, und ein Projektteam, das gegen eine Frist rennt, will seine Auftragnehmer ab Tag eins produktiv haben, statt auf Zugriffstickets zu warten. Dieser Druck treibt Teams zu zwei Abkürzungen, die beide echtes Risiko erzeugen.
Die erste ist das Kopieren des Zugriffs eines bestehenden Nutzers. Statt herauszuarbeiten, was ein neuer Auftragnehmer wirklich braucht, klont jemand die Berechtigungen eines aktuellen Mitarbeiters in einer ähnlichen Rolle. Das geht schnell und gewährt fast immer mehr, als die Aufgabe erfordert, einschließlich Zugriff auf Systeme, die der Auftragnehmer nie anrühren wird.
Die zweite ist das Verteilen lokaler Admin-Rechte, um künftigen Support-Tickets vorzubeugen. Gibt man einem Auftragnehmer Admin-Rechte auf seinem Rechner, so der Gedanke, kann er installieren, was er braucht, ohne den Helpdesk zu behelligen. Doch lokale Admin-Rechte sind genau das, was ein Angreifer will. Wird das Konto kompromittiert, erbt alles Schädliche, das es ausführt, diese Rechte, und die Workstation einer Kurzzeitkraft wird zum Standfuß in Ihr Netzwerk.
Gestohlene Zugangsdaten bleiben einer der führenden Wege, auf denen Angreifer den ersten Fuß in die Tür bekommen, selbst nachdem das Ausnutzen von Schwachstellen sie im Verizon-Sicherheitsbericht 2026 vom Spitzenplatz verdrängt hat. Überbereitgestellte temporäre Konten sind ein großzügiges Angebot an genau der Art von Zugangsdaten, hinter der sie her sind.
Das Ablaufdatum, das nie auslöst
Selbst Organisationen mit sauberem Onboarding stolpern hier meist. Der Zugriff wurde als temporär gewährt, allen war klar, dass er temporär war, und dann kommt das Enddatum und nichts passiert.
Wenn der Vertrag ausläuft und die Arbeitskraft weiterzieht, bleibt das Konto oft aktiv, die Admin-Rechte bleiben zugewiesen, und der Zugriff funktioniert weiter, lange nachdem irgendjemand einen Grund hätte, ihn zu nutzen. Nun haben Sie ein aktives, privilegiertes Konto, das jemandem gehört, der nicht mehr mit dem Unternehmen verbunden ist, und das unbeobachtet daliegt. Niemand überwacht es, weil niemand diese Person noch als “hier” wahrnimmt, was es zu einem idealen Ziel macht.
Der Grund, warum das so oft geschieht, ist, dass der Auslöser für den Entzug ein Datum ist, kein Ereignis. Eine Kündigung erzeugt eine E-Mail und einen sichtbaren Abgang. Ein Vertrag, der still sein Enddatum erreicht, erzeugt nichts, es sei denn, jemand hat einen Prozess gebaut, der es abfängt. Das Wissen, dass der Zugriff entzogen werden sollte, ist vorhanden, aber es hängt an nichts, das zum Handeln zwingt.
Praktische Kontrollen, die zu befristeter Arbeit passen
Dieselben Prinzipien, die Rechte für alle anderen regeln, gelten auch hier, und einige passen besonders gut auf befristete Arbeit:
- Streichen Sie dauerhafte lokale Admin-Rechte. Lassen Sie Arbeitskräfte einzelne Aufgaben bei Bedarf ausweiten, jede davon angefragt und protokolliert, statt durchgehend Admin-Rechte zu halten. Unsere EPM-Lösung tut das über Rechteausweitung pro Anwendung und zeitlich begrenzte Admin-Sitzungen, die zu Arbeit mit fester Laufzeit passen: Der Zugriff besteht für das Fenster, in dem er gebraucht wird, dann ist er weg.
- Fassen Sie sie als eigene Gruppe zusammen. Sub-Settings im Portal lassen Saisonkräfte oder Auftragnehmer unter strengeren Richtlinien laufen als Festpersonal, mit strikteren Genehmigungen, engeren Anwendungsfreigaben und kürzeren Sitzungsgrenzen.
- Nutzen Sie den Audit-Trail. Ein vollständiges Protokoll dessen, was diese Konten dürfen und getan haben, lässt Sie eines erkennen, das nach dem Abgang seines Inhabers noch Aufgaben ausweitet, und die Frage “wer hat noch lokale Admin-Rechte?” ohne manuelle Suche beantworten.
Zusammengenommen halten diese den Zugriff eines Auftragnehmers eng an die Arbeit gebunden, für die er geholt wurde, und über die gesamte Zeit, in der er ihn hat, sichtbar.
Der Teil, den Werkzeuge nicht lösen können
Es wäre bequem zu sagen, das richtige Produkt lasse das Problem mit dem Zeitpersonal verschwinden, aber das wäre nicht ehrlich. Werkzeuge setzen Rechte gut durch und prüfen sie. Was sie allein nicht können, ist zu wissen, wann ein Vertrag endet, oder zu entscheiden, wer die Bereinigung verantwortet. Dieser Teil ist Prozessdisziplin, und er läuft auf drei Gewohnheiten hinaus:
- Benennen Sie das Enddatum bei der Bereitstellung. Legen Sie es fest, wenn der Zugriff gewährt wird, nicht wenn es jemandem später zufällig auffällt.
- Weisen Sie einen Verantwortlichen für das Offboarding zu. Ein Festangestellter hat einen Vorgesetzten, der seinen Abgang abzeichnet; Zeitpersonal braucht dieselbe Zurechenbarkeit.
- Prüfen Sie vor jeder Verlängerung. Wenn ein Vertrag verlängert wird, begründen Sie den Zugriff neu, statt das Bestehende einfach abzunicken.
Eine Arbeitskraft, die eng zugeschnitten, aber nie offboardet wurde, ist trotzdem ein Risiko, weshalb die Gewohnheiten ebenso wichtig sind wie die Kontrollen. Bringen Sie beides in Ordnung, und der Zugriff eines Auftragnehmers bleibt an die Arbeit gebunden und endet mit ihr.
Wenn Sie sehen möchten, wie granulare, geprüfte Rechtekontrolle auf den Endpunkten funktioniert, die diese Arbeitskräfte tatsächlich nutzen, können Sie unsere EPM-Lösung kostenlos für bis zu 25 Endpunkte ausprobieren, ohne Zeitlimit und ohne versteckte Bedingungen.
Dieser Blog wurde ursprünglich auf Englisch auf unserer Website veröffentlicht. Das Original finden Sie hier.
