Residual Access

Wer in einem Unternehmen arbeitet, bekommt Zugänge: ein Benutzerkonto, ein Passwort, vielleicht eine Chipkarte für die Tür. Verlässt die Person die Firma, sollten all diese Zugänge sofort gesperrt werden. In der Praxis passiert das oft nur teilweise. Der Mailaccount wird gelöscht, aber der Zugang zum Buchhaltungsprogramm bleibt aktiv. Genau diesen Rest nennt man Residual Access: einen Zugriff, der weiter funktioniert, obwohl niemand ihn mehr braucht oder haben darf. Das Gleiche gilt für Software von Fremdfirmen, die nach dem Projektende noch immer in die Datenbank schauen kann.

Die vergessene Hintertür als Sicherheitsrisiko

Ein aktiver Zugang, den niemand mehr beobachtet, ist für Angreifer besonders attraktiv. Wenn ein Mitarbeiter täglich einloggt, fällt ein fremder Login aus einem anderen Land schnell auf. Bei einem Konto, das seit zwei Jahren tot ist, schaut niemand hin. Angreifer können sich dort wochenlang bewegen, ohne entdeckt zu werden. Studien zu Datenlecks nennen veraltete oder verwaiste Konten regelmäßig als eine der häufigsten Ursachen.

Dazu kommt ein rechtliches Problem. Die europäische Datenschutz-Grundverordnung verlangt, dass Unternehmen nachweisen können, wer auf personenbezogene Daten zugreifen darf. Ein vergessener Zugang eines ehemaligen Dienstleisters ist in diesem Sinne ein Verstoß. Kommt es zu einem Datenleck, drohen Bußgelder. Aufsichtsbehörden fragen dann sehr genau nach, wer wann welche Rechte hatte.

Für Investoren ist das Thema deshalb kein reines IT-Detail. Bei Firmenübernahmen prüfen Käufer inzwischen routinemäßig, ob die zugekaufte Firma ihre Zugangsrechte im Griff hat. Ein Wildwuchs an alten Konten senkt den Kaufpreis oder führt zu Nachverhandlungen.

Wie alte Zugänge entstehen und wieder verschwinden

Residual Access entsteht fast nie mit Absicht. Der häufigste Grund ist schlichte Unübersichtlichkeit. Ein mittelgroßes Unternehmen nutzt oft mehrere hundert verschiedene Programme und Cloud-Dienste. Jeder davon führt seine eigene Benutzerliste. Wer kündigt, wird in der Personalabteilung ausgetragen, aber diese Information erreicht nicht jedes einzelne System.

Eine zweite Quelle sind technische Zugänge ohne menschlichen Besitzer. Programme greifen über sogenannte API-Schlüssel aufeinander zu, also lange Zeichenketten, die als Passwort für Maschinen dienen. Solche Schlüssel werden für ein Projekt erstellt und danach nie widerrufen. Sie stehen dann jahrelang in irgendeiner Konfigurationsdatei und funktionieren weiter.

Die Gegenmaßnahme heißt Identity and Access Management, kurz IAM. Dahinter steckt ein zentrales System, das alle Zugänge an einer Stelle verwaltet. Meldet die Personalabteilung einen Austritt, sperrt das System automatisch sämtliche verbundenen Konten. Ergänzend gibt es regelmäßige Überprüfungen, bei denen Abteilungsleiter Listen ihrer Mitarbeiter und deren Rechte bestätigen müssen. Alles, was niemand bestätigt, wird gelöscht. Ein weiteres Prinzip ist die Vergabe von Rechten auf Zeit: Ein Zugang läuft nach 90 Tagen automatisch ab, statt bis in alle Ewigkeit zu gelten.

Von KI-Trainingsdaten bis zum eigenen Handy

In den Nachrichten taucht der Begriff meist nach einem Datenleck auf. Wenn es heißt, Angreifer seien über den Zugang eines ehemaligen Dienstleisters eingedrungen, geht es um Residual Access. Auch bei Streitigkeiten um KI-Modelle spielt er eine Rolle. Ein Unternehmen kündigt einen Datenvertrag, doch der KI-Anbieter kann technisch weiter auf die Daten zugreifen. Juristen streiten dann darüber, ob bereits trainierte Modelle gelöscht werden müssen.

Das Prinzip gilt auch im Kleinen. Wer eine App einmal mit seinem Google- oder Instagram-Konto verbunden hat, gibt ihr damit einen Zugang. Löscht man die App vom Handy, bleibt diese Verbindung häufig bestehen. In den Kontoeinstellungen lässt sich nachsehen, welche Dienste noch Zugriff haben. Bei den meisten Menschen stehen dort Apps, die sie seit Jahren nicht mehr benutzen.

Ein verbreiteter Irrtum ist, Residual Access sei dasselbe wie eine Hintertür. Eine Hintertür wird absichtlich eingebaut, um heimlich hineinzukommen. Residual Access ist dagegen ein Überbleibsel aus einer Zeit, in der der Zugriff völlig legitim war. Gefährlich ist er trotzdem, weil er genauso gut funktioniert.