Data Access Governance: Kontrollieren Sie, wer welche Daten sieht, und weisen Sie es nach
Data Access Governance regelt, welche Identitäten auf welche Daten zugreifen dürfen, setzt diese Entscheidungen durch und weist nach, dass die Zugriffsrechte korrekt bleiben. Erfahren Sie, wie dieser Zyklus funktioniert.
Was ist Data Access Governance?
Ende 2025 nutzten Angreifer gestohlene OAuth-Token einer vertrauenswürdigen Anwendung, um fast einen Monat lang Salesforce-Kundendaten auszulesen. Sie mussten nirgends einbrechen. Der Zugriff bestand bereits, reichte weit über den Bedarf der Anwendung hinaus und wurde von niemandem widerrufen. FINRA fordert Unternehmen nun auf, verbundenen Anwendungen nur den Zugriff zu gewähren, den sie benötigen.
Data Access Governance verhindert, dass solche Zugriffsrechte überhaupt bestehen. Dazu gehören Richtlinien und operative Kontrollen, die festlegen, welche Identitäten auf welche Daten zugreifen dürfen, diese Entscheidungen durchsetzen und nachweisen, dass sie dauerhaft korrekt bleiben.
Ihre Daten liegen in On-Premises-Systemen, Cloud-Objektspeichern und SaaS-Plattformen. Menschen und Maschinen sammeln Zugriffsrechte an, die selten widerrufen werden. So wächst das Risiko übermäßiger Zugriffsrechte. Diesen Zuwachs einzudämmen ist die Aufgabe von Data Access Governance. Deshalb steht sie im Zentrum Ihres Sicherheitsprogramms.
Wie Data Access Governance mit Cybersecurity zusammenhängt
Data Access Governance verbindet zwei Bereiche, die meist getrennt arbeiten: Identitäts- und Zugriffsmanagement (IAM) und Datensicherheit. IAM prüft die Identität einer Person und verwaltet ihre Zugangsdaten. Data Access Governance beantwortet die Frage, die IAM offenlässt: Darf diese Identität auf genau diese Daten zugreifen, und lässt sich die Berechtigung weiterhin begründen? Dafür ergänzt sie Datenklassifizierung, Richtlinien, kontinuierliche Validierung, Rezertifizierung und Auditierung.
Diese Prüfung jeder einzelnen Zugriffsanfrage macht Data Access Governance zu einer Grundlage für Zero Trust. Dabei wird jede Anfrage unabhängig vom Netzwerkstandort oder bisherigem Vertrauen überprüft, wie in NIST SP 800-207 definiert. Die folgenden Bausteine setzen dieses Prinzip im Alltag um.
So funktioniert Data Access Governance
Data Access Governance ist ein kontinuierlicher Zyklus aus grundlegenden Bausteinen. Jede der folgenden Phasen setzt einen davon ein. Der Zyklus wiederholt sich, wenn sich Ihre Daten, Identitäten und Geschäftsanforderungen ändern.
1.Daten erfassen und klassifizieren
Was Sie nicht sehen oder kennzeichnen können, können Sie nicht steuern. Erfassen Sie Daten in On-Premises- und Cloud-Umgebungen, einschließlich SaaS-Plattformen und Cloud-Objektspeichern. Versehen Sie sie anschließend mit dauerhaften, maschinenlesbaren Vertraulichkeitskennzeichnungen, die Ihrer regulatorischen und geschäftlichen Taxonomie entsprechen. Datenklassifizierung steht an erster Stelle: Keine Kontrolle kann Richtlinien für Daten durchsetzen, die sie nicht identifizieren kann.
2. Identitäten und bestehende Zugriffsrechte erfassen
Erfassen Sie jede menschliche und nicht menschliche Identität, die auf einen klassifizierten Datensatz zugreifen kann: Benutzerkonten, Servicekonten, API-Schlüssel, OAuth-Token und KI-Agenten. Dokumentieren Sie, worauf jede Identität aktuell zugreifen darf. Singularity™ Identity erstellt diese Übersicht und hält die Sichtbarkeit über menschliche und nicht menschliche Konten aktuell. Diese Bestandsaufnahme dient als Grundlage für die Durchsetzung von Richtlinien und die Rezertifizierung.
3. Zugriffsrichtlinien definieren
Formulieren Sie maschinell durchsetzbare Regeln, die festlegen, welche Rollen, Attribute oder Bedingungen eine Identität für den Zugriff qualifizieren. Nutzen Sie rollenbasierte Zugriffskontrolle (RBAC) für grundlegende Berechtigungen, attributbasierte Zugriffskontrolle (ABAC) zur Verfeinerung anhand von Kontext wie Gerätestatus, Standort oder Tageszeit und Funktionstrennung, damit keine Identität widersprüchliche Rechte erhält.
4. Minimale Zugriffsrechte vergeben und durchsetzen
Verweigern Sie den Zugriff standardmäßig und vergeben Sie über formale Genehmigungsprozesse nur die Rechte, die eine Identität benötigt. Nutzen Sie für privilegierte Daten und administrative Vorgänge zeitlich begrenzte oder Just-in-Time-Rechte, die automatisch ablaufen. Protokollieren Sie jede privilegierte Sitzung. Prüfen Sie dabei auch, ob bestehende Berechtigungen weiterhin gerechtfertigt sind.
5. Zugriffsrechte kontinuierlich prüfen
Prüfen Sie die Autorisierung in jeder Phase des Zugriffszyklus, auch lange nach der erstmaligen Freigabe. NIST SP 800-207 beschreibt dies als ständigen Zyklus aus Zugriff, Bedrohungsbewertung, Anpassung und erneuter Vertrauensprüfung.
Achten Sie auf ungewöhnliche Muster wie auffällige Datenmengen oder Zugriffe von unerwarteten Standorten, insbesondere zusammen mit einer Ausweitung von Zugriffsrechten. Wenden Sie strengere Kontrollen auf privilegierte Konten und Servicekonten an. Das CISA-Reifegradmodell fordert, jeden Benutzer, jedes Gerät, jede Anwendung und jede Transaktion während einer Sitzung kontinuierlich zu überprüfen.
6. Überprüfen, rezertifizieren und auditieren
Überprüfen Sie Zugriffsrechte in festgelegten Abständen auf individueller Ebene. So erkennen Sie Berechtigungen, die sich durch Rollenwechsel ansammeln. Entziehen Sie den Zugriff innerhalb weniger Stunden, wenn jemand das Unternehmen verlässt, die Rolle wechselt oder ein Workload außer Betrieb genommen wird. Führen Sie einen vollständigen, zentralen Audit-Trail für jede Vergabe, Änderung und Rezertifizierungsentscheidung. Die Auditergebnisse fließen zurück in die Erfassung und Klassifizierung. Damit schließt sich der Zyklus und beginnt von vorn.
Was wirksame Data Access Governance leistet
Wenn Sie diesen Zyklus konsequent umsetzen, werden die Ergebnisse messbar: beim Sicherheitsniveau, bei Audits und in der täglichen Arbeit Ihres Teams.
- Durchgesetzte minimale Zugriffsrechte und ein kleinerer Wirkungsradius. Jede Identität erhält nur den Zugriff, den sie benötigt. Ein kompromittiertes Konto kann daher nur einen begrenzten Datensatz erreichen. Die Durchsetzung des Prinzips der geringsten Rechte begrenzt diese Gefährdung.
- Schnellere, übersichtlichere Audits. Eine vollständige Dokumentation von Zugriffsentscheidungen, Änderungen an Berechtigungen und Rezertifizierungen liefert Auditierenden die nötigen Nachweise, ohne dass sie manuell zusammengetragen werden müssen.
- Weniger Insider-Risiken und unbeabsichtigte Offenlegung. Strukturierte Rechtevergabe und regelmäßige Rezertifizierung beseitigen veraltete und übermäßige Zugriffsrechte, bevor daraus ein Sicherheitsvorfall entsteht.
- Reibungslosere Rollenwechsel. Formale Prozesse für Eintritte, Wechsel und Austritte verhindern, dass sich bei Rollenwechseln Rechte ansammeln, und entziehen den Zugriff nach einem Austritt zeitnah.
- Eine Grundlage für Zero Trust. Autorisierung für jede einzelne Anfrage, kontinuierliche Validierung und standardmäßige Zugriffsverweigerung setzen Zero Trust als Prinzip im Alltag um.
Diese Ergebnisse setzen voraus, dass das Programm wie vorgesehen läuft. In der Praxis verhindern einige wiederkehrende Umstände genau das.
Woran Programme zur Governance des Datenzugriffs scheitern
Selbst kompetente Teams mit ausreichenden Ressourcen haben Schwierigkeiten, die Governance des Datenzugriffs dauerhaft aufrechtzuerhalten. Wenn Probleme auftreten, gehen sie meist auf wenige strukturelle Bedingungen und vermeidbare Entscheidungen zurück.
Ausufernde und übermäßige Zugriffsrechte
Berechtigungen häufen sich durch Rollenwechsel, projektbezogene Freigaben und nie widerrufene Notfallzugriffe an. Verwaiste Konten können Monate oder Jahre bestehen bleiben. Weitreichende Zugriffe zu gewähren, „um die Arbeit nicht zu behindern“, verschärft das Problem: Diese dauerhaften Berechtigungen bleiben unbegrenzt bestehen. Administrator- und Dienstkonten mit weitreichenden Rechten bergen dabei das höchste Risiko.
Begrenzte Transparenz über Tools und Daten hinweg
Schatten-Daten verteilen sich über Cloud-Konten und Tools für die Zusammenarbeit, ohne je in ein Klassifizierungsprogramm aufgenommen zu werden. Maschinenidentitäten wie Dienstkonten, API-Schlüssel und KI-Agenten bilden inzwischen eine große, unzureichend verwaltete Gruppe. Identitätsprogramme für menschliche Nutzer wurden nie dafür entwickelt, sie zu erfassen.
Privileged Access Management, Identity Governance, Cloud Security Posture Management und SIEM-Tools zeigen jeweils nur einen Teil der Berechtigungen. Kein einzelnes System liefert daher ein vollständiges Bild.
Mängel bei Prozessen und Zuständigkeiten
Teams behandeln Autorisierungen als einmalige Freigaben. Sie überprüfen sie nicht erneut, wenn sich Rollen oder die Sensibilität der Daten ändern, obwohl NIST SP 800-53 eine Überprüfung von Konten in einem von der Organisation festgelegten Rhythmus vorsieht (Kontrolle AC-2).
Prüfungen werden auf Rollenebene abgehakt, ohne die tatsächlichen Berechtigungen der einzelnen Rollen zu untersuchen. Zugriffe bleiben nach dem Ausscheiden einer Person wochenlang bestehen. Manche Unternehmen kaufen Governance-Tools, bevor sie die zu schützenden Daten klassifiziert haben. Ist keine Stelle für das Programm über Sicherheit, IT und Geschäftsbereiche hinweg verantwortlich, klaffen Richtlinien und tägliche Praxis auseinander.
All das lässt sich ändern. Jeder Punkt auf dieser Liste beruht auf einer Entscheidung, die Sie revidieren können: Benennen Sie eine verantwortliche Stelle, klassifizieren Sie Daten vor dem Kauf von Tools und überprüfen Sie Berechtigungen statt Rollen.
Wie die Governance des Datenzugriffs die Einhaltung regulatorischer Vorgaben unterstützt
Sechs weithin etablierte Regelwerke verlangen konkrete Kontrollen für die Governance des Datenzugriffs. Unterschiedliche Branchen und Rechtsräume, dieselben drei Anforderungen: Zugriffe nach dem Need-to-know-Prinzip, regelmäßige oder kontinuierliche Zugriffsprüfungen und prüfbare Nachweise.
| Regelwerk | Anforderung an die Zugriffsgovernance |
| GDPR (Artikel 5, 25) | Personenbezogene Daten müssen auf das notwendige Maß beschränkt sein. Standardmäßig dürfen sie ohne Eingreifen nicht einer unbestimmten Zahl von Personen zugänglich sein. |
| HIPAA (Minimum Necessary Standard) | Erfasste Einrichtungen müssen festlegen, welche Personengruppen Zugriff benötigen, welche Kategorien geschützter Gesundheitsdaten sie brauchen und welche Bedingungen für diesen Zugriff gelten. |
| PCI DSS (Anforderung 7) | Zugriff auf Karteninhaberdaten erhalten nur Personen, die ihn für ihre Arbeit benötigen. Das Zugriffskontrollsystem muss alle Zugriffe verweigern, die nicht ausdrücklich erlaubt sind. |
| SOX (Abschnitt 404) | Allgemeine IT-Kontrollen erfordern rollenbasierten Zugriff auf Finanzsysteme, Funktionstrennung, regelmäßige Zugriffsprüfungen und eine jährliche Bewertung durch die Unternehmensführung. |
| ISO 27001 (Anhang A 5.15-5.18) | Formale Verfahren zur Vergabe von Zugriffsrechten, regelmäßige Überprüfung dieser Rechte sowie deren Entzug oder Anpassung bei Rollenwechsel oder Ausscheiden. |
| NIST 800-53 (AC-Kontrollfamilie) | Dokumentierte Richtlinien (AC-1), verwaltete Kontolebenszyklen (AC-2), durchgesetzte Autorisierungen einschließlich RBAC und ABAC (AC-3) sowie kontinuierliche Überwachung (CA-7). |
Mit der wachsenden Zahl von KI-Agenten und nichtmenschlichen Identitäten richtet sich die regulatorische Aufmerksamkeit bei der Zugriffsgovernance zunehmend auch auf andere Identitäten als menschliche Nutzer. SentinelOne stärkt diese Kontrollen über Identitäten, Daten und Untersuchungsabläufe hinweg.
Verringern Sie das Identitätsrisiko in Ihrer gesamten Organisation
Erkennen und reagieren Sie auf Angriffe in Echtzeit mit ganzheitlichen Lösungen für Active Directory und Entra ID.
Verbessern Sie die Governance des Datenzugriffs mit SentinelOne
Governance legt fest, wer auf Ihre Daten zugreifen sollte. Die Durchsetzung bestimmt, wer tatsächlich darauf zugreift. SentinelOne stärkt Ihre Zugriffsrichtlinien, Kontrollmodelle und Klassifizierungsprogramme mit Schutz vor identitätsbasierten Bedrohungen, kontinuierlicher Zugriffsvalidierung, Datentransparenz und Untersuchungsfunktionen, die in die Singularity Platform integriert sind.
- Wer Zugriff hat (Identität). Singularity Identity zeigt Ihnen alle Endpunkte und Identitäten über einen einzigen leichtgewichtigen Agenten. Richtlinienbasierter bedingter Zugriff wird durch Session-Blocking und erneute MFA-Authentifizierung für Active Directory, Microsoft Entra ID, Okta, Ping, SecureAuth und Duo durchgesetzt. Bei gestohlenen Zugangsdaten oder einer Ausweitung von Berechtigungen erkennt die Plattform die Aktivität und blockiert die laterale Bewegung, bevor sie sich ausbreitet.
- Auf welche Daten sie zugreifen (Daten). Singularity Cloud Security findet sensible Daten in Cloud-Objektspeichern, darunter Amazon S3, Azure Blob Storage und Google Cloud Storage. Ihr Governance-Programm erhält Einblick in die Speicher, die regulierte Daten enthalten.
- Wie Sie Vorfälle untersuchen. Purple AI durchsucht normalisierte Daten aus nativen und Drittanbieterquellen mit natürlichsprachlichen Abfragen. Sie müssen keine neue Abfragesyntax lernen. IDC stellte fest, dass Kunden von Purple AI Bedrohungen 63 % schneller identifizierten und die mittlere Reaktionszeit um 55 % reduzierten. Für längere Datenaufbewahrung und umfassendere Analysen Singularity Data Lake betreibt ein Cloud-natives SIEM auf einem Data Lake im Petabyte-Maßstab. Daten aus beliebigen Quellen werden in Echtzeit aufgenommen und mit Open Cybersecurity Schema Framework (OCSF) normalisiert.
Vereinbaren Sie eine SentinelOne Demo und erfahren Sie, wie diese Funktionen Ihr Programm zur Governance des Datenzugriffs unterstützen.
Erhalten Sie Echtzeitschutz für Identitäten und vollständige Transparenz in hybriden Umgebungen, um Exponierungen zu erkennen, Missbrauch von Anmeldedaten zu stoppen und Identitätsrisiken zu reduzieren.
Das Wichtigste im Überblick
Die Governance des Datenzugriffs regelt, welche Identitäten auf welche Daten zugreifen dürfen. Sie setzt diese Entscheidungen durch und liefert die Nachweise, die Auditoren und die Unternehmensführung benötigen. Da Zugriffsrechte im Laufe der Zeit zunehmen, bleibt das Prinzip der geringsten Rechte nur durch kontinuierliche Durchsetzung wirksam: von der Erkennung und Klassifizierung über die Validierung und Rezertifizierung bis zum Audit.
Maschinenidentitäten erfordern heute dieselbe Sorgfalt wie menschliche Identitäten. Klassifizieren Sie zuerst Ihre risikoreichsten Daten, verweigern Sie den Zugriff standardmäßig, prüfen Sie Berechtigungen kontinuierlich und dokumentieren Sie jede Entscheidung revisionssicher. Dann wird die Frage „Wer kann auf diese Daten zugreifen?“ nicht mehr zur aufwendigen Untersuchung. Eine einfache Abfrage genügt.
Häufige Fragen zur Governance des Datenzugriffs
Governance des Datenzugriffs umfasst Richtlinien und operative Kontrollen. Sie bestimmen, welche Identitäten auf welche Daten zugreifen dürfen, setzen diese Entscheidungen durch und belegen, dass sie dauerhaft korrekt bleiben. Dazu gehören Datenklassifizierung, Zugriffsrichtlinien, kontinuierliche Validierung, Rezertifizierung und Audits als Teil eines einheitlichen Lebenszyklus.
Das Ziel ist die konsequente Durchsetzung des Prinzips der geringsten Rechte: Jede menschliche und nichtmenschliche Identität erhält nur die für ihre Rolle erforderlichen Zugriffsrechte. Jede Entscheidung ist revisionssicher dokumentiert.
Identity and Access Management (IAM) übernimmt die Authentifizierung sowie die Vergabe, Verwaltung und den Entzug von Zugangsdaten. Die Governance des Datenzugriffs ergänzt Datenklassifizierung, Richtliniendefinition, kontinuierliche Validierung, Rezertifizierung und Audits.
IAM beantwortet die Frage „Kann sich diese Identität authentifizieren und welche Berechtigungen hat sie?“ Die Governance des Datenzugriffs beantwortet: „Sollte diese Identität diese Berechtigungen haben, ist der Zugriff weiterhin gerechtfertigt und lässt sich das nachweisen?“
Die Verantwortung für die Governance des Datenzugriffs verteilt sich üblicherweise auf drei Bereiche. Der CISO oder das Sicherheitsteam definiert Richtlinien, legt Risikoschwellen fest und überwacht die Zugriffe kontinuierlich. IT- oder IAM-Teams verantworten die Bereitstellung und den Entzug von Zugängen sowie die eingesetzten Anwendungen.
Die fachlich Verantwortlichen prüfen bei der Rezertifizierung, ob Berechtigungen den aktuellen Aufgaben entsprechen. Häufig benennen Unternehmen eine verantwortliche Person oder ein Steuerungsgremium, um diese drei Bereiche zu koordinieren.
Wie häufig Zugriffsrechte geprüft und rezertifiziert werden, hängt von der Sensibilität der Daten und der Höhe der Berechtigungen ab. Regulierte Daten und hochprivilegierte Konten erfordern in der Regel häufigere Prüfungen als Standardzugänge.
Kombinieren Sie regelmäßige, terminbasierte Prüfungen mit anlassbezogenen Rezertifizierungen bei Rollenwechseln, Versetzungen und Austritten. Für besonders sensible Systeme kann eine kontinuierliche Validierung sinnvoll sein. Regelmäßige Momentaufnahmen erfassen nicht, wie sich Zugriffsrechte zwischen den Prüfungen verändern.
Beginnen Sie bei der Einführung eines Programms mit Daten, deren Offenlegung die größten regulatorischen oder geschäftlichen Folgen hätte: personenbezogene Daten, geschützte Gesundheitsdaten, Karteninhaberdaten, SOX-pflichtige Finanzunterlagen und geistiges Eigentum.
NIST IR 8496 empfiehlt, vor der Klassifizierung festzulegen, was als Datenbestand gilt, und diesen anschließend dauerhaft zu kennzeichnen. Sobald besonders sensible Daten erfasst sind, erweitern Sie die Klassifizierung auf weitere Daten.
Die Governance des Datenzugriffs muss auch nichtmenschliche Identitäten abdecken. Servicekonten, API-Schlüssel, OAuth-Token und KI-Agenten erstellen, verschieben und nutzen Daten in Maschinengeschwindigkeit. Bei der Bereitstellung erhalten sie häufig weitreichende, dauerhafte Berechtigungen.
Ihr Governance-Programm sollte nichtmenschliche und menschliche Identitäten gleichermaßen erfassen. Wenden Sie dieselben Standards für geringstmögliche Berechtigungen und Rezertifizierung an und nutzen Sie nach Möglichkeit zeitlich begrenzte Zugangsdaten.
Mehr erfahren über Identitätssicherheit
Bereit, Ihre Sicherheitsabläufe zu revolutionieren?
Erfahren Sie, wie SentinelOne AI SIEM Ihr SOC in ein autonomes Kraftzentrum verwandeln kann. Kontaktieren Sie uns noch heute für eine personalisierte Demo und erleben Sie die Zukunft der Sicherheit in Aktion.
