Data Access Governance: Maximale Kontrolle über jeden Zugriff

In einer Welt explodierender Datenmengen reicht es längst nicht mehr aus, nur zu wissen, wer im System ist. Entscheidend ist vielmehr: Warum hat jemand Zugriff auf welche sensiblen Dateien? Und wer ist überhaupt der Dateneigentümer?

Risiken entstehen als Folge einer schockierenden Ansammlung praktischer Vernachlässigungen. Chaotisch wachsende Berechtigungen aus offenen Projektordnern, kopierten Gruppenmitgliedschaften und nie entzogenen Rollenzuweisungen erzeugen Berechtigungs-Wirrwarr und Schwachstellen.

Moderne Data Access Governance schafft Transparenz über Datenzugriffe, erkennt überprivilegierte Konten und hilft, Richtlinien konsequent umzusetzen.

Was ist Data Access Governance eigentlich?

Data Access Governance (DAG) bezeichnet alle Methoden, die Zugriffe auf Daten erkennen, bewerten, steuern und regelmäßig überprüfen. DAG ist – so wie IAM – ein zentraler, aber nicht alleiniger Bestandteil moderner Sicherheits- und Datenschutzkonzepte.

Drei Kernfragen, die Data Access Governance beantwortet:

  1. Wer hat Zugriff auf welche sensiblen Dateien?
  2. Warum besteht diese Access Zugriffsberechtigung – fachlich begründet und dokumentiert?
  3. Ist der Zugriff noch nötig (Rezertifizierung)?

Abgrenzung zu IAM

IAM (Identity & Access Management) ergreift die Perspektive des Identitätsmanagements und bedient wichtige Aspekte wie Anmeldung, Benutzerkonten, Rollen, Gruppen und Authentifizierung. IAM stellt sicher, dass die richtigen Personen grundsätzlich Zugang zu Systemen und Anwendungen erhalten.

IAM kann sicherstellen, dass sich eine Person korrekt anmeldet und eine passende Rolle oder Gruppenzugehörigkeit zugewiesen wird.

Data Access Governance prüft, welche Access Zugriffsrechte konkret auf Ordner, Dateien, Shares oder Cloud-Bibliotheken bestehen und ob Rechte notwendig und angemessen sind. Der Schwerpunkt liegt dabei auf der tatsächlichen Nutzung und Freigabe von Daten und unstrukturierten Informationen.

Data Access Governance stellt sicher, dass eine Entität nur auf die Daten zugreift, die sie für ihre Aufgabe benötigt – und nicht auf „alles, was zufällig freigegeben ist“.

Sinnhaftigkeit von IAM und DAG im Zusammenspiel

Data Access Governance ist kein formales, eigenständig normiertes Konzept im Sinne einer ISO- oder NIST-Norm, sondern ein praxisorientierter Governance-Ansatz. DAG-Lösungen bauen häufig auf Informationen aus IAM- oder Identity-Governance-Systemen auf und ergänzen diese mit dem Fokus auf datenbezogene Sichtweisen. Beide Disziplinen wirken gemeinsam daran, Zugriffe nachvollziehbar, regelkonform und risikominimiert zu gestalten.

Warum ist Data Access Governance so wichtig?

Data Access Governance stellt sicher, dass sensible Daten – wie personenbezogene und andere schützenswerte Informationen – kontrolliert, nachvollziehbar und zweckgebunden genutzt werden. Ohne DAG entstehen rechtliche, organisatorische und operative Risiken.

Data Access Governance ist dabei stets als Teil eines umfassenderen Datenschutzkonzepts zu verstehen.

1) Compliance: DSGVO, Audits, Datenschutz im Krankenhaus

Die DSGVO verlangt geeignete technische und organisatorische Maßnahmen, um Vertraulichkeit und Integrität personenbezogener Daten sicherzustellen. Im Gesundheitswesen sind die Anforderungen besonders hoch, weil Gesundheitsdaten besonders schutzbedürftig sind.

Für Datenschutz im Krankenhaus gilt: Ein klares, überprüfbares Berechtigungskonzept ist Pflicht. Fehlende oder unzureichende Zugriffskonzepte in Kliniken können zu Bußgeldern führen, wenn unbefugte Mitarbeitende Einsicht in Patientendaten erhalten.

Data Access Governance unterstützt Sicherheitskonzepte, indem sie:

  • sichtbar macht, wo sensible Daten liegen,
  • zeigt, wer Zugriff hat und
  • dabei hilft, falsche Access Zugriffsberechtigungen zu korrigieren.

2) NIS-2 und „Zugriffskontrolle als Mindestmaßnahme“

Seit 2023 verpflichtet die NIS-2 (Network and Information Security Directive 2) Unternehmen und Organisationen in kritischen und wichtigen Sektoren, ein hohes verbindliches Sicherheitsniveau für IT-Systeme, Netzwerke und digitale Dienste umzusetzen und zu pflegen.

Mit NIS-2 steigt die Verantwortung durch Anforderungen an dokumentierte Prozesse und die regelmäßige Auditierung von Zugriffsrechten. Organisationen müssen die Vergabe, Kontrolle und Überprüfung von Berechtigungen systematisch organisieren.

Für Krankenhäuser und KRITIS-nahe Einrichtungen ist relevant: Datenschutz in Krankenhäusern bedeutet nicht nur „Datenschutztext“, sondern kontrollierte Zugriffe, nachvollziehbare Freigaben und überprüfte Access Benutzer und Berechtigungen.

3) Sicherheit: Ransomware, Insider-Risiken und „Blast Radius“

Sicherheitsvorfälle verschärfen sich durch weitreichende Zugriffsrechte. Wird ein Benutzerkonto durch Phishing, Malware oder interne Fehlbedienung kompromittiert, entscheidet der Umfang der Zugriffsberechtigungen darüber, wie groß der Schaden ausfällt.

Dieser maximale Wirkungsbereich wird als „Blast Radius“ bezeichnet: Je mehr Systeme und Daten ein Account erreichen kann, desto größer sind die Auswirkungen eines Angriffs. Durch klar definierte Rollenmodelle, die Durchsetzung des Minimalprinzips (Least Privilege) und konsequente Bereinigung überprivilegierter Zugänge wird der Blast Radius systematisch reduziert.

Best Practices für eine erfolgreiche Umsetzung

Data Access Governance ist im Rahmen von ISO/IEC 27001 typischerweise in ein übergeordnetes Informationssicherheits-Managementsystem (ISMS) eingebettet. Voraussetzungen für die Implementierung sind eine vollständige Inventarisierung und Klassifizierung von Informationswerten, klar definierte Sicherheitsrichtlinien sowie eine regelmäßige Risikoanalyse.

1) Least Privilege: Zugriff so wenig wie möglich, so viel wie nötig

Rollen erhalten nur die minimal nötigen Rechte. Das ist eine zentrale Best Practice der Access Zugriffsrechte Verwaltung und eine zentrale Maßnahme gegen laterale Bewegungen bei Angriffen.

Im Krankenhauskontext stehen sensible Datenbereiche (z. B. Patientendaten, Abrechnungsdaten, HR) im Zentrum der Berechtigungsreduzierung durch Least Privilege: „Need-to-know“ statt „Nice-to-have“.

2) Rezertifizierung: Regelmäßig prüfen statt einmalig vergeben

Berechtigungen altern, Rollen wechseln, Teams werden umgebaut. Ohne Rezertifizierung bleibt Zugriff bestehen, obwohl der Zweck längst weg ist. NIS-2-orientierte Mindestmaßnahmen betonen den Bedarf an regelmäßigen Prüfungen und dokumentierten Kontrollen.

B3S Krankenhaus fordert regelmäßige Zertifizierungen, DSGVO Art. 32 verlangt laufende Bewertung. In der Praxis erfolgen je nach Einrichtung und Sensibilität der Daten oft eine quartalsweise Rezertifizierung und für wenig kritische Bereiche eine halbjährige Rezertifizierung.

Der Entzug von Berechtigungen sollte idealerweise erfolgen, sobald diese aufgrund von Rollenwechsel, Austritt oder Projektende nicht mehr gerechtfertigt sind.

3) Transparenz und Monitoring: Zugriffe messbar machen

Eine moderne Access-Governance-Lösung sollte sichtbar machen:

  • welche Access Benutzer und Berechtigungen existieren,
  • welche Rechte lange nicht genutzt wurden,
  • wo „Everyone“-Freigaben oder zu breite Gruppen existieren und
  • wo sensitive Dateien liegen.

Sicherheitsframeworks wie das NIST Cybersecurity Framework betonen zusätzlich die Bedeutung von kontinuierlichem Monitoring, Anomalie-Erkennung und definierten Reaktionsprozessen. Protokollierte Zugriffe sollten daher nicht nur dokumentiert, sondern auch aktiv ausgewertet werden.

Die richtige Access Governance Lösung finden

Nicht jede Methode, die „Berechtigungen“ verwaltet, ist automatisch eine belastbare Access Governance Lösung.

  1. Datenabdeckung (On-Prem + Cloud)
    Die Lösung muss File Shares, NAS, relevante Cloud-Speicher und Kollaborationsplattformen abdecken – denn dort liegen in der Praxis die meisten unstrukturierten Daten.
  2. Workflows und fachliche Verantwortung
    Eine gute Lösung bindet Datenverantwortliche ein: Wer ist Owner? Wer genehmigt? Wer entzieht? Genau hier wird aus IT-Berechtigungen echte Governance – besonders wichtig beim Thema Datenschutz und Krankenhaus.
  3. Auditierbarkeit und Reporting
    Im Audit muss nachvollziehbar sein, wer wann welche Access Zugriffsberechtigung hatte – und warum. Das ist im Kontext Datenschutz im Krankenhaus und Datenschutz Patientenakte ein zentraler Erfolgsfaktor.

Data Access Governance kann dabei helfen, privilegierte Berechtigungen sichtbar zu machen und zu begrenzen. Sie ersetzt jedoch kein dediziertes Privileged-Access-Management (PAM) und keine technischen Schutzmaßnahmen wie die Verschlüsselung sensibler Daten. Gerade bei Patientendaten und anderen hochkritischen Informationen sollten diese Maßnahmen kombiniert eingesetzt werden.

Sicherheit durch Zugriff orchestrieren

Data Access Governance ist ein zentraler Baustein in einem durchdachten Security- und Compliance-Konzept. Sie kann den Wildwuchs bei Access Benutzer und Berechtigungen reduzieren, Access Zugriffsrechte verwalten, diese auditfähig abbilden und Risiken nachvollziehbar minimieren.

DAG ergänzt klassische Sicherheitsmaßnahmen wie Authentifizierung, Netzwerkschutz und Monitoring um eine datenbezogene Sicht auf tatsächliche Zugriffe. Zugriffe müssen fachlich begründet, auf das notwendige Maß beschränkt, überwacht und regelmäßig überprüft werden. Organisationen, die diese Anforderungen nicht umsetzen, setzen sich erheblichen Datenschutz- und Haftungsrisiken aus.

Insbesondere im Kontext von Datenschutz im Krankenhaus und Datenschutz der Patientenakte ist ein kontrollierter und nachvollziehbarer Umgang mit Zugriffsrechten unerlässlich.