Complass
Berechtigungs-Reviews (Access Reviews) mit Entra ID und GitHub: wer was darf, wer es geprüft hat und ob der Entzug umgesetzt ist
Die Auditorin fragt nach der letzten Überprüfung der Administratorrechte. Die Antwort liegt in einer Tabelle vom Vorjahr, und ein Drittel der Konten darin gibt es nicht mehr. Ob die damals beschlossenen Entzüge umgesetzt wurden, weiß niemand.
ISO/IEC 27001 verlangt, Zugangsrechte regelmäßig zu überprüfen, zu ändern und zu entziehen (Anhang A 5.18). Für NIS2-Einrichtungen gehört die Zugriffskontrolle zu den Mindestmaßnahmen (§ 30 Abs. 2 Nr. 9 BSIG), und die Durchführungsverordnung (EU) 2024/2690 verlangt, die Ergebnisse der Überprüfung einschließlich der Änderungen zu dokumentieren.
Das Whitepaper zeigt, warum die jährliche Tabellen-Runde nicht trägt, was ein gutes Berechtigungs-Review ausmacht und wie Identitäts-Konnektoren für Microsoft Entra ID und GitHub aktuelle Daten liefern, nur lesend. Es beschreibt die Kampagne vom Umfang bis zum versiegelten Nachweis und wie der nächste Abgleich belegt, dass ein Entzug umgesetzt ist. Mit 8-Schritte-Plan, Praxisbeispiel und Checkliste.
Jedes Kapitel zur Umsetzung enthält eine kurze Box „Umsetzung in Complass“ (Entscheidung W11); nur bereits veröffentlichte Funktionen werden genannt.
13 Seiten · Version 1.0 · Stand 17.10.2026 · Autor Marc Linden, Complass GmbH i. G.
Complass mit Ihren eigenen Daten testen
Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.