IT Glossary
Die Zugriffs-Rezertifizierung bestätigt bestehende Berechtigungen erneut. Erfahren Sie, was die Entzugsquote einer Kampagne wirklich verrät.
August 7, 2026
Die Zugriffs-Rezertifizierung ist die wiederkehrende Übung, bei der bereits freigegebene Berechtigungen erneut geprüft und dann bestätigt oder entzogen werden, in einem festgelegten Zyklus. Wo eine erste Zertifizierung feststellt, dass ein Zugriff zu einem Zeitpunkt korrekt war, prüft die Rezertifizierung, ob er es heute noch ist. Sie ist die Massnahme, die das Abdriften zwischen zwei Audits auffängt.
Eine Rezertifizierungskampagne, die fast nichts entzieht, ist meist kein Zeichen sauberer Zugriffe. Sie ist ein Zeichen für Gefälligkeitsfreigaben, bei denen prüfende Personen lange Listen bestätigen, deren Inhalt sie nicht beurteilen können. Eine Kampagne, die zwischen 5 und 15 Prozent der Zeilen entzieht, verhält sich normal. Ein Wert nahe null sollte dazu führen, genau zu betrachten, wie die Listen entstehen und ob die richtigen Personen prüfen.
Ein Unternehmen führt seine erste Kampagne durch und entzieht 12 Prozent der Berechtigungen, überwiegend Reste aus internen Wechseln und abgeschlossenen Projekten. Im Folgequartal entzieht es 4 Prozent, was den gesunden Dauerzustand darstellt. Im dritten Zyklus erhalten die prüfenden Personen nur noch die Zeilen, die sich seit der vorherigen Kampagne geändert haben, was sie Minuten statt eines Nachmittags kostet. Apgar hat sein automatisiertes IAM auf diesem Prinzip aufgebaut, und Corma führt die differenzbasierten Kampagnen aus, die wiederkehrende Rezertifizierung tragfähig machen.
Die Zertifizierung ist die förmliche Freigabe eines Zugriffs zu einem bestimmten Zeitpunkt. Die Rezertifizierung ist dieselbe Übung im Zyklus wiederholt und prüft, ob ein zuvor freigegebener Zugriff weiterhin begründet ist.
Quartalsweise für Systeme mit Finanz-, Gesundheits- oder regulierten Daten, jährlich für weniger kritische Anwendungen. Stellenwechsel und Austritte lösen eine Prüfung ausserhalb des Zyklus aus.
Die Person, die versteht, was die Berechtigung tatsächlich erlaubt, üblicherweise die direkte Führungskraft oder die anwendungsverantwortliche Person. Die IT kann die Liste vorbereiten, sollte sie aber nicht freigeben.
An zu langen Listen, an prüfenden Personen ohne Kontext, und daran, dass nicht überprüft wird, ob beschlossene Entzüge im Zielsystem tatsächlich umgesetzt wurden.
