Vorlagen und Aufzeichnungen · ISO 27001 · Abschnitt A.5.18

Protokoll der Überprüfung von Zugriffsrechten nach ISO 27001

Die regelmäßige Kontrolle, dass jede Person in jedem System genau die Berechtigungen hat, die sie braucht, und keine weiteren – mit der Entscheidung des Eigentümers.

In einem Satz

Das Protokoll der Überprüfung von Zugriffsrechten belegt, dass die Eigentümer jedes Systems in regelmäßigen Abständen die bestehenden Benutzer und Berechtigungen überprüft haben und welche Änderungen vorgenommen wurden; es ist der Nachweis, den Maßnahme 5.18 von ISO/IEC 27001:2022 verlangt, die fordert, Zugänge gemäß der Richtlinie zu vergeben, zu überprüfen, zu ändern und zu entziehen.

Inhalt überprüft am 17. Oktober 2026

Wo die Norm es verlangt: ISO 27001 · Abschnitt A.5.18 Die Abschnitte folgen ISO/IEC 27001:2022; die mit „A.“ beginnenden sind Maßnahmen aus Anhang A, verbindlich in dem Umfang, in dem die Erklärung zur Anwendbarkeit sie aufnimmt.
Art der Information: Bewährte Praxis Nachweis von Maßnahme 5.18 aus Anhang A
Wer sie ausfüllt: Eigentümer des jeweiligen Systems Die IT zieht die Listen und setzt die Änderungen um
Wann: Gemäß Richtlinie Etwa vierteljährlich für privilegierte Zugänge und halbjährlich für die übrigen
Wie lange sie aufbewahrt wird: Legt die Organisation fest ISO/IEC 27001 nennt keine Fristen, verlangt aber eine Entscheidung über Aufbewahrung und Vernichtung der dokumentierten Information (7.5.3). Wer den dreijährigen Zertifizierungszyklus abdeckt, kann bei der Rezertifizierung die Historie vorlegen.

Was die Norm verlangt

Was ISO 27001 fordert und was Ihrem Ermessen überlassen bleibt

Maßnahme 5.18 verlangt, dass Zugriffsrechte gemäß der Richtlinie zur Zugangssteuerung (5.15) vergeben, überprüft, geändert und entzogen werden. Die regelmäßige Überprüfung ist der Teil, der am häufigsten vergessen wird und die meisten Feststellungen erzeugt.

Die Häufigkeit legt die Norm nicht fest: Sie bestimmt die Organisation risikobasiert. Üblich ist, privilegierte Zugänge häufiger zu überprüfen als normale, und stets nach Stellenwechseln oder Austritten.

Zum Nachweis wird die Überprüfung, wenn der Eigentümer des Systems oder der Daten sie vornimmt, nicht nur die IT, und wenn sie dokumentiert, was bleibt und was entzogen wird.

Im Zusammenhang lesen: Betrieb, in der Akademie zu ISO 27001

Aufbau

Felder, die die Vorlage enthalten sollte

Überprüftes System oder überprüfte Anwendung
Datum und abgedeckter Zeitraum
Liste der überprüften Benutzer und Berechtigungen
Prüfer: Eigentümer des Systems
Entscheidung je Benutzer: beibehalten, einschränken, entziehen
Sammel-, Dienst- und privilegierte Konten mit Begründung
Umgesetzte Änderungen und Datum

Beispiel

Beispiel: vierteljährliche Überprüfung privilegierter Zugänge

Unternehmen, Personen und Zahlen sind erfunden: Das Beispiel zeigt nur, wie eine sauber ausgefüllte Aufzeichnung aussieht.

Feld	Inhalt
System	Cloud-Administrationskonsole
Zeitraum	Drittes Quartal 2026 · überprüft am 6. Oktober
Prüfer	Technischer Leiter, Eigentümer des Systems
Überprüfte Benutzer	9 Administratoren und 2 Dienstkonten
Entscheidungen	7 bleiben · 1 auf Lesezugriff eingeschränkt · 1 entzogen (Teamwechsel im Juli)
Dienstkonten	Begründet: Datensicherung und automatisiertes Deployment
Umgesetzte Änderungen	7. Oktober 2026, von der IT bestätigt

Im Audit

Fehler, die Auditoren häufig feststellen

Die IT führt die Überprüfung durch, ohne dass der Eigentümer der Daten entscheidet.
Die Liste wird geprüft und unterschrieben, aber keine Änderung umgesetzt.
Konten von Personen, die das Unternehmen vor Monaten verlassen haben, sind weiter aktiv.
Gemeinsam genutzte Sammelkonten ohne Eigentümer und ohne Begründung.

In Kimobox

So wird diese Aufzeichnung in Kimobox geführt

1Berechtigungen werden je Profil über das Mitarbeiterportal verwaltet.
2Die regelmäßige Überprüfung von Zugängen und Privilegien je Profil wird mit Datum und Prüfer dokumentiert.
3Der Austritt in der Personalakte schließt automatisch die Zugänge zum Portal, zur Anwendung und zu den zugehörigen Modulen.

Häufige Fragen

Was man uns vor dem Start fragt

Wie oft müssen Zugänge überprüft werden?

Die Norm sagt es nicht: Das legt die Richtlinie zur Zugangssteuerung risikobasiert fest. Wichtig ist, die Häufigkeit einzuhalten, die die eigene Richtlinie angibt.

Reicht die Überprüfung beim Austritt einer Person?

Nein. Der Austritt ist ein Auslöser, doch die regelmäßige Überprüfung entdeckt, was durchrutscht: Stellenwechsel, befristete Berechtigungen, die niemand entzogen hat, oder vergessene Dienstkonten.

Führen Sie die Aufzeichnungen zu ISO 27001 ohne verstreute Vorlagen

Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.

Demo anfragen

Weiter entdecken

Woher jede Angabe stammt

Verweise auf den geltenden amtlichen Text. Wird eine Norm überarbeitet, wird diese Seite aktualisiert und das Revisionsdatum entsprechend angepasst.

ISO/IEC 27001:2022 — Informationssicherheits-Managementsysteme. Anforderungen ISO/IEC · 25. Oktober 2022
ISO/IEC 27002:2022 — Informationssicherheitsmaßnahmen ISO/IEC · Februar 2022