Datenbank-Server im Unternehmen:
Wer hat die Schlüssel zu Ihren Daten?

Das Problem: Alle haben Zugriff, niemand hat die Governance

Der Datenbank-Server ist der Tresor des Unternehmens: Er enthält Rechnungen, Kundenstammdaten, Mitarbeiterdaten und Finanzdaten. Dennoch ist er in den meisten KMU das am wenigsten kontrollierte System.

Das Muster ist immer dasselbe. Der Softwareanbieter des ERP-Systems verlangt das Administratorkennwort — „sonst funktioniert es nicht.“ Das Unternehmen stimmt zu, weil es die Kompetenz fehlt, die Behauptung zu hinterfragen. Dann kommt der Anbieter der Lohnbuchhaltung, der CRM-Anbieter, ein Berater für einen Notfall. Jeder installiert seine eigenen Tools, erstellt seine eigenen Backups, plant seine eigenen Jobs. Niemand dokumentiert. Niemand koordiniert.

Das Ergebnis ist ein Server, der de facto von 3–5 verschiedenen Parteien mit vollen Administratorrechten verwaltet wird, ohne dass jemand den Gesamtüberblick hat.

Warum „wir brauchen sa“ fast immer falsch ist

Eine gut konzipierte Geschäftsanwendung benötigt spezifische Berechtigungen auf der eigenen Datenbank: eine db_owner-Rolle auf ihrer DB und höchstens einige gezielte Berechtigungen wie BACKUP DATABASE oder VIEW SERVER STATE.

Sie benötigt niemals sysadminauf Instanzebene. Wer es verlangt, tut dies aus Entwicklungsbequemlichkeit, weil er nicht weiß, welche Berechtigungen tatsächlich erforderlich sind, oder weil er direkten Produktionszugriff für die Fehlerdiagnose wünscht. Keiner dieser Gründe ist aus Sicherheitssicht akzeptabel.

Die konkreten Risiken für Ihr Unternehmen

Wenn mehrere Anbieter sysadmin-Zugriff auf denselben Server haben, sind die Folgen gravierend:

• Jeder Anbieter kann die Daten aller anderen einsehen— der ERP-Anbieter kann Lohndaten lesen und umgekehrt. Keine Trennung.
• Kein zuverlässiger Audit-Trail — wenn alle dasselbe sa-Konto verwenden, wissen Sie nicht, wer was getan hat. Bei einem Vorfall ist die Rekonstruktion der Ereigniskette unmöglich.
• Zugangsdaten überall verstreut— Passwörter in Konfigurationsdateien, im Klartext oder mit schwacher Verschlüsselung, auf Rechnern externer Techniker, die Sie nicht kontrollieren.
• Überlappende Backup-Tools— jeder Anbieter hinterlässt seine eigenen: Maintenance Plans, Drittanbieter-Skripte, proprietäre Agenten. Am Ende weiß niemand, welches Backup im Katastrophenfall gültig ist.
• Erweiterte Angriffsfläche— jedes installierte Tool ist Code mit erhöhten Rechten. Jedes nicht aktualisierte Tool ist eine Schwachstelle. Jedes aufgegebene Tool ist eine Schwachstelle, die niemand behebt.

Die Haftung liegt bei der Geschäftsführung, nicht beim Softwareanbieter

Dies ist der Punkt, den viele Geschäftsführer übersehen. Die DSGVO ist eindeutig: Der Verantwortliche ist das Unternehmen. Der Softwareanbieter ist ein Auftragsverarbeiter, der nach den Weisungen des Unternehmens handelt. Wenn diese Weisungen nicht existieren und jeder macht, was er will, liegt die Haftung bei einer Prüfung durch die Datenschutzaufsichtsbehörde oder bei einem Datenschutzvorfall beim Unternehmen.

Im Vertrag des Softwareanbieters steht: „Der Kunde ist für die Infrastruktur verantwortlich.“ Das Unternehmen dachte: „Darum kümmert sich der Anbieter.“ Niemand kümmerte sich darum.

Mit der NIS2-Richtlinie wird das Lieferketten-Risikomanagement zur gesetzlichen Pflicht: Zu wissen und zu kontrollieren, was Ihre Anbieter auf Ihren Systemen tun, ist keine Best Practice mehr — es ist Gesetz für Organisationen im Geltungsbereich.

Die Lösung: Ein zentraler Ansprechpartner mit Mandat der Geschäftsführung

Der erste Schritt ist organisatorisch, nicht technisch. Die Geschäftsführung muss einen zentralen Verantwortlichen für die Datenbank-Infrastruktur benennen — intern oder extern — und allen Anbietern mitteilen, dass jeder Eingriff am Server über diesen Ansprechpartner läuft.

• 1Zugriffs-Audit— erfassen, wer Zugriff auf den Server hat, mit welchen Rechten und warum. Vergessene Konten, Service-Accounts mit nicht ablaufenden Passwörtern und verlassene, noch aktive Tools sind häufige Befunde.
• 2Prinzip der geringsten Rechte — sysadmin-Konten durch granulare Berechtigungen ersetzen. Jede Anwendung greift nur auf die eigene Datenbank zu, mit den minimal erforderlichen Rechten.
• 3Ein einziges, dokumentiertes Backup-System— überlappende Tools entfernen und eine Backup- und Disaster-Recovery-Strategie mit klaren Aufbewahrungsrichtlinien, regelmäßigen Wiederherstellungstests und Dokumentation implementieren.
• 4Anbieter-Governance— jeder Softwareanbieter, der am Server arbeitet, tut dies unter Aufsicht des benannten Ansprechpartners, mit dedizierten, nachverfolgbaren und widerrufbaren Zugangsdaten.

Ein zertifizierter Partner für die Wiederherstellung der Kontrolle

AtWorkStudio ist seit 2000 in Piacenza tätig. Wir sind nach ISO/IEC 27001, 27017, 27018 und ISO 9001 zertifiziert und besitzen die ACN-Qualifizierung für Cloud-Dienste. Wir sind Mitglied von Clusit (Italienischer Verband für Informationssicherheit) und Confindustria Piacenza im RICT-Cluster.

Wir agieren als Vermittler zwischen dem Unternehmen und seinen Softwareanbietern: Wir verwalten den Datenbank-Server, vergeben die korrekten Berechtigungen, implementieren ein einziges dokumentiertes Backup-System und stellen sicher, dass jeder Eingriff nachverfolgt und konform ist. Die Geschäftsführung hat einen einzigen Ansprechpartner, der für die Datensicherheit verantwortlich ist.