Wenn sich die verantwortliche Person einer Organisation ändert, sollte die Übertragung der Verwaltung ihres SaaS-Kontos weder im Teilen eines Passworts noch in der ungezielten Vergabe von Berechtigungen bestehen. Ein durchdachter Ablauf ermöglicht den Weiterbetrieb der Organisation, bestätigt die Berechtigung der neuen verantwortlichen Person und dokumentiert jede Entscheidung.
Für Produkt, Technologie und Betrieb kommt es vor allem darauf an, drei Dinge auseinanderzuhalten, die häufig verwechselt werden: die Organisation als Einheit innerhalb des Dienstes, die Verwaltungsbefugnisse für diese Organisation und den individuellen Zugang der einzelnen Nutzerinnen und Nutzer. Diese Unterscheidung ermöglicht es, routinemäßige Wechsel abzuwickeln, ohne dass ein Personalwechsel zum Sicherheits- oder Kontinuitätsvorfall wird.
Was übertragen wird und was unverändert bleiben sollte
Bei der Übertragung ändert sich, wer die Organisation verwalten kann. Es sollte dadurch weder eine neue Organisation angelegt noch sollten ihre Daten, Verträge, Integrationen oder Einstellungen automatisch geändert werden. Legen Sie vor der Gestaltung des Ablaufs fest, was „Administrator“ in Ihrem Produkt bedeutet und welche Aktionen diese Rolle ermöglicht. In manchen Diensten können damit Nutzer verwaltet werden, in anderen lassen sich zusätzlich Abrechnung, Zugangsdaten oder Sicherheitsrichtlinien ändern.
Trennen Sie die Verantwortung für die Organisation von den Berechtigungen einzelner Nutzer. Die Organisation steht für den Kunden und behält dessen Ressourcen. Einzelne Personen haben eigene Identitäten und Rollen, die geändert, entzogen oder vergeben werden können. Vermeiden Sie, dass ein persönliches Konto der einzige Ort für Daten oder der einzige Weg zur Wiederherstellung des Zugangs ist.
Unterscheiden Sie außerdem zwischen technischer Verwaltung und Geschäftsbeziehung. Eine Person kann Nutzer und Integrationen verwalten, ohne für die Abrechnung zuständig zu sein oder Verträge zu unterzeichnen. Wenn Ihr Modell mehrere Verantwortliche vorsieht, bilden Sie diese Aufgaben mit unterschiedlichen Berechtigungen ab, statt sie einer einzigen, mehrdeutigen Rolle zuzuordnen.
Wer den Wechsel einleiten und genehmigen darf
Legen Sie eindeutig fest, wer eine Übertragung beantragen kann und welcher Nachweis für die Genehmigung erforderlich ist. Der bisherige Administrator ist meist der einfachste Weg: Er leitet den Wechsel ein, wählt eine andere, bereits mit der Organisation verknüpfte Person aus und bestätigt den Vorgang. Der Ablauf muss jedoch auch unvorhergesehene Fälle berücksichtigen, etwa wenn diese Person das Unternehmen verlässt, ihr Konto gesperrt ist oder Vertreter über die Zuständigkeit streiten.
Bei Änderungen, die über ein aktives Konto eingeleitet werden, können Sie eine erneute Authentifizierung und eine ausdrückliche Bestätigung durch die neue verantwortliche Person verlangen. Hat die Übertragung weitreichende Folgen, etwa für die Kontrolle über Abrechnung oder Zugangsdaten, sollten Sie eine zusätzliche Genehmigung oder eine Wartezeit mit Benachrichtigung der bestehenden Administratoren in Betracht ziehen. Der zusätzliche Aufwand sollte dem Risiko entsprechen: Eine Neuzuweisung mit geringem Risiko muss nicht genauso behandelt werden wie der Verlust des einzigen administrativen Zugangs.
Erlauben Sie nicht, dass sich beliebige Nutzer allein deshalb selbst zu Administratoren machen können, weil sie einer geschäftlichen E-Mail-Domain angehören. Die Domain kann bei einer Prüfung als Anhaltspunkt dienen, belegt für sich genommen aber nicht, dass eine Person befugt ist, die Organisation zu vertreten. Interne Richtlinien des Kunden können festlegen, wer dazu berechtigt ist; das Produkt braucht jedoch Mechanismen, mit denen sich diese Richtlinien umsetzen und überprüfen lassen.
Neue Verantwortliche überprüfen und verwaiste Konten bearbeiten
Die neue verantwortliche Person sollte eine überprüfbare individuelle Identität und eine nachvollziehbare Verbindung zur Organisation haben. Prüfen Sie mindestens, ob ihr Nutzerkonto aktiv ist, sie auf das Konto zugreifen kann und die Rolle annimmt. In Szenarien mit höherem Risiko können Sie gemäß Ihren Richtlinien eine zusätzliche Verifizierung verlangen, zum Beispiel eine Bestätigung über einen bereits hinterlegten Kanal oder die Prüfung von Unterlagen durch ein autorisiertes Team.
Wenn kein aktiver Administrator mehr vorhanden ist, sollten Sie den Fall nicht mit einem Wiederherstellungslink lösen, der an eine ungeprüfte Adresse geschickt wird. Richten Sie stattdessen einen Wiederherstellungsprozess mit dokumentierten Schritten, Zuständigkeiten und Kriterien ein. Dazu können Nachweise über die Kontrolle der Organisation, eine Prüfung durch den Support und eine Frist für Einwände gehören. Legen Sie keinen einzigen, universellen Nachweis fest: Welche Belege angemessen sind, hängt vom Dienst, dem Risiko und den verfügbaren Informationen ab.
Behandeln Sie umstrittene Übertragungen als eigenen Fall. Beanspruchen zwei Personen die Zuständigkeit, sollten Sie nicht umkehrbare Änderungen pausieren, solange der Antrag geprüft wird, und sichere bestehende Zugänge beibehalten. Das Supportteam muss wissen, was es genehmigen darf, was eskaliert werden muss und wie die Entscheidung kommuniziert werden kann, ohne einer nicht autorisierten Person sensible Informationen offenzulegen.
Kontinuität schützen und Risiken begrenzen
Durch eine Übertragung sollte die bisher verantwortliche Person nicht automatisch entfernt werden, wenn sie weiterhin mitarbeiten muss. Weisen Sie ihr stattdessen die niedrigsten Berechtigungen zu, die für ihre Aufgaben erforderlich sind, und vereinbaren Sie, wann ihr Zugang entzogen wird. Ist das Arbeits- oder Vertragsverhältnis beendet, sollten Sie den Zugang zeitnah widerrufen. Zugänge vorsichtshalber bestehen zu lassen, schafft ebenfalls Risiken.
Prüfen Sie vor und nach dem Wechsel Abhängigkeiten, die an bestimmte Personen gebunden sein können: API-Schlüssel, Integrationen, Benachrichtigungen, Automatisierungszugänge und Wiederherstellungsmethoden. Eine Integration, die das Nutzerkonto des Administrators verwendet, kann ausfallen, wenn dieses Konto deaktiviert wird. Trennen Sie Dienstzugänge nach Möglichkeit von menschlichen Identitäten und dokumentieren Sie, wer sie rotieren darf.
Gestalten Sie den Vorgang so, dass sich durch den Administratorwechsel weder Geheimnisse automatisch ändern noch Berechtigungen unerwartet verschieben. Falls solche Folgen unvermeidbar sind, informieren Sie vor der Bestätigung darüber und erläutern Sie sie ausdrücklich. Die genehmigende Person muss verstehen, was unverändert bleibt, was sich ändert und wie der Zugang wiederhergestellt werden kann, falls die neue Administration die Einrichtung nicht abschließen kann.
Änderungen protokollieren, benachrichtigen und Wiederherstellung ermöglichen
Führen Sie ein Auditprotokoll, aus dem die Organisation, die antragstellende Person, die genehmigende Person, die neue Administration, Datum und Ergebnis hervorgehen. Erfassen Sie auch fehlgeschlagene Versuche und relevante Eingriffe des Supports und beachten Sie dabei die geltenden Datenschutz- und Aufbewahrungsrichtlinien. Die Dokumentation soll Untersuchungen unterstützen, ohne Passwörter oder unnötige Daten zu speichern.
Benachrichtigen Sie die relevanten Beteiligten über Kanäle, die bereits mit der Organisation verknüpft sind. Die Mitteilung sollte angeben, welche Rolle übertragen wurde, wann der Wechsel stattgefunden hat und wie sich eine nicht erkannte Änderung melden lässt. Fügen Sie keine Zugangslinks ein, mit denen sich die Authentifizierung umgehen lässt. Wird eine Sicherheitspause aktiviert, erklären Sie ihre Dauer oder den nächsten Schritt, ohne Informationen preiszugeben, die einen Angriff erleichtern könnten.
Ermöglichen Sie die Wiederherstellung bei berechtigten Fehlern, etwa wenn versehentlich die falsche Person ausgewählt wurde oder während des Wechsels der Zugang verloren geht. Dafür kann es ein begrenztes Zeitfenster zur Rücknahme oder eine Prüfung durch den Support geben; die Bedingungen müssen jedoch klar sein. Vermeiden Sie eine zeitlich unbegrenzte, einseitige Rücknahme, durch die eine Person ihre Berechtigungen zurückerlangen könnte, nachdem die Organisation den Wechsel abgeschlossen hat.
Checkliste vor der Freigabe des Ablaufs
- Modell: Ist klar definiert, was die Verwaltung einer Organisation bedeutet und welche Berechtigungen jede Rolle umfasst?
- Genehmigung: Kann nur eine ausreichend befugte Person den Wechsel einleiten? Gibt es einen alternativen Ablauf, wenn kein Administrator mehr vorhanden ist?
- Verifizierung: Hat die neue verantwortliche Person eine aktive Identität und bestätigt sie, dass sie den Zugang annimmt?
- Kontinuität: Werden Integrationen, Zugangsdaten und Aufgaben erkannt, die von der bisherigen Administration abhängen?
- Sicherheit: Entspricht die erforderliche Bestätigung dem Risiko, und werden nicht autorisierte Änderungen verhindert?
- Audit: Werden Anträge, Genehmigungen, Ergebnisse und Wiederherstellungen sinnvoll dokumentiert?
- Betrieb: Kennt der Support die Eskalationskriterien für reguläre und umstrittene Übertragungen sowie für Konten ohne Administrator?
Wahrscheinlich benötigen Sie unterschiedliche Abläufe für einen vom bisherigen Administrator genehmigten Wechsel und für ein gesperrtes oder umstrittenes Konto. Testen Sie beide anhand von Berechtigungsszenarien, fehlgeschlagenen Benachrichtigungen und betroffenen Integrationen, bevor Sie sie für Kunden freigeben. Ziel ist nicht, Änderungen unmöglich zu machen, sondern sicherzustellen, dass eine befugte Person sie durchführen kann, ohne den Betrieb der Organisation zu unterbrechen oder die Kontrolle in falsche Hände zu geben.