Kontoinhaberschaft früh klären

Im schnellen Pilot richtet häufig die Agentur einen Zugang ein und startet die ersten Tests. Für einen dauerhaften Betrieb sollte jedoch bewusst entschieden werden, welches Unternehmen die Konten verwaltet, Rechnungen erhält und neue Berechtigungen vergeben kann.

Ein kundeneigenes Konto ist für viele Projekte eine sinnvolle Ausgangslage, aber kein Ersatz für saubere Rollen. Auch dort kann eine Agentur zu weitreichende Rechte erhalten. Halten Sie fest, welche Personen oder technischen Dienste welche Aufgaben ausführen dürfen und wer die Hoheit über diese Zuweisungen behält.

Unterscheiden Sie persönliche Konten von technischen Identitäten. Ein automatischer Prozess sollte nicht unbemerkt davon abhängen, dass das persönliche Konto eines bestimmten Mitarbeiters dauerhaft bestehen bleibt. Die konkrete Lösung hängt von den Möglichkeiten des eingesetzten Dienstes ab.

Ein Inventar ohne geheime Werte

Beginnen Sie mit einer Zugangsliste, die keine Schlüsselwerte selbst enthält. Sie soll einen Überblick geben, ohne neue Geheimnisse in einem Tabellenblatt oder einer Projektpräsentation zu verteilen.

Die OWASP-Empfehlungen zur Geheimnisverwaltung behandeln unter anderem zentrale Verwaltung, begrenzte Rechte und Rotation. Für die Zusammenarbeit mit einer KI-Agentur empfehlen wir darauf aufbauend ein einfaches Übergabeinventar mit nachvollziehbarer Zuständigkeit.

• Dienst und Zweck des technischen Zugangs.

• zugehörige Anwendung und Umgebung, beispielsweise Test oder Produktion.

• verantwortliche Organisation und interne Kontaktperson.

• erlaubte Aktionen und betroffene Datenbereiche.

• vorgesehener sicherer Ablageort beziehungsweise Verwaltungsdienst.

• Verfahren für Erneuerung, Widerruf und Notfallzugriff.

• Abhängigkeiten, die bei einer Änderung mitgeprüft werden müssen.

Trennen Sie Test- und Produktivzugänge. Eine Berechtigung für künstliche Testdaten sollte keinen unbeabsichtigten Zugriff auf reale Kundendaten eröffnen. Prüfen Sie auch, ob technische Identitäten auf nicht mehr benötigte Funktionen zugreifen können.

Wo Schlüssel nicht auftauchen sollten

Ein geheimer API-Schlüssel gehört nicht in öffentlich ausgelieferten Browsercode, frei zugängliche Dateien oder allgemeine Chatnachrichten. Ebenso sollte er nicht versehentlich in Fehlerprotokollen erscheinen. Die Agentur muss erklären, wie die Anwendung den vorgesehenen Zugang erhält, ohne ihn unnötig offenzulegen.

Das NCSC empfiehlt für Entwicklungsumgebungen begrenzten Zugriff auf kritische Systeme und den Widerruf nicht mehr benötigter Zugangsdaten. Für Ihr Projekt ist daher auch der Arbeitsplatz der Entwicklung relevant, nicht nur die fertige Weboberfläche.

Fragen Sie bei der Abnahme nach einem Nachweis der Konfiguration, ohne sich sämtliche Geheimnisse per E-Mail zusenden zu lassen. Der Zweck ist, die Verwaltung zu verstehen und übernehmen zu können. Eine zusätzliche unkontrollierte Kopie der Schlüssel würde diesen Zweck unterlaufen.

Rotation in einer Testumgebung üben

Rotation bedeutet, einen Zugang kontrolliert durch einen neuen zu ersetzen. Ob ein Dienst zwei parallele Schlüssel oder eine andere Übergangsform unterstützt, muss anhand seiner aktuellen Dokumentation geprüft werden. Ein universeller Ablauf passt nicht zu jeder Plattform.

Als fiktives Beispiel besitzt eine Dokumentassistenz einen Zugang zur Modell-API. Das Team erstellt nach dem vorgesehenen Verfahren einen neuen technischen Zugang und hinterlegt ihn in der Testumgebung. Ein kontrollierter Auftrag muss damit erfolgreich funktionieren.

Danach wird der bisherige Testzugang widerrufen. Eine gezielte Prüfung zeigt, dass er nicht mehr verwendet werden kann. Zusätzlich wird kontrolliert, ob Hintergrundaufträge und geplante Aufgaben ebenfalls den neuen Stand nutzen. Nur die sichtbare Oberfläche zu testen wäre zu wenig.

Agenturwechsel ohne Zugangschaos

Am Ende einer Zusammenarbeit braucht es einen dokumentierten Übergabezeitpunkt. Die neue Betreuung muss ihre Aufgaben ausführen können, während die bisherigen Zugänge anschliessend passend eingeschränkt oder entfernt werden. Planen Sie diesen Ablauf und die Zuständigkeit vorab.

Löschen Sie nicht wahllos sämtliche Identitäten, bevor deren Zweck geklärt ist. Ein vermeintliches Agenturkonto könnte einen produktiven Hintergrunddienst betreiben. Zuerst muss die Abhängigkeit übernommen oder ersetzt und geprüft werden; danach erfolgt der geregelte Entzug.

Im Übergabeprotokoll stehen die geänderten Rollen, erfolgreich geprüften Funktionen und verbleibenden befristeten Zugänge. Ausnahmen benötigen einen Zweck und ein Enddatum. «Nur vorsichtshalber behalten» ist kein ausreichender Betriebsgrund.

Die technische Verbindung zu Unternehmenssystemen beschreibt unser Beitrag zur Anbindung von KI an ERP und CRM. Wenn Sie die dazugehörige Zugangsverwaltung sauber organisieren möchten, kann einclick als KI-Agentur in der Schweiz die Anforderungen mit Ihrem Betriebsteam und den eingesetzten Plattformen abstimmen.