Viele Betriebe setzen mittlerweile mehrere KI-Tools gleichzeitig ein – oft mit privaten Zugängen ohne Übersicht, wer worauf Zugriff hat. Diese Anleitung zeigt dir, wie du in einer Woche die Grundstruktur einer Zugriffsverwaltung aufbaust: von der Bestandsaufnahme über Rollen und Single Sign-On bis zum Offboarding-Prozess. Das ist ein erster Durchlauf; ein SSO-fähiger Tarif, die Klärung von Schatten-IT und technische Tests können länger dauern.
Hinweis: Diese Anleitung ersetzt keine Rechtsberatung. Stand: 2026-09.
Das Ablaufdiagramm oben zeigt ein vereinfachtes Schema der Kernphasen (Bestandsaufnahme, Rollen & Rechte, SSO-Einrichtung, Zuweisung, Offboarding). Es fasst die SSO-Einrichtung und die anschließende Rollen-/MFA-Zuweisung als einen Diagrammschritt „Zuweisung“ zusammen – im Text unten sind das die getrennten Schritte 3 und 4. Die Schritte AVV-Prüfung (5) und Audit-Logging (6) sind im Diagramm aus Platzgründen nicht separat abgebildet, werden aber weiter unten vollständig beschrieben.
Was du brauchst
- Admin-Zugang zu allen im Unternehmen genutzten KI-Tools
- Eine erste Liste aller eingesetzten Tools (auch Schatten-IT einbeziehen)
- Einen Identity-Provider für Single Sign-On (z. B. Microsoft Entra ID) oder die Bereitschaft, einen einzurichten
- Die aktuelle Rollen-/Abteilungsstruktur deines Unternehmens
- Zeit für eine kurze Abstimmung mit IT und Datenschutzbeauftragtem
Zeitaufwand: erfahrungsgemäß ca. 4–6 Stunden verteilt über eine Woche (abhängig von Toolanzahl, ohne Beschaffung höherer Tarife oder SSO-Freischaltung) · Schwierigkeitsgrad: Mittel · Benötigte Rechte: Admin-Zugang je Tool, ggf. IT-Freigabe
Schritt 1: Bestandsaufnahme aller KI-Tools erstellen
Frag in allen Abteilungen ab, welche KI-Tools tatsächlich genutzt werden – nicht nur die offiziell eingeführten. Trage Tool, Nutzerkreis, Datentyp (z. B. Kundendaten, interne Dokumente) und aktuellen AVV-Status in eine einfache Tabelle ein.
Häufiger Fehler: Nur offiziell beschaffte Tools erfassen und private Testzugänge von Mitarbeitenden übersehen.
Danach hast du eine vollständige Übersicht, welche Tools überhaupt in die Zugriffsverwaltung einbezogen werden müssen.
Schritt 2: Rollen und Berechtigungsstufen definieren
Lege für jedes Tool fest, welche Rollen es braucht – meist reichen drei Stufen: Admin, Standardnutzer, Gast/eingeschränkt. Orientiere dich an der bestehenden Abteilungsstruktur, statt ein neues Rollenkonzept zu erfinden.
Häufiger Fehler: Allen Mitarbeitenden pauschal Admin-Rechte geben, weil das die Einrichtung erleichtert.
Danach weißt du, welche Rolle welchen Zugriff auf welches Tool bekommt.
Schritt 3: Single Sign-On einrichten
Binde Tools, die SSO/SAML unterstützen, an deinen Identity-Provider an. Microsoft 365 Copilot etwa lässt sich direkt über Microsoft Entra ID anbinden, wodurch Zugriffe zentral vergeben und entzogen werden können, statt Passwörter pro Tool zu verwalten. (Pfad kann je nach Version variieren – meist unter Admin Center → Sicherheit → SSO.)
Danach verwaltest du Zugänge zentral über einen Anmeldepunkt statt über verstreute Einzelkonten.
Schritt 4: Tools ohne SSO absichern: MFA und manueller Kontenprozess
Nicht jedes Tool unterstützt SSO. Aktiviere für diese Fälle eine Zwei- oder Mehr-Faktor-Authentifizierung direkt im Tool, meist unter den Sicherheitseinstellungen des Kontos. MFA sichert allerdings nur die Anmeldung und ersetzt keine zentrale Kontenverwaltung. Lege für diese Tools deshalb zusätzlich einen verbindlichen manuellen Prozess fest: pro Zugang ein eindeutiger Kontoinhaber, Anlegen und Entziehen der Konten mit Firmenadressen (keine privaten Konten für geschäftliche Nutzung) und ein regelmäßiger Abgleich der Kontenliste mit den aktuellen Mitarbeitenden.
Häufiger Fehler: MFA nur für Admin-Konten aktivieren und Standardnutzer außen vor lassen.
Danach ist jeder Zugang zusätzlich zum Passwort abgesichert, und für jedes Konto ist geregelt, wer es anlegt, prüft und entzieht.
Schritt 5: AVV-Status und Drittlandtransfer prüfen
Für jedes Tool mit personenbezogenen Daten brauchst du einen Auftragsverarbeitungsvertrag (AVV), wenn eine Auftragsverarbeiter-Konstellation nach Art. 28 DSGVO vorliegt. Prüfe zusätzlich, ob eine Drittlandübermittlung stattfindet – etwa bei US-Anbietern. Ein AVV ist dabei ein notwendiger Baustein, aber kein vollständiger Compliance-Nachweis: Drittlandtransfer, technische und organisatorische Maßnahmen sowie Löschfristen bleiben trotzdem zu prüfen. Fehlt ein Angemessenheitsbeschluss, brauchst du zusätzliche Absicherung, etwa über Standardvertragsklauseln.
Danach hast du pro Tool dokumentiert, ob AVV und Übermittlungsgrundlage vorliegen.
Schritt 6: Audit-Logs aktivieren und Prüfrhythmus festlegen
Aktiviere, wo verfügbar, die Protokollierung von Anmeldungen und Berechtigungsänderungen und unterscheide die Logarten: Login-Logs deines Identity-Providers zeigen Anmeldungen, Admin-Logs Rollen- und Rechteänderungen; was jemand im KI-Tool selbst getan hat, zeigen nur Aktivitätslogs des Tools, und die bieten nicht alle Anbieter. Lege fest, wer diese Logs in welchem Rhythmus prüft – in der Praxis hat sich ein Rhythmus von drei bis sechs Monaten bewährt, bei sensiblen Daten eher am unteren Ende dieser Spanne.
Danach liegt eine nachvollziehbare Grundlage vor, wer sich wann angemeldet und wer Berechtigungen geändert hat; Aktivitäten im Tool selbst sind nur dort nachvollziehbar, wo das Tool Aktivitätslogs bietet.
Schritt 7: Offboarding-Prozess dokumentieren
Ergänze deinen HR-Offboarding-Prozess um einen festen Punkt „Zugänge zu KI-Tools entziehen“ – inklusive SSO-Deaktivierung und individueller Tool-Konten ohne SSO-Anbindung.
Häufiger Fehler: Offboarding nur für Kernsysteme regeln und KI-Tools vergessen.
Danach ist sichergestellt, dass ausgeschiedene Mitarbeitende keinen Zugriff mehr behalten.
Ergebnis
Nach Abschluss hast du die Grundstruktur einer dokumentierten, rollenbasierten Zugriffsverwaltung für die erfassten KI-Tools – mit SSO-Zugang, wo unterstützt, abgesicherten Einzelkonten mit geregeltem Kontenprozess, dokumentiertem AVV-Status und einem Offboarding-Prozess. Was von externen Abhängigkeiten abhängt, etwa ein SSO-fähiger Tarif oder die Klärung von Schatten-IT, kann darüber hinaus mehr Zeit brauchen.
Beispiel: Eine Steuerkanzlei bindet Microsoft 365 Copilot per SSO an Entra ID an und sichert ein zusätzliches Tool ohne SSO-Unterstützung per MFA und fester Kontenliste mit eindeutigem Kontoinhaber ab – Mandantendaten sind dadurch nur für berechtigte Rollen zugänglich.
Checkliste: Zugriffsverwaltung für KI-Tools
- ☐ Bestandsaufnahme aller KI-Tools erstellt (auch Schatten-IT geprüft)
- ☐ Rollen und Berechtigungsstufen pro Tool definiert
- ☐ SSO/SAML für alle unterstützten Tools aktiviert
- ☐ MFA und manueller Kontenprozess (Kontoinhaber, Vergabe, Entzug) für Tools ohne SSO eingerichtet
- ☐ AVV-Status pro Tool geprüft und dokumentiert
- ☐ Drittlandtransfer und ggf. Standardvertragsklauseln geprüft
- ☐ Audit-Logs aktiviert und Prüfrhythmus festgelegt
- ☐ Offboarding-Prozess dokumentiert und in HR-Checkliste aufgenommen
- ☐ Erste vollständige Zugriffsprüfung durchgeführt
Häufige Fehler
- Schatten-IT übersehen: Nur offiziell beschaffte Tools erfassen, private Testzugänge bleiben unentdeckt.
- Pauschale Admin-Rechte: Aus Bequemlichkeit erhalten alle Nutzer volle Berechtigungen statt abgestufter Rollen.
- MFA nur für Admins: Standardnutzer bleiben ungeschützt, obwohl sie ebenfalls mit sensiblen Daten arbeiten.
- AVV mit Compliance verwechseln: Ein unterschriebener AVV allein sagt nichts über Drittlandtransfer oder Löschfristen aus.
- Offboarding vergisst KI-Tools: Kernsysteme werden beim Austritt gesperrt, einzelne KI-Tool-Konten bleiben aktiv.
Häufige Fragen
Brauche ich für jedes KI-Tool zwingend SSO? Nein, aber es vereinfacht die Verwaltung erheblich. Wo SSO nicht unterstützt wird, sichert MFA die Anmeldung ab, ersetzt aber keine zentrale Kontenverwaltung: Dort brauchst du zusätzlich einen manuellen Prozess für Vergabe, Prüfung und Entzug der Konten.
Reicht ein AVV, um ein Tool datenschutzkonform einzusetzen? Nein, ein AVV ist nur ein Baustein. Drittlandtransfer, technische Sicherheit und Löschfristen musst du zusätzlich prüfen.
Wie oft sollte ich Zugriffsrechte überprüfen? Erfahrungsgemäß hat sich ein Rhythmus von drei bis sechs Monaten bewährt, bei sensiblen Daten eher am unteren Ende dieser Spanne.
Was mache ich mit Tools, die keine Rollenverwaltung anbieten? Dokumentiere das als Risiko und beschränke den Nutzerkreis manuell, bis eine Alternative mit Rollenkonzept verfügbar ist.
Gilt das auch für kostenlose KI-Tools, die Mitarbeitende privat nutzen? Ja – gerade kostenlose Tools ohne Unternehmensvertrag sind ein typisches Schatten-IT-Risiko und gehören in die Bestandsaufnahme.