So formalisieren Sie den Freigabeprozess für Kundenausnahmen

Das Ausnahmemanagement ist eine Aufgabe der IT-Governance, und oft genug ein Ärgernis, mit dem sich alle Managed Service Provider (MSPs) auseinandersetzen müssen. Früher oder später müssen Sie eine Regel brechen: ungepatchte Software weiterlaufen lassen, einer Person besondere Rechte einräumen oder ein anderes Szenario nach dem Motto „Machen wir eine Ausnahme“ lösen, sei es aus technischen oder aus bürokratischen Gründen.

Ein formalisierter Freigabeprozess für Kundenausnahmen macht transparent, wer die Anfrage gestellt hat, wer sie genehmigt hat und wer für die Folgen verantwortlich ist. Gleichzeitig stellt er sicher, dass alle Ausnahmen dokumentiert sind und überwacht oder gemindert werden können, damit daraus keine versteckten Sicherheitslücken entstehen.

Was ist eine „Ausnahme“ in der IT-Governance?

In der IT-Governance bezeichnet eine Ausnahme die Abweichung von einer Regel, die in Ihren Sicherheitsrichtlinien oder anderen IT-Richtlinien festgelegt ist. Gemeint ist in diesem Zusammenhang also kein Softwarefehler.

IT-Sicherheitsrichtlinien entstehen aus gutem Grund: Sie sollen dafür sorgen, dass sinnvolle, sichere Konfigurationen und Berechtigungen ausgerollt werden, die Endbenutzer:innen vor Cyberbedrohungen schützen. Dazu gehört etwa die Vorgabe, dass die Betriebssysteme der Geräte aktuell sind, dass sämtliche Software vollständig gepatcht ist und dass Benutzer:innen nur eingeschränkte Berechtigungen erhalten (Stichwort Prinzip der Minimalprivilegien). Diese und weitere Best Practices der Branche sowie unternehmensspezifische Richtlinien schützen Infrastruktur und Daten, halten vertrauliche Informationen sicher und begrenzen den Schaden, falls es doch zu einem Malware- oder Hackerangriff kommt.

Irgendwann werden Sie jedoch zähneknirschend eine dieser Regeln brechen und eine Ausnahme schaffen müssen. Vielleicht setzt eine Kundin oder ein Kunde auf Legacy-Software, die unter dem aktuellen Betriebssystem nicht läuft, oder auf Anwendungen, die lokale Administratorrechte voraussetzen. Manchmal sind die Gründe auch gar nicht technischer Natur: Eine einflussreiche Führungskraft aus der C-Suite besteht etwa darauf, ihr veraltetes Smartphone weiterzuverwenden, weil ihr das Design der neuen Modelle nicht gefällt.

So profitiert Ihr MSP-Team von formalisierten Ausnahmen

Ohne ein sauberes Ausnahmemanagement summieren sich diese scheinbar kleinen Unregelmäßigkeiten zu versteckten Sicherheitslücken, die zu gravierenden Datenschutzverletzungen oder Ausfällen führen können. Außerdem untergraben sie Ihre Standardprozeduren (SOPs): Techniker:innen, die von der Ausnahme nichts wissen, tun sich bei Diagnose und Behebung schwerer, und Compliance-Berichterstattung sowie Audits werden komplizierter.

Mit einem strukturierten Rahmen für von Kundenseite angefragte Ausnahmen stellen Sie sicher, dass diese einheitlich bewertet, lückenlos dokumentiert und wieder entfernt werden, sobald sie nicht mehr nötig sind. So bleiben Sie flexibel genug für die Anforderungen Ihrer Kundschaft und behalten zugleich für jede Anfrage die Verantwortlichkeiten im Blick. Zusätzlich haben Sie dokumentierte Gründe zur Hand, falls Sie erklären müssen, warum eine Ausnahme abgelehnt wurde.

Entscheidend ist, dass Sie stets im Rahmen der geltenden Gesetze handeln, die für Ihr Unternehmen und dessen Kundschaft gelten. Wenn eine Ausnahme rechtliche Konsequenzen nach sich ziehen könnte (etwa weil sie gegen Vorgaben zum Umgang mit Daten aus Datenschutz-Rahmenwerken wie der Datenschutz-Grundverordnung, dem CCPA oder HIPAA verstößt), lehnen Sie die Anfrage ab und dokumentieren Sie die einschlägige Rechtsgrundlage, die der Umsetzung entgegensteht.

Voraussetzungen für einen formalisierten Freigabeprozess für Kundenausnahmen

Um den Freigabeprozess wiederholbar, dokumentiert und prüfbar zu gestalten und dabei für Ihre Kundschaft nachvollziehbar zu bleiben, brauchen Sie folgende Werkzeuge:

• Eine zentrale Dokumentationsplattform (etwa NinjaOne Docs, IT Glue, Confluence oder SharePoint)
• Definierte SOPs und Sicherheits-Baselines, von denen Ausnahmen abweichen dürfen
• Klar definierte Rollen für die Prüfung von Ausnahmen (z. B. Service Manager, Security Lead)
• Eine Vereinbarung zum Prüfrhythmus (monatlich, quartalsweise oder nach Compliance-Vorgabe)

Sehen Sie sich dazu auch das Video So formalisieren Sie den Freigabeprozess für Kundenausnahmen an.

Schritt 1: Festlegen, was als Ausnahme gilt, und kategorisieren

Legen Sie anhand der Richtlinien Ihrer Kundschaft fest, was als Ausnahme gilt, und ordnen Sie die Fälle Kategorien zu. Denkbar sind Kategorien wie Sicherheit (Ausnahmen bei Firewall, Anti-Malware, Multifaktor-Authentifizierung und Software-Patching), Betrieb (Abweichungen bei bestimmten Workflows oder von SLAs) oder Zugriff (erweiterte Rechte oder Weiterbestehen von Konten nach dem Offboarding). Halten Sie diese Informationen tabellarisch fest, damit Sie später darauf zurückgreifen können.

Beachten Sie den Unterschied zwischen einer persönlichen Präferenz und einer echten Ausnahme. Wer etwa mit einer niedrigeren Bildschirmauflösung arbeiten möchte, weicht damit in der Regel von keiner festgelegten Richtlinie ab, und für diese Änderung wäre kaum eine formale Freigabe nötig. Solche Präferenzen als Ausnahmen zu dokumentieren erzeugt nur Rauschen und erschwert es, jene Ausnahmen zu erkennen, die auslaufen können oder dauerhaft beaufsichtigt werden müssen.

Schritt 2: Den Ausnahmeantrag standardisieren

Ein standardisierter Antragsprozess macht es Endbenutzer:innen leicht, ihre Anforderungen zu kommunizieren, und schafft von Beginn an eine nachvollziehbare Dokumentationskette. Erstellen Sie ein Webformular, das strukturierte Angaben erfasst: eine eindeutige Ausnahme-ID, das Antragsdatum, die antragstellende Partei, eine Beschreibung des Bedarfs, die Begründung und die geschäftlichen Auswirkungen einer Ablehnung.

Ergänzend sollten Felder für den internen Gebrauch vorhanden sein, etwa für Notizen zur Risikobewertung sowie Platz für zusätzliche Überwachungs- und Minderungsmaßnahmen, die nötig werden, wenn der Antrag genehmigt wird und bekannte Schwachstellen mit sich bringt.

Die Ergebnisse dieser standardisierten Formulare sollten in Ihrer Dokumentationsplattform abgelegt werden.

Schritt 3: Prüf- und Freigabeworkflow etablieren

Definieren und dokumentieren Sie einen prüfbaren Workflow für Prüfung und Freigabe, der Folgendes abdeckt:

1. Einreichung: Kundenanfragen werden per Ticket oder Formular erfasst
2. Prüfung: Der Service Manager bewertet Umfang und Risiken
3. Freigabe: Der Security Lead genehmigt oder lehnt den Ausnahmeantrag ab
4. Umsetzung: Bei Genehmigung setzt ein:e Techniker:in die Ausnahme um
5. Protokollierung: Die Ausnahme wird in Ihrem zentralen Dokumentations-Repository festgehalten

Während Prüfung und Freigabe sollten Sie mit der Kundschaft sprechen und sicherstellen, dass die Risiken der Ausnahme vollständig verstanden werden (und sich die Zustimmung gegebenenfalls schriftlich bestätigen lassen).

Schritt 4: Ausnahmen mit Ablaufdatum nachverfolgen

Ausnahmen sollten standardmäßig nicht auf Dauer gelten. Versehen Sie jede Ausnahme mit einem Ablauf- oder Prüfdatum (idealerweise mit automatisierter Erstellung eines Support-Tickets) und verlangen Sie, soweit technisch machbar, eine ausdrückliche erneute Aktivierung.

Ausnahmen sollten zentral an einem Ort protokolliert werden, statt über verschiedene Plattformen verteilt zu sein. Mit Tags oder Kategorien in Helpdesk und Dokumentation sollte sich ein Bericht erzeugen lassen, der alle aktuell genehmigten Ausnahmen auflistet.

Schritt 5: Ausnahmen auflösen oder in SOPs überführen

Prüfen Sie regelmäßig alle Ausnahmen und lösen Sie jene auf, die nicht mehr benötigt werden. Dokumentieren Sie unbedingt, warum eine Ausnahme entfernt wurde: Das liefert Kontext, falls dieselbe Ausnahme erneut beantragt wird.

Wiederkehrende oder dauerhafte Ausnahmen sollten Teil Ihrer regulären SOPs werden oder eine Richtlinienänderung nach sich ziehen, sofern sie keine Sicherheitsschwachstelle und kein Compliance-Problem mit sich bringen.

Mit NinjaOne läuft der Freigabeprozess für Kundenausnahmen in Ihrem MSP reibungslos und nachvollziehbar

NinjaOne bietet ein komplettes Werkzeugset für MSPs, darunter Mobile Device Management (MDM), Fernzugriff, Helpdesk, Asset-Management und Dokumentationsfunktionen, die sich mit der Endpunkt-Sicherheit verzahnen und per Skript automatisieren lassen. So dokumentieren Sie Ihre Endpunkte und Benutzer:innen vollständig, inklusive aller dafür genehmigten Ausnahmen.

Sie können Geräte mit abweichenden Konfigurationen taggen, um sie leicht zu identifizieren und zu prüfen, und mit Helpdesk-Automatisierung dafür sorgen, dass Ausnahmen nachverfolgt und bei Wegfall wieder aufgelöst werden. Für regelmäßige Kundengespräche erstellen Sie Berichte, um Sicherheits- und Geschäftsabwägungen zu besprechen, damit keine Ausnahme unbeaufsichtigt bleibt oder zum blinden Fleck in der Sicherheit wird.