„Wer hat Zugriff auf diesen Bericht?“ ist wahrscheinlich die Frage, die von Power BI-Administratoren am häufigsten gestellt wird – und die am schwierigsten schnell zu beantworten ist.
Zwischen den Rollen auf Workspace-Ebene, der individuellen Freigabe von Berichten und Anwendungen, den Berechtigungen auf Zeilenebene (Row-Level Security) und den über Microsoft 365- oder Microsoft Entra ID-Gruppen vererbten Zugriffsrechten ist der zu prüfende Bereich umfangreich und fragmentiert.
Dieser Leitfaden beschreibt eine umfassende Methode zur seriösen Durchführung dieses Audits.
Schritt 1: Ermittlung der vier zu prüfenden Zugriffsebenen
Die Rollen im Workspace
Jeder Power BI-Arbeitsbereich definiert vier Standardrollen:
- Admin,
- Mitglied,
- Mitwirkender
- und Abspielgerät.
Der Administrator kann alles ändern, einschließlich der Löschung des Workspaces selbst. Im Rahmen eines Audits muss systematisch erfasst werden, wer in jedem Workspace die Rolle des Administrators innehat, da dies die höchste Risikostufe darstellt.
Direkte Freigaben
Unabhängig von der Workspace-Rolle kann ein Bericht oder eine Anwendung individuell für bestimmte Benutzer freigegeben werden, seien es interne oder in manchen Fällen externe Benutzer (B2B-Gäste). Diese punktuellen Freigaben sind die Hauptursache für „vergessene“ Zugriffsrechte: Da sie für einen vorübergehenden Bedarf gewährt werden, werden sie selten widerrufen, sobald dieser Bedarf nicht mehr besteht.
Sicherheit auf der Strecke (RLS)
Die im semantischen Modell definierte RLS filtert die angezeigten Daten entsprechend dem Profil des angemeldeten Benutzers (beispielsweise sieht ein Vertriebsmitarbeiter nur die Daten seiner Region).
Bei einem Audit muss nicht nur überprüft werden, ob die RLS vorhanden ist, sondern auch, ob sie für jede definierte Rolle
ordnungsgemäß getestet wurde: Eine falsch konfigurierte RLS kann dazu führen, dass unbeabsichtigte Daten nach außen gelangen.
Die Vererbung über Microsoft 365-/Microsoft Entra-ID-Gruppen
Zahlreiche Power BI-Zugriffsrechte werden nicht individuell, sondern über die Zugehörigkeit zu einer Microsoft 365-Gruppe gewährt. Diese Vererbungsstruktur ist in der Power BI-Benutzeroberfläche selbst nicht ersichtlich: Man muss die Daten mit Microsoft Entra ID abgleichen, um die tatsächlichen Zugriffsrechte eines bestimmten Benutzers zu ermitteln.
Schritt 2: Verwenden Sie die verfügbaren systemeigenen Tools
Über das Power BI-Verwaltungsportal (Admin Portal) können Sie die Rollen in den Arbeitsbereichen einzeln einsehen sowie bestimmte Einstellungen im Zusammenhang mit der externen Freigabe überprüfen. Die Power BI-REST-API ermöglicht es über die Admin-Endpunkte (insbesondere diejenigen, die sich auf Arbeitsbereiche, Arbeitsbereichsbenutzer und Artefakte beziehen), diese Informationen systematischer abzurufen, erfordert jedoch eine Entwicklungsarbeit, um auf Organisationsebene genutzt werden zu können, und bietet keine konsolidierte Ansicht, die Rollen, Freigaben, RLS und Gruppenvererbung kombiniert.
Schritt 3: Häufige tote Winkel erkennen
| Toter Winkel | Warum es gefährlich ist | Wie lässt sich dies feststellen? |
|---|---|---|
| Verwaiste Dienstkonten | Behalten nach Abschluss eines Projekts die Administratorrechte bei | Die Liste der Workspace-Administratoren mit den aktiven HR-Konten abgleichen |
| Vergessene direkte Freigaben | Einem externen Berater gewährt, nie widerrufen | Alle individuellen Freigaben nach Beziehung auflisten, über alle Arbeitsbereiche hinweg |
| M365-Gruppen sind zu groß | Dutzende Personen greifen auf einen vertraulichen Bericht zu, ohne dass dies ausdrücklich ersichtlich ist | Die Zusammensetzung der Gruppen mit den ihnen zugeordneten Arbeitsbereichen abgleichen |
| RLS – unzureichend getestet | Risiko eines Datenlecks je nach angemeldetem Profil | Jede RLS-Rolle mit der Funktion „View As Role“ testen |
| Workspace-Rollen, die die RLS umgehen | Die RLS gilt nur für Leser: Administratoren, Mitglieder und Mitwirkende können alle Daten einsehen | Stellen Sie sicher, dass Benutzer, die auf sensible Daten zugreifen, ausschließlich die Rolle „Leser“ haben |
| Aktive externe Gäste | B2B-Zugriff, der nach Beendigung einer Zusammenarbeit nicht widerrufen wurde | Externe Benutzer in den Zugriffsprotokollen herausfiltern |
Schritt 4: Das Audit dokumentieren und wiederholen
Ein Zugriffsaudit ist nur dann von Wert, wenn es regelmäßig wiederholt (idealerweise vierteljährlich oder bei jeder wesentlichen organisatorischen Änderung) und dokumentiert wird, um bei einer Konformitätsprüfung (DSGVO, nLPD, ISO 27001, Branchenstandards für den Banken- oder Gesundheitssektor) vorgelegt werden zu können. Die manuelle Durchführung dieses Audits, Arbeitsbereich für Arbeitsbereich, wird ab einigen Dutzend Arbeitsbereichen schnell unüberschaubar.
Auf dem Weg zu einer konsolidierten und kontinuierlichen Übersicht: Letztendlich geht es nicht nur darum, punktuell auf ein jährliches Audit reagieren zu können, sondern dauerhaft über einen 360°-Überblick über die Berechtigungen zu verfügen, der es ermöglicht, einen ungewöhnlichen Zugriff (beispielsweise einen neu hinzugefügten Administrator in einem sensiblen Arbeitsbereich) sofort zu erkennen, anstatt ihn erst sechs Monate später bei der nächsten Überprüfung zu entdecken.
Diese Kontinuität verändert die Sicherheitsstrategie grundlegend: Man wechselt von einer reaktiven Kontrolle zu einer proaktiven Überwachung.
Häufig gestellte Fragen
Wie lange dauert ein vollständiges manuelles Power BI-Zugriffsaudit?
Bei einem Betreiber mit etwa fünfzig Workspaces dauert ein gründliches manuelles Audit, das alle vier Zugriffsebenen abdeckt, in der Regel mehrere Tage bis mehrere Wochen, je nach Verfügbarkeit der Teams und der Komplexität der vorhandenen RLS.
Reicht die RLS aus, um die Sicherheit sensibler Daten zu gewährleisten?
Nein, die RLS filtert die Anzeige der Daten innerhalb eines Berichts, ersetzt jedoch nicht die Zugriffskontrolle auf den Bericht selbst. Ein Benutzer ohne Zugriff auf den Bericht hat ohnehin keine Daten, die gefiltert werden könnten; die RLS und die Workspace-Rollen ergänzen sich, sind jedoch nicht austauschbar.
Wie verwaltet man die Zugriffsrechte externer Nutzer (Gäste)?
Gastzugänge müssen einer gesonderten und häufigeren Überprüfung unterzogen werden, da sie oft nicht unter die üblichen HR-Prozesse zur Deaktivierung von Konten fallen. Im Rahmen eines Audits muss die Liste der aktiven externen Konten systematisch herausgefiltert und separat geprüft werden.
Dieses Zugriffsaudit knüpft direkt an das zweite Anzeichen an, das in „Power BI-Governance: Die 7 Anzeichen dafür, dass Ihnen Ihre Umgebung entgleitet“ erwähnt wird.
Siehe auch „Power BI-Bestandsaufnahme“, um über die für ein umfassendes Audit erforderliche Grundlage an Artefakten zu verfügen.
