Active Directory im GxP-Umfeld: Qualifizierung und wirksame Zugriffsrechte

1. Den Verzeichnisdienst vom Fachprozess her abgrenzen

Active Directory Domain Services, kurz AD DS, verwaltet unter Windows Server unter anderem Benutzer, Computer und Ressourcen einer Domäne. Das ist ein anderer Dienst als Microsoft Entra ID. Dieser Leitfaden betrachtet die lokale Domänenumgebung und deren Wirkung auf angebundene Systeme. Eine vorhandene Cloud-Synchronisation erweitert die zu untersuchende Datenkette, wird hier aber nicht als gleichwertige Funktion mitbehandelt.

GxP-Relevanz entsteht beispielsweise, wenn AD-Gruppen bestimmen, wer in einer Laboranwendung Ergebnisse prüfen darf. Beginnen Sie deshalb mit der erlaubten Fachhandlung und verfolgen Sie deren Berechtigung zurück. Eine Anmeldung am Rechner allein beweist weder Zugriff auf das richtige Verfahren noch den Ausschluss einer unzulässigen Freigabe. Auch lokale Konten oder eigene Rollen der Anwendung können entscheidend sein.

Im zutreffenden Humanarzneimittel-GMP-Scope unterscheidet Annex 11 zwischen validierter Anwendung und qualifizierter IT-Infrastruktur. Daraus folgt keine feste GAMP-Kategorie für den Produktnamen. Legen Sie fest, welche Infrastrukturmerkmale und welche anwendungsbezogenen Zugriffsanforderungen nachzuweisen sind. Nicht jedes Verzeichnisobjekt braucht denselben Umfang; gemeinsam genutzte Dienste bleiben jedoch relevant, wenn ihr Ausfall oder ihre Änderung den betrachteten Prozess beeinflusst.

Quellen: [1] [8] [10] [9]

2. Einen prüfbaren Domänenbestand aufnehmen

Die herangezogenen Microsoft-Seiten nennen überwiegend Windows Server 2025, 2022, 2019 und 2016 als Anwendungsbereich. Sie ersetzen keine Bestandsaufnahme Ihres Betriebssystems, Patchstands oder unterstützten Funktionsumfangs. Erfassen Sie Domänencontroller, Domänen, Standorte, Vertrauensbeziehungen, Namensauflösung und die tatsächlich genutzten Anmeldewege. Bei einem Dienstleister gehört dessen Zuständigkeit dazu; der Betriebsort allein beschreibt die Verantwortung nicht.

Forest, Domäne, Organisationseinheit und Sicherheitsgruppe sind unterschiedliche Strukturelemente. Eine Organisationseinheit kann die Anwendung von Gruppenrichtlinien und administrative Delegation steuern. Sie ist damit noch keine fachliche Prüferrolle. Dokumentieren Sie die Zuordnung so, dass auch QA versteht, welcher technische Bestandteil welche fachliche Entscheidung beeinflusst.

Für eine bestehende Umgebung ist eine belastbare Ist-Aufnahme oft wichtiger als ein neues Standardformular. Stimmen exportierte Gruppen und Richtlinien mit der genehmigten Organisation überein? Existieren stillgelegte Anwendungen mit verbliebenen Gruppen? Kann ein externer Administrator Einstellungen ändern, ohne dass der Prozessverantwortliche davon erfährt? Solche Befunde bestimmen die nächsten Prüfungen. Ein Versionswechsel verlangt zusätzlich die Bewertung betroffener Abhängigkeiten; eine aktuelle Produktbezeichnung allein beantwortet diese Fragen nicht.

Quellen: [1] [2] [10]

3. Rollen und verschachtelte Gruppen vollständig auflösen

Microsoft unterscheidet Sicherheitsgruppen von Verteilergruppen. Sicherheitsgruppen können nach den jeweiligen Gruppenbereichsregeln auch andere Gruppen enthalten. Prüfen Sie deshalb nicht nur direkte Mitgliedschaften. Eine Person kann über einen zweiten Pfad dieselbe Berechtigung behalten, obwohl der sichtbarste Eintrag bereits entfernt wurde. Die fachliche Frage lautet: Welche Personen besitzen die wirksame Rolle insgesamt?

Trennen Sie die Genehmigung durch den Prozessverantwortlichen von der technischen Umsetzung. Für jede kritische Rolle sollte nachvollziehbar sein, welcher Gruppenpfad sie erzeugt, wer diesen Pfad ändern darf und wie eine Ausnahme beurteilt wird. Das ist eine eigene Arbeitshilfe; Microsoft definiert damit keine Laborrollen oder GMP-Freigaben für Ihre Organisation.

Die folgende Zuordnung zeigt, weshalb ein einziger Screenshot aus der Benutzerverwaltung selten den ganzen Nachweis trägt. Sie können die Informationen in vorhandenen Dokumenten halten, sofern deren Zusammenhang verständlich und aktuell bleibt. Ergänzen Sie besonders alternative Anmeldewege und die Pflegeverantwortung der Anwendung. Ein fachlich gesperrter Benutzer darf nicht über eine dort verbliebene lokale Rolle dieselbe Aktion ausführen.

Quellen: [3] [2] [10]

4. Gruppenrichtlinien am Ziel prüfen

Eine Gruppenrichtlinie verbindet Einstellungen mit Berechtigungen und einem Geltungsbereich. Microsoft beschreibt Bestandteile in Active Directory und im SYSVOL-Verzeichnis. Für Ihre Prüfung ist entscheidend, was am relevanten Computer beziehungsweise für den betreffenden Benutzer tatsächlich wirksam wird. Das Vorhandensein eines GPO belegt zunächst nur einen Teil der Konfiguration.

Wählen Sie einen begründeten Normalfall und einen abweichenden Zielzustand. Beispielsweise soll ein Laborarbeitsplatz dieselbe genehmigte Zugriffsbeschränkung vor und nach einem vorgesehenen Wechsel der Organisationseinheit erhalten. Prüfen Sie die resultierende Einstellung und das betroffene Verhalten. Eine außerhalb des Geltungsbereichs liegende Testmaschine würde den eigentlichen Fehler womöglich übersehen.

Halten Sie Voraussetzungen, beobachteten Zielzustand und Abweichungen fest. Wenn zwei Richtlinien oder eine Ausnahme relevant sind, muss die Prüfung den tatsächlich entstehenden Zustand erfassen. Übernehmen Sie keine pauschalen Aktualisierungszeiten aus einem fremden Aufbau. Änderungen an Zuordnung, Berechtigung oder Einstellung werden auf ihre Auswirkungen bewertet; der Prüfumfang folgt dem betroffenen Verhalten. Ein erfolgreich angewendetes GPO ersetzt außerdem weder die Rollenprüfung in der Anwendung noch die Beurteilung ihrer Datenaufzeichnungen.

Quellen: [4] [10]

5. Replikation und Sitzungen in den Rechteentzug einbeziehen

AD DS repliziert Verzeichnisinformationen über eine standortbezogene Topologie. Eine Änderung und ihre Wirkung an allen relevanten Zugangswegen sind daher getrennt zu betrachten. Untersuchen Sie, welcher Domänencontroller eine Anmeldung bedient und welcher Stand für den betrachteten Zugriff maßgeblich ist. Die Microsoft-Dokumentation begründet keine allgemeine sofortige Konsistenz oder eine für jeden Betrieb passende Wartefrist.

Dazu kommt der Benutzerkontext: Windows-Zugriffstoken enthalten unter anderem Benutzer- und Gruppenkennungen. Anwendungen können daneben eigene Sitzungen und Berechtigungsmechanismen verwenden. Aus einer geänderten Gruppenliste lässt sich deshalb nicht pauschal ableiten, dass jede laufende Sitzung ihre bisherigen Möglichkeiten sofort verliert. Die tatsächliche Kopplung muss für die verwendete Anwendung bekannt sein.

Definieren Sie für einen Rollenentzug den fachlich erforderlichen Endzustand. Prüfen Sie neue Anmeldungen sowie bereits offene Sitzungen getrennt. Wenn der Prozess eine unmittelbare Unterbindung einer kritischen Aktion benötigt, reicht ein später erwarteter Verzeichnisabgleich als Begründung nicht. Bestimmen Sie einen geeigneten kontrollierten Entzugsweg und weisen Sie dessen Wirkung nach. Solche Versuche gehören in eine abgestimmte Umgebung und dürfen keine laufende Produktion unbeabsichtigt beeinträchtigen.

Quellen: [5] [6] [10]

6. Illustratives Sollbeispiel: Eine Prüferrolle vollständig entziehen

Das folgende Beispiel ist konstruiert und kein ausgeführter Produkt- oder Kundentest. In einer Testdomäne bedienen DC1 und DC2 zwei festgelegte Anmeldewege zur Laboranwendung LAB-01. Anna, Ben und Cem dürfen Ergebnisse lesen. Anna und Ben dürfen anfänglich prüfen. Die Anwendung bildet diese beiden Funktionen getrennt auf definierte Sicherheitsgruppen ab. Weitere lokale Prüferrollen sind im Ausgangszustand ausgeschlossen.

Ben wechselt die Aufgabe und soll seine Prüferrolle vollständig verlieren, das Leserecht aber behalten. Das vorab festgelegte Soll nach abgeschlossenem Entzug lautet: Alle drei lesen, nur Anna prüft. Mit drei Personen, zwei Aktionen und zwei Zugangswegen entstehen zwölf Einzelbeobachtungen. Erwartet werden acht erlaubte und vier verweigerte Aktionen. Diese Zahl beschreibt ausschließlich diesen Fall, keine allgemeine Mindesttestzahl.

Vor jedem Tabellenfall werden derselbe genehmigte Rollenstand und eine neue Sitzung hergestellt; der verwendete Zugangsweg wird festgehalten. Zusätzlich bleibt in einem gezielten Fehlerfall Ben über eine verschachtelte Gruppe berechtigt: Der Vergleich muss den unvollständigen Entzug erkennen. Ein weiterer Fall verwendet eine vor dem Entzug geöffnete Sitzung und beurteilt deren Verhalten gegen das ausdrücklich festgelegte Entzugsverfahren. Beide Zusatzfälle werden separat dokumentiert und nicht in die zwölf Normalbeobachtungen eingerechnet.

Quellen: [3] [5] [6]

7. Technische Protokolle und fachliche Aufzeichnungen zuordnen

Eine protokollierte Gruppenänderung beantwortet eine andere Frage als die dokumentierte Prüfung eines Laborergebnisses. Für den Berechtigungsprozess brauchen Sie den Zusammenhang zwischen Antrag, Entscheidung, Umsetzung und überprüfter Wirkung. Für die Fachhandlung bleibt die Aufzeichnung der Anwendung maßgeblich. Ein Verzeichnisprotokoll ersetzt diesen Zusammenhang nicht und ist keine elektronische Unterschrift unter einem Ergebnis.

Annex 11 behandelt die Aufzeichnung von Einrichtung, Änderung und Entzug von Zugriffsberechtigungen. Welche technischen und organisatorischen Nachweise dafür zusammenwirken, wird im eigenen System festgelegt. Prüfen Sie, ob die benötigten Informationen tatsächlich erfasst werden, zugänglich bleiben und verständlich ausgewertet werden können. Ein lediglich eingeschalteter Protokollierungsmechanismus beweist das noch nicht.

Für GMP-relevante Aufzeichnungen sind auch ihre Beziehungen und kontrollierte Korrekturen zu betrachten. Legen Sie fest, wie eine falsch zugeordnete Person berichtigt wird, ohne die ursprüngliche Entscheidung unverständlich zu machen. Die Aufbewahrung richtet sich nach Zweck und geltendem Regelbereich. Weder ein beliebiger Windows-Logzeitraum noch eine universelle Zahl aus einer Vorlage genügt als Begründung für alle beteiligten Nachweise.

Quellen: [10] [11]

8. Nach Wiederherstellung die Berechtigungen erneut einordnen

Microsoft beschreibt, dass eine Forest-Wiederherstellung Domänen auf den Stand eines vertrauenswürdigen Backups zurückführt. Spätere Objekte oder Objektänderungen können dabei verloren gehen. Für einen regulierten Zugriffsprozess ist deshalb nicht nur die technische Wiederverfügbarkeit wichtig: Welche später genehmigten Rollenänderungen fehlen nach der Wiederherstellung?

Ein eigenes Fehlerbeispiel: Das Backup stammt aus der Zeit vor Bens Rollenentzug. Wird dieser Stand wiederhergestellt, muss das Wiederanlaufverfahren die zwischenzeitliche Änderung erkennen und vor der erneuten erlaubten Nutzung angemessen behandeln. Der Nachweis verbindet Backupstand, offene Änderungen und die tatsächliche Berechtigungsprüfung in LAB-01. Eine gestartete Maschine allein wäre kein ausreichendes Abschlusskriterium.

Planen Sie das Vorgehen gemeinsam mit dem Infrastrukturbetreiber und den betroffenen Fachprozessen. Berücksichtigen Sie sichere Wiederherstellung, erreichbare Ansprechpartner, Abhängigkeiten und die benötigten Ausweichverfahren. Microsofts detaillierte Recovery-Anleitung ist kein allgemeiner Auftrag, einen produktiven Forest zu Testzwecken zurückzusetzen. Die geeignete Testumgebung und Schutzmaßnahmen sind vorab festzulegen. Wiederanlaufziele und Prüftiefe folgen dem konkreten Risiko; pauschale Zeitversprechen sind dafür ungeeignet.

Quellen: [7] [10]

9. Vorbereitung, Mitwirkung und Aufwand realistisch planen

Für ein KMU sollte vor dem Start feststehen, wer den Dienst betreibt, wer Anwendungsrollen genehmigt und wer die Wirkung beurteilt. Die Infrastrukturadministration kennt Domänen und Gruppenrichtlinien, der Anwendungsverantwortliche die Rollenabbildung, QA die fachlichen Anforderungen. Ein externer IT-Partner kann technische Nachweise liefern; offene Zuständigkeiten verschwinden dadurch nicht.

Der Aufwand steigt insbesondere mit mehreren Domänen, Standorten, Gruppenverschachtelungen, nicht dokumentierten Ausnahmen und Anwendungen mit eigener Benutzerverwaltung. Hinzu kommen eingeschränkte Testmöglichkeiten oder ein unklarer Änderungsbestand. Die bloße Benutzerzahl sagt darüber wenig aus. Für einen Neueinsatz planen Sie die Sollstruktur; im Bestand rekonstruieren Sie zuerst die tatsächlichen Berechtigungswege und behandeln gefundene Abweichungen.

Die folgende Vorbereitungsliste hilft, den Auftrag konkret zu machen. Sie ist keine allgemeine regulatorische Mindestaktenliste. Bereits vorhandene, passende Nachweise können genutzt werden; ihre Aktualität und Abdeckung müssen erkennbar sein.

• Betroffene Fachaktionen und deren zulässige Rollen benennen.
• Domänencontroller, Versionen, Standorte und relevante Anmeldewege erfassen.
• Direkte, verschachtelte und lokale Berechtigungspfade zuordnen.
• GPO-Geltungsbereiche und wichtige Ausnahmen bereitstellen.
• Genehmigungs-, Entzugs- und Wiederanlaufverfahren benennen.
• Sichere Testkonten, Ausgangszustände und beobachtbare Sollaktionen vorbereiten.
• Backupstand, Änderungsnachweise und verantwortliche Ansprechpartner verfügbar machen.

Quellen: [2] [3] [10]

10. Änderungen mit der fachlichen Wirkung abschließen

Ein neuer Domänencontroller, eine geänderte Gruppenschachtelung oder eine andere Anbindung der Laboranwendung kann unterschiedliche Prüfungen auslösen. Bewerten Sie zunächst, welche zuvor begründete Annahme betroffen ist. Bei geänderter Rollenabbildung stehen erlaubte und verbotene Aktionen im Vordergrund; bei einem neuen Standort können Zugangswege, Replikation und Ausfallverhalten entscheidend sein.

Für die Abschlussentscheidung werden Ergebnisse, Abweichungen und verbleibende Maßnahmen zusammengeführt. Eine fehlerfreie technische Installation ist dabei ein Beitrag, nicht automatisch der gesamte fachliche Nachweis. Umgekehrt muss eine Änderung nicht ohne Begründung sämtliche früheren Tests wiederholen. Dokumentieren Sie, welche bestehenden Belege weiterhin passen und welche neuen Beobachtungen erforderlich sind.

Im laufenden Betrieb sollten relevante Störungen, Rechteausnahmen und Änderungen in die Bewertung einfließen. Wiederholte unerklärte Abweichungen zwischen genehmigter Rolle und Anwendungszugriff verdienen eine andere Behandlung als eine korrigierte Schreibweise in einer Beschreibung. Halten Sie den Blick auf das Ergebnis: Die richtige Person kann die vorgesehene Handlung ausführen, eine andere nicht, und spätere Änderungen lassen sich kontrolliert beurteilen.

Quellen: [5] [4] [10]