Die Bankenwelt habe ich verlassen und bin jetzt bei einem Mittelständler ohne Revision! 
Unabhängig davon, ob es eine Revision gibt oder nicht, sind IDs mit einem Ausweis gleichzusetzen, deren Ausstellungsverfahren sicher sein muss. Revision habe ich nie als Gängelei der Admins verstanden, sondern genau umgekehrt zu deren Schutz.
Es braucht bloß ein Mitarbeiter, hierarchisch weiter oben angesiedelt, irgendeinen Mist zu verzapfen, der richtig teuer wird und damit unter Beschuss zu geraten (z.B. ein völlig falscher Preis bei einem Großauftrag). Die Entscheidung ist zudem ausschließlich in Notes dokumentiert, und sei es nur durch eine entsprechende Mail. In seiner Not behauptet der Mitarbeiter, er sei es nicht gewesen.
Bei der Untersuchung, wer sonst mit der ID des Mitarbeiters hätte arbeiten können, muss das Bereitstellungsverfahren der IDs so sicher sein, dass eben nicht die Admins sich jederzeit ungehindert als andere Mitarbeiter anmelden können. Im Zweifelsfall bist Du Deinen Job schneller los, als Du es je geahnt hättest.
Dabei muss man noch nicht einmal irgendwelche teueren Werkzeuge einkaufen, es genügt, sich ein paar organisatorische Gedanken zu machen. Z.B. hättet Ihr das Startpasswort auf zwei Personen aufteilen können. Bei Benutzerzulassung tippt einer den ersten Teil und ein anderer den zweiten Teil des Passwortes ein. Der User wird dann soweit geführt, dass er nur noch sein neues Passwort eingeben muss. So erhält niemand das Wissen über das vollständige Startpasswort. Zur Sicherheit werden beide Passwortteile an einem sicheren Ort unter Verschluss aufbewahrt, um nicht in die Verlegenheit zu kommen, in der Du Dich gerade befindest.
Natürlich kannst Du im Nachhinein ohne Rezertifizierung diese Sicherheit nicht mehr herstellen, denn es existieren IDs mit einem Dir bekannten Passwort, da kannst Du das Passwort im Vieraugenprinzip ändern oder es lassen. Im Zweifelsfall hast Du noch irgendwo eine ID mit dem ursprünglichen Startpasswort, das Gegenteil wirst Du niemandem beweisen können.
Argumente dagegen habe ich schon sehr viele gehört, meistens wird behauptet, es sei viel zu aufwendig und lähme die Administration. Wenn in einem Unternehmen noch nicht eimal Zeit für eine ordnungsmäßige Benutzerverwaltung existiert, ist da sowieso der Wurm drin. Als ID-Verantwortlicher könnte ich ohne sicheres Verfahren nicht mehr ruhig schlafen.
