Berechtigungskonzept

Ausführliche Erklärung

Ein Berechtigungskonzept definiert nicht nur, wer Daten lesen darf, sondern auch, wer sie bearbeiten, löschen oder freigeben kann. Es übersetzt abstrakte Sicherheitsrichtlinien und gesetzliche Vorgaben in konkrete technische Konfigurationen und stellt sicher, dass vertrauliche Informationen geschützt bleiben, während gleichzeitig die Arbeitsfähigkeit der Mitarbeitenden gewährleistet ist. Das Konzept basiert auf dem Least-Privilege-Prinzip: Mitarbeitende erhalten ausschließlich die Zugriffsrechte, die sie zur Ausführung ihrer täglichen Aufgaben tatsächlich benötigen – nicht mehr und nicht weniger.

Im KMU-Kontext ist ein durchdachtes Berechtigungskonzept unverzichtbar für die DSGVO-Konformität. Die Verordnung verlangt in Art. 5 und Art. 32 technische und organisatorische Maßnahmen, die Vertraulichkeit, Integrität und Verfügbarkeit personenbezogener Daten sicherstellen. Ein fehlendes oder unzureichendes Berechtigungskonzept erhöht nicht nur das Risiko von Datenschutzverletzungen, sondern kann auch zu Bußgeldern führen. Zudem erleichtert ein dokumentiertes Konzept die Nachweispflicht bei Audits und Datenschutzprüfungen.

In der Praxis setzen Unternehmen meist auf rollenbasierte Zugriffskontrolle (Role-Based Access Control, RBAC). Dabei werden Berechtigungen nicht einzelnen Personen zugewiesen, sondern standardisierten Rollen, die bestimmten Funktionen im Unternehmen entsprechen. Mitarbeitende erhalten Rollen und über diese automatisch die zugehörigen Berechtigungen. Dies vereinfacht die Verwaltung erheblich, insbesondere bei Personalwechseln, Beförderungen oder Abteilungswechseln.

Ein vollständiges Berechtigungskonzept umfasst zudem dokumentierte Genehmigungsworkflows, regelmäßige Überprüfungen der vergebenen Rechte (mindestens jährlich) und klare Zuständigkeiten für die Berechtigungsadministration. Es sollte sowohl digitale Zugriffsrechte auf IT-Systeme als auch physische Zugangskontrollen zu Räumen mit sensiblen Daten berücksichtigen.

Code-Beispiel

"""
Beispiel: Einfache Rollenmatrix für ein Berechtigungskonzept
"""

berechtigungen = {
    "Geschäftsführung": {
        "ERP-System": ["lesen", "schreiben", "freigeben"],
        "Finanzdaten": ["lesen", "schreiben", "exportieren"],
        "Personalakten": ["lesen", "schreiben"]
    },
    "Buchhaltung": {
        "ERP-System": ["lesen", "schreiben"],
        "Finanzdaten": ["lesen", "schreiben"],
        "Personalakten": []
    },
    "Vertrieb": {
        "CRM-System": ["lesen", "schreiben"],
        "Kundendaten": ["lesen", "schreiben"],
        "Finanzdaten": ["lesen"]
    }
}