Das Berechtigungskonzept als Fundament des Datenschutzes

Die unsichtbare Säule des Datenschutzes: Warum ein durchdachtes Berechtigungskonzept über Erfolg oder Bußgeld entscheidet

Obwohl die DSGVO bereits seit Jahren in Kraft ist, zeigt die Praxis oft, dass die korrekte Umsetzung technischer und organisatorischer Maßnahmen (TOM) in vielen Unternehmen noch immer eine Illusion ist. Ein zentraler, aber häufig vernachlässigter Baustein ist dabei das Berechtigungskonzept. Es regelt verbindlich, wer im Unternehmen auf welche Daten und Funktionen zugreifen darf.

Was ist ein Berechtigungskonzept?

Es handelt sich um ein ganzheitliches Regelwerk, das organisatorische und technische Komponenten verbindet. Das Kernziel ist die Umsetzung des „Need-to-know“-Prinzips: Der Zugriff auf Daten wird auf das für die jeweilige Aufgabe absolut notwendige Maß beschränkt. Damit werden nicht nur gesetzliche Vorgaben erfüllt, sondern auch die funktionale Trennung und die allgemeine Prozesssicherheit im Unternehmen gewährleistet.

Der Weg zur rechtssicheren Implementierung

Ein wirksames Konzept muss bereits vor Beginn der Datenverarbeitung oder der Einführung neuer Prozesse stehen. Der Autor empfiehlt ein schrittweises Vorgehen:

1. Rollen definition: Aufgabenbereiche und Rollenprofile müssen klar bestimmt und den Mitarbeitern zugeordnet werden.
2. Rechteverknüpfung: Diese Rollen werden in Zugriffsmatrizen mit konkreten Rechten (Lesen, Schreiben, Löschen, Administrieren) auf Systemen wie Datenbanken oder Cloud-Diensten verknüpft.
3. Genehmigungsprozesse: Es muss klar definiert sein, wer Zugriffe beantragen darf und wer diese nach welcher Prüfung genehmigt.
4. Dokumentation: Alle Regelungen sind schriftlich festzuhalten, um die Nachvollziehbarkeit gemäß DSGVO sicherzustellen.

Die „Pflegefalle“: Wo Unternehmen scheitern

Die Erstellung eines Konzepts ist oft nicht das Problem – die größte Gefahr liegt in der laufenden Pflege. In der Praxis wird die Aktualisierung oft aufgrund von Personalmangel, fehlender Priorisierung oder schlichtem Vergessen vernachlässigt.

Das Risiko: Bei Personalwechseln, Rollenänderungen oder Umstrukturierungen bleiben oft veraltete Rechte bestehen. Aus Sicht der Aufsichtsbehörden stellt ein nicht gepflegtes Berechtigungskonzept ein organisatorisches Fehlverhalten dar. Ein Verstoß gegen die Pflicht zur Implementierung geeigneter technischer und organisatorischer Maßnahmen (Art. 32 DSGVO) kann zu erheblichen Bußgeldern führen.

Kerninhalte eines modernen Konzepts

Ein vollständiges Berechtigungskonzept sollte laut Popovic folgende Elemente enthalten:

• Rollen- und Rechtekonzept: Aufgabenbasierte Benutzerrollen.
• System- und Datenklassifikation: Kategorisierung nach Schutzbedarf und Sensibilität.
• Vergabeprozesse: Transparente Regelung für Beantragung und Genehmigung.
• Rezertifizierungszyklen: Regelmäßige Überprüfung und Anpassung bestehender Rechte.
• Protokollierung und Monitoring: Sicherstellung der Revisionsfähigkeit durch nachvollziehbare Zugriffe.

Wie unterstützt ein Berechtigungskonzept die geforderte Funktionstrennung (SoD)?

Ein Berechtigungskonzept ist ein wesentliches Instrument zur Umsetzung und Aufrechterhaltung der Funktionstrennung (Segregation of Duties – SoD) im Unternehmen. Es bildet das technische und organisatorische Regelwerk, um sicherzustellen, dass kritische Aufgaben auf verschiedene Personen verteilt werden können.

So unterstützt ein Berechtigungskonzept die Funktionstrennung konkret:

• Rollenbasierte Zugriffskontrolle: Durch die Definition klarer Aufgabenbereiche und Rollenprofile wird festgelegt, welcher Mitarbeiter welche Funktionen ausüben darf. Dies ermöglicht es, unvereinbare Tätigkeiten (wie z. B. das Bestellen und das gleichzeitige Buchen einer Rechnung) systematisch auf verschiedene Rollen zu verteilen.
• Need-to-know-Prinzip: Das Konzept stellt sicher, dass der Zugriff auf Daten und Funktionen auf das für die jeweilige Aufgabe absolut notwendige Maß beschränkt wird. Dies verhindert, dass Mitarbeiter über ihre spezifische Funktion hinausgehende, potenziell kritische Rechte erhalten.
• Detaillierte Zugriffsmatrizen: In diesen Matrizen werden Rollen mit spezifischen Rechten (Lesen, Schreiben, Löschen, Administrieren) auf verschiedenen Systemen verknüpft. Dadurch wird technisch erzwungen, dass eine Person, die beispielsweise nur Leserechte für Stammdaten haben sollte, keine eigenmächtigen Änderungen vornehmen kann.
• Trennung von administrativen und operativen Konten: Ein wirksames Konzept sieht vor, dass administrative Accounts strikt von operativen Accounts getrennt werden. Dies verhindert, dass ein Administrator seine privilegierten Rechte für alltägliche operative Tätigkeiten missbraucht oder umgekehrt.
• Implementierung des Vier-Augen-Prinzips: Bei besonders sensiblen Prozessen, wie der Änderung von Bankverbindungen oder Kreditorenstammdaten, unterstützt das Berechtigungskonzept die Einhaltung des Vier-Augen-Prinzips, indem es sicherstellt, dass eine Aktion von einer zweiten Person kontrolliert werden muss.
• Genehmigungsprozesse und Dokumentation: Klare Prozesse für die Beantragung und Genehmigung von Rechten erhöhen die Transparenz und verhindern, dass unerwünschte oder risikoreiche Rechtekombinationen (SoD-Konflikte) unbemerkt vergeben werden.
• Rezertifizierungszyklen: Durch die regelmäßige Überprüfung bestehender Rechte wird sichergestellt, dass bei Personalwechseln oder Umstrukturierungen keine alten Rechte bestehen bleiben, die im neuen Kontext zu Funktionstrennungskonflikten führen könnten.

Zusammenfassend verhindert ein gut gepflegtes Berechtigungskonzept die Entstehung von „Kopfmonopolen“ und sorgt dafür, dass die Prozesssicherheit durch eine kontrollierte Verteilung von Verantwortlichkeiten gewahrt bleibt.

Wie hängen Rollenprofile und das Need-to-know-Prinzip zusammen?
Rollenprofile und das Need-to-know-Prinzip bilden zusammen das Rückgrat eines wirksamen Berechtigungskonzepts, um den Zugriff auf personenbezogene Daten zu schützen.

Der Zusammenhang lässt sich wie folgt beschreiben:

• Umsetzung des Need-to-know-Prinzips: Das Need-to-know-Prinzip fordert, dass der Zugriff auf Daten auf den für die jeweilige Aufgabe absolut notwendigen Personenkreis beschränkt wird. Damit sollen unbefugte Zugriffe verhindert und gesetzliche Compliance-Anforderungen erfüllt werden.
• Rollenprofile als Steuerungsinstrument: Um dieses Prinzip in der Praxis anzuwenden, müssen Unternehmen klare Aufgabenbereiche und Rollenprofile bestimmen. Anstatt jedem Mitarbeiter individuell Rechte zuzuweisen, werden Berechtigungen auf Basis von Aufgaben und Verantwortlichkeiten in Benutzerrollen gebündelt.
• Technische Verknüpfung: Sobald diese Rollen definiert sind, werden sie über Zugriffsrichtlinien oder Zugriffsmatrizen mit konkreten Rechten auf Systemen (wie Lesen, Schreiben oder Löschen) verknüpft. Den einzelnen Mitarbeitern werden dann lediglich die für ihre Funktion passenden Rollen zugewiesen.

Zusammenfassend dienen Rollenprofile dazu, das abstrakte Need-to-know-Prinzip in eine kontrollierbare Struktur zu überführen. Ohne klar definierte Rollenprofile ließe sich die geforderte Einschränkung von Datenzugriffen nicht nachvollziehbar umsetzen, was das Risiko von Datenschutzverstößen und Bußgeldern massiv erhöhen würde.

Fazit: Ein mangelhaftes Berechtigungskonzept ist weit mehr als ein formaler Fehler. Es erhöht massiv das Risiko von Datenpannen, bei denen Unbefugte sensible Informationen einsehen können. Um meldepflichtige Datenschutzvorfälle und Bußgelder zu vermeiden, müssen Unternehmen das Berechtigungskonzept als lebendiges Dokument begreifen, das eine kontinuierliche Aufmerksamkeit der Geschäftsleitung erfordert.