Rechtemanagement

Es legt fest, welche Identitäten - etwa Benutzerkonten, Gruppen, Rollen, externe Gastkonten oder technische Konten - auf Informationen, Funktionen und Prozesse zugreifen dürfen und welche Zugriffe ausgeschlossen sind. Ziel ist es, vertrauliche Inhalte zu schützen, Arbeitsabläufe verlässlich zu unterstützen und die Einhaltung interner Richtlinien sowie rechtlicher Anforderungen zu erleichtern.

In Informationsmanagementsystemen sorgt ein durchdachtes Rechtemanagement dafür, dass Mitarbeitende die Informationen und Funktionen erhalten, die sie für ihre Aufgaben benötigen. So kann eine Person in der Rolle Vertragsbearbeitung Entwürfe erstellen, während die Rolle Vertragsprüfung Kommentare und Bewertungen ergänzen darf. Die finale Vertragsfreigabe kann einer klar benannten, besonders geschützten Rolle vorbehalten bleiben.

Rechtemanagement verbindet damit Informationssicherheit und produktive Zusammenarbeit. Inhalte sollen dort verfügbar sein, wo sie fachlich erforderlich sind, ohne unnötig weit im Unternehmen oder gegenüber externen Beteiligten offenzustehen. Es unterstützt Compliance, Datenschutz und nachvollziehbare Prozesse, kann deren vollständige Einhaltung jedoch nicht allein gewährleisten.

Was umfasst Rechtemanagement?

Rechtemanagement umfasst weit mehr als die technische Zuweisung einzelner Zugriffsrechte. In der Praxis gehören dazu auch die Beantragung, fachliche Genehmigung, technische Vergabe, Änderung, Dokumentation, Überprüfung und Entziehung von Berechtigungen. Ebenso wichtig sind klare Verantwortlichkeiten, nachvollziehbare Protokolle und Verfahren für Ausnahmen oder Notfälle.

Dabei sind mehrere Begriffe voneinander abzugrenzen:

• Authentifizierung prüft die Identität einer anfragenden Person oder Maschine, beispielsweise durch Passwort, Passkey, Zertifikat, Token oder Mehrfaktor-Authentifizierung.
• Single Sign-on ist kein eigenes Authentifizierungsverfahren, sondern ein Verfahren zur einmaligen Anmeldung. Eine bereits bestätigte Identität wird dabei für den Zugriff auf weitere angebundene Systeme genutzt.
• Autorisierung entscheidet, welche Ressourcen und Aktionen einer authentifizierten Identität erlaubt sind.
• Rechtemanagement organisiert den gesamten Lebenszyklus dieser Berechtigungen.
• Identity and Access Management (IAM) umfasst die Verwaltung digitaler Identitäten, Anmeldungen und Zugriffsrechte über Systeme hinweg.
• Identity Governance and Administration (IGA) ergänzt IAM um Governance-Prozesse wie Genehmigungen, Rollenmodelle, Access Reviews und Rezertifizierungen.
• Privileged Access Management (PAM) konzentriert sich auf besonders weitreichende administrative und technische Zugriffe.

Autorisierung wird nicht ausschließlich einmal nach der Anmeldung geprüft. Viele Systeme bewerten Berechtigungen bei jedem Zugriff oder bei kritischen Aktionen erneut. Dabei können Kontextfaktoren wie Gerätetyp, Sicherheitsstatus des Endgeräts, IP-Adresse, geografischer Standort, Uhrzeit, Risikoindikatoren oder die Sensibilität der angeforderten Daten berücksichtigt werden.

Typische Berechtigungen betreffen unter anderem folgende Aktionen:

• Inhalte lesen oder anzeigen
• Dokumente, Datensätze oder Einträge erstellen
• Bestehende Inhalte bearbeiten
• Kommentare oder Rückfragen hinzufügen
• Inhalte teilen, freigeben oder veröffentlichen
• Daten herunterladen, drucken oder exportieren
• Inhalte in einen Papierkorb verschieben
• Gelöschte Inhalte wiederherstellen
• Inhalte endgültig löschen
• Prozesse starten, prüfen oder freigeben
• Benutzer, Gruppen, Rollen und Systemeinstellungen administrieren

Das Verschieben in einen Papierkorb, die Wiederherstellung und das endgültige Löschen sind technisch häufig unterschiedliche Rechte. Gerade bei sensiblen Dokumenten oder geschäftskritischen Daten sollten diese Aktionen getrennt gesteuert und protokolliert werden. Ebenso können Freigabe-, Export- und Druckrechte unabhängig vom reinen Leserecht vergeben werden.

Identitäten, Konten und Berechtigungen

Berechtigungen werden technisch meist nicht direkt einer Person zugewiesen, sondern einer digitalen Identität oder einem Benutzerkonto. Diese Identität kann einer einzelnen Person, einer Gruppe, einer Rolle, einem externen Gastzugang oder einer Maschine zugeordnet sein. Für eine wirksame Zugriffskontrolle muss daher nachvollziehbar sein, wer oder was hinter jeder Identität steht und wofür sie verwendet wird.

Neben persönlichen Benutzerkonten spielen technische Identitäten eine wichtige Rolle. Dazu zählen Servicekonten, API-Schlüssel, Zertifikate, Bots, automatisierte Workflows und System-zu-System-Verbindungen. Solche Maschinenidentitäten benötigen oft weitreichende Rechte, werden bei Berechtigungsprüfungen jedoch leicht übersehen.

Technische Konten sollten nicht für die persönliche Nutzung durch Mitarbeitende eingesetzt werden. Sie benötigen eine eindeutige fachliche und technische Verantwortung, zweckgebundene Minimalrechte, sichere Speicherung ihrer Zugangsdaten und regelmäßige Prüfungen. Schlüssel, Tokens und Zertifikate sollten bei Bedarf zeitlich begrenzt, rotiert und bei Änderungen von Verantwortlichkeiten unverzüglich ersetzt oder entzogen werden.

Rollenbasiertes Rechtemanagement

Beim rollenbasierten Rechtemanagement, auch Role-Based Access Control oder RBAC genannt, werden Berechtigungen in Rollen gebündelt. Mitarbeitende erhalten nicht zahlreiche einzelne Rechte, sondern werden einer oder mehreren Rollen zugeordnet. Jede Rolle bildet ein klar abgegrenztes Aufgabenprofil ab und enthält die dafür notwendigen Berechtigungen.

Sinnvolle Rollenbeispiele sind:

• Vertragsbearbeitung
• Vertragsprüfung
• Vertragsfreigabe
• Rechnungsprüfung
• Rechnungsfreigabe
• Personalaktenbearbeitung
• Bewerbungsmanagement
• Content-Erstellung
• Content-Freigabe
• Projektleitung
• Systemadministration

Rollen sollten Aufgaben und Verantwortlichkeiten beschreiben, nicht nur Organisationseinheiten. Begriffe wie Vertrieb, Buchhaltung oder Personalabteilung können für Gruppenzuordnungen sinnvoll sein, sagen aber nicht automatisch aus, welche konkreten Aktionen eine Person ausführen darf. Eine Person aus der Buchhaltung kann beispielsweise Rechnungen erfassen, prüfen oder freigeben - diese Tätigkeiten erfordern unterschiedliche Rollen und Berechtigungen.

Wechselt eine Person die Aufgabe, Abteilung oder Projektzugehörigkeit, kann die zuständige Rolle angepasst oder entfernt werden. Das reduziert den Verwaltungsaufwand und senkt das Risiko, dass überholte Zugriffe bestehen bleiben. Direkte Einzelberechtigungen sind dennoch nicht grundsätzlich falsch, sollten aber begründete, genehmigte, dokumentierte und regelmäßig überprüfte Ausnahmen bleiben.

Weitere Modelle der Zugriffskontrolle

RBAC ist für viele Standardszenarien gut geeignet, reicht bei sehr feingranularen oder dynamischen Anforderungen jedoch nicht immer aus. Ergänzend können weitere Zugriffskontrollmodelle eingesetzt werden. In der Praxis entstehen häufig Mischformen, in denen Rollen mit Regeln, Attributen und Kontextinformationen kombiniert werden.

Beim attributbasierten Rechtemanagement, auch Attribute-Based Access Control oder ABAC, hängt der Zugriff von Eigenschaften der Identität, Ressource und Situation ab. Relevante Attribute können beispielsweise Standort, Projektzugehörigkeit, Beschäftigungsstatus, Sicherheitsstufe eines Dokuments oder Vertrauensniveau eines Endgeräts sein. Eine Regel kann etwa festlegen, dass Projektunterlagen nur für aktive Projektmitglieder auf verwalteten Geräten verfügbar sind.

Policy- oder regelbasiertes Rechtemanagement steuert Zugriffe anhand zentral definierter Regeln. Diese können erlaubende oder verweigernde Entscheidungen enthalten. Soweit ein System Deny-Regeln unterstützt, haben ausdrücklich verweigerte Rechte häufig Vorrang vor erlaubenden Berechtigungen - die genaue Priorität hängt jedoch von der jeweiligen Systemlogik ab.

Bei Discretionary Access Control, kurz DAC, können Eigentümerinnen und Eigentümer von Inhalten Zugriffe selbst vergeben. Das ist flexibel, birgt aber Risiken durch unkontrollierte Freigaben und Weitergabe von Dokumenten. Mandatory Access Control, kurz MAC, arbeitet dagegen mit verbindlichen Sicherheitsklassifikationen wie öffentlich, intern, vertraulich oder streng vertraulich und ist besonders für stark regulierte oder sicherheitskritische Umgebungen relevant.

Prinzip der minimalen Rechte und Need-to-know

Das Prinzip der minimalen Rechte, auch Least Privilege genannt, bedeutet: Jede Identität erhält nur die Systemberechtigungen, die für ihre aktuelle Aufgabe notwendig sind. Dabei werden nicht nur Lesezugriffe begrenzt, sondern auch Bearbeitungs-, Export-, Lösch-, Freigabe- und Administrationsrechte. Dieses Prinzip gilt für persönliche Konten ebenso wie für technische Identitäten und automatisierte Prozesse.

Das Need-to-know-Prinzip ist damit eng verwandt, aber nicht identisch. Es beschränkt den Zugang zu Informationen danach, ob eine Person diese Inhalte zur Erfüllung ihrer fachlichen Aufgabe kennen muss. Least Privilege betrachtet umfassender alle benötigten Systemrechte, während Need-to-know vor allem die fachliche Erforderlichkeit der Einsicht in Informationen betrifft.

Ein Mitarbeitender im Kundenservice benötigt beispielsweise Zugriff auf Kundenanfragen und relevante Kontaktdaten. Einsicht in Personalakten, Gehaltsdaten oder strategische Vertragsverhandlungen ist für diese Aufgabe üblicherweise nicht erforderlich. Umgekehrt braucht die Personalaktenbearbeitung in der Regel keinen Zugriff auf technische Administrationsoberflächen oder vertrauliche Vertriebsprognosen.

Die konsequente Begrenzung von Rechten reduziert Schäden durch Fehlbedienungen, kompromittierte Konten und interne Sicherheitsvorfälle. Besonders sensible Berechtigungen wie Massenexporte, endgültige Löschungen oder Administrationsrechte sollten nur wenigen klar verantwortlichen Identitäten zur Verfügung stehen. Bei zeitlich begrenzten Aufgaben helfen Just-Enough-Access und Just-in-Time-Access, Rechte nur im tatsächlich benötigten Umfang und Zeitraum bereitzustellen.

Funktionstrennung und kritische Prozesse

Funktionstrennung, auch Segregation of Duties oder SoD, verhindert, dass einzelne Personen kritische Prozesse vollständig und ohne Kontrolle durchführen können. Sie ergänzt das Prinzip der minimalen Rechte durch organisatorische Kontrollmechanismen. Dadurch lassen sich Fehler, Interessenkonflikte und Betrugsrisiken verringern.

Typische Beispiele für Funktionstrennung sind:

• Eine Person bestellt Waren, eine andere gibt die Rechnung frei.
• Eine Person legt Lieferantendaten an, eine andere ändert Bankverbindungen.
• Eine Person entwickelt eine Änderung, eine andere genehmigt die produktive Bereitstellung.
• Eine Person erstellt einen Vertrag, eine andere prüft ihn rechtlich und eine weitere gibt ihn frei.
• Eine Person erfasst eine Zahlung, eine andere kontrolliert oder bestätigt sie.

In kleineren Organisationen ist eine vollständige Trennung nicht immer möglich. Dann sollten kompensierende Maßnahmen vorgesehen werden, etwa nachgelagerte Kontrollen, zusätzliche Genehmigungen oder eine besonders detaillierte Protokollierung. Entscheidend ist, kritische Berechtigungskombinationen zu erkennen und fachlich zu bewerten.

Rechtemanagement in Informationsmanagementsystemen

Informationsmanagementsysteme bündeln Dokumente, Daten, Wissen und Prozesse aus unterschiedlichen Fachbereichen. Rechtemanagement sorgt dort dafür, dass Inhalte zielgerichtet im passenden Arbeits- und Prozesskontext verfügbar sind. Es steuert nicht nur, wer ein Dokument sehen darf, sondern auch, wer es bearbeiten, weitergeben, exportieren, freigeben oder löschen kann.

Berechtigungen können je nach System auf verschiedenen Ebenen gelten:

• Benutzerkonten und technische Identitäten
• Gruppen, Teams und Organisationseinheiten
• Rollen und Aufgabenprofile
• Mandanten, Standorte und Projekte
• Ordner, Dokumente und einzelne Datensätze
• Dokumenttypen und Datenklassen
• Prozessschritte wie Erstellung, Prüfung und Freigabe
• Funktionen wie Druck, Export, Teilen und Löschen

Bei verschachtelten Ordnerstrukturen, mehreren Gruppenmitgliedschaften oder individuellen Freigaben entstehen Berechtigungen oft aus verschiedenen Quellen. Entscheidend ist daher nicht nur, welche Rechte einzeln vergeben wurden, sondern welche effektiven Berechtigungen tatsächlich wirksam sind. Vererbungen, Ausnahmen, Gruppenregeln und Konfliktregeln sollten transparent dokumentiert und bei Änderungen überprüft werden.

Besondere Aufmerksamkeit benötigen Freigabelinks, öffentliche Links, Gastkonten und Datei-Sharing-Plattformen. Ein Dokument kann durch einen ungeschützten Link auch dann unbeabsichtigt erreichbar sein, wenn die interne Rollenstruktur korrekt eingerichtet ist. Freigaben für externe Personen sollten deshalb klar begrenzt, mit Ablaufdatum versehen und regelmäßig kontrolliert werden.

Kontext- und risikobasierte Zugriffe

Moderne Zugriffskontrollen bewerten nicht nur die zugewiesene Rolle, sondern auch den Kontext einer Anfrage. Dieser Ansatz passt zu Zero Trust: Kein Zugriff wird allein deshalb als vertrauenswürdig eingestuft, weil er aus dem internen Netzwerk stammt. Stattdessen werden Identität, Berechtigung, Gerät, Situation und Risiko fortlaufend bewertet.

Kontext- und risikobasierte Regeln können beispielsweise Zugriffe beschränken, wenn ein Gerät nicht verwaltet oder nicht ausreichend abgesichert ist. Weitere Kriterien sind ungewöhnliche Anmeldeorte, auffällige Uhrzeiten, unbekannte IP-Adressen, fehlende Mehrfaktor-Authentifizierung oder ungewöhnliches Nutzerverhalten. Besonders sensible Daten können so nur unter zusätzlichen Sicherheitsbedingungen angezeigt oder exportiert werden.

Solche Regeln müssen sorgfältig geplant werden, damit sie die Arbeit nicht unnötig behindern. Für berechtigte Ausnahmen sollten nachvollziehbare Genehmigungswege bestehen. Eine risikobasierte Steuerung ersetzt weder Rollen noch regelmäßige Rechteprüfungen, sondern ergänzt diese um eine dynamische Sicherheitsbewertung.

Lebenszyklus von Berechtigungen

Berechtigungen sind nicht statisch. Sie verändern sich mit Eintritt, Aufgabenwechsel, Projektzugehörigkeit, Abwesenheiten und Austritten. Ein wirksames Rechtemanagement deckt deshalb den gesamten Lebenszyklus einer Identität ab und setzt Änderungen möglichst systemübergreifend konsistent um.

Wichtige Ereignisse im Berechtigungslebenszyklus sind:

1. Eintritt: Neue Mitarbeitende erhalten geprüfte Standardrollen auf Grundlage von Funktion, Organisationseinheit und Schutzbedarf ihrer Aufgaben.
2. Rollen- oder Abteilungswechsel: Nicht mehr erforderliche Rechte werden entzogen und neue Berechtigungen bedarfsgerecht ergänzt.
3. Temporäre Aufgaben: Vertretungen, Audits und Projekte erhalten zeitlich begrenzte Zusatzrechte mit festem Ablaufdatum.
4. Projektende: Projektbezogene Zugriffe, Gastkonten und Freigabelinks werden geprüft und nicht mehr benötigte Berechtigungen entfernt.
5. Austritt: Persönliche Konten, Sitzungen, VPN-Zugänge, Cloud-Zugriffe und Funktionspostfachberechtigungen werden zeitnah deaktiviert oder entzogen.
6. Technische Zugangsdaten: API-Schlüssel, Zertifikate, Tokens und Zugangsdaten technischer Konten werden überprüft, rotiert oder widerrufen, wenn Verantwortlichkeiten wegfallen.
7. Rezertifizierung: Fachlich verantwortliche Personen bestätigen in festgelegten Intervallen, dass Berechtigungen weiterhin erforderlich sind.

Dieser Ablauf wird häufig als Joiner-Mover-Leaver-Prinzip bezeichnet. Eine zentrale Identitätsquelle, etwa ein Verzeichnisdienst oder Identity Provider, erleichtert die konsistente Umsetzung über mehrere Systeme hinweg. Automatisiertes Provisioning und Deprovisioning, beispielsweise über etablierte Schnittstellen wie SCIM, kann Fehler reduzieren und die Zeit bis zur Bereitstellung oder Entziehung von Zugriffsrechten verkürzen.

Privilegierte Konten und Notfallzugriffe

Privilegierte Konten verfügen über besonders weitreichende Rechte, etwa zur Systemadministration, Konfigurationsänderung, Verwaltung anderer Konten oder Einsicht in umfangreiche Datenbestände. Sie sind ein besonders attraktives Ziel für Angriffe und sollten daher streng kontrolliert werden. Für alltägliche Tätigkeiten sollten Sie keine Administrationskonten verwenden, sondern getrennte persönliche Standardkonten einsetzen.

Für privilegierte Zugriffe sind eine starke, risikoorientierte Authentifizierung, zeitlich begrenzte Rechte und eine umfassende Protokollierung besonders wichtig. Just-in-Time-Access kann administrative Rechte erst dann bereitstellen, wenn sie für eine konkrete Aufgabe genehmigt wurden. Nach Ablauf des festgelegten Zeitfensters werden die Berechtigungen automatisch wieder entzogen.

Für kritische Störungen können Notfallzugriffe erforderlich sein, die oft als Break-Glass-Konten bezeichnet werden. Solche Konten müssen besonders geschützt, selten genutzt und klar dokumentiert sein. Jede Nutzung sollte eine Alarmierung auslösen, nachträglich geprüft werden und gegebenenfalls zu einem Wechsel der verwendeten Zugangsdaten führen.

Berechtigungen beantragen, genehmigen und dokumentieren

Ein nachvollziehbarer Berechtigungsprozess beginnt mit einem konkreten Antrag. Darin sollten benötigtes System, Ressource, Aktion, Zweck, Schutzbedarf und gewünschte Laufzeit beschrieben werden. Bei temporären Berechtigungen ist ein Ablaufdatum erforderlich, damit Zugriffe nicht unbeabsichtigt dauerhaft bestehen bleiben.

Die fachliche Genehmigung sollte durch eine Person erfolgen, die beurteilen kann, ob der Zugriff für die Aufgabe tatsächlich notwendig ist. Die technische Umsetzung kann durch die IT, Systemadministration oder einen automatisierten Workflow erfolgen. Fachlich Verantwortliche, Systemverantwortliche, Berechtigungsinhaber und technisch umsetzende Stellen sollten klar voneinander abgegrenzt sein.

Eine Berechtigungsmatrix schafft Transparenz über das Berechtigungskonzept. Sie sollte mindestens Rolle, System, Ressource, zulässige Aktion, Schutzbedarf, fachliche Verantwortung, Genehmigungsweg, Prüfintervall und Ausnahmeregelungen enthalten. Damit wird nachvollziehbar, welche Rechte aus welchem Grund bestehen und wer ihre Angemessenheit regelmäßig bestätigt.

Access Reviews, Rezertifizierung und Protokollierung

Access Reviews sind regelmäßige Überprüfungen bestehender Berechtigungen. Bei einer Rezertifizierung oder Attestierung bestätigen fachlich verantwortliche Personen, ob Mitarbeitende, externe Beteiligte und technische Konten ihre Zugriffe weiterhin benötigen. Die Prüfung sollte durch Personen erfolgen, die die fachliche Aufgabe und den tatsächlichen Informationsbedarf beurteilen können.

Prüfintervalle sollten risikobasiert festgelegt werden. Für stabile, wenig kritische Standardrollen kann eine jährliche Überprüfung angemessen sein. Privilegierte Konten, besonders schützenswerte Daten, externe Zugänge und Umgebungen mit häufigen Veränderungen benötigen meist deutlich kürzere Intervalle sowie anlassbezogene Prüfungen.

Audit-Protokolle sollten unter anderem Anmeldungen, fehlgeschlagene Anmeldeversuche, Berechtigungsanträge, Genehmigungen, Rollenänderungen, privilegierte Aktionen, Datenexporte, Freigaben und Löschungen erfassen. Die Protokolle müssen vor Manipulation geschützt, ausreichend lange aufbewahrt und bei Sicherheitsereignissen auswertbar sein. Ohne aussagekräftige Logs lassen sich Vorfälle, Fehlkonfigurationen und unberechtigte Zugriffe nur schwer untersuchen.

Typische Fehler beim Verwalten von Berechtigungen

Ein unübersichtliches oder veraltetes Rechtemanagement erhöht das Risiko für Datenverluste, Datenschutzverletzungen und Betriebsunterbrechungen. Viele Schwachstellen entstehen nicht durch einen einzelnen technischen Fehler, sondern durch gewachsene Ausnahmen, unklare Verantwortlichkeiten und fehlende Überprüfungen. Mit klaren Regeln und regelmäßigen Kontrollen lassen sich diese Risiken deutlich reduzieren.

Häufige Fehler sind:

• zu weitreichende Standardrechte für neue Mitarbeitende
• nicht entfernte Zugriffe nach Rollenwechseln, Projektenden oder Austritten
• fehlende Ablaufdaten für temporäre Berechtigungen
• unklare Zuständigkeiten für Rollen, Gruppen und Genehmigungen
• unkontrollierte Vererbung von Rechten in Ordner- und Gruppenstrukturen
• zu viele privilegierte Konten
• fehlende Prüfung technischer Konten und API-Zugänge
• nicht nachvollziehbare Freigabelinks und Gastzugänge
• unzureichende Protokollierung kritischer Aktionen
• fehlende oder überfällige Rezertifizierungen

Direkte Einzelberechtigungen sind nicht grundsätzlich ein Fehler. Sie können beispielsweise für besonders sensible Einzelfälle, kurzfristige Projekte oder begründete Vertretungen erforderlich sein. Problematisch werden sie, wenn Zweck, Genehmigung, Laufzeit und regelmäßige Überprüfung fehlen.

Wenn Rechte über längere Zeit angesammelt werden, ohne nicht mehr benötigte Berechtigungen zu entfernen, spricht man von Privilege Creep. Mitarbeitende behalten dann Zugriffe aus früheren Aufgaben, Projekten oder Vertretungen. Dieses Risiko betrifft auch technische Identitäten, deren Berechtigungen nach Änderungen von Schnittstellen oder Prozessen oft nicht mehr überprüft werden.

Best Practices für ein sicheres Rechtemanagement

Ein wirksames Rechtemanagement verbindet technische Funktionen mit klaren organisatorischen Regeln. Es sollte fachliche Anforderungen abbilden, ohne Prozesse unnötig zu verlangsamen oder Ausweichlösungen zu fördern. Die folgenden Maßnahmen helfen Ihnen, Berechtigungen sicher und wartbar zu organisieren.

1. Schutzbedarf und Datenklassifikation definieren
   Klassifizieren Sie Informationen beispielsweise als öffentlich, intern, vertraulich oder streng vertraulich. Die Sensibilität der Inhalte sollte bestimmen, wie restriktiv Lese-, Export-, Freigabe- und Administrationsrechte ausgestaltet werden.
2. Rollen anhand realer Aufgaben gestalten
   Definieren Sie Rollen wie Rechnungsprüfung, Vertragsfreigabe oder Personalaktenbearbeitung statt ausschließlich Organisationseinheiten zu verwenden. Jede Rolle sollte einen klaren Zweck, einen fachlichen Verantwortlichen und nachvollziehbare Berechtigungen besitzen.
3. Rollen, Gruppen und Ausnahmen kontrolliert kombinieren
   Vergeben Sie Standardrechte vorzugsweise über Rollen und Gruppen. Einzelberechtigungen dürfen begründete Ausnahmen sein, wenn sie genehmigt, dokumentiert, befristet und regelmäßig überprüft werden.
4. Minimale Rechte und Need-to-know anwenden
   Begrenzen Sie Systemrechte auf das notwendige Minimum und den Informationszugriff auf die fachlich erforderlichen Inhalte. Prüfen Sie besonders sorgfältig Lösch-, Export-, Freigabe- und Administrationsrechte.
5. Funktionstrennung berücksichtigen
   Identifizieren Sie kritische Berechtigungskombinationen und verhindern Sie, dass einzelne Personen sensible Vorgänge vollständig allein ausführen können. Wo eine Trennung nicht möglich ist, setzen Sie kompensierende Kontrollen ein.
6. Anträge und Genehmigungen standardisieren
   Definieren Sie einen Prozess für Antrag, fachliche Freigabe, technische Umsetzung, Ablaufdatum und Dokumentation. Automatisierte Workflows können die Nachvollziehbarkeit erhöhen und Bearbeitungszeiten verkürzen.
7. Eintritt, Wechsel und Austritt automatisiert steuern
   Nutzen Sie eine zentrale Identitätsquelle und möglichst automatisierte Prozesse für Provisioning und Deprovisioning. Prüfen Sie beim Austritt auch VPN-Zugänge, Cloud-Konten, Gastzugriffe, Funktionspostfächer sowie technische Zugangsdaten.
8. Privilegierte Konten besonders schützen
   Verwenden Sie separate Administrationskonten, starke Authentifizierung und zeitlich begrenzte Privilegien. Protokollieren und überwachen Sie administrative Aktionen umfassend.
9. Temporäre Rechte konsequent befristen
   Vergeben Sie Projekt-, Vertretungs- und Dienstleisterzugriffe mit Ablaufdatum. Vor einer Verlängerung sollte eine erneute fachliche Prüfung stattfinden.
10. Effektive Berechtigungen regelmäßig prüfen
    Kontrollieren Sie nicht nur Rollenlisten, sondern auch die tatsächlich wirksamen Rechte aus Gruppen, Vererbungen, Freigaben und Ausnahmen. Achten Sie dabei auf externe Freigabelinks und Gastkonten.
11. Protokolle schützen und auswerten
    Erfassen Sie kritische Berechtigungsänderungen und Aktionen manipulationsgeschützt. Definieren Sie, wer Auffälligkeiten prüft und wie auf sicherheitsrelevante Ereignisse reagiert wird.
12. Kennzahlen zur Steuerung nutzen
    Geeignete Kennzahlen sind etwa die Anzahl privilegierter Konten, überfälliger Rezertifizierungen, temporärer Rechte ohne Ablaufdatum und die Zeit bis zur Deaktivierung eines Kontos nach Austritt. Solche Kennzahlen machen Schwachstellen sichtbar und helfen, Verbesserungen messbar zu steuern.

Rechtemanagement und Datenschutz

Rechtemanagement ist ein wesentlicher Bestandteil des Datenschutzes, weil es den Zugriff auf personenbezogene Daten auf berechtigte Identitäten begrenzt. Die Datenschutz-Grundverordnung verlangt geeignete technische und organisatorische Maßnahmen, deren konkrete Ausgestaltung vom Risiko der Verarbeitung abhängt. Berechtigungssteuerung, Protokollierung und regelmäßige Überprüfungen können solche Maßnahmen wirksam unterstützen.

Besonders schutzbedürftig sind unter anderem Kunden- und Kontaktdaten, Personalakten, Bewerbungsunterlagen, Gesundheitsdaten, Vertrags- und Zahlungsinformationen sowie Kommunikationsverläufe. Ein Berechtigungskonzept unterstützt vor allem Vertraulichkeit, Zugriffskontrolle und die Nachvollziehbarkeit von Verarbeitungsvorgängen. Datenminimierung betrifft dagegen in erster Linie die Frage, welche personenbezogenen Daten überhaupt erhoben und verarbeitet werden dürfen.

Rechtemanagement allein schafft keine vollständige Datenschutzkonformität. Je nach Risiko können weitere Maßnahmen erforderlich sein, etwa Verschlüsselung, sichere Konfigurationen, Backups, Schulungen, Schutz mobiler Endgeräte und Prozesse für Sicherheitsvorfälle. Starke Passwortrichtlinien oder Mehrfaktor-Authentifizierung sind nicht in jedem Fall ausdrücklich gesetzlich vorgeschrieben, können aber risikogerechte Maßnahmen zum Schutz von Konten und Daten sein.

Häufige Fragen zu Rechtemanagement

Was ist Rechtemanagement?

Rechtemanagement organisiert, wer oder was in einem digitalen System auf welche Informationen, Funktionen und Prozesse zugreifen darf. Es umfasst nicht nur die technische Vergabe von Berechtigungen, sondern auch Anträge, Genehmigungen, Änderungen, Dokumentation, regelmäßige Überprüfungen und den Entzug von Rechten. Dabei werden persönliche Benutzerkonten, Gruppen, Rollen, Gastkonten und technische Identitäten berücksichtigt.

Was ist der Unterschied zwischen Authentifizierung und Autorisierung?

Die Authentifizierung prüft die Identität einer Person oder Maschine, beispielsweise durch Passwort, Zertifikat oder Mehrfaktor-Authentifizierung. Die Autorisierung entscheidet anschließend oder fortlaufend, welche Aktionen und Ressourcen für diese Identität erlaubt sind. Rechtemanagement steuert den gesamten Prozess, durch den diese Berechtigungen definiert, vergeben, überprüft und entzogen werden.

Was ist der Unterschied zwischen Need-to-know und Least Privilege?

Need-to-know beschränkt den Zugriff auf Informationen nach der fachlichen Erforderlichkeit. Eine Person soll nur die Inhalte einsehen können, die sie für ihre Aufgabe kennen muss. Least Privilege geht weiter und begrenzt sämtliche Systemberechtigungen, etwa Bearbeitungs-, Export-, Lösch- und Administrationsrechte, auf das notwendige Minimum.

Was ist RBAC?

RBAC steht für Role-Based Access Control und bezeichnet ein rollenbasiertes Berechtigungsmodell. Rechte werden dabei nicht vorrangig einzelnen Personen zugeordnet, sondern Rollen wie Rechnungsprüfung, Vertragsfreigabe oder Content-Erstellung. Mitarbeitende erhalten die Rechte durch ihre Rollenzuordnung, was Verwaltung, Nachvollziehbarkeit und regelmäßige Prüfungen erleichtert.

Wann reichen Rollen allein nicht aus?

Rollen reichen häufig nicht aus, wenn Zugriffe sehr dynamisch oder feingranular gesteuert werden müssen. Dann können zusätzliche Regeln nach Standort, Projektzugehörigkeit, Sicherheitsklasse, Gerätestatus oder Anmelderisiko erforderlich sein. Attribut-, policy- und kontextbasierte Zugriffskontrollen ergänzen ein Rollenmodell in solchen Fällen sinnvoll.

Wer sollte Berechtigungen genehmigen?

Die fachliche Genehmigung sollte durch eine Person erfolgen, die den tatsächlichen Informations- und Funktionsbedarf beurteilen kann, etwa eine Führungskraft oder fachlich verantwortliche Stelle. Die technische Umsetzung liegt häufig bei IT oder Systemadministration. Bei besonders sensiblen Daten oder privilegierten Rechten können zusätzliche Prüfungen durch Informationssicherheit, Datenschutz oder Compliance erforderlich sein.

Wie häufig sollten Berechtigungen überprüft werden?

Das passende Intervall hängt von Schutzbedarf, Veränderungsgeschwindigkeit und Risiko ab. Für stabile Standardberechtigungen kann eine jährliche Prüfung angemessen sein, ergänzt durch Prüfungen bei Rollenwechseln, Projektenden und Austritten. Privilegierte Konten, externe Zugriffe und besonders sensible Systeme sollten in kürzeren Intervallen überprüft werden.

Warum sind gemeinsam genutzte Benutzerkonten problematisch?

Bei gemeinsam genutzten persönlichen Konten lässt sich nicht eindeutig nachvollziehen, welche Person eine Änderung vorgenommen, Daten exportiert oder Inhalte gelöscht hat. Zudem können Zugriffe beim Rollenwechsel oder Austritt nicht gezielt entzogen werden. Technische Service- oder Funktionskonten können in bestimmten Fällen notwendig sein, müssen dann aber klar verantwortet, besonders geschützt, überwacht und regelmäßig geprüft werden.

Was sind privilegierte Konten?

Privilegierte Konten besitzen weitreichende Rechte, etwa zur Administration von Systemen, Verwaltung anderer Konten oder Änderung sicherheitsrelevanter Einstellungen. Sie sollten getrennt von normalen Benutzerkonten geführt und nicht für alltägliche Tätigkeiten verwendet werden. Starke Authentifizierung, zeitlich begrenzte Rechte und eine verstärkte Protokollierung sind für solche Konten besonders wichtig.

Was bedeutet Just-in-Time-Access?

Just-in-Time-Access stellt Berechtigungen erst dann bereit, wenn sie für eine konkrete Aufgabe benötigt werden. Die Rechte gelten nur für einen festgelegten Zeitraum und werden danach automatisch wieder entzogen. Dieses Vorgehen eignet sich besonders für administrative, projektbezogene oder andere sensible Zugriffe.