Rollen in der Geschäftssoftware:
Rechte folgen der Verantwortung

Ein Rechtemodell regelt Sehen, Ändern und Freigeben

Ein Recht in einer Geschäftsanwendung erlaubt eine bestimmte Handlung an einer bestimmten Datenart. Drei Handlungsarten decken den Alltag ab: das Sehen von Daten, das Ändern von Daten und das Freigeben von Vorgängen, die erst nach einer Prüfung wirksam werden sollen. Ein Rechtemodell ist die geordnete Vergabe dieser Erlaubnisse über alle Datenarten des Systems, von den Artikelstammdaten über Aufträge und Konditionen bis zu Auswertungen.

Die Trennung der drei Handlungsarten trägt das ganze Modell. Viele Mitarbeiter müssen Kundendaten sehen, wenige dürfen sie ändern, und nur bestimmte Rollen geben Konditionen frei. Ein Modell, das nur zwischen Zugang und keinem Zugang unterscheidet, zwingt den Betrieb zu einer schlechten Wahl: Entweder bekommen alle zu viel, oder die Arbeit stockt an fehlenden Einblicken.

Hier liegt auch der Abstand zur Tabellendatei, in der viele Betriebe ihre Abläufe beginnen: Eine Datei kennt im Regelfall nur Öffnen und Speichern, ohne Abstufung nach Datenart und Handlung. Warum daraus mit wachsender Bedeutung des Ablaufs ein Betriebsrisiko wird, zeigt unser Beitrag zu wichtigen Abläufen in einer Tabellendatei.

Die Rolle gehört zur Aufgabe, das Konto zur Person

Eine Rolle bündelt die Rechte, die eine Aufgabe verlangt: die Rolle Auftragserfassung, die Rolle Einkauf, die Rolle Konditionsfreigabe, die Rolle Auswertung. Vergeben wird die Rolle an persönliche Konten, und erst diese Zuordnung macht Handlungen zurechenbar: Das Protokoll eines Systems hält fest, welches Konto wann welchen Datensatz geändert hat, und dieser Eintrag ist nur so viel wert wie die Gewissheit, dass hinter dem Konto genau eine Person steht.

Geteilte Sammelzugänge heben diese Zurechenbarkeit auf. Hinter einem Konto namens Vertrieb kann jeder gestanden haben, der das Passwort kannte, und beim Ausscheiden eines Mitarbeiters wandert das Passwort mit ihm hinaus. Die Rechte eines Kundenkontos im Portal folgen derselben Logik in Richtung der Kunden: Welche Stufen dort welchen Zugriff bekommen, beschreibt unser Beitrag zu den Ausbaustufen eines Kundenportals.

Der Zuschnitt der Rollen folgt den Aufgaben und bleibt dadurch klein. Ein mittelständischer Betrieb kommt in der Regel mit einer Handvoll Rollen je System aus. Eine Rolle je Person dagegen erzeugt Dutzende Sonderfälle, die niemand mehr überblickt; eine einzige Rolle für alle erzeugt das Gegenteil, ein System ohne Schutz.

Eine Freigabegrenze schaltet die zweite Person ein

Eine Freigabegrenze legt fest, ab welchem Gewicht ein Vorgang eine zweite Prüfung braucht, bevor er wirksam wird. Das Gewicht kann ein Betrag sein, etwa bei Bestellungen oder Gutschriften, oder eine Vorgangsart, etwa die Änderung von Zahlungskonditionen, die Löschung von Stammdaten oder der Export des Kundenbestands.

Hinter der Grenze steht das Vier-Augen-Prinzip: Die Person, die einen Vorgang erfasst, und die Person, die ihn freigibt, sind verschieden. Im System erzeugt der Vorgang oberhalb der Grenze einen Freigabeschritt, der einer anderen Rolle zugeordnet ist, und bleibt bis zur Entscheidung in einem wartenden Zustand. Das Prinzip schützt in beide Richtungen: den Betrieb vor Fehlern und Missbrauch, die erfassende Person vor dem Verdacht, allein gehandelt zu haben.

Die Grenzen verdienen Augenmaß. Liegt jede Kleinigkeit über der Grenze, wird die Freigabe zum Durchwinken, und die Prüfung verliert ihren Wert. Tragfähig sind wenige Grenzen an den Stellen, an denen ein Fehler teuer oder unumkehrbar wäre, mit Beträgen, die zum Geschäft des Betriebs passen.

Die Vertretung bekommt Rechte mit Anfang und Ende

Urlaub, Krankheit und Elternzeit stellen jedem Rechtemodell dieselbe Aufgabe: Die Arbeit einer Person muss weiterlaufen, ohne dass ihre Rechte dauerhaft in andere Hände wandern. Die saubere Antwort ist die befristete Rollenzuweisung: Das Konto der Vertretung erhält die zusätzliche Rolle mit Beginn der Abwesenheit und verliert sie mit deren Ende, automatisch und ohne dass jemand daran denken muss.

Die verbreitete Abkürzung, das eigene Passwort an die Vertretung weiterzugeben, zerstört beide Schutzwirkungen zugleich: Das Protokoll schreibt die Handlungen der Vertretung der falschen Person zu, und das weitergegebene Passwort bleibt nach der Rückkehr im Umlauf. Systeme, die keine befristete Zuweisung kennen, brauchen an dieser Stelle eine organisatorische Regel mit einem festen Rückbau-Termin.

Zur Vertretungsregel gehört die Frage, welche Rechte die Vertretung tatsächlich braucht. Wer zwei Wochen Aufträge erfasst, braucht die Erfassungsrolle und keine Freigaberolle; eine Freigabegrenze bleibt auch in der Urlaubszeit eine Grenze, notfalls mit einer zweiten benannten Freigabeperson.

Administrationsrechte bleiben von der Tagesarbeit getrennt

Die Administration eines Systems ist eine eigene Aufgabe mit eigenen Rechten: Konten anlegen, Rollen zuweisen, Einstellungen ändern, Datensicherungen verwalten. Diese Rechte gehören auf ein eigenes Administrationskonto, das ausschließlich für diese Aufgaben verwendet wird, auch wenn dieselbe Person daneben im Tagesgeschäft arbeitet.

Die Trennung hat einen praktischen Grund: Ein Konto, das den ganzen Tag für E-Mail-Links, Erfassung und Recherche in Gebrauch ist, ist dem täglichen Risiko von Phishing und Versehen ausgesetzt. Trägt dieses Konto zugleich die Administrationsrechte, trifft jeder erfolgreiche Angriff und jedes Versehen sofort das ganze System. Auf einem getrennten Konto bleiben die weitreichenden Rechte außerhalb dieser Schusslinie.

Festzulegen ist außerdem, wer über Rechte entscheidet. Die Zuweisung einer Rolle ist eine Entscheidung des Betriebs, getroffen von der Führungskraft, die die Aufgabe verantwortet; die technische Umsetzung erledigt die Administration. Vergeben Administratoren Rechte nach eigenem Ermessen, entsteht ein Modell, das niemand im Betrieb beschlossen hat.

Das Rechtemodell altert mit jedem Personalwechsel

Ein Rechtemodell ist am Tag seiner Einführung korrekt und beginnt dann zu altern. Jeder Eintritt, jeder Aufgabenwechsel und jeder Austritt verändert, welche Rechte gebraucht werden, und nicht jede dieser Änderungen erreicht das System. Am häufigsten wachsen Rechte an: Der Mitarbeiter, der die Abteilung wechselt, behält die Rollen der alten Aufgabe, weil niemand sie entzieht.

Drei Personalereignisse verlangen deshalb einen festen Ablauf: Beim Eintritt bekommt das neue Konto die Rollen seiner Aufgabe und keine weiteren. Beim Aufgabenwechsel werden die alten Rollen entzogen und die neuen zugewiesen, am selben Tag. Beim Austritt wird das Konto gesperrt, bevor der letzte Arbeitstag endet; was dabei über die Geschäftssoftware hinaus zu schließen ist, zeigt unser Beitrag zum Zugangs-Audit beim Mitarbeiter-Austritt.

Die jährliche Durchsicht fängt auf, was der Alltag liegen lässt. Je Konto wird gegen die heutige Aufgabe geprüft: Trägt es Rollen, die die Aufgabe nicht braucht? Existiert die Person noch im Betrieb? Gibt es Konten ohne Anmeldung seit Monaten? Diese Durchsicht dauert in einem gepflegten Modell einen Vormittag und liefert nebenbei die Liste der Sonderfälle, die beim nächsten Systemwechsel zu klären sind.

Der Zuschnitt der Rollen beginnt bei den Abläufen

Ein tragfähiges Rechtemodell wird aus den Abläufen entwickelt, mit einer Reihenfolge, die sich in Projekten bewährt hat:

1. Abläufe auflisten: Die wiederkehrenden Vorgänge des Betriebs werden benannt, vom Auftragseingang über die Preispflege bis zur Auswertung am Monatsende.
2. Je Schritt die Handlung bestimmen: Für jeden Schritt steht fest, welche Datenart er berührt und ob er sieht, ändert oder freigibt.
3. Rollen aus wiederkehrenden Mustern bilden: Schritte, die dieselbe Person in derselben Aufgabe erledigt, werden zu einer Rolle gebündelt.
4. Freigabegrenzen festlegen: An den teuren und unumkehrbaren Stellen wird die zweite Person eingeschaltet, mit Beträgen und Vorgangsarten, die zum Geschäft passen.
5. Vertretungen benennen: Jede Rolle bekommt ihre zweite Person und den Mechanismus der befristeten Zuweisung.
6. Pflege verankern: Eintritt, Wechsel und Austritt erhalten ihren festen Ablauf, die jährliche Durchsicht ihren Termin.

Dieselbe Liste dient bei der Auswahl neuer Software als Prüfraster: Ein System, das keine Rollen, keine Freigabeschritte oder keine befristeten Zuweisungen kennt, zwingt den Betrieb später zu organisatorischen Behelfen. Die Frage nach dem Rechtemodell gehört deshalb in jedes Auswahlgespräch, neben Funktionen und Schnittstellen.

Die häufigsten Fehler im Rechtemodell

In gewachsenen Installationen wiederholen sich dieselben Schwachstellen, unabhängig von Branche und Systemgröße. Fünf treten am häufigsten auf.

Die Punkte 1 bis 3 betreffen die Zurechenbarkeit, die Punkte 4 und 5 die schleichende Ausweitung von Rechten.