Berechtigungskonzept

Worum geht es?

Organisationen haben gemäß Artikel 32 der Datenschutz-Grundverordnung (DS-GVO) in Verbindung mit § 64 (3) Nr. 5 Bundesdatenschutzgesetz-neu (BDSG-neu) durch technische und organisatorische Maßnahmen die Sicherheit der Verarbeitung zu gewährleisten. Dies zeigt sich unter anderem darin, dass nach der Anmeldung am Arbeitsplatz oder an den nutzbaren Anwendungen und Systemen, eine Zugangs- bzw. Zugriffskontrolle stattfinden muss. Diese Kontrolle erlaubt dem Benutzer oder der Benutzergruppe nur spezielle Zugriffe auf (personenbezogene) Daten. Diese sind jeweils angepasst an den Tätigkeitsbereich und die entsprechende Erforderlichkeit. Im Berechtigungskonzept ist definiert, welche dieser Zugriffe auf personenbezogene Daten erlaubt sind und welche nicht.

Was regelt ein Berechtigungskonzept?

In einem Berechtigungskonzept werden Zugriffsregeln erstellt, die definieren, welche Rechte dem User für den Zugriff auf Informationen eingeräumt werden. Sie umfassen die Rechte für das:

Diese Regeln können bereits auf Betriebssystemebene (z.B. in das Active Directory) oder auf Anwendungsebene in den einzelnen Anwendungen oder Apps hinterlegt werden. Teilweise regeln diese Berechtigungen sogar Zugriffserlaubnisse bis zur untersten Menüebene. Gründe einer solchen Nutzungskontrolle sind oftmals die Einschränkung von Auswertungsmöglichkeiten über die normale, erlaubte Bearbeitung eines Geschäftsvorfalls hinaus.

Abhängig vom Organisationsaufbau richtet die IT vorzugsweise zunächst Globalrechte verschiedener Gruppen ein, die mehrere Personen umfassen und zum Tätigkeitsgebiet passen. So entfallen bei jeder Neueinstellung die aufwendigen Einrichtungen individueller Rechtevergaben. Ein neuer Mitarbeiter, der als Sales-Manager tätig werden soll, wird dann zum Beispiel (pauschal) der Gruppe Vertrieb zugeordnet und erhält alle Berechtigungen, die für die Erfüllung der Aufgaben für diese Tätigkeit bzw. Stellenbeschreibung erforderlich sind. Sollen Mitarbeiter darüber hinaus speziellere Rechte erhalten, definiert die für die Rechtevergabe entscheidungsbefugte Person welchen Umfang diese zusätzlichen Rechte haben sollen. Die IT richtet dafür dann ggf. eine eigene Rolle ein, die der Mitarbeiter dann innehat.

Herausforderungen und besondere Aufmerksamkeit

Das Berechtigungskonzept ist zu dokumentieren und regelmäßig zu überprüfen, ob die Rechtevergaben noch zutreffen. Es kommt nicht selten vor, dass beim internen Wechsel einer Position oder Funktion zwar neue Rechte vergeben werden, jedoch nicht daran gedacht wird, die bisherigen Rechte zu entziehen. So könnte beispielsweise der Auszubildende im Rahmen seiner Einarbeitung, in der er viele unterschiedliche Unternehmensbereiche kennenlernt, am Ende der Ausbildung vielerlei Zugriffsrechte haben, die er nicht haben dürfte.

Daher ist es ungemein wichtig Prozesse zu definieren, dass die Rechtevergabe auch bei Änderungen des Tätigkeitsbereiches nachgezogen wird. Besondere Bedeutung hat dieser Punkt auch bei einem Beschäftigungsende und dem damit verbundenen Off-Boarding. Auch hier sollte gewährleistet sein, dass diese Information bei der IT ankommt, um die Rechte des Ausscheidenden zu entziehen oder zu löschen. Zusätzliche Bedeutung erhält eine fehlerhafte Rechtevergabe auch dadurch, dass bei unrechtmäßigen Zugriffen auf Informationen eine meldepflichtige Datenschutzverletzung vorliegen kann.

Eine Besonderheit, und gleichzeitig eine Kombination von Zugangs- und Zugriffskontrolle, besteht in der Einrichtung einer sogenannten Single Sign-on Anmeldung am Rechner/System. Dabei werden bereits durch eine Anmeldung am System die bereits vergebenen Zugriffsrechte an alle Anwendungen weitergegeben.

Bei der Dokumentation der vergebenen Berechtigungen erfüllt die Zugriffsrechte-Matrix die gleiche Anforderung an eine hinreichende Dokumentation der Zugriffsrechte, wie ein Schließplan für die Dokumentation der Zutrittsberechtigungen.

Hilfreiche Links

Dieser Artikel stellt keine Rechtsberatung dar, sondern spiegelt nur unsere Erfahrungen als Datenschutzbeauftragte wieder.

Verfasser: Thorsten Jordan, 11.02.2021

Sie wollen mehr erfahren? Lassen Sie sich von uns beraten und nehmen Sie jetzt Kontakt auf!