Mit der Authentifizierung wissen wir nun schon mal, wen wir vor uns haben. Aber was darf dieser Benutzer nun im System tun? Dafür kommt die Autorisierung hinzu, also das Zuteilen von Berechtigungen im Bezug auf die im System enthaltenen Daten und Funktionen. Nun wird es (zumindest aus Sicht der Technik) etwas komplizierter. Grundsätzlich macht man das so, dass man eine Grundmenge von Berechtigungen (auch Rechte oder auf Englisch Permissions genannt) definiert. Aus diesem Topf weist man dann dem Benutzer eine Anzahl Berechtigungen zu. So weit so gut. Nur: Was ist denn eine Berechtigung konkret? Dies ist die erste grosse Herausforderung in diesem Thema. Rollen und berechtigungskonzept muster hotel. Eine Berechtigung kann auf viele unterschiedliche Arten definiert werden. Einige Beispiele: ein Projekt einsehen einen Task verändern einen Report generieren einen neuen Benutzer anlegen eine Berechtigung vergeben Gerade das letzte Beispiel zeigt, dass Berechtigungen sogar rekursiv wirken: Wir können Berechtigungen definieren, welche es erlauben, weitere Berechtigungen zu erteilen...
Das Prinzip lässt sich so erläutern: Wir definieren verschiedene Rollen (z. Projektleiter, Portfoliomanager, Systemadministrator) und teilen diesen Rollen dann Berechtigungen zu. Erst dann nehmen wir die Benutzer und geben ihnen eine oder auch mehrere Rollen. So kommen die Benutzer indirekt über ihre Rollen zu den Berechtigungen. Dieses Prinzip hat den grossen Vorteil, dass ich das Zusammenspiel zwischen Benutzern und Berechtigungen einfacher handhaben kann, insbesondere im Falle von Änderungen. Und die gibt es ja bekanntlich öfters mal. Wenn ich somit den Projektleitern die Berechtigung zum Verändern von Projekten entziehen möchte, dann löse ich dies auf der Rolle "Projektleiter". Berechtigungskonzept nach DS-GVO | ENSECUR. Alle Benutzer mit dieser Rolle haben dann sofort die veränderten Berechtigungen. Die richtige Struktur ist also gefragt Es ist die Unmenge an Möglichkeiten, Berechtigungen zu definieren und Benutzern zuzuteilen, welche die Thematik so komplex macht. Mit einer ausgeklügelten Struktur, eben einem guten Berechtigungskonzept, können wir dieser grossen Herausforderung aber beikommen.
Aber auch die ersten paar Beispiele sind interessant, weil sie uns aufzeigen, dass eine Berechtigung in der Regel auf ein Objekttyp wirkt (ein Projekt, ein Task, ein Report etc. ) und eine Aktion umfasst (einsehen, verändern, generieren etc. ). Grundsätzlich können wir also einfach alle Datenobjekttypen in unserem System aufführen und dazu alle möglichen Aktionen nehmen. Kombinationen daraus ergeben dann die Grundmenge von Berechtigungen. Rollen und berechtigungskonzept muster der. So einfach sich das schreiben lässt, so komplex ist das aber in der Realität. Bereits in einfachen Datenhaltungssystemen sind Dutzende von Objekttypen enthalten und viele verschiedene Aktionen darauf möglich. Die einfache Multiplikation dieser Mengen führt zu einer Explosion von Möglichkeiten. Kommt erschwerend hinzu, dass man natürlich gerne auch Berechtigungen auf einzelnen Objekten (also Instanzen von Objekttypen) erteilen möchte. Z. "Projekt X ändern", nicht generell "Projekte ändern". Dies bringt nochmals eine neue Komplexitätsdimension hinein. Diese Unmenge an Berechtigungen muss gut strukturiert werden, um sie in den Griff zu bekommen und den Überblick zu behalten.
Gleichzeitig schließt die persönliche Prüfung und Entscheidung aus, dass Berechtigungen versehentlich entzogen werden. Schließlich kann es gute Gründe dafür geben, dass bestimmte Zugriffsrechte in einem Zeitraum nicht genutzt wurden. Fazit Qualität, Transparenz und Konsistenz des Berechtigungskonzeptes sind sowohl aus Sicherheits- als auch aus Kostengründen unverzichtbar. Rollen- und Berechtigungs-Management für ERP-Systeme vereinfachen und optimieren. Bestehende Systeme neu zu konzipieren, war bisher aufgrund des hohen Arbeitsaufwandes dennoch kaum zu leisten. Innovative Softwarelösungen bieten jetzt die Möglichkeit, sämtliche Berechtigungen automatisch zu scannen und auf ihre Konsistenz zu überprüfen. Auffällige Konstellationen werden dann angezeigt und können von den verantwortlichen Mitarbeitenden im Einzelfall nachgeprüft werden. So lässt sich der Arbeitsaufwand erheblich reduzieren. Einige Anbieter bieten auch eine Kombi aus Software-Lösung und Service an, so dass für Unternehmen der Prüfungsaufwand noch einmal deutlich vermindert wird. Aufklappen für Details zu Ihrer Einwilligung Über den Autor: Philipp Latini ist Geschäftsführer der SIVIS GmbH.
ein Hausherr. Er entscheidet darüber, ob Veränderungen am Gebäude vorgenommen, Sichtschutzhecken im Garten gepflanzt oder überflüssige Altgeräte entsorgt werden müssen und lässt ggf. beim Verlust des Haustürschlüssels sofort ein neues Schloss einbauen. Möglicherweise verbietet er Besuchern, die nicht zur Verwandtschaft gehören, den Zutritt zum Schlafzimmer oder der Tochter, im Haus eine öffentliche Party zu feiern. Ebenso verhält es sich mit dem Konzept der Dateneigentümerschaft. Hierbei übernimmt eine Person die Verantwortung für die Daten eines bestimmten Geltungsbereichs (z. B. SAP-System X oder Systemlandschaft Y) und achtet auf diese, als seien sie der eigene, kostbare Besitz. Er beantwortet gewissenhaft Fragen wie "Dürfen Daten verändert / eingesehen / gelöscht werden? ", "Wie wird bei einem Datenabfluss gehandelt? ", "Wer darf wie auf die Daten zugreifen und was mit ihnen machen? ". Ein typisches Einsatzgebiet ergibt sich bei der Anforderung eines neuen SAP-Benutzers. Rollen und berechtigungskonzept muster berlin. Der Dateneigentümer prüft nun, ob der Beantragende und die zu berechtigende Person überhaupt jeweils dafür befugt sind, welche Daten betroffen wären, ob evtl.
Zusätzliche Bedeutung erhält eine fehlerhafte Rechtevergabe auch dadurch, dass bei unrechtmäßigen Zugriffen auf Informationen eine meldepflichtige Datenschutzverletzung vorliegen kann. Eine Besonderheit, und gleichzeitig eine Kombination von Zugangs- und Zugriffskontrolle, besteht in der Einrichtung einer sogenannten Single Sign-on Anmeldung am Rechner/System. Dabei werden bereits durch eine Anmeldung am System die bereits vergebenen Zugriffsrechte an alle Anwendungen weitergegeben. Bei der Dokumentation der vergebenen Berechtigungen erfüllt die Zugriffsrechte-Matrix die gleiche Anforderung an eine hinreichende Dokumentation der Zugriffsrechte, wie ein Schließplan für die Dokumentation der Zutrittsberechtigungen. Hilfreiche Links BSI-Grundschutz: ORP. 4 Identitäts- und Berechtigungsmanagement Umsetzungshinweise zum Baustein ORP. 4 vom BSI mit Muster Dieser Artikel stellt keine Rechtsberatung dar, sondern spiegelt nur unsere Erfahrungen als Datenschutzbeauftragte wieder. Verfasser: Thorsten Jordan, 11.