Solange ein Team aus drei Leuten besteht, scheint die Frage nach Zugriffsrechten überflüssig — jeder kennt jeden, jeder darf alles. Genau diese Bequemlichkeit wird gefährlich, sobald das System wächst. Ein fehlendes Rollen- und Rechtekonzept ist kein theoretisches Risiko: Es verstößt gegen die DSGVO, öffnet Tür und Tor für Insider-Missbrauch, macht Fehlbedienung wahrscheinlicher und blockiert jedes saubere Skalieren. Wer Zugriffe nicht steuert, verliert die Kontrolle darüber, wer welche Daten sehen, ändern oder löschen kann.
Least Privilege: nur so viel Zugriff wie nötig
Das Least-Privilege-Prinzip ist der Kern jeder sauberen Zugriffssteuerung. Es besagt: Jeder Nutzer, jeder Dienst, jedes Konto bekommt genau die Rechte, die für die jeweilige Aufgabe nötig sind — und keines mehr. Der Buchhalter braucht keine Schreibrechte auf die Server-Konfiguration, der Praktikant keinen Vollzugriff auf die Kundendatenbank. Der Vorteil liegt im Schadensbild: Wenn ein Konto kompromittiert wird oder jemand einen Fehler macht, ist der mögliche Schaden auf den engen Aufgabenbereich begrenzt.
RBAC: Rollen statt Einzelrechte
Würden Sie jeder Person einzeln Hunderte von Rechten zuweisen, entstünde ein unwartbares Chaos. Role-Based Access Control (RBAC) löst das: Eine Rolle ist ein Bündel zusammengehöriger Rechte. Die Person bekommt nicht einzelne Rechte, sondern eine Rolle. Ändert sich der Aufgabenzuschnitt, passen Sie die Rolle an einer Stelle an — und alle Inhaber erben die Änderung sofort. Das hält das System auch bei hundert Nutzern übersichtlich und prüfbar.
Rollen sauber schneiden
Der häufigste Fehler ist, Rollen nach Personen statt nach Funktionen zu schneiden. Eine Rolle „Wie Frau Meyer" ist eine Sackgasse — sie ist nicht übertragbar und nicht nachvollziehbar. Schneiden Sie Rollen nach der Funktion, die jemand ausübt. Ein typisches Grundgerüst:
- Admin: Konfiguration, Nutzerverwaltung, Vollzugriff — bewusst auf wenige Personen beschränkt.
- Bearbeiter: Anlegen und Ändern von Datensätzen im eigenen Bereich, ohne Systemeinstellungen.
- Leser: Lesender Zugriff auf relevante Daten, keine Änderungen.
- Gast: Stark eingeschränkter, temporärer Zugriff auf klar abgegrenzte Inhalte.
Joiner, Mover, Leaver
Zugriffsrechte sind kein einmaliger Akt, sondern ein Lebenszyklus. Beim Joiner (Onboarding) bekommt die neue Person die zu ihrer Funktion passende Rolle — nicht mehr. Beim Mover (Rollenwechsel) ist der kritische Punkt, alte Rechte zu entziehen und nicht nur neue hinzuzufügen, sonst sammeln langjährige Mitarbeiter Berechtigungen an wie Briefmarken. Beim Leaver (Offboarding) muss das Konto sofort deaktiviert werden. Verwaiste, aktive Konten ausgeschiedener Personen sind eines der größten und am häufigsten übersehenen Sicherheitslöcher.
Ein Recht zu vergeben kostet einen Klick. Es wieder zu entziehen, vergisst fast jeder. Genau deshalb entscheidet nicht das Erteilen, sondern das konsequente Entziehen über die Sicherheit eines Systems.
Vier-Augen-Prinzip bei sensiblen Aktionen
Manche Aktionen sind so folgenschwer, dass eine einzelne Person sie nicht allein auslösen sollte — etwa das Löschen großer Datenbestände, das Auszahlen von Beträgen oder das Ändern zentraler Konfigurationen. Hier hilft ein Vier-Augen-Prinzip: Eine zweite berechtigte Person muss bestätigen. Das verhindert sowohl Einzelfehler als auch vorsätzlichen Missbrauch durch ein einzelnes kompromittiertes Konto.
Audit-Logs und Nachvollziehbarkeit
Ein Rechtekonzept ohne Protokollierung ist halb blind. Audit-Logs halten fest, wer wann auf was zugegriffen oder was geändert hat. Sie sind nicht nur für die forensische Aufklärung nach einem Vorfall nötig, sondern auch für den DSGVO-Nachweis, dass Zugriffe kontrolliert erfolgen. Wichtig ist, dass die Logs selbst manipulationssicher und nur einem engen Kreis zugänglich sind.
Pragmatisch starten, nicht overengineeren
Der Gegenfehler zu „alle dürfen alles" ist ein Konzept mit dreißig fein ziselierten Rollen, das niemand mehr versteht. Beginnen Sie pragmatisch mit drei bis vier Rollen, die den realen Aufgaben entsprechen, und verfeinern Sie erst, wenn der Bedarf konkret entsteht. Ein einfaches, gelebtes Konzept schlägt ein perfektes, das niemand pflegt.
Zugriffssteuerung ist keine einmalige Einrichtung, sondern eine laufende Disziplin. Wer Least Privilege, saubere Rollen und einen ehrlichen Joiner-Mover-Leaver-Prozess kombiniert, macht aus einem Sicherheitsrisiko ein kontrolliertes, prüfbares System.