Technischer Datenschutz · Zugriffskonzepte
Berechtigungskonzepte: festgelegt, dokumentiert, überprüfbar
Wer darf auf welche personenbezogenen Daten zugreifen – und woran erkennt man das im System? Wir übersetzen die Festlegungen Ihres Unternehmens in Rollen, eine nachvollziehbare Berechtigungsmatrix und technische Einstellungen, die sich regelmäßig überprüfen lassen.
Grundsatz
Zugriff nach dem Prinzip: so viel wie nötig, so wenig wie möglich.
Die DSGVO verlangt, die Vertraulichkeit der Systeme auf Dauer sicherzustellen (Art. 32 Abs. 1 lit. b) und personenbezogene Daten durch Voreinstellungen nicht unbegrenzt zugänglich zu machen (Art. 25 Abs. 2). Ein Berechtigungskonzept macht diesen Grundsatz prüfbar.
Beispiel: Berechtigungsmatrix
Soll und Ist: Wer erreicht welche Daten?
Die Matrix zeigt Standard-Rechteprofile (Rollen) für die Ressourcen der Beispielorganisation. Wählen Sie eine Person: Neben den Rollenrechten erscheinen Abweichungen im Ist-Zustand. Welche Datenkategorien erreichbar sind, wird aus der Verarbeitungsübersicht berechnet – ebenso, was eine Bereinigung ändert.
| Ressource | Ist: Buchhalter | ||||||
|---|---|---|---|---|---|---|---|
| PersonalordnerArt. 9 | L Ä | L | |||||
| Bewerbungsordner | L Ä | ||||||
| Sammelpostfach Bewerbungen | L Ä | ||||||
| Lohnportal des DienstleistersArt. 9 | L Ä | L Ä direkt | |||||
| Kunden- und Projektablage | L Ä | L | |||||
| Kundenverwaltung (CRM) | L Ä E | L | |||||
| Belegablage | L Ä | L | L Ä | ||||
| Finanzbuchhaltung | L Ä E | L | V | L Ä E | |||
| Dateiablage – VerwaltungArt. 9 | V | ||||||
| DatensicherungArt. 9 | V | V |
Person
Buchhalter
Buchhalter: 3 Datenkategorien über die Rolle, 2 zusätzlich nur durch Abweichung; 2 offene Befunde.
Erreichbare Datenkategorien
- Rechnungs- und Zahlungsdaten über die Rolle
- Kontaktdaten über die Rolle
- Bankverbindung über die Rolle
- Beschäftigtendaten nur durch Abweichung
- GesundheitsdatenArt. 9 nur durch Abweichung
Befunde
ORP.4.A2 Direktrecht auf „Lohnportal des Dienstleisters“ (Lesen, Ändern) außerhalb der Rolle – Vertretung der Personalabteilung während einer Elternzeit – Zugang danach nie entzogen. Zusätzlich erreichbar: Beschäftigtendaten, Gesundheitsdaten.
ORP.4.A4 Lohndaten ändern und Zahlungen buchen: Wer Lohnstammdaten ändern und zugleich Zahlungen buchen kann, kontrolliert einen Vorgang allein – ein klassischer Fall für Funktionstrennung.
Wird aufgelöst durch: Direktrecht entziehen.
Fiktives, vereinfachtes Beispiel: jede Berechtigung schließt das Lesen ein, Datenkategorien je Ressource werden aus der Verarbeitungsübersicht berechnet, Freigabelinks und Vererbung sind nicht abgebildet (siehe SharePoint Online). Welche Rolle welche Daten sehen darf, legt Ihr Unternehmen fest – bei besonders schutzbedürftigen Daten mit Ihrem Datenschutzbeauftragten. ENTDECKE.digital bietet keine Rechtsberatung an.
Berechtigungsmatrix als Text
- Personal: Bewerbungsordner (Lesen, Ändern); Sammelpostfach Bewerbungen (Lesen, Ändern); Lohnportal des Dienstleisters (Lesen, Ändern); Personalordner (Lesen, Ändern).
- Buchhaltung: Belegablage (Lesen, Ändern); Finanzbuchhaltung (Lesen, Ändern, Exportieren).
- Vertrieb: Kundenverwaltung (CRM) (Lesen, Ändern, Exportieren); Kunden- und Projektablage (Lesen, Ändern).
- Geschäftsleitung: Belegablage (Lesen); Finanzbuchhaltung (Lesen); Kundenverwaltung (CRM) (Lesen); Kunden- und Projektablage (Lesen); Personalordner (Lesen).
- IT-Administration: Dateiablage – Verwaltung (Verwalten); Datensicherung (Verwalten).
- IT-Dienstleister: Finanzbuchhaltung (Verwalten); Datensicherung (Verwalten).
- Personalreferentin – Rollen: Personal. Erreichbare Datenkategorien: Kontaktdaten, Beschäftigtendaten, Bankverbindung, Gesundheitsdaten, Bewerbungsunterlagen.
- Buchhalter – Rollen: Buchhaltung. Direktrechte: Lohnportal des Dienstleisters (Lesen, Ändern) – Vertretung der Personalabteilung während einer Elternzeit – Zugang danach nie entzogen.. Erreichbare Datenkategorien: Kontaktdaten, Beschäftigtendaten, Bankverbindung, Gesundheitsdaten, Rechnungs- und Zahlungsdaten. Befunde: Direktrecht auf „Lohnportal des Dienstleisters“ (Lesen, Ändern) außerhalb der Rolle – Vertretung der Personalabteilung während einer Elternzeit – Zugang danach nie entzogen. Zusätzlich erreichbar: Beschäftigtendaten, Gesundheitsdaten. Lohndaten ändern und Zahlungen buchen: Wer Lohnstammdaten ändern und zugleich Zahlungen buchen kann, kontrolliert einen Vorgang allein – ein klassischer Fall für Funktionstrennung.
- Teamleiter Vertrieb – Rollen: Vertrieb. Direktrechte: Bewerbungsordner (Lesen) – Für ein Auswahlverfahren im eigenen Team freigegeben – Freigabe besteht weiter.. Erreichbare Datenkategorien: Kontaktdaten, Bewerbungsunterlagen, Anfragen und Korrespondenz. Befunde: Direktrecht auf „Bewerbungsordner“ (Lesen) außerhalb der Rolle – Für ein Auswahlverfahren im eigenen Team freigegeben – Freigabe besteht weiter. Zusätzlich erreichbar: Bewerbungsunterlagen.
- Geschäftsführerin – Rollen: Geschäftsleitung. Erreichbare Datenkategorien: Kontaktdaten, Beschäftigtendaten, Bankverbindung, Gesundheitsdaten, Anfragen und Korrespondenz, Rechnungs- und Zahlungsdaten.
- IT-Administrator – Rollen: IT-Administration. Erreichbare Datenkategorien: Kontaktdaten, Bewerbungsunterlagen, Beschäftigtendaten, Bankverbindung, Gesundheitsdaten, Anfragen und Korrespondenz, Rechnungs- und Zahlungsdaten. Befunde: Verwaltungsrechte (Dateiablage – Verwaltung, Datensicherung) am Alltagskonto, mit dem auch E-Mails gelesen und Webseiten geöffnet werden.
- IT-Dienstleister (Fernwartung) – Rollen: IT-Dienstleister. Erreichbare Datenkategorien: Kontaktdaten, Rechnungs- und Zahlungsdaten, Bankverbindung, Bewerbungsunterlagen, Beschäftigtendaten, Gesundheitsdaten, Anfragen und Korrespondenz. Befunde: Zugang ohne Enddatum mit Rechten an Finanzbuchhaltung, Datensicherung.
Vom Konzept zur Einstellung
Wie ein Zugriffskonzept entsteht
- SchutzbedarfWelche Daten sind besonders schutzbedürftig?
- Rollenaus Aufgaben abgeleitet, nicht aus Personen
- BerechtigungsmatrixRolle × System × Recht, abgestimmt mit Fachbereich und DSB
- Technische AbbildungGruppen, Rollen und Richtlinien im System
- Überprüfungregelmäßig bestätigen oder entziehen
Inhalte
Was ein tragfähiges Zugriffskonzept enthält
Rollen- und Aufgabenmodell
Rollen beschreiben Tätigkeiten, damit Rechte bei Personalwechseln nicht neu erfunden werden müssen.
Berechtigungsmatrix je System
Welche Rolle in welchem System lesen, ändern, löschen oder exportieren darf – lesbar für Technik und Datenschutz.
Antrag, Genehmigung, Entzug
Wer Rechte beantragt, wer genehmigt und wann sie automatisch oder manuell entzogen werden.
Privilegierte Konten
Administratorrechte getrennt, begrenzt und nachvollziehbar – einschließlich Notfallzugängen. Kennungen mit weitreichenden Rechten sollten mit mehreren Faktoren geschützt sein (ORP.4.A10).
Dienstleister und Gäste
Befristete, zweckgebundene Zugänge für Externe mit klarer Verantwortung im Haus.
Funktionstrennung
Unvereinbare Aufgaben – etwa Stammdaten ändern und Zahlungen freigeben – nicht in einer Hand. Der BSI-Baustein ORP.4 verlangt, dass das Berechtigungsmanagement die festgelegten Trennungen umsetzt (A4).
Protokollierung und Überprüfung
Welche Zugriffe protokolliert werden, wie lange Protokolle aufbewahrt werden und wie oft Rechte bestätigt werden.
Konzept und Betrieb
Wir legen die Regeln fest – der Betrieb wendet sie an
Diese Seite beschreibt das Konzept: Regeln, Rollen, Dokumentation und ihre erstmalige technische Umsetzung. Die tägliche Pflege von Konten, Gruppen und Freigaben ist Teil der Benutzer- und Berechtigungsverwaltung; wie Konten und Rechte Eintritt, Rollenwechsel und Austritt folgen, zeigt der Identity Lifecycle.
Für die regelmäßige Überprüfung gibt es Werkzeuge, etwa Zugriffsüberprüfungen in Microsoft Entra ID – je nach Lizenz. Wie solche Prüfrunden technisch ablaufen, beschreibt Identity Governance. Wie Altrechte beim Rollenwechsel und beim Austritt entzogen werden, zeigen die jeweiligen Seiten. Das Konzept legt fest, was geprüft wird, von wem und wie oft.
Wie Berechtigungen in Microsoft-365-Ablagen durch Vererbung und Freigabelinks entstehen, zeigt SharePoint Online. Die Matrix auf dieser Seite beschreibt das Soll, gegen das solche Freigaben geprüft werden.
Vorgehen
In fünf Schritten zum gelebten Konzept
Ist-Rechte erheben
Bestehende Gruppen, Rollen und Freigaben auswerten.
Rollen ableiten
Aus Aufgaben und Abteilungen ein schlankes Rollenmodell entwickeln.
Matrix abstimmen
Fachbereiche legen fest, Ihr Datenschutzbeauftragter bewertet, Ihr Unternehmen gibt frei.
Technisch umsetzen
Rollen und Gruppen einrichten, Altlasten bereinigen, Dokumentation aktualisieren.
Überprüfung einplanen
Intervall und Verantwortliche für die regelmäßige Bestätigung der Rechte festlegen.
Verwandte Themen
Zugriff weiter gedacht
Zero Trust
Wie Zugriffsentscheidungen nicht nur aus Rollen, sondern auch aus Identität, Gerät und Kontext entstehen – die Sicherheitsperspektive auf dasselbe Thema.
Identity Governance
Prüfrunden, befristete Zugriffe und Nachweise im laufenden Betrieb mit Microsoft Entra ID.
Berechtigungen nachrechnen
Wer eine Datei tatsächlich öffnen kann – auf dem Dateiserver anders berechnet als in SharePoint. ENTDECKE/atlas zeigt es an einem fiktiven Beispielunternehmen.
Häufige Fragen
Wie oft sollten Berechtigungen überprüft werden?
Die DSGVO nennt kein festes Intervall. Sie verlangt aber ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen (Art. 32 Abs. 1 lit. d). Wie oft das für welche Systeme sinnvoll ist, legen Sie risikoabhängig mit Ihrem Datenschutzbeauftragten fest.
Gilt das Konzept nur für Microsoft 365?
Nein. Ein Zugriffskonzept umfasst alle Systeme mit personenbezogenen Daten, auch Fachanwendungen, Dateiserver und Cloud-Dienste von Drittanbietern. Microsoft Entra ID kann der zentrale Ausgangspunkt sein, ist aber nicht das einzige System.
Was ist der Unterschied zur Benutzer- und Berechtigungsverwaltung?
Das Konzept legt die Regeln fest und dokumentiert sie. Die Benutzer- und Berechtigungsverwaltung wendet diese Regeln im laufenden Betrieb an.
Zugriffe nachvollziehbar regeln?
Wir beginnen mit einem Blick auf die bestehenden Rechte – dort kann sich schon zeigen, wo ein Konzept fehlt. Das Zugriffskonzept beauftragen Sie bei uns individuell – Umfang und Vorgehen legen wir gemeinsam fest. Telefon 07131-618726-0.