Berechtigungskonzept nach DSGVO: Rollen und Zugriffe richtig regeln

Zugriffsschutz

Was ist ein Berechtigungskonzept?

Ein Berechtigungskonzept legt fest, welche Personen oder Rollen auf bestimmte Daten, Anwendungen und Funktionen zugreifen dürfen. Es beantwortet nicht nur die Frage „Wer darf lesen?“, sondern auch, wer Daten erfassen, ändern, exportieren, freigeben, löschen oder Berechtigungen verwalten darf.

Das Konzept verbindet fachliche Aufgaben mit technischen Rechten. Eine Rolle wie „Sachbearbeitung Gewerbe“ muss deshalb so beschrieben werden, dass klar wird, welche Vorgänge bearbeitet und welche Daten hierfür benötigt werden. Erst danach werden die entsprechenden Rechte in Fachverfahren, Dateisystemen oder Kollaborationsplattformen eingerichtet.

Ein Berechtigungskonzept umfasst außerdem Prozesse: Wer beantragt Rechte? Wer prüft die fachliche Notwendigkeit? Wer genehmigt und setzt sie um? Wie werden befristete Rechte, Vertretungen, Aufgabenwechsel und Austritte behandelt? Ohne diese Abläufe veraltet selbst ein anfangs korrektes Rollenmodell schnell.

Datenschutzrecht

Welche Rechtsgrundlagen sind für Berechtigungen wichtig?

Die DSGVO verwendet den Begriff „Berechtigungskonzept“ nicht als eigene Dokumentenbezeichnung. Seine Notwendigkeit ergibt sich regelmäßig aus mehreren Pflichten. Art. 5 Abs. 1 lit. f DSGVO verlangt eine Verarbeitung, die eine angemessene Sicherheit einschließlich Schutz vor unbefugter Verarbeitung gewährleistet. Art. 5 Abs. 2 DSGVO fordert den Nachweis der Einhaltung.

Nach Art. 25 DSGVO sind Datenschutzgrundsätze durch geeignete technische und organisatorische Maßnahmen sowie datenschutzfreundliche Voreinstellungen umzusetzen. Das betrifft insbesondere die Begrenzung auf notwendige Daten, Zugriffe und Personenkreise. Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau und nennt ausdrücklich die dauerhafte Sicherstellung von Vertraulichkeit und Integrität.

Art. 29 DSGVO stellt klar, dass Personen, die dem Verantwortlichen oder Auftragsverarbeiter unterstellt sind und Zugang zu personenbezogenen Daten haben, diese grundsätzlich nur auf Weisung verarbeiten dürfen. Ein Berechtigungskonzept schafft die technische und organisatorische Grundlage, damit Weisungen, Aufgaben und tatsächliche Zugriffsmöglichkeiten zusammenpassen.

Leitlinien

Welche Grundsätze sollte ein Berechtigungskonzept beachten?

Diese Grundsätze müssen verhältnismäßig umgesetzt werden. Ein kleiner Betrieb kann mit wenigen klaren Rollen und einer gepflegten Rechteübersicht auskommen. Eine Kommune mit zahlreichen Fachverfahren, Außenstellen und sensiblen Daten benötigt regelmäßig ein differenzierteres Modell.

Rollenmodell

Wie werden Rollen sinnvoll aufgebaut?

Rollen sollten sich an stabilen Aufgaben orientieren, nicht an einzelnen Namen. Eine Person erhält eine oder mehrere Rollen, weil sie bestimmte Tätigkeiten ausübt. Ändert sich die Aufgabe, werden die zugehörigen Rollen angepasst. Dieses Vorgehen ist nachvollziehbarer als die direkte Vergabe zahlreicher Einzelrechte.

Ein Rollenmodell unterscheidet typischerweise fachliche Rollen, technische Rollen und administrative Rollen. Fachliche Rollen beschreiben Aufgaben und Befugnisse. Technische Rollen bündeln die dafür nötigen Systemrechte. Administrative Rollen erlauben Konfiguration, Benutzerverwaltung oder technische Wartung und müssen besonders eng begrenzt werden.

Rollen dürfen nicht zu grob sein. Eine Rolle „Verwaltung – Vollzugriff“ widerspricht regelmäßig dem Erforderlichkeitsprinzip, wenn Beschäftigte nur einzelne Fachbereiche bearbeiten. Zu kleinteilige Rollen erzeugen dagegen eine schwer beherrschbare Zahl von Varianten. Ziel ist ein verständliches Grundmodell mit begründeten Ausnahmen.

Besondere Datenkategorien, Personalakten, Meldestellenfälle oder interne Ermittlungen benötigen häufig gesonderte Rollen und abgeschottete Bereiche. Hier kann schon die Sichtbarkeit von Aktenzeichen oder Betreffzeilen vertrauliche Informationen offenbaren.

Dokumentation

Was gehört in ein Berechtigungskonzept?

Das Dokument sollte Geltungsbereich, Ziele, Systeme und verantwortliche Stellen nennen. Dazu kommen das Rollenmodell, die Zuordnung von Rechten, das Antrags- und Genehmigungsverfahren, Regeln für privilegierte Konten, Vertretungen und externe Zugriffe sowie Vorgaben für Protokollierung und Kontrolle.

Eine Rollen-Rechte-Matrix schafft Übersicht. In den Zeilen können Rollen, in den Spalten Anwendungen, Datenbereiche oder Funktionen stehen. Die Einträge unterscheiden beispielsweise Lesen, Ändern, Freigeben, Exportieren, Löschen und Administrieren. Kritische Kombinationen werden ausdrücklich markiert.

Das Konzept sollte außerdem Abweichungen regeln. Einzelrechte außerhalb der Standardrolle benötigen Begründung, Genehmigung, möglichst eine Befristung und eine spätere Kontrolle. Sonst entstehen mit der Zeit Schattenrollen, die niemand mehr vollständig überblickt.

Kontenverwaltung

Wie werden Eintritt, Aufgabenwechsel und Austritt geregelt?

Bei Eintritt einer Person müssen Rechte aus einer bestätigten fachlichen Rolle abgeleitet werden. Vorgesetzte oder Prozessverantwortliche bestätigen den tatsächlichen Bedarf; die IT setzt die genehmigten Rechte um. Automatische Standardkonten dürfen nicht pauschal Zugriff auf sensible Datenbestände erhalten.

Der Aufgabenwechsel ist besonders fehleranfällig. Häufig werden neue Rechte ergänzt, alte aber nicht entzogen. Deshalb sollte der Wechsel als vollständige Neubewertung behandelt werden: Welche bisherigen Rollen entfallen, welche bleiben und welche kommen hinzu?

Beim Austritt müssen Konten, Fernzugänge, Token, Zertifikate, Funktionspostfächer und externe Plattformen rechtzeitig erfasst sein. Die Sperrung sollte zum tatsächlichen Ende der Berechtigung erfolgen. Gleichzeitig müssen dienstliche Daten, Vorgänge und Verantwortlichkeiten geordnet übergeben werden; eine vorschnelle Kontolöschung kann Nachweis- oder Betriebsprobleme verursachen.

Für längere Abwesenheit, Vertretung und Elternzeit braucht es ebenfalls Regeln. Passwortweitergabe ist keine zulässige Vertretungslösung. Stattdessen erhält die Vertretung ein eigenes, zeitlich begrenztes Recht, damit Handlungen nachvollziehbar bleiben.

Erhöhtes Risiko

Wie sind administrative und privilegierte Rechte zu schützen?

Administrationsrechte ermöglichen häufig umfassende Änderungen, Einsicht in Daten oder das Umgehen gewöhnlicher Beschränkungen. Sie dürfen deshalb nicht dauerhaft im normalen Benutzerkonto enthalten sein. Wo möglich, sollten getrennte Konten für Alltagsarbeit und Administration eingesetzt werden.

Privilegierte Zugriffe benötigen starke Authentisierung, eng begrenzte Zuständigkeiten, Protokollierung und regelmäßige Kontrolle. Notfallkonten sind besonders zu sichern und ihre Nutzung muss nachträglich geprüft werden. Dienstleisterzugänge sollten nur für den erforderlichen Zeitraum freigeschaltet und auf benötigte Systeme begrenzt werden.

Auch Administratoren dürfen personenbezogene Daten nicht allein deshalb fachlich nutzen, weil ihr technischer Zugang dies ermöglicht. Technische Möglichkeit, dienstliche Aufgabe und datenschutzrechtliche Zulässigkeit sind getrennt zu beurteilen.

Rezertifizierung

Wie werden Berechtigungen kontrolliert?

Berechtigungen müssen regelmäßig darauf geprüft werden, ob sie noch erforderlich und richtig zugeordnet sind. Diese Überprüfung wird häufig Rezertifizierung genannt. Fachverantwortliche bestätigen dabei nicht nur, dass eine Person „noch beschäftigt“ ist, sondern dass jede relevante Rolle zur aktuellen Aufgabe passt.

Das Intervall richtet sich nach Risiko und Veränderungsdynamik. Besonders sensible oder privilegierte Rechte können häufigere Kontrollen erfordern als einfache Standardzugriffe. Zusätzlich sind anlassbezogene Prüfungen bei Aufgabenwechseln, Umorganisationen, Vorfällen oder auffälligen Protokollen notwendig.

Die Kontrolle sollte auch technische Abweichungen aufdecken: verwaiste Konten, gemeinsame Kennungen, nicht abgelaufene Vertretungsrechte, ungenutzte privilegierte Konten oder Rechte, die außerhalb des vorgesehenen Genehmigungswegs vergeben wurden. Festgestellte Abweichungen benötigen Zuständigkeit und Nachverfolgung.

Bayerische Kommunen

Beispiele aus der kommunalen Verwaltung

In einer Kommune dürfen Beschäftigte des Bürgerbüros nicht allein aufgrund derselben technischen Plattform auf Personal-, Sozial- oder Ordnungsdaten zugreifen. Fachbereichsgrenzen, gesetzliche Zweckbindungen und besondere Verschwiegenheitspflichten müssen im Rollenmodell abgebildet werden.

Auch innerhalb eines Fachbereichs kann eine weitere Trennung nötig sein. Eine Vertretung benötigt möglicherweise nur die Bearbeitung offener Vorgänge, aber keine dauerhafte Einsicht in sämtliche Altakten. Personalvertretung, Rechnungsprüfung, Datenschutzbeauftragter und Administratoren haben unterschiedliche Aufgaben und dürfen nicht in einer unspezifischen Rolle zusammengefasst werden.

Der Bayerische Landesbeauftragte für den Datenschutz hat in einem Tätigkeitsbericht wegen Defiziten eines Rollen- und Berechtigungskonzepts beanstandet, dass medizinisches Personal weit über Zuständigkeits- und Fachbereiche hinaus auf sensible Patientendaten zugreifen konnte. Das Beispiel stammt aus dem Krankenhausbereich, zeigt aber allgemein: Eine leistungsfähige Suchfunktion und breite technische Sichtbarkeit können erhebliche Datenschutzrisiken erzeugen.

Bei kommunalen Fachverfahren sollten Fachamt, Organisation, IT, Informationssicherheit und Datenschutz ihre Aufgaben klar verteilen. Der Fachbereich kennt die benötigten Funktionen, die IT setzt sie technisch um, und Kontrollstellen prüfen die Einhaltung – ohne die Verantwortung des jeweiligen Entscheiders zu verwischen.

Externe Zugriffe

Was gilt für Dienstleister und Auftragsverarbeiter?

Wartungs-, Support- und Hostingdienstleister können technisch weitreichende Zugriffe erhalten. Der Verantwortliche muss klären, welche Tätigkeiten erforderlich sind, ob personenbezogene Daten eingesehen werden können und wie Zugriffe freigegeben, protokolliert und beendet werden.

Eine Auftragsverarbeitungsvereinbarung ersetzt kein technisches Berechtigungskonzept. Vertrag, dokumentierte TOM und tatsächliche Konfiguration müssen zusammenpassen. Unterauftragnehmer, Remote-Zugänge, Supportkonten und Zugriffe aus Drittländern sind in die Prüfung einzubeziehen.

Gemeinsam genutzte Herstellerkonten erschweren die Zuordnung einzelner Handlungen. Soweit möglich, sollten personalisierte Konten, Mehrfaktor-Authentisierung, zeitliche Freischaltung und eine Auswertung sicherheitsrelevanter Aktivitäten vorgesehen werden.

Praxisfehler

Typische Fehler bei Rollen und Rechten

Häufige Fragen

FAQ zum Berechtigungskonzept

Ergebnis

Fazit

Ein Berechtigungskonzept übersetzt fachliche Zuständigkeiten in kontrollierte technische Zugriffe. Es schützt personenbezogene Daten, macht Verantwortlichkeiten nachvollziehbar und verhindert, dass Rechte durch Wechsel, Vertretungen und Einzelentscheidungen unbemerkt anwachsen.

Entscheidend ist die Übereinstimmung von Dokumentation und Wirklichkeit. Rollen müssen verständlich, Rechte erforderlich, Genehmigungen nachvollziehbar und Kontrollen tatsächlich durchgeführt sein. Besonders privilegierte, sensible und externe Zugriffe verdienen eine engere Absicherung.

Weiterlesen

Passende interne Verlinkung

Nachweise

Quellen