Digitales Berechtigungskonzept für sichere und transparente Zugriffsrechte

Ein Berechtigungskonzept definiert, welche Personen oder Rollen auf welche Systeme, Anwendungen und Daten zugreifen dürfen. Es beschreibt die vorhandenen Berechtigungen, deren Zuordnung sowie die Regeln für Vergabe, Änderung, Überprüfung und Entzug und schafft damit die Grundlage für ein sicheres und nachvollziehbares Identity & Access Management (IAM).

Ein gutes Berechtigungskonzept orientiert sich an Prinzipien wie Least Privilege und Need-to-know und verbindet Berechtigungen, Verantwortlichkeiten und Zugriffsregeln mit klaren Prozessen. Häufig bildet dabei ein rollenbasierter Ansatz wie Role-Based Access Control (RBAC) eine zentrale Grundlage.

Unstrukturierte Berechtigungsvergabe ist eines der grössten Sicherheitsrisiken in Unternehmen. Gewachsene Strukturen, unklare Verantwortlichkeiten und fehlende Dokumentation führen zu Überberechtigungen, Compliance-Risiken und erhöhtem Aufwand bei Audits.

Zusätzlich werden Berechtigungsmodelle durch kombinierte Access-Control-Verfahren wie RBAC, ABAC oder regelbasierte Ansätze immer komplexer. Je mehr Rollen, Attribute, Regeln und Ausnahmen zusammenwirken, desto schwieriger wird es, den Überblick darüber zu behalten, wer warum auf welche Ressourcen zugreifen darf und wer dafür verantwortlich ist.

Ein digitales Berechtigungskonzept schafft hier Klarheit, Ordnung und Nachvollziehbarkeit. Es macht Zugriffslogiken transparent, definiert Verantwortlichkeiten und schafft die Grundlage dafür, Berechtigungen kontrolliert zu vergeben, zu überprüfen und gegenüber Revision und Compliance nachvollziehbar zu begründen.

Die wichtigsten Komponenten eines Berechtigungskonzepts sind Rollen und Verantwortlichkeiten, Systeme und Anwendungen, Berechtigungen und Zugriffsregeln sowie Prozesse für Vergabe, Änderung, Entzug und Rezertifizierung.

Ein Berechtigungskonzept wird auf Basis der bestehenden Organisation, Systeme, Rollen und Zugriffsrechte entwickelt. Dazu werden zunächst der Ist-Zustand und die Anforderungen analysiert, anschliessend Rollen und Berechtigungen definiert, Verantwortlichkeiten festgelegt und Prozesse für Vergabe, Änderung, Entzug und Rezertifizierung ausgestaltet.

Typischerweise umfasst die Erstellung folgende Schritte:

1. Systeme, Anwendungen und schützenswerte Ressourcen erfassen

2. Bestehende Benutzer, Rollen und Berechtigungen analysieren

3. Rollen und Verantwortlichkeiten definieren

4. Berechtigungen nach Least Privilege und Need-to-know zuordnen

5. Kritische Berechtigungen und SoD-Konflikte berücksichtigen

6. Prozesse für Vergabe, Änderung, Entzug und Rezertifizierung festlegen

7. Das Berechtigungskonzept dokumentieren und technisch umsetzen

Eine Vorlage kann für kleinere oder überschaubare Umgebungen hilfreich sein, um Rollen, Berechtigungen, Systeme, Verantwortlichkeiten und Genehmigungswege strukturiert zu dokumentieren. Bei komplexeren Organisationen mit vielen Identitäten, Anwendungen und laufenden Änderungen stossen statische Word- oder Excel-Dokumente jedoch schnell an Grenzen. Hier bietet ein digitales Berechtigungskonzept klare Vorteile, weil Rollenmodelle, Regelwerke, Rezertifizierungen und Änderungen laufend gepflegt und mit IAM-/IGA-Prozessen verbunden werden können.

Ein digitales Berechtigungskonzept verbindet Rollen, Berechtigungen und Regeln mit der realen Berechtigungslandschaft. Über Schnittstellen zu IAM- und IGA-Systemen werden bestehende Rollen und Berechtigungen laufend synchronisiert und direkt für das Konzept genutzt. Dadurch werden Veränderungen und Abweichungen sichtbar, Rollenmodelle können analysiert und gezielte Anpassungen vorgeschlagen werden.

Für kleine, überschaubare Umgebungen können Word oder Excel ausreichend sein. Mit steigender Anzahl an Identitäten, Rollen, Berechtigungen und Systemen entstehen jedoch schnell klare Nachteile: hoher manueller Pflegeaufwand, fehlende Aktualität, geringe Transparenz über Änderungen und ein zunehmendes Risiko von Abweichungen zwischen Soll- und Ist-Berechtigungen. Auch Rezertifizierungen und organisatorische Anpassungen lassen sich nur eingeschränkt automatisieren und nachvollziehen.

Der Einsatz von Software wird wirtschaftlich interessant, sobald die manuelle Pflege des Berechtigungskonzepts einen spürbaren Teil der Aufgaben von IAM-Verantwortlichen bindet. Wenn Rollen, Berechtigungen, Systeme und organisatorische Änderungen laufend nachgeführt, geprüft und dokumentiert werden müssen, steigen Aufwand und Fehleranfälligkeit schnell an. Ab diesem Punkt kann eine softwaregestützte Lösung günstiger sein, weil sie Pflegeaufwand reduziert, Änderungen automatisiert verarbeitet und die Aktualität des Berechtigungskonzepts dauerhaft sicherstellt.

Spezialisierte Lösungen für digitale Berechtigungskonzepte führen Informationen aus IAM-, IGA- und weiteren Quellsystemen zusammen. Dazu gehören Identitäten, Accounts, Rollen und Berechtigungen ebenso wie organisatorische Strukturen, Attribute und Hierarchien. Werden diese Daten zentral miteinander verknüpft und analysiert, entsteht eine umfassende Sicht auf Identitäten und Zugriffsbeziehungen – bis hin zu einer Identity Visibility and Intelligence Platform (IVIP).

NEXIS wird von KuppingerCole unter anderem für seine IVIP-Fähigkeiten, Rollenmodellierung und Identity & Access Analytics hervorgehoben. IPG beschreibt den praktischen Einsatz von NEXIS für digitale Berechtigungskonzepte zudem ausführlich im eigenen Expertenbericht zum digitalen Berechtigungskonzept mit NEXIS.

Berechtigungen sind in den Zielsystemen häufig nicht flach aufgebaut. Einzelrechte können zu Berechtigungen gebündelt und diese wiederum verschachtelt oder hierarchisch organisiert sein. Ein Berechtigungskonzept muss diese Struktur deshalb so abbilden, dass klar ist, welche Berechtigungsebene im jeweiligen System die oberste fachlich nutzbare Schicht darstellt.

Genau diese oberste Berechtigungsschicht sollte anschliessend die unterste Ebene im IAM- oder IGA-System bilden. Dort werden die systemseitigen Berechtigungen in übergeordnete Rollen aggregiert und den Identitäten zugewiesen. Nur wenn Verschachtelungen und Abhängigkeiten im Berechtigungskonzept sauber berücksichtigt sind, lässt sich RBAC konsistent über die Systemgrenzen hinweg umsetzen.

Berechtigungskonzepte sind ein zentraler Baustein, um regulatorische Anforderungen an Zugriffsschutz, Datenschutz und Informationssicherheit umzusetzen. Nicht alle Regelwerke verlangen ausdrücklich ein Dokument mit dem Titel „Berechtigungskonzept“, fordern jedoch klare und nachvollziehbare Regeln dafür, wer auf welche Systeme, Daten und Funktionen zugreifen darf. Genau diese Soll-Struktur wird in einem Berechtigungskonzept definiert und kann anschliessend über IAM- und IGA-Systeme umgesetzt und kontrolliert werden.

Die DSGVO verlangt in der EU mit Art. 25, dass personenbezogene Daten standardmässig nur im erforderlichen Umfang zugänglich sind. Art. 32 fordert zudem geeignete technische und organisatorische Massnahmen (TOM), um insbesondere Vertraulichkeit sicherzustellen und unbefugten Zugriff zu verhindern. Daraus ergibt sich die Notwendigkeit, nachvollziehbar zu definieren, welche Personen oder Rollen auf welche Daten und Funktionen zugreifen dürfen – genau diese Aufgabe übernimmt ein Berechtigungskonzept.

Auch das Schweizer Datenschutzgesetz verlangt angemessene technische und organisatorische Massnahmen zum Schutz von Personendaten. Der EDÖB behandelt in seinem TOM-Leitfaden vom Januar 2024 ausdrücklich das Thema Zugriffe und Zugriffsverwaltung und leitet seine Empfehlungen insbesondere aus Art. 7 und 8 DSG sowie Art. 1–6 DSV ab. Damit muss organisatorisch und technisch geregelt werden, wer auf Personendaten zugreifen und diese bearbeiten darf – ein Berechtigungskonzept schafft dafür die notwendige Struktur.

NIS2 fordert in der EU von wesentlichen und wichtigen Einrichtungen angemessene technische, operative und organisatorische Massnahmen zum Management von Cybersicherheitsrisiken. Art. 21 nennt dabei ausdrücklich Konzepte für Zugriffskontrolle sowie das Asset Management. Unternehmen müssen deshalb festlegen, unter welchen Voraussetzungen Benutzer auf Systeme und Informationen zugreifen dürfen – ein strukturiertes Berechtigungskonzept bildet hierfür eine wesentliche Grundlage.

DORA geht für den Finanzsektor in der EU noch konkreter auf Zugriffsrechte ein. Nach Art. 9 müssen Finanzunternehmen Richtlinien implementieren, die den physischen und logischen Zugriff auf Informations- und ICT-Assets auf legitime und genehmigte Funktionen und Tätigkeiten beschränken. Dazu sind Richtlinien, Verfahren und Kontrollen für Zugriffsrechte und deren Verwaltung erforderlich. Ein Berechtigungskonzept bildet die fachliche Grundlage, um diese Anforderungen systematisch umzusetzen

Die FINMA verlangt im Rundschreiben 2023/1, dass der Zugriff auf kritische Daten systematisch geregelt und laufend überwacht wird. Der Zugriff auf kritische Daten und verarbeitende Funktionen ist auf Personen zu beschränken, die diesen zur Erfüllung ihrer Aufgaben benötigen; ausdrücklich genannt werden dabei Need-to-know und Least Privilege. Zudem müssen Institute über ein Autorisierungssystem verfügen und die darin enthaltenen Berechtigungen regelmässig überprüfen. Ein strukturiertes Berechtigungskonzept bildet damit eine wesentliche Grundlage, um diese Anforderungen nachvollziehbar umzusetzen.

Auch ISO/IEC 27001 und die ergänzende ISO/IEC 27002 behandeln die Kontrolle von Zugriffen als wesentlichen Bestandteil eines Informationssicherheits-Managementsystems (ISMS). Dazu gehören unter anderem Access Control, Identity Management und die Verwaltung von Zugriffsrechten. Ein Berechtigungskonzept sorgt dafür, dass diese Vorgaben nicht nur technisch umgesetzt, sondern Rollen, Verantwortlichkeiten und zulässige Berechtigungen strukturiert und nachvollziehbar definiert werden.