Rollen & Rechte: So vermeidest du Schatten-IT und Chaos.
Rollen und Rechte: Wie man Schatten-IT und Datenschutzprobleme gleichzeitig verhindert
Zu restriktive Rechte erzeugen Schatten-IT. Zu großzügige Rechte sind ein Datenschutzrisiko.
Das Rollen-Dilemma
Wenn offizielle Tools zu restriktiv oder ungeeignet sind, lösen Mitarbeiter das Problem auf eigene Faust: Google Sheets statt dem offiziellen Tool, WhatsApp-Gruppen statt dem Ticket-System. Das ist Schatten-IT – und die Lösung für das Symptom, nicht das Problem.
Das Problem: Rollen und Rechte sind nicht nutzungsorientiert definiert.
Nutzungs-orientiertes Rechtemodell
Nicht: "Admin kann alles, User kann lesen." Sondern: "Welche Aufgaben hat diese Rolle täglich? Welche Daten braucht sie dafür? Und nur die."
Das klingt aufwändig – spart aber mittelfristig Supportaufwand, Datenschutzvorfälle und Schatten-IT.
RACI als Hilfsmittel
RACI (Responsible, Accountable, Consulted, Informed) ist ein simples Framework, das für Prozesse und Tools klärt: Wer macht was? Wer entscheidet? Wer wird einbezogen? Wer wird informiert?
Keine Rocket Science – aber überraschend selten explizit gemacht.
Review-Prozess für Rechte
Rechte, die einmal vergeben wurden, bleiben oft dauerhaft. Mitarbeiter wechseln Rollen, verlassen das Unternehmen, bekommen temporäre Erweiterungen die nie zurückgenommen werden.
Mindestens jährlich: Zugriffe und Berechtigungen prüfen. Für sensible Systeme: häufiger.
Checkliste Rollen & Rechte
Rollen nach tatsächlichen Aufgaben definiert (nicht nach Hierarchie)
Least-Privilege-Prinzip angewendet
RACI-Matrix für kritische Prozesse und Entscheidungen
Onboarding/Offboarding-Prozess für Rechtevergabe und -entzug
Jährlicher Rechte-Review geplant
Audit-Log für privilegierte Aktionen
Rollen- und Rechtekonzept für euer Tool-Setup?
markom.digital unterstützt bei der Konzeption und Implementierung von Rollen- und Rechtemodellen.
