Neuigkeiten

Sensible Berechtigungsänderungen…

… sind Administrationsvorgänge, die besonderer Aufmerksamkeit bedürfen

Mitarbeitende gehen in den Ruhestand, neue Auszubildende und neue Kolleg:innen fangen in Ihrem Betrieb an. Andere verabschieden sich in ein Sabbatical oder bekleiden künftig eine andere Position im selben Unternehmen.

So unterschiedlich die Personalveränderungen und deren Anlässe auch sein mögen, eines haben alle gemeinsam: Jede der vorstehenden Veränderungen geht mit neuen oder geänderten Rechten und Pflichten einher. Diese müssen sich auch in den systemseitig hinterlegten Berechtigungen ausdrücken.

Insbesondere die Rechte eines Nutzers der IT-Systeme sind in der heutigen Zeit zentraler Bestandteil zur Gewährleistung der IT-Sicherheitsziele

  • Vertraulichkeit,
  • Integrität und 
  • Verfügbarkeit.

Regelmäßig ist dabei zu beobachten, dass nicht nur die Erstellung des Berechtigungskonzeptes und die Umsetzung des konkreten Berechtigungsumfangs unseren Mandanten schwerfällt. Häufig fehlt es bereits an einem standardisierten Prozess, der die Beantragung, Freigabe und Umsetzung der Berechtigungsänderung dokumentiert.

Standardisierte Workflows zur Umsetzung von Berechtigungsänderungen können elektronisch abgebildet werden. Neben spezieller Software sind selbsterstellte Lösungen über Ticket-Tool-Systeme häufig ein probates Mittel. Für kleine Einrichtungen mit einigen wenigen Personalveränderungen genügt teilweise ein papierbasierter Prozess. Wichtig ist jedoch, dass ein entsprechender Prozess vorhanden, beschrieben und etabliert ist. Wir empfehlen, dass hierfür entsprechende Formulare eingesetzt werden, die bestimmte Pflichtangaben vorsehen.

Ein formularbasierter Berechtigungsänderungs-Workflow besteht in der Regel aus den folgenden drei Komponenten:

  1. Es wird ein Antrag (elektronisch / papierbasiert) zur Berechtigungsänderung gestellt.
    In der Praxis gehen die meisten erforderlichen Berechtigungsänderungen mit einer Personalveränderung einher. Vielfach erfolgt die Antragstellung hierfür durch Mitteilungen der Personalabteilung. Zusätzlich sollte ein bestimmter Personenkreis für Anträge aus den Fachabteilungen definiert werden.
  2. Der Berechtigungsänderungsantrag wird freigegeben.
    Berechtigungsänderungen sollten auf sachliche Richtigkeit hin überprüft werden. Ob die Zuordnung eines Rechtes zu einem bestimmten Nutzerkonto sachlich richtig ist, kann bereits aus fachlichen Gesichtspunkten häufig nicht durch die IT-Administration beurteilt werden. Mithin sollte die Prüfung des Berechtigungsänderungsantrags durch einen fachlich versierten Mitarbeiter außerhalb der IT-Abteilung erfolgen.
  3. Die Berechtigungsänderung wird umgesetzt.
    Liegt ein freigegebener Antrag vor, so kann die Berechtigungsänderung durch die IT-Abteilung umgesetzt werden. Hierbei sollte der umsetzende IT-Administrator die Antrags- und Freigabebefugnis der handelnden Personen überprüfen.

Durch die 3-Punkte-Liste kann vielfach ein gelungener Workflow eingerichtet werden, der den Anforderungen des Vier-Augen-Prinzips (insbesondere durch die Unterscheidung zwischen Antragstellung und Freigabe des Antrags) sowie der Funktionstrennung (Antrag und Freigabe sind von der Umsetzung getrennt) gerecht wird.

Sie haben Fragen oder Beratungsbedarf? Gerne unterstützen Sie unsere Expert:innen bei der Durchführung von Berechtigungsänderungen und allen dabei auftretenden Herausforderungen. Jetzt Kontakt aufnehmen!