Berechtigungskonzept
In einem Berechtigungskonzept wird beschrieben, welche Zugriffsregeln für einzelne Benutzer oder Benutzergruppen auf die Daten eines IT-Systems gelten.[1]
Obwohl ursprünglich aus dem organisatorischen Umfeld kommend, spielen Berechtigungskonzepte bei der Nutzung von Ressourcen in der Informationstechnik eine wichtige Rolle. Ressourcen sind neben Daten und Informationen auch die technische Infrastruktur wie Systemzugänge, Speicherplatz, Rechnerleistung oder Computerprogramme. Ein Berechtigungskonzept soll diese Ressourcen vor Veränderung oder Zerstörung schützen (Datensicherheit) und ihren unrechtmäßigen Gebrauch verhindern (Datenschutz), ohne die Produktivität der Organisation zu hemmen.[2]
Neben den zu schützenden Ressourcen beschreibt und regelt das Berechtigungskonzept auch die zum Schutz dieser Ressourcen anzuwendenden Hilfsmittel, die zur Systemsoftware bzw. zur systemnahen Software gehören sowie deren Einsatz, zum Beispiel wie sich die Benutzer von Computer-Systemen mit Passwörtern oder Zugangscodes identifizieren.
Grundkonzept
[Bearbeiten | Quelltext bearbeiten]Ein einfaches Berechtigungskonzept weist jedem potenziellen Benutzer von Ressourcen eine Anzahl Ressourcen zu, die er tatsächlich nutzen darf, oder umgekehrt jeder Ressource eine Liste der jeweils zugelassenen Benutzer. Dabei kann noch die Art der Autorisierung spezifiziert werden, beispielsweise lesen, verändern, löschen, verwenden. Auch die Beschränkung auf Obergrenzen kann definiert sein, so für Speicherplatz oder transferierte Datenmengen.
Rollen
[Bearbeiten | Quelltext bearbeiten]Rein benutzerbezogene Konzepte neigen zur Unübersichtlichkeit und sind deshalb oft nur rudimentär ausgeprägt. Besser ist ein Konzept über Rollen oder Benutzergruppen.[3] Damit lassen sich Berechtigungen zusammenfassen, beispielsweise alle Berechtigungen, die Mitarbeiter in der Personalbuchhaltung benötigen, wie es sich aus den dortigen Geschäftsprozessen eben ergibt. Jedem Mitarbeiter, der nun konkret in der Personalbuchhaltung arbeitet, wird diese Rolle zugeordnet. Ein Mitarbeiter kann aber durchaus mehrere Rollen haben, wenn er mehrere Funktionen bekleidet. Auf diese Weise wird erreicht, dass sowohl Veränderungen in den Zuständigkeiten der einzelnen Mitarbeiter, als auch Veränderungen im Geschäftsprozess, nur an jeweils einer Stelle im Berechtigungskonzept nachvollzogen werden müssen und dieses konsistent und überschaubar bleibt.
Praxisbeispiel für ein Berechtigungskonzept auf Rollenbasis: Zwei Sachbearbeiterinnen A und B haben innerhalb eines Unternehmens dieselbe Position und somit auch die gleichen Berechtigungen zur Verarbeitung personenbezogener Daten. Grundsätzlich müssten Sie für jede Mitarbeiterin eine separate Identität erstellen und diesen Identitäten individuell die entsprechenden Zugriffsrechte zuweisen. Durch die Verwendung eines Rollenkonzepts können Sie die Identitäten dennoch einer bestimmten Rolle zuordnen. In diesem Fall werden die Identitäten der Mitarbeiterinnen A und B der Rolle "Sachbearbeitung" zugeordnet.[4]
Die Definition von Benutzerrollen gehört zum Aufgabenfeld der Berechtigungsadministration, die Zuordnung von Rollen an Benutzer dagegen als Teil der Benutzeradministration.
Überprüfung
[Bearbeiten | Quelltext bearbeiten]Um unberechtigte Zugriffe zu vermeiden, ist das Berechtigungskonzept regelmäßig zu prüfen. Diese Überprüfung geschieht durch einen Soll/Ist-Vergleich. Der Soll-Stand entspricht dabei einem dokumentierten Stand, der Ist-Stand wird aus dem System bestimmt. Im Rahmen der Prüfung werden Abweichungen festgestellt und dokumentiert. Je nach Klassifizierung der Abweichung wird im Nachgang entweder das Soll-Konzept aktualisiert oder der Ist-Stand im System angeglichen.
Siehe auch
[Bearbeiten | Quelltext bearbeiten]Weblinks
[Bearbeiten | Quelltext bearbeiten]
- Identitäts-Management: Berechtigungskonzept für die Nutzung von IT-Diensten Dokument der Universität Freiburg, verabschiedet vom Rektorat am 24. Juni 2009
Einzelnachweise
[Bearbeiten | Quelltext bearbeiten]- ↑ Berechtigungskonzept Institut für Sicherheit und Datenschutz im Gesundheitswesen, abgerufen am 19. Dezember 2017
- ↑ Oliver Schonschek: Schritt für Schritt zum Berechtigungskonzept 10. Februar 2017
- ↑ Unzureichendes Rollen- und Berechtigungskonzept ( des vom 9. November 2016 im Internet Archive) Info: Der Archivlink wurde automatisch eingesetzt und noch nicht geprüft. Bitte prüfe Original- und Archivlink gemäß Anleitung und entferne dann diesen Hinweis. Bundesamt für Sicherheit in der Informationstechnik, Stand 2014
- ↑ Datenschutz Experte: Das Berechtigungskonzept nach DSGVO. In: DSGVO-Vorlagen. 18. Februar 2021, abgerufen am 27. April 2024 (deutsch).
