Ein Berechtigungskonzept ist ein dokumentiertes Framework, das systematisch regelt, wer (welche Personen, Dienste, Workflows) auf welche Ressourcen (Systeme, Daten, Funktionen) mit welchen Rechten (lesen, schreiben, ausführen, löschen) und unter welchen Bedingungen zugreifen darf. Es überführt die abstrakten Prinzipien der Zugriffskontrolle in eine konkret umgesetzte, dokumentierte und auditfähige Struktur.
Ein Berechtigungskonzept ist keine einmalige Dokumentation, sondern ein lebendes Werkzeug: Es muss bei jedem neuen System, jedem neuen Mitarbeiter, jedem neuen Workflow und bei Personalveränderungen aktualisiert werden. Für DSGVO-Compliance und ISO-27001-Zertifizierungen ist ein dokumentiertes Berechtigungskonzept eine zentrale Anforderung – es zeigt, dass Zugriffsrechte nicht zufällig vergeben werden, sondern nach einem durchdachten System.
Bausteine eines vollständigen Berechtigungskonzepts
Inventar der Ressourcen
Alle Systeme, Datenbanken, APIs und Dateibereiche, auf die Zugriffsrechte vergeben werden. Die Grundlage – man kann nur schützen, was man kennt.
Rollenmodell
Definierte Rollen mit klar beschriebenen Zugriffsrechten je Ressource. Basis für skalierbare und konsistente Rechtevergabe.
Rollenzuweisungen
Welche Personen, Service-Accounts und Workflows haben welche Rollen? Aktueller Stand, regelmäßig gepflegt.
Prozesse für Änderungen
Wie werden neue Rechte beantragt und freigegeben? Wie werden Rechte bei Personalwechsel entzogen? Wer hat Genehmigungsautorität?
Review-Prozess
Regelmäßige Überprüfung aller Zugriffsrechte. Quartalsweise oder halbjährlich. Nicht mehr benötigte Rechte entzogen.
Notfall-Zugriffe
Break-Glass-Prozess für Notfallzugriffe mit erhöhten Rechten. Protokolliert, zeitlich begrenzt, nachträglich überprüft.
Ein häufiger Fehler: Berechtigungskonzept als einmalige Compliance-Pflicht behandeln und nie wieder anfassen. In der Praxis veraltet ein statisches Berechtigungskonzept in 6–12 Monaten vollständig: Mitarbeiter kommen und gehen, neue Systeme werden angebunden, Workflows werden erweitert. Ein ungepflegtes Berechtigungskonzept ist nicht nur nutzlos – es vermittelt ein falsches Gefühl von Sicherheit.
Praxisbeispiel
Ein Automationsdienstleister erstellt sein erstes formales Berechtigungskonzept. Umfang: 8 Systeme (n8n, PostgreSQL, AWS, GitHub, Slack, HubSpot, Google Workspace, Monitoring). 23 Mitarbeiter und 34 Service-Accounts für Workflows. Ergebnis der Ersterfassung: 5 ehemalige Mitarbeiter haben noch aktive Zugänge zu mindestens einem System. 11 Service-Accounts haben Admin-Rechte, obwohl sie nur Leserechte benötigen. Kein Prozess für Offboarding dokumentiert. Maßnahmen: Zugänge ehemaliger Mitarbeiter sofort gesperrt. Service-Account-Rechte reduziert. Offboarding-Checkliste eingeführt (IT-Zugriffe entzogen am ersten Tag nach Austritt). Quartalsweiser Review eingeplant. Die Ersterfassung offenbart fast immer Schwachstellen – das ist normal und kein Versagen, sondern Ausgangspunkt für systematische Verbesserung.
