Ein Rollenmodell – im technischen Kontext oft als Role-Based Access Control (RBAC) bezeichnet – ist ein Konzept zur strukturierten Verwaltung von Zugriffsrechten, bei dem Berechtigungen nicht direkt an einzelne Personen oder Systeme vergeben werden, sondern an definierte Rollen. Eine Rolle beschreibt eine Funktion oder Aufgabe im System (z. B. „Buchhaltung“, „Workflow-Admin“, „Readonly-Viewer“), der bestimmte Zugriffsrechte zugeordnet sind. Personen oder Dienste erhalten dann Rollen – und damit automatisch die zugehörigen Rechte.
Rollenmodelle sind der effizienteste Weg, Zugriffskontrolle in wachsenden Organisationen zu skalieren: Statt für 50 Mitarbeiter 50 individuelle Rechtekonfigurationen zu pflegen, definiert man 8 Rollen und ordnet Mitarbeiter diesen Rollen zu. Wenn eine Aufgabe neue Rechte braucht, wird die Rolle angepasst – alle Rollenmitglieder erhalten sofort die Änderung.
Beispiel-Rollenmatrix für Automatisierungsplattform
| Rolle | Workflows lesen | Workflows bearbeiten | Executions sehen | Admin |
| Viewer | ✓ | – | nur eigene | – |
| Entwickler | ✓ | ✓ | ✓ | – |
| Operations | ✓ | – | ✓ | – |
| Admin | ✓ | ✓ | ✓ | ✓ |
Rollenmodell in der Praxis gestalten
- Rollen nach Funktion, nicht nach Person: Rollen beschreiben Aufgaben, keine Individuen – „Buchhaltungs-Workflow-Viewer“ statt „Rolle für Frau Müller“
- Sparsamkeit bei Rollenzahl: Zu viele Rollen sind genau so unübersichtlich wie keine Rollen. 5–12 Rollen decken die meisten Szenarien ab
- Temporäre Rollenzuweisungen: Für spezifische Projekte oder Notfallzugriffe: befristete Rollenzuweisung statt dauerhafter erhöhter Rechte
- Rollen für Automatisierungsworkflows: Auch Workflows bekommen Rollen – jeder Workflow hat eine Service-Rolle mit exakt den benötigten Rechten
- Regelmäßige Rollenpflege: Wenn Mitarbeiter die Abteilung wechseln oder ausscheiden, müssen Rollenzuweisungen sofort angepasst werden
Praxisbeispiel
Ein Automationsdienstleister führt ein formales Rollenmodell für seine n8n-Instanz ein. Zuvor: 12 Mitarbeiter, alle mit Admin-Rechten (wurde so gesetzt, weil einfacher). Neues Rollenmodell: Viewer (Kunden-Account-Manager – lesen, keine Änderungen), Entwickler (Workflow-Engineers – erstellen, bearbeiten), Operations (Bereitschaftsdienst – Executions überwachen, Fehler sehen, nichts ändern), Admin (Teamleitung – volle Rechte). Rollenzuweisungen: 4 Admins → 2, 8 Personen mit Viewer- oder Operations-Rolle. Sicherheitsgewinn: Ein kompromittierter Viewer-Account gibt keinen Zugriff auf Workflow-Konfigurationen. Ein Operations-Account kann Fehler sehen, aber keine Workflows manipulieren. Aufwand der Umstellung: 2 Stunden.
