Berechtigungsvergabe für Mitarbeiter: Eintritt und Rollenwechsel
Flussdiagramm für die Berechtigungsvergabe bei Eintritt und internem Wechsel: Auslöser aus HR, Rollenprofil, Freigabe durch Führungskraft und Systemverantwortlichen, Entzug der alten Rechte.
So funktioniert es
Richten Sie den Auslöser auf Ihren echten HR-Datensatz aus
Ersetzen Sie „Eintritt oder Wechsel in HR erfassen“ durch den Datensatz, der den Prozess tatsächlich startet — etwa das Eintrittsformular oder eine stichtagsbezogene Stellenänderung in Ihrem Personalsystem. Halten Sie fest, wer ihn erfasst und wie lange vor dem Stichtag er vorliegen muss: Genau dieser Vorlauf entscheidet, ob die Zugriffe am ersten Tag in der neuen Rolle bereitstehen.
Schreiben Sie die Rollenprofile, bevor Sie das Diagramm veröffentlichen
„Rollenprofil nachschlagen“ funktioniert nur, wenn die Profile existieren. Beginnen Sie mit den Rollen, für die Sie am häufigsten einstellen oder Personen versetzen, listen Sie je Profil die nötigen Berechtigungen auf und geben Sie jedem Profil einen benannten Verantwortlichen und ein Überprüfungsdatum. Profile ohne Verantwortlichen wachsen zur Obermenge von allem, was je beantragt wurde — und damit ist der Sinn dahin, eine Stelle statt einzelner Systeme zu beantragen.
Legen Sie fest, was als sensibles System gilt
Der Zweig „Sensibles System betroffen?“ braucht schriftliche Kriterien daneben. Übliche Auslöser sind Entgelt- und Finanzsysteme, personenbezogene oder Gesundheitsdaten, Produktivumgebungen und jede Berechtigung mit Administratorrechten. Setzen Sie die Schwelle so, dass der Zweig nur bei einer Minderheit der Anträge greift; greift er bei allem, wird die Freigabe des Systemverantwortlichen zum Stempel und bremst die Normalfälle aus.
Machen Sie den Entzug zu einer Aufgabe mit Verantwortlichem und Termin
Die Kante „Alte entziehen“ ist der Schritt, den die meisten Organisationen gar nicht haben. Entscheiden Sie, wer die Liste der Rechte aus der bisherigen Rolle erstellt — meist die abgebende Führungskraft oder ein Export aus dem Identity-Werkzeug —, wer den Entzug ausführt und bis wann, gemessen am Wechseltermin. Braucht jemand alte Zugriffe noch für eine Übergabe, vergeben Sie sie als befristete Verlängerung, statt die Berechtigung offenzulassen.
Vereinbaren Sie die Regeln zur Funktionstrennung und wer einen Konflikt akzeptieren darf
Listen Sie die Kombinationen auf, die eine Person nicht gleichzeitig halten darf — etwa einen Lieferanten anlegen und dessen Zahlungen freigeben, oder Code schreiben und ihn in Produktion bringen. Ohne diese Liste ist die Prüfung Dekoration. Benennen Sie dann, wer einen unvermeidbaren Konflikt akzeptieren darf und welche kompensierende Kontrolle er zur Berechtigung dokumentieren muss — in einem kleinen Team ist ein Konflikt manchmal die einzig praktikable Antwort.
Veröffentlichen Sie es und prüfen Sie es an den nächsten Wechseln
Teilen Sie das Diagramm mit der Personalabteilung, den benannten Führungskräften, den Systemverantwortlichen und der IT, damit alle mit derselben Fassung arbeiten. Gehen Sie nach den nächsten internen Wechseln einen echten Fall im Diagramm nach und prüfen Sie, ob die Entzugshälfte wirklich gelaufen ist. Wenn Sie die Karte versioniert und mit dokumentierten Freigaben führen, sind der gelebte Prozess und der Prozess, den Sie einem Prüfer zeigen, derselbe.
Häufig gestellte Fragen
Was ist ein Prozess zur Berechtigungsvergabe für Mitarbeiter?
Es ist der Weg, den Zugriffsrechte nehmen, wenn ein Ereignis im Beschäftigungsverhältnis sie auslöst und nicht ein einzelner Wunsch. Die Personalabteilung erfasst, dass jemand eingetreten ist oder die Stelle gewechselt hat, das Rollenprofil zur Stelle definiert die Berechtigungen, die Führungskraft bestätigt die Rolle, ein Systemverantwortlicher gibt Sensibles frei, die Funktionstrennung wird geprüft, und die IT stellt bereit und dokumentiert. Bei einem Wechsel entzieht sie zusätzlich die Rechte der alten Rolle. Das Unterscheidungsmerkmal ist der Auslöser: Der Prozess startet aus einem HR-Datensatz, die Rechte folgen also der Stelle und nicht dem Posteingang.
Warum sammeln Mitarbeitende bei Rollenwechseln zu viele Rechte an?
Weil ein Wechsel als Ergänzung behandelt wird. Die aufnehmende Führungskraft fragt, was die Person jetzt braucht, und in diesem Gespräch benennt niemand die Rechte, die sie nicht mehr braucht. Die abgebende Führungskraft ist weitergezogen, Systemverantwortliche sehen nur den neuen Antrag, und die alten Berechtigungen werden nie entzogen. Zwei oder drei Wechsel später trägt eine langjährige Kollegin Zugriffe aus mehreren Stellen — meist als Privilege Creep oder Rechteanhäufung bezeichnet. Die Lösung ist organisatorisch, nicht technisch: Machen Sie den Entzug zu einem Schritt mit Verantwortlichem und Fälligkeit, wie es der Zweig „Alte entziehen“ in dieser Vorlage tut, und dokumentieren Sie beide Hälften zum selben Wechsel.
Wer verantwortet Berechtigungsanträge bei Eintritt und Wechsel — HR oder IT?
Die Personalabteilung verantwortet den Auslöser, die IT die Ausführung, und der Prozess bricht, sobald einer von beiden beides tun soll. Nur die Personalabteilung weiß verlässlich, dass jemand eingetreten ist oder die Stelle gewechselt hat, und der HR-Datensatz trägt den Stichtag, an dem der gesamte Zeitplan hängt. Die IT hält die administrativen Rechte und ist die einzige Stelle, die überhaupt bereitstellen oder entziehen kann. Die Beurteilung dazwischen gehört der Führungskraft, die die Rolle bestätigt, und dem Systemverantwortlichen, der für ein bestimmtes System einsteht. Diese vier in getrennten Bahnen zu halten, verhindert zugleich, dass jemand sich selbst Zugriffe beantragt und erteilt.
Was erwarten Standards zur Zugriffssteuerung bei einem Rollenwechsel?
Anhang A der ISO/IEC 27001:2022 enthält Controls zur Zugangssteuerung (A.5.15), zur Identitätsverwaltung (A.5.16) und zu Zugriffsrechten (A.5.18); letzteres deckt Vergabe, Überprüfung, Änderung und Entzug von Zugriffsrechten ab und behandelt einen Rollenwechsel als Zeitpunkt, zu dem Rechte anzupassen sind. Anhang A regelt außerdem die Pflichten, die nach Änderung oder Beendigung des Beschäftigungsverhältnisses fortbestehen (A.6.5). Die SOC-2-Kriterien zum logischen Zugriff sehen es ähnlich: Zugriffe sind vor der Ausgabe von Zugangsdaten zu autorisieren und bei einem Rollenwechsel zu ändern oder zu entziehen. Keiner der Standards schreibt ein Prüfintervall oder ein bestimmtes Werkzeug vor, und keiner erkennt ein Diagramm als Nachweis an: Geprüft werden die Freigaben, die Bereitstellungsprotokolle und das Berechtigungsregister, die der Prozess erzeugt.