Berechtigungsvergabe für Mitarbeiter: Eintritt und Rollenwechsel

Was ist berechtigungsvergabe für mitarbeiter: eintritt und rollenwechsel?

Ein Prozess zur Berechtigungsvergabe erteilt Zugriffsrechte aufgrund eines Ereignisses im Beschäftigungsverhältnis, nicht, weil jemand danach gefragt hat. Die Personalabteilung bestätigt, dass eine Person eingetreten ist oder die Stelle gewechselt hat, das Rollenprofil zu dieser Stelle legt fest, was die Rolle können muss, die Führungskraft bestätigt, dass es die richtige Rolle ist, der Systemverantwortliche gibt alles Sensible frei, und die IT stellt bereit. Beantragt wird eine Stelle und nicht ein System: Genau das macht das Ergebnis ein Jahr später noch prüfbar. „Diese Person trägt das Rollenprofil Finanzanalyse“ ist eine Aussage, die sich nachprüfen lässt; „sie hat 2023 einmal Datenbankzugriff beantragt“ ist es nicht.

Das ist nicht der allgemeine Zugriffsantrag, bei dem jemand im laufenden Betrieb ein weiteres System braucht und den Antrag selbst stellt. Dieser Ablauf gehört samt der turnusmäßigen Rezertifizierung in die eigene Vorlage für den Zugriffsantrag und ist der bessere Ausgangspunkt, wenn Sie ein Formular für den Service Desk entwerfen. Es ist ebenso wenig das Mitarbeiter-Onboarding, das Vertrag, Prüfungen, Ausstattung und den ersten Arbeitstag abdeckt, und auch nicht das Offboarding, das Austritte behandelt. Diese Vorlage füllt die Lücke, die alle drei offenlassen: die erste Rechtevergabe an eine neue Kollegin und den Neuaufbau der Rechte, wenn jemand intern wechselt.

Der interne Wechsel ist die Stelle, an der die meisten Berechtigungsprozesse still scheitern. Ein Rollenwechsel ist Eintritt und Austritt zugleich, in der Praxis läuft aber nur die Eintrittshälfte. Die neuen Rechte kommen hinzu, niemand benennt die alten, und nach zwei oder drei Wechseln trägt eine langjährige Kollegin Zugriffe aus Stellen, die sie vor Jahren verlassen hat. Der Prozess meldet dabei nie einen Fehler, denn es ist ja nichts kaputtgegangen; die Anhäufung fällt erst in einer Berechtigungsprüfung oder als Auditfeststellung auf. Das Diagramm unten teilt den Wechselzweig deshalb in zwei beschriftete Kanten („Neue ergänzen“ und „Alte entziehen“) und führt beide zum selben Eintrag im Berechtigungsregister zurück, sodass der Entzug genauso sichtbar ist wie die Vergabe.

Was dieses Flussdiagramm abdeckt

In dieser Vorlage

• Fünf Swimlanes (Mitarbeitende, Führungskraft, Personalabteilung, Systemverantwortlicher und IT) über fünf Phasen: Auslöser im Lebenszyklus, Rollenprofil, Freigabe, Bereitstellung und Bestätigung
• Ein Auslöser in der HR-Bahn statt eines Antragsformulars: Die Führungskraft bestätigt Rolle und Starttermin, die Personalabteilung erfasst den Eintritt oder Wechsel, und die Entscheidung „Eintritt oder Wechsel?“ verzweigt von dort
• Ein Wechselzweig, der sich aus „Rechte der alten Rolle auflisten“ in zwei beschriftete Kanten teilt: „Neue ergänzen“ führt weiter zum Rollenprofil, „Alte entziehen“ geht direkt an die IT zum Entzug der Rechte aus der alten Rolle
• Die Entscheidung „Rollenprofil deckt die Stelle ab?“, deren Nein-Zweig die Mitarbeitenden zu „Zusatzrechte mit Begründung beantragen“ schickt, bevor der Ablauf wieder in die Freigabe durch die Führungskraft mündet
• Die Entscheidung „Sensibles System betroffen?“, die nur diese Anträge an den Systemverantwortlichen leitet, dessen Zweig „Abgelehnt“ bei „Antrag abgelehnt“ endet: gewöhnliche Rechte aus dem Rollenprofil laufen direkt in die Prüfung der Funktionstrennung
• Die Prüfung „Konflikt in der Funktionstrennung?“ in der IT-Bahn vor der Bereitstellung, mit einem Konfliktzweig, der Umfang anpasst oder eine Kontrolle ergänzt und erneut prüft, danach Bereitstellung, ein einziger Eintrag im Berechtigungsregister für Vergabe und Entzug, die Bestätigung des Geänderten und eine Prüfung durch die Mitarbeitenden in der neuen Rolle

Wann Sie diese Vorlage verwenden sollten

• Sie schreiben den Berechtigungsteil eines Joiner-Mover-Leaver-Verfahrens und brauchen Eintritt und Wechsel auf einer Seite statt in zwei getrennten Checklisten
• Interne Wechsel hinterlassen immer wieder Personen mit Rechten aus früheren Stellen, und Sie müssen zeigen, wo der Entzugsschritt sitzt und wer ihn verantwortet
• Sie richten eine HR-gesteuerte Bereitstellung ein, bei der ein Datensatz im Personalsystem einen Workflow im Identity- oder Servicemanagement-Werkzeug startet, und wollen den Prozess klären, bevor die Automatisierung gebaut wird
• Ein Auditor, ein Sicherheitsfragebogen eines Kunden oder eine Zertifizierungsstelle hat gefragt, wie Zugriffe bei Einstellung vergeben und bei Rollenwechsel angepasst werden
• Die Verantwortung ist auf Personalabteilung, Führungskräfte, Systemverantwortliche und IT verteilt, und niemand verantwortet den Wechselfall durchgängig von Anfang bis Ende

So funktioniert es

1. Richten Sie den Auslöser auf Ihren echten HR-Datensatz aus

   Ersetzen Sie „Eintritt oder Wechsel in HR erfassen“ durch den Datensatz, der den Prozess tatsächlich startet: etwa das Eintrittsformular oder eine stichtagsbezogene Stellenänderung in Ihrem Personalsystem. Halten Sie fest, wer ihn erfasst und wie lange vor dem Stichtag er vorliegen muss: Genau dieser Vorlauf entscheidet, ob die Zugriffe am ersten Tag in der neuen Rolle bereitstehen.

2. Schreiben Sie die Rollenprofile, bevor Sie das Diagramm veröffentlichen

   „Rollenprofil nachschlagen“ funktioniert nur, wenn die Profile existieren. Beginnen Sie mit den Rollen, für die Sie am häufigsten einstellen oder Personen versetzen, listen Sie je Profil die nötigen Berechtigungen auf und geben Sie jedem Profil einen benannten Verantwortlichen und ein Überprüfungsdatum. Profile ohne Verantwortlichen wachsen zur Obermenge von allem, was je beantragt wurde, und damit ist der Sinn dahin, eine Stelle statt einzelner Systeme zu beantragen.

3. Legen Sie fest, was als sensibles System gilt

   Der Zweig „Sensibles System betroffen?“ braucht schriftliche Kriterien daneben. Übliche Auslöser sind Entgelt- und Finanzsysteme, personenbezogene oder Gesundheitsdaten, Produktivumgebungen und jede Berechtigung mit Administratorrechten. Setzen Sie die Schwelle so, dass der Zweig nur bei einer Minderheit der Anträge greift; greift er bei allem, wird die Freigabe des Systemverantwortlichen zum Stempel und bremst die Normalfälle aus.

4. Machen Sie den Entzug zu einer Aufgabe mit Verantwortlichem und Termin

   Die Kante „Alte entziehen“ ist der Schritt, den die meisten Organisationen gar nicht haben. Entscheiden Sie, wer die Liste der Rechte aus der bisherigen Rolle erstellt (meist die abgebende Führungskraft oder ein Export aus dem Identity-Werkzeug), wer den Entzug ausführt und bis wann, gemessen am Wechseltermin. Braucht jemand alte Zugriffe noch für eine Übergabe, vergeben Sie sie als befristete Verlängerung, statt die Berechtigung offenzulassen.

5. Vereinbaren Sie die Regeln zur Funktionstrennung und wer einen Konflikt akzeptieren darf

   Listen Sie die Kombinationen auf, die eine Person nicht gleichzeitig halten darf: etwa einen Lieferanten anlegen und dessen Zahlungen freigeben, oder Code schreiben und ihn in Produktion bringen. Ohne diese Liste ist die Prüfung Dekoration. Benennen Sie dann, wer einen unvermeidbaren Konflikt akzeptieren darf und welche kompensierende Kontrolle er zur Berechtigung dokumentieren muss: In einem kleinen Team ist ein Konflikt manchmal die einzig praktikable Antwort.

6. Veröffentlichen Sie es und prüfen Sie es an den nächsten Wechseln

   Teilen Sie das Diagramm mit der Personalabteilung, den benannten Führungskräften, den Systemverantwortlichen und der IT, damit alle mit derselben Fassung arbeiten. Gehen Sie nach den nächsten internen Wechseln einen echten Fall im Diagramm nach und prüfen Sie, ob die Entzugshälfte wirklich gelaufen ist. Wenn Sie die Karte versioniert und mit dokumentierten Freigaben führen, sind der gelebte Prozess und der Prozess, den Sie einem Prüfer zeigen, derselbe.

Häufig gestellte Fragen

Was ist ein Prozess zur Berechtigungsvergabe für Mitarbeiter?

Es ist der Weg, den Zugriffsrechte nehmen, wenn ein Ereignis im Beschäftigungsverhältnis sie auslöst und nicht ein einzelner Wunsch. Die Personalabteilung erfasst, dass jemand eingetreten ist oder die Stelle gewechselt hat, das Rollenprofil zur Stelle definiert die Berechtigungen, die Führungskraft bestätigt die Rolle, ein Systemverantwortlicher gibt Sensibles frei, die Funktionstrennung wird geprüft, und die IT stellt bereit und dokumentiert. Bei einem Wechsel entzieht sie zusätzlich die Rechte der alten Rolle. Das Unterscheidungsmerkmal ist der Auslöser: Der Prozess startet aus einem HR-Datensatz, die Rechte folgen also der Stelle und nicht dem Posteingang.

Warum sammeln Mitarbeitende bei Rollenwechseln zu viele Rechte an?

Weil ein Wechsel als Ergänzung behandelt wird. Die aufnehmende Führungskraft fragt, was die Person jetzt braucht, und in diesem Gespräch benennt niemand die Rechte, die sie nicht mehr braucht. Die abgebende Führungskraft ist weitergezogen, Systemverantwortliche sehen nur den neuen Antrag, und die alten Berechtigungen werden nie entzogen. Zwei oder drei Wechsel später trägt eine langjährige Kollegin Zugriffe aus mehreren Stellen: meist als Privilege Creep oder Rechteanhäufung bezeichnet. Die Lösung ist organisatorisch, nicht technisch: Machen Sie den Entzug zu einem Schritt mit Verantwortlichem und Fälligkeit, wie es der Zweig „Alte entziehen“ in dieser Vorlage tut, und dokumentieren Sie beide Hälften zum selben Wechsel.

Wer verantwortet Berechtigungsanträge bei Eintritt und Wechsel: HR oder IT?

Die Personalabteilung verantwortet den Auslöser, die IT die Ausführung, und der Prozess bricht, sobald einer von beiden beides tun soll. Nur die Personalabteilung weiß verlässlich, dass jemand eingetreten ist oder die Stelle gewechselt hat, und der HR-Datensatz trägt den Stichtag, an dem der gesamte Zeitplan hängt. Die IT hält die administrativen Rechte und ist die einzige Stelle, die überhaupt bereitstellen oder entziehen kann. Die Beurteilung dazwischen gehört der Führungskraft, die die Rolle bestätigt, und dem Systemverantwortlichen, der für ein bestimmtes System einsteht. Diese vier in getrennten Bahnen zu halten, verhindert zugleich, dass jemand sich selbst Zugriffe beantragt und erteilt.

Was erwarten Standards zur Zugriffssteuerung bei einem Rollenwechsel?

Anhang A der ISO/IEC 27001:2022 enthält Controls zur Zugangssteuerung (A.5.15), zur Identitätsverwaltung (A.5.16) und zu Zugriffsrechten (A.5.18); letzteres deckt Vergabe, Überprüfung, Änderung und Entzug von Zugriffsrechten ab und behandelt einen Rollenwechsel als Zeitpunkt, zu dem Rechte anzupassen sind. Anhang A regelt außerdem die Pflichten, die nach Änderung oder Beendigung des Beschäftigungsverhältnisses fortbestehen (A.6.5). Die SOC-2-Kriterien zum logischen Zugriff sehen es ähnlich: Zugriffe sind vor der Ausgabe von Zugangsdaten zu autorisieren und bei einem Rollenwechsel zu ändern oder zu entziehen. Keiner der Standards schreibt ein Prüfintervall oder ein bestimmtes Werkzeug vor, und keiner erkennt ein Diagramm als Nachweis an: Geprüft werden die Freigaben, die Bereitstellungsprotokolle und das Berechtigungsregister, die der Prozess erzeugt.