Rechtevergabe im ERP: Mehr Sicherheit durch rollenbasierte Zugriffskontrolle

Betreiben Sie eine ERP-Lösung, sind Sie für die Sicherheit der Daten und Prozesse verantwortlich. Besser früher als später sollte sich Ihr Unternehmen daher mit dem Thema Rechtevergabe im ERP-System auseinandersetzen. Denn rollenbasierte Zugriffsrechte sind für den Schutz sensibler Daten mindestens genauso wichtig wie Firewalls oder Verschlüsselungsverfahren. 

Zwei Fragen werden Sie dabei besonders beschäftigen:

• Welche Rollen gibt es im Unternehmen?
• Welche Rechte benötigt jede Rolle?

Die Antworten auf diese Fragen sowie wichtige Tipps für ein praxistaugliches Berechtigungskonzept finden Sie in diesem Artikel.

Kostenloses Whitepaper

Erfahren Sie in dem kostenlosen Whitepaper, wie der gesamte Prozess einer ERP-Einführung aussieht.

Jetzt kostenlos anfordern

Warum ist die Rechtevergabe im ERP von so großer Bedeutung?

In einer ERP-Lösung laufen alle relevanten Daten Ihres Unternehmens zusammen. Haben sämtliche Abteilungen Zugriff auf das System, gewährleistet dies einen reibungslosen Informationsfluss. Dadurch verfügen alle Mitarbeiterinnen und Mitarbeiter über die gleiche Datenbasis, sodass keine Datensilos entstehen und sich viele Prozesse deutlich beschleunigen. So weit, so gut.

Doch stellen Sie sich vor, die gesamte Belegschaft – von der Geschäftsführung bis zu den Praktikanten – hätte jederzeit Zugang zu allen Daten, die sich im ERP-System befinden. Die Folgen wären kaum auszudenken: 

Auf Ihr Unternehmen würden nicht nur schwerwiegende Sicherheitsprobleme durch unautorisierte Dateneinsichten zukommen. Sie würden auch gegen die Datenschutz-Grundverordnung (DSGVO) verstoßen.

Aus diesen Gründen ist es enorm wichtig, Zugriffsrechte in der ERP-Software korrekt und präzise festzulegen. Voraussetzung für die Rechtevergabe ist ein stimmiges Rollenkonzept, das im Idealfall vor der Systemimplementierung entwickelt wird.

Die rollenbasierte Rechtevergabe bringt viele Vorteile mit sich:

• Schutz sensibler Informationen vor unbefugtem Zugriff, Datendiebstahl und Datenmanipulation
• Bessere Compliance durch die Einhaltung gesetzlicher Vorgaben, etwa der DSGVO
• Optimierte Arbeitsabläufe und höhere Produktivität, da Mitarbeitende nur relevante Funktionen und Daten sehen, was die Software-Usability verbessert
• Geringere Fehlerrate und weniger Supportanfragen, da falsche Dateneingaben oder unbeabsichtigte Änderungen vermieden werden
• Mehr Transparenz und Nachvollziehbarkeit durch klare Verantwortlichkeiten
• Kostenersparnis durch effizientere Prozesse, weniger Sicherheitsvorfälle und geringere Lizenzkosten
  

Rollenbasierte Zugriffsrechte sind für den Schutz sensibler Daten mindestens genauso wichtig wie Firewalls oder Verschlüsselungsverfahren.

Die 3 Standardrollen im ERP-System

Bereits im Rahmen der Projektvorbereitung sollten Sie eine Vorstellung davon entwickeln, wie Sie die Rollenverteilung im System optimal handhaben. Denn in dieser Phase nehmen Sie Ihre Prozesse ohnehin unter die Lupe. Finden Sie heraus, welche Person für welche Rolle in Frage kommt – und wie weit Sie die Rollenverteilung weiter gliedern möchten.

Heutzutage sind die meisten Unternehmen hierarchisch organisiert. Typischerweise gibt es die Geschäftsführung, die mittleren Führungsebenen (z. B. Abteilungsleiter) sowie Mitarbeitende in den jeweiligen Fachabteilungen. Da die Rechtevergabe häufig auf dieser Hierarchie basiert, ist die genannte Struktur auch im ERP-System abzubilden.

Die meisten ERP-Systeme bieten bereits vordefinierte Standardrollen. Zum Beispiel:

• Standard-User
  Bei den Standard-Usern hat sich das sogenannte Minimalprinzip bewährt – auch das Prinzip der geringsten Rechte (sog. “least privilege principle”) genannt. Die Anwender*innen dürfen nur auf jene Daten und Funktionen zugreifen, die für ihren individuellen Aufgabenbereich von Bedeutung sind. Dafür richten die Systemadministrator*innen einen Datenfilter ein, sodass gesperrte Bereiche grau hinterlegt und nicht anklickbar sind.

• Key User
  Key User gehören oft zur mittleren Führungsebene und verfügen über umfangreichere Zugriffsrechte als Standard-User. Durch erweiterte Berechtigungen und Verantwortlichkeiten können sie alle Datensätze ihrer Abteilung sehen und bearbeiten. Auf diese Weise lässt sich beispielsweise beim Einpflegen kritischer Daten auch ein Vier-Augen-Prinzip gewährleisten, wenn nur die Führungskraft einen solchen Dateneintrag bestätigen darf.

• Power User
  Power User sind die Administrator*innen des ERP-Systems. Sie haben mehr Pflichten und besitzen vollumfängliche Zugriffsrechte für alle Datensätze und Funktionen des Systems – auch abteilungsübergreifend.

Die 4 Standardrechte für ERP-User

Den einzelnen Rollen, die Sie im System definieren, können Sie jeweils eigene Rechte zuweisen. Die meisten ERP-Systeme sind dazu in der Lage, diese Rechtevergabe sehr granular zu gestalten – oft bis auf Feldebene. 

Die vier Standardrechte lauten:

• Anlegen (Create)
• Sehen (Read)
• Verändern (Update)
• Löschen (Delete)

Entsprechend ihrer Anfangsbuchstaben werden sie auch CRUD-Rechte genannt. Auf der untersten Ebene (Read) sind die User sehr eingeschränkt. Die meisten Funktionen und Datensätze im System bleiben ihnen verschlossen. Auf den höheren Ebenen kommen jeweils neue Rechte und System-Funktionen hinzu – je nachdem, welche Rolle die Mitarbeitenden im Unternehmen einnehmen.

Ein Beispiel aus dem Einkauf veranschaulicht die rollenbasierten Zugriffsrechte:

• Standard-User können Bestellungen einsehen und bearbeiten, aber keine neuen Lieferanten anlegen.
• Key-User dürfen zusätzlich Lieferanten anlegen und Einkaufsbedingungen ändern.
• Power-User haben als Systemadministrator Zugriff auf die gesamte Rechteverwaltung und Systemkonfiguration.

Differenzierte Rechtevergabe innerhalb von Abteilungen

Die drei Standardrollen genügen jedoch nur in den wenigsten Organisationen den Ansprüchen des Tagesgeschäfts. Ratsam ist es, die Rechtevergabe innerhalb von Abteilungen weiter zu verfeinern. Auszubildende beispielsweise sollten weniger Rechte erhalten als erfahrene Kolleg*innen, die bereits seit einigen Jahren im Unternehmen arbeiten. Das Gleiche gilt für Praktikant*innen, Auszubildende sowie für Leih- und Zeitarbeitende. Mit einem modernen ERP-System lassen sich die Rollen daher bei Bedarf weiter aufteilen.

Zu berücksichtigen sind hierbei auch dynamische Teams und externe Projektmitarbeitende. Gerade in größeren Unternehmen ist es gang und gäbe, dass das Personal häufig wechselt und Mitarbeitende nur temporär eingesetzt werden. Zugriffsrechte müssen hier schnell an neue Personen vergeben und nach deren Ausscheiden sofort entzogen werden.

10 Tipps für ein praxistaugliches Berechtigungskonzept

Die Rechtevergabe in einem ERP-System bringt zahlreiche Herausforderungen mit sich, die eine sorgfältige Planung und regelmäßige Anpassungen erfordern. Folgende Tipps ebnen Ihnen den Weg zu einem stimmigen Berechtigungskonzept:

1. Bedenken Sie die abteilungsspezifischen Anforderungen

Jede Abteilung hat eigene Zugriffsbedürfnisse. Während die Buchhaltung sensible Finanzdaten benötigt, greifen Vertriebsteams eher auf Kundeninformationen zu. Um den individuellen Anforderungen gerecht zu werden, ist eine einheitliche, aber flexible Rollen- und Rechteverwaltung essenziell.

2. Kontrollieren Sie Berechtigungen regelmäßig

Neue Mitarbeitende, neue Projekte oder wechselnde Projektanforderungen machen eine regelmäßige Prüfung und Anpassung der Berechtigungen notwendig. Um Ein- und Austritte sauber abzubilden, empfiehlt sich hierbei ein kontinuierlicher Abgleich zwischen dem Personalsystem (HR) und dem ERP-System.

3. Richten Sie temporäre Rechte für Projekte oder externes Personal ein

Mitarbeitende in zeitlich begrenzten Projekten und externe Fachkräfte benötigen meist nur kurzfristigen Zugriff auf bestimmte Bereiche. Hier ist ein sofortiger Entzug der Rechte nach Projektende wichtig, um Missbrauch zu vermeiden.

4. Setzen Sie auf eine automatisierte Rechtevergabe

Eine manuelle Rechtevergabe birgt das Risiko, dass Berechtigungen versehentlich zu großzügig oder zu strikt erteilt werden. Automatisierte Workflows und vordefinierte Rollen helfen, dieses Risiko zu minimieren.

5. Berücksichtigen Sie mögliche Notfälle und Eskalationen

In kritischen Situationen kann es vorkommen, dass ein User sofortigen Zugriff auf bestimmte Daten benötigt. Definieren Sie daher frühzeitig Prozesse für die schnelle Vergabe von Notfallrechten.

6. Integrieren Sie andere Systeme

Die Rechte im ERP-System sollten mit anderen Systemen wie einem CRM oder DMS abgestimmt sein, um Doppelarbeit und Lücken zu vermeiden. Einheitliche Rollenmodelle erleichtern die Verwaltung und verbessern die IT-Sicherheit.

7. Denken Sie an Urlaubszeiten und Krankheitsfälle

Ist ein Kollege vorübergehend nicht im Haus, besteht die Gefahr, dass sich Prozesse aufgrund fehlender Berechtigungen verzögern. Denken Sie deshalb daran, Stellvertretendenfunktionen einzurichten. Fällt zum Beispiel die Vertriebsleitung aus, kann die Abteilung weiterhin Aufträge abschließen.

8. Senken Sie das Sicherheitsrisiko durch Fernzugriffe

Die Verwaltung von Zugriffsrechten in hybriden Arbeitsumgebungen ist ein brisantes Thema. Stellen Sie daher sicher, dass ein Datenzugriff nur unter Nutzung von VPN-Zugängen oder Zero-Trust-Sicherheitsmodellen möglich ist.

9. Dokumentieren Sie die Rechtevergabe so sauber wie möglich

Interne und externe Audits können für das Berechtigungskonzept zur Zerreißprobe werden. Nicht jedoch, wenn Sie die Rechtevergabe schriftlich festhalten. Dann nämlich können Sie im Handumdrehen nachweisen, welche Person welche Rechte aus welchen Gründen erhalten hat.

10. Geben Sie einer Person nicht zu viel Kontrolle

Haben Personen zu viele Aufgaben und Berechtigungen, erhöht sich das Risiko für Betrugsfälle. Daher sollten Sie bei der Rechtevergabe unbedingt auf eine sinnvolle Aufgabentrennung achten und diese fortlaufend überwachen.

Fazit: So viel wie nötig, so wenig wie möglich

In einem Unternehmen haben alle Abteilungen Zugriff auf das ERP-System, um die nötige Transparenz zu schaffen. Projektverantwortliche müssen jedoch sicherstellen, dass der Zugriff auf sensible Daten nur den zuständigen Mitarbeitenden möglich ist. Aus diesem Grund ist eine gründliche Planung des Systems auf Basis der vorhandenen Unternehmensbereiche und der notwendigen Berechtigungen erforderlich.

Eine ERP-Lösung bietet die Möglichkeit, rollenbasierte Zugriffsrechte in der Software im Detail festzulegen. Entsprechende Rechteeinstellungen definieren, welche Anwenderinnen und Anwender bestimmte Daten einsehen, bearbeiten oder freigeben dürfen.

Wie genau Sie Ihr individuelles rollenbasiertes Zugriffsrechtesystem organisieren, liegt freilich ganz allein in Ihren Händen. Eine Pauschallösung hierfür gibt es leider nicht. Eine ausführliche Analyse Ihrer Prozesse gibt Aufschluss über alle Abläufe und Abhängigkeiten in Ihrer Organisation.