Berechtigung

Wie eine Berechtigung aufgebaut ist

Eine Berechtigung verknüpft im Kern drei Elemente: ein Subjekt (wer?), ein Objekt (worauf?) und eine Operation (was darf getan werden?). Das Subjekt ist der Benutzer oder – häufiger – die Rolle, der er zugeordnet ist. Das Objekt kann ein ganzes Modul sein („Finanzbuchhaltung"), ein einzelner Datensatztyp („Kundenstamm") oder sogar ein Feld. Die Operation folgt meist dem CRUD-Schema: Create, Read, Update, Delete, ergänzt um Sonderrechte wie Freigeben, Exportieren oder Drucken.

Moderne ERP-Systeme unterscheiden zusätzlich funktionale und datenbezogene Berechtigungen. Eine funktionale Berechtigung erlaubt den Aufruf einer Funktion überhaupt (z. B. „Bestellung anlegen"). Eine datenbezogene Berechtigung grenzt ein, auf welche Datensätze diese Funktion wirkt – etwa nur Belege einer bestimmten Kostenstelle, eines Standorts oder eines Mandanten. Erst das Zusammenspiel beider ergibt eine wirksame, präzise Zugriffssteuerung.

Berechtigung, Rolle und Recht: die Abgrenzung

Im Sprachgebrauch werden „Berechtigung", „Recht" und „Rolle" oft synonym verwendet, meinen aber Unterschiedliches. Ein Recht (oder Privileg) ist die kleinste Einheit – die atomare Erlaubnis für eine einzelne Operation. Eine Berechtigung ist die konkrete Zuweisung eines solchen Rechts an ein Subjekt. Eine Rolle ist ein benanntes Bündel vieler Rechte, das einer Tätigkeit entspricht, etwa „Sachbearbeiter Einkauf" oder „Controller".

Statt jedem Mitarbeiter Dutzende Einzelrechte zuzuweisen, ordnet man ihn einer oder mehreren Rollen zu – das ist das Prinzip der rollenbasierten Zugriffskontrolle (RBAC). Der Vorteil: Ändert sich eine Aufgabe, passt man die Rolle einmal an, und alle Inhaber erben die Änderung. Neue Mitarbeiter werden im Onboarding einfach der passenden Rolle zugewiesen. Das reduziert Pflegeaufwand und Fehlerquellen erheblich gegenüber der Vergabe je Person.

Warum Berechtigungen im ERP wichtig sind

Ein ERP bündelt die geschäftskritischen Daten eines Unternehmens. Eine saubere Berechtigungsstruktur erfüllt hier gleich mehrere Zwecke. Sie setzt das Prinzip der minimalen Rechte um: Jeder erhält nur so viel Zugriff, wie seine Aufgabe zwingend erfordert. Das begrenzt den Schaden bei kompromittierten Konten und verhindert versehentliche Änderungen an fremden Datenbeständen.

Ebenso wichtig ist die Funktionstrennung (Segregation of Duties): Wer eine Bestellung anlegt, sollte sie nicht selbst freigeben und bezahlen dürfen. Berechtigungen erzwingen diese Kontrolle technisch und sind damit ein zentrales Element interner Kontrollsysteme und der Betrugsprävention. Für den Datenschutz nach DSGVO ist der eingeschränkte Zugriff auf personenbezogene Daten sogar rechtlich gefordert – nur befugte Personen dürfen Kunden- oder Personaldaten einsehen.

Schließlich stützen Berechtigungen die Revisionssicherheit. In Verbindung mit einem Protokoll (Audit-Log) lässt sich nachvollziehen, wer wann welche Aktion durchführen durfte und tatsächlich durchgeführt hat. Bei Betriebsprüfungen und im Rahmen der GoBD ist diese Nachvollziehbarkeit ein handfestes Argument.

Berechtigungsmodelle: RBAC und ABAC

Das in ERP-Systemen dominierende Modell ist die rollenbasierte Zugriffskontrolle (RBAC). Rechte werden zu Rollen gebündelt, Rollen zu Benutzern zugewiesen. Das Modell ist übersichtlich, gut auditierbar und für die meisten Mittelstandsszenarien völlig ausreichend.

Wo feiner gesteuert werden muss, kommt die attributbasierte Zugriffskontrolle (ABAC) hinzu. Hier entscheiden Attribute des Nutzers, des Objekts und des Kontexts über den Zugriff – etwa Abteilung, Standort, Belegwert oder Uhrzeit. Ein Beispiel: Freigaben über 10.000 Euro nur durch die Rolle „Bereichsleiter". Viele ERP-Systeme mischen beide Ansätze: Rollen als Grundgerüst, ergänzt um datenbezogene Filter und Wertgrenzen.

Berechtigungen sauber pflegen

Ein Berechtigungskonzept ist kein einmaliges Projekt, sondern laufende Betriebsaufgabe. Rollen und Rechte sollten regelmäßig überprüft werden (Rezertifizierung), damit ehemalige Zuständigkeiten nicht als „Rechte-Altlast" bestehen bleiben. Besonders beim Ausscheiden oder Abteilungswechsel von Mitarbeitern ist der zeitnahe Entzug nicht mehr benötigter Rechte entscheidend.

Praktisch bewährt haben sich wenige, klar geschnittene Standardrollen statt vieler Sonderfälle, eine dokumentierte Rollen-Rechte-Matrix und die Kopplung an eine zentrale Identität per Single Sign-on. Wird die Nutzerverwaltung über ein zentrales Verzeichnis gesteuert, greifen Sperrungen sofort systemweit – ein wichtiger Baustein für Sicherheit und Compliance.