Rollen- und Berechtigungskonzept: Wer darf worauf zugreifen, Mensch wie Maschine?

Warum Berechtigungen aus dem Ruder laufen

Kaum eine Organisation entscheidet sich für ein Durcheinander. Es entsteht nebenbei:

• Rechte wandern mit, aber nie zurück. Wer die Abteilung wechselt, bekommt die neuen Rechte dazu und behält die alten.
• „Mach es wie bei Frau Müller.“ Neue Mitarbeitende erhalten eine Kopie der Rechte einer Kollegin, mit allem, was diese über die Jahre angesammelt hat.
• Externe ohne Enddatum. Der Zugang für den Dienstleister aus dem letzten Projekt besteht noch.
• Sammelkonten. Ein Konto für die ganze Station oder das ganze Team. Wer was getan hat, lässt sich nicht mehr sagen.
• Maschinen ohne Verantwortliche. Ein Dienstkonto, das vor Jahren jemand eingerichtet hat, der nicht mehr da ist. Niemand weiß, wofür es gebraucht wird, also traut sich niemand, es abzuschalten.
• Viele Rechteverwaltungen nebeneinander. Neben dem zentralen Verzeichnis führt fast jede Fachanwendung ihre eigene Benutzerverwaltung. Rechte werden mehrfach gepflegt, und keine Stelle hat den Gesamtüberblick.

Ein zentrales Verzeichnis, viele eigene Rechteverwaltungen

Die meisten Organisationen haben ein zentrales Verzeichnis für Anmeldung und Grundrechte, oft das Active Directory oder dessen Cloud-Variante. Daneben laufen Pflegedokumentation, Dienstplanung, Lohn, Finanzbuchhaltung, Branchensoftware und Portale von Dienstleistern, und jede dieser Anwendungen hat ihre eigene Benutzer- und Rechteverwaltung. Manche sind an das zentrale Verzeichnis angebunden, viele nicht.

Die Folge: Dieselbe Person hat fünf, zehn oder mehr Konten, jedes mit eigenen Rechten, gepflegt von verschiedenen Stellen. Beim Eintritt dauert es Tage, bis alles eingerichtet ist. Beim Stellenwechsel werden die neuen Rechte vergeben, die alten in den Fachanwendungen bleiben. Und beim Austritt wird das Konto im zentralen Verzeichnis gesperrt, während die Konten in den Fachanwendungen weiterlaufen. Bei Anwendungen in der Cloud mit eigenem Kennwort heißt das: Die ausgeschiedene Person kommt von zu Hause aus weiterhin an die Daten.

Was dagegen hilft:

• Ein Verzeichnis aller Anwendungen mit der Angabe, ob sie am zentralen Verzeichnis hängen oder eigene Konten führen, und wer dort die Rechte pflegt.
• Anbinden, wo es geht. Zentrale Anmeldung und automatische Übertragung von Eintritt, Wechsel und Austritt an die Fachanwendung. Viele Anwendungen können das, es ist nur nie eingerichtet worden.
• Eine Austrittsliste für den Rest. Für jede nicht angebundene Anwendung steht fest, wer das Konto am letzten Arbeitstag sperrt, und die Sperre wird abgehakt, nicht angenommen.
• Regelmäßiger Abgleich. Personalstamm gegen Konten in jeder Anwendung, mindestens vierteljährlich. Jedes Konto ohne aktive Person ist ein Befund.

Menschliche Identitäten: Eintritt, Wechsel, Austritt

Für Menschen gibt es drei Momente, an denen sich Rechte ändern müssen: wenn jemand kommt, wenn jemand die Aufgabe wechselt und wenn jemand geht. Sauber läuft das, wenn:

• das Personalwesen der Auslöser ist. Der Eintrag im Personalstamm (Eintritt, Stellenwechsel, Austritt) stößt die Änderung an, nicht eine Mail an die IT.
• der Fachbereich über die Rolle entscheidet. Welche Rechte eine Pflegefachkraft, eine Sachbearbeiterin Lohn oder eine Bereichsleitung braucht, weiß der Fachbereich, nicht die IT.
• die IT umsetzt und dokumentiert. Sie vergibt die Rechte, die zur Rolle gehören, und hält fest, wann und auf wessen Veranlassung.
• am letzten Arbeitstag alles endet. In allen Anwendungen, nicht nur im zentralen Verzeichnis. Und nicht in der Woche danach.

Maschinelle Identitäten: die unterschätzte Mehrheit

Zu den maschinellen Identitäten gehören Dienstkonten, Schnittstellen-Schlüssel, Zertifikate, automatisierte Abläufe und zunehmend KI-Assistenten, die im Auftrag von Menschen handeln. In vielen Organisationen gibt es davon inzwischen mehr als Mitarbeitende, und anders als Mitarbeitende kündigen sie nie.

Für jede maschinelle Identität gelten fünf Regeln:

1. 1.Ein verantwortlicher Mensch. Jede Maschine hat eine Person, die weiß, wofür sie da ist, und die bei ihrem Weggang ersetzt wird.

2. 2.Ein beschriebener Zweck. Was tut diese Identität, auf welche Systeme greift sie zu?

3. 3.Nur die nötigen Rechte. Eine Schnittstelle, die Termine liest, braucht keinen Schreibzugriff auf Personalakten.

4. 4.Ein Ablaufdatum. Schlüssel und Zertifikate werden regelmäßig erneuert. Was nicht erneuert wird, läuft aus.

5. 5.Ein Verzeichnis. Alle maschinellen Identitäten stehen an einer Stelle, so wie die Mitarbeitenden im Personalstamm.

KI-Assistenten brauchen eine eigene Identität

KI-Assistenten, die Mails beantworten, Termine buchen oder Daten zusammenfassen, greifen auf Ihre Systeme zu. Laufen sie mit den vollen Rechten der Person, die sie nutzt, sehen und dürfen sie alles, was diese Person sieht und darf. Besser ist eine eigene Identität mit eng geschnittenen Rechten, deren Handlungen protokolliert werden. So bleibt nachvollziehbar, was ein Mensch getan hat und was eine Maschine in seinem Auftrag.

Die Bausteine eines Rollen- und Berechtigungskonzepts

1. 1.Rollenkatalog. Abgeleitet aus Ihrer Organisation: Bereiche, Funktionen, Vertretungen. Nicht aus der Rechtestruktur der Software.

2. 2.Berechtigungsmatrix. Je Rolle und System: lesen, schreiben, freigeben, verwalten. Das schließt die Fachanwendungen mit eigener Rechteverwaltung ein, nicht nur das zentrale Verzeichnis.

3. 3.Antrags- und Genehmigungsweg. Wer beantragt eine Abweichung von der Rolle, wer genehmigt, wie lange gilt sie?

4. 4.Eintritt, Wechsel, Austritt. Der Ablauf von Personalstamm zu Systemzugang, mit Zuständigkeiten und Fristen, und einer Austrittsliste für jede Anwendung, die nicht angebunden ist.

5. 5.Verzeichnis maschineller Identitäten. Mit Verantwortlichen, Zweck, Rechten und Ablaufdatum.

6. 6.Regelmäßige Überprüfung. Führungskräfte bestätigen einmal im Jahr, bei kritischen Systemen halbjährlich, dass die Rechte ihrer Leute noch stimmen.

7. 7.Notfallzugang. Wer kommt im Ernstfall an alles heran, wie ist das gesichert, und wie wird es nachträglich dokumentiert?

Der rechtliche Rahmen, kurz gefasst

Wir sind keine Rechtsberater. Die folgenden Punkte zeigen, warum das Thema keine reine IT-Frage ist.

• Datenschutz. Die DSGVO verlangt, dass personenbezogene Daten nur von denen gesehen werden, die sie für ihre Aufgabe brauchen, und dass Sie das mit geeigneten technischen und organisatorischen Maßnahmen sicherstellen. Ein Berechtigungskonzept ist eine dieser Maßnahmen.
• NIS2. Für Einrichtungen, die unter das BSI-Gesetz (NIS2) fallen, gehören Konzepte für die Zugriffskontrolle ausdrücklich zu den Pflichtmaßnahmen, ebenso die Mehr-Faktor-Anmeldung, wo sie angemessen ist.
• Mitbestimmung. Protokolle darüber, wer wann auf was zugegriffen hat, lassen Rückschlüsse auf Verhalten und Leistung zu. Ihre Einführung ist deshalb in der Regel mitbestimmungspflichtig. Betriebsrat, Personalrat oder Mitarbeitervertretung gehören früh an den Tisch.

In großen und regulierten Organisationen

• Viele Menschen, viele Wechsel. Schichtdienst, Springer, Aushilfen, Praktikanten, Ehrenamtliche: Die Zahl der Eintritte, Wechsel und Austritte ist hoch. Ohne geregelten Ablauf hinkt die IT immer hinterher.
• Besonders schützenswerte Daten. Gesundheits- und Sozialdaten dürfen nur die sehen, die sie für die Betreuung oder Abrechnung brauchen. Das muss die Rolle abbilden, nicht das gute Gewissen.
• Vertretung und Notfall. In der Pflege muss die Vertretung sofort handeln können. Das gehört als eigene Rolle mit Protokoll ins Konzept, nicht als geteiltes Kennwort an die Pinnwand.
• Verbund. Wo Verein und Gesellschaften gemeinsame Systeme nutzen, muss die Rolle sagen, für welchen Rechtsträger jemand handelt.
• Krankenhäuser. Stationswechsel, Bereitschaftsdienste und der Zugriff auf Patientendaten im Notfall müssen über Rollen abgebildet sein, nicht über geteilte Kennwörter. Dazu kommen besonders viele Fachanwendungen mit eigener Rechteverwaltung.
• Krankenkassen und große Verwaltungen. Viele externe Dienstleister und Schnittstellen greifen auf Sozialdaten zu. Dienstleisterzugänge und maschinelle Identitäten brauchen hier dieselbe Sorgfalt wie die eigenen Beschäftigten.

Was wir übernehmen und was nicht

Wir übernehmen: die Bestandsaufnahme der heutigen Rechte und Identitäten, den Rollenkatalog aus Ihrer Organisation heraus, die Berechtigungsmatrix, den Ablauf von Eintritt bis Austritt, das Verzeichnis maschineller Identitäten und die Regeln für KI-Assistenten. Ergebnis ist ein Konzept, das Ihre IT oder Ihr Dienstleister umsetzen kann.

Wir übernehmen nicht: Rechtsberatung, technische Sicherheitstests und den laufenden Betrieb einer Software für die Rechteverwaltung. Die Umsetzung begleiten wir auf Wunsch.

Wie Sie mit uns starten

Personen und Zugänge sind eine der fünf Schichten Ihres Organisationsstamms. Der Struktur-Kompass (9.900 € bis zwei Rechtsträger, je weiterer Rechtsträger 1.900 €) zeigt, wo Rollen, Personalstamm und Zugänge heute auseinanderlaufen. Das Zielbild Organisationsstamm (14.900 € bis drei Rechtsträger) legt Rollenkatalog, Berechtigungsmatrix und den Ablauf von Eintritt bis Austritt fest. Die technische Absicherung der Zugänge gehört zur Linie Digitale Souveränität.

→ Mehr zu Struktur & Compliance

Häufige Fragen

Vom Team der addonware GmbH, Bereich Struktur & Compliance. Stand: Oktober 2026.