Was sind Rollen und Rechte?

Einfach erklärt

Rollen und Rechte legen fest, wer im Betrieb was sehen und ändern darf. Man kann es sich wie ein Schlüsselbrett vorstellen: Die Buchhaltung bekommt den Schlüssel zum Archiv, der Azubi den zur Werkstatt. Den Generalschlüssel hat nur die Chefin. Statt jeder Person einzeln Rechte zu geben, legt man Rollen wie „Buchhaltung“ oder „Vertrieb“ an. Personen werden diesen Rollen zugeordnet und bekommen so die passenden Rechte.

Das Prinzip: so wenig wie nötig

Jede Person bekommt nur die Rechte, die sie für ihre Aufgabe braucht. Fachleute nennen das Least Privilege, auf Deutsch das Prinzip der geringsten Berechtigungen. Das ist kein Misstrauen. Wird ein Konto übernommen, etwa über eine gefälschte Mail (Phishing), erreicht der Angreifer nur, was dieses Konto darf. Ein Verschlüsselungstrojaner auf dem Rechner einer Mitarbeiterin kann dann nur die Ordner unbrauchbar machen, in die sie schreiben darf, nicht die ganze Ablage.

Woran Sie merken, dass es Handlungsbedarf gibt

• Alle haben Zugriff auf alle Ordner, „weil es einfacher ist“.
• Ehemalige Mitarbeitende tauchen noch in Programmen auf.
• Niemand kann sagen, wer auf die Lohnunterlagen zugreifen darf.

Was Sie tun können

Lassen Sie Ihren IT-Dienstleister einmal auflisten, wer worauf Zugriff hat. Legen Sie Rollen fest und prüfen Sie die Liste einmal im Jahr und bei jedem Wechsel im Team. Für Ein- und Austritte hilft eine feste Checkliste mit allen Programmen und Zugängen.

Tipp: Rechte immer über Gruppen vergeben, nicht an einzelne Personen. Wechselt jemand die Abteilung, genügt es, die Gruppe zu tauschen.

Was Rollen nicht leisten

Rechte schützen nur, solange die Anmeldung sicher ist. Ein Konto mit schwachem Passwort und ohne zweiten Faktor öffnet trotz sauberer Rollen alles, was es darf. Und Rollen helfen nur, wenn sie gepflegt werden: Rechte, die niemand mehr prüft, wachsen mit jeder Ausnahme.

Modelle

• RBAC (Role-Based Access Control): Rechte hängen an Rollen, Benutzer an Rollen. Verbreitet in Verzeichnisdiensten und Fachanwendungen, auch Microsoft Entra ID vergibt Administratorrechte so.
• ABAC (Attribute-Based Access Control): Entscheidungen nach Attributen wie Abteilung, Standort oder Klassifizierung der Daten.
• ACL: Rechte direkt am Objekt, etwa NTFS-Berechtigungen an einem Ordner.

Der IT-Grundschutz, Baustein ORP.4 (Edition 2023), fasst die Grundsätze zusammen. A2: Kennungen und Rechte nur nach tatsächlichem Bedarf vergeben (Least Privilege, Need-to-know) und bei personellen Veränderungen entziehen. A3: Rechteprofile dokumentieren und regelmäßig prüfen, ob sie dem tatsächlichen Stand und den Aufgaben entsprechen. A4: unvereinbare Aufgaben trennen.

Zum Rechtekonzept gehört der Lebenszyklus jeder Kennung: Eintritt, Wechsel, Austritt (Joiner, Mover, Leaver). Jeder Schritt braucht einen festen Ablauf, der alle Systeme umfasst, auch Fachanwendungen und Cloud-Dienste außerhalb des Verzeichnisses.

Auf Dateiservern bewährt sich die Trennung von Rollen- und Ressourcengruppen:

anna, ben           ->  G_Buchhaltung              (Rollengruppe: wer)
G_Buchhaltung       ->  DL_Buchhaltung_Aendern      (Ressourcengruppe: worauf, welches Recht)
DL_Buchhaltung_Aendern  ->  \\fs01\Buchhaltung      NTFS: Ändern

Typische Fehler

• Rechte an Einzelpersonen. Direkt vergebene Rechte sind bei Wechseln nicht nachvollziehbar.
• Rechte wachsen mit (Privilege Creep). Wer die Abteilung wechselt, behält die alten Rechte. Gegenmittel ist eine regelmäßige Rezertifizierung.
• „Jeder“ oder „Authentifizierte Benutzer“ mit Schreibrecht auf Freigaben.
• Freigaben nach außen vergessen. Links in Cloud-Speichern, die jeder mit dem Link öffnen kann, und Gastkonten ohne Ablaufdatum.
• Dienstkonten mit Domänen-Administratorrechten, weil eine Installationsanleitung es so vorsah.
• Keine Funktionstrennung. Dieselbe Person legt Lieferanten an und gibt Zahlungen frei.

Prüfen

Berechtigungen eines Windows-Ordners anzeigen:

icacls "\\fs01\Buchhaltung"

Unter Linux zeigt getfacl /srv/daten/buchhaltung die erweiterten Rechte. In Microsoft Entra ID listet das Admin Center unter Entra ID > Rollen und Administratoren alle Rollen mit ihren Zuweisungen. Microsoft empfiehlt wiederkehrende Zugriffsüberprüfungen (Access Reviews), um nicht mehr benötigte Rollenzuweisungen zu entfernen. Sie setzen je nach Umfang Microsoft Entra ID P2 oder ID Governance voraus.