DSGVO: Der Berechtigungsirrgarten

Einer der Grundsätze der Datenschutz-Grundverordnung (DSGVO) ist die Forderung nach Vertraulichkeit und Integrität der Daten. Dies bedeutet, dass prinzipiell nur berechtigte Personen Daten einsehen, bzw. verändern dürfen. Im Rahmen der Anwendungen, die in einem Unternehmen verwendet werden, bedeutet das den Einsatz eines Systems zur Benutzeridentifizierung und darauf aufsetzenden Anwendungsberechtigungen. Im Fall des Systems „Dateiablage“, auf einem Fileserver, können das beispielsweise Berechtigungsgruppen, auf Ebene des Betriebssystems sein, dessen Mitglied der Benutzer ist.

Folgendes Beispiel aus der Praxis soll die Gefahren eines zu wenig durchdachten Berechtigungskonzepts verdeutlichen:

Frau X arbeitet schon seit längerer Zeit im Unternehmen. Sie hat in dieser Zeit viele Abteilungen durchlaufen und auch die eine oder andere Vertretung im Fall von Urlaub, Karenz oder längeren Krankenständen von KollegInnen übernommen. Als sie in den Ruhestand geht, wird Herr Z als neuer Mitarbeiter aufgenommen. Seine Berechtigungen werden von Frau X kopiert, denn er soll auf den ersten Blick die gleichen Tätigkeiten ausführen, für die Frau X verantwortlich war. Überrascht stellt man dann fest, dass Herr Z über Rechte verfügt, die fast an die der Geschäftsführung und der System-Administration heranreichen…

Um derartige Situationen zu vermeiden sollten also einige Grundregeln beachtet werden:

1. Geben Sie nicht einzelnen Personen Berechtigungen, sondern definieren Sie Rollen (Gruppen), die bestimmte Berechtigungen haben. Weisen Sie erst dann diese Rollen den einzelnen Benutzern zu. Gerade in modernen CRM- und ERP-Systemen können Berechtigungen sehr fein abgestimmt vergeben oder verwehrt werden.
    
2. Überlegen Sie Rollen nicht nur im Kontext des Betriebssystems, sondern auch innerhalb von Anwendungen. In manchen Systemen können Sie auch die Benutzerdaten des Betriebssystems oder anderer Authentifizierungssysteme verwenden (Single-Sign-On).
    
3. Führen Sie einen dokumentierten Prozess ein, der bei der Neuanlage eines Benutzers oder einer Änderung (z. B. Abteilungswechsel) durchlaufen werden muss, um einem Benutzer neue oder zusätzliche Rechte zu geben. Vermeiden Sie dabei das Kopieren von Berechtigungen von einem anderen Benutzer. Es sollte immer grundsätzlich überlegt werden, welche Rollen ein Benutzer für seine Arbeit tatsächlich benötigt. Bei einer Änderung ist auch zu prüfen, welche Berechtigungen vielleicht nicht mehr benötigt werden und so die Rolle entfernt werden kann.
    
4. Denken Sie daran, temporär vergebene Berechtigungen (z. B. Vertretung im Karenz- oder Krankheitsfall) auch wieder zu überprüfen und ggfs. wieder zu entziehen.
    
5. Bei sensiblen Daten wie bspw. Gesundheitsdaten, Ausweis- oder Kreditkarteninformationen kann es auch nützlich sein, die Daten teilweise zu maskieren, d. h. einige Elemente werden ausgeblendet. Bei Kreditkartendaten bspw. werden nur die letzten 4 Ziffern angezeigt.
    
6. Achten Sie darauf, dass Berechtigungen nicht durch weitreichende Funktionen ausgehebelt werden können. Die strengste Einschränkung der Dateneinsicht in einem CRM-System bringt nichts, wenn der Nutzer durch eine Systemfunktion auch einen vollständigen Datenexport erstellen könnte.
    
7. Überlegen Sie, ob Berechtigungen vielleicht periodisch neu beantragt oder von einem Vorgesetzten bestätigt werden sollten.
    
8. Entfernen Sie nicht mehr benötigte Benutzer aus den Benutzerdatenbanken. Sie befolgen damit auch das Prinzip der Speicherbegrenzung nach Art. 5 DSGVO.
    
9. Weisen Sie Mitarbeiter im Rahmen von Vertraulichkeitsvereinbarungen an, Zugangsdaten und Kennwörter generell geheim zu halten und nicht anderen Personen zur Verfügung zu stellen.
    
10. Überlegen Sie den Einsatz einer Kennwort-Richtlinie, die eine gewisse Mindestkomplexität der Kennwörter erfordert und bei der die Kennwörter auch nach einiger Zeit ablaufen. Erfahrungsgemäß haben längere Kennwörter (z. B. mind. 10 Zeichen lang) einen Vorteil gegenüber besonders komplizierten Kennwörtern und der Zwang ein Kennwort öfter als 2-3 mal pro Jahr zu ändern hat negative Auswirkungen.
     
11. Überlegen Sie den Einsatz eines Passwort-Managers (z. B. KeePass), um den Nutzern die Möglichkeit zu geben, viele unterschiedliche Kennwörter mit einem Master-Kennwort zu verwalten.