Das Berechtigungskonzept beschreibt ein System, in dem eine genaue Definition der Nutzung je Anwender und Ressource erfolgt.
Ressourcen sind hier Daten und Informationen. Ein Berechtigungskonzept dient dem Schutz dieser Ressourcen vor Veränderung oder Zerstörung (Datensicherheit), verhindert aber auch ihren unrechtmäßigen Gebrauch (Datenschutz).
Ein einfaches Berechtigungskonzept weist dem Anwender Ressourcen zu, die er tatsächlich nutzen darf, oder umgekehrt, jeder Ressource eine Liste der jeweils zugelassenen Anwender. Dabei kann noch die Art der Autorisierung spezifiziert werden, beispielsweise lesen, verändern, löschen.
Rein anwenderbezogene Konzepte neigen zur Unübersichtlichkeit und sind deshalb oft nur rudimentär ausgeprägt.
Besser ist ein Konzept über Rollen oder Benutzergruppen. Damit lassen sich Berechtigungen zusammenfassen, beispielsweise alle Berechtigungen der Anwender in der Personalbuchhaltung.
Um unberechtigte Zugriffe zu vermeiden ist das Berechtigungskonzept regelmäßig zu prüfen. Diese Überprüfung geschieht durch einen Soll/Ist-Vergleich
Fragen zur Erstellung eines Berechtigungskonzeptes / Checkliste
Die folgenden Fragen sollen Sie bei der Erstellung eines Berechtigungskonzeptes unterstützen. Wir empfehlen, zunächst die allgemeinen Fragen der Berechtigungen umzusetzen und dann die spezielleren, die den einzelnen Anwender betreffen.
- Wird mit mehreren Firmen gearbeitet?
- Arbeiten Anwender in mehreren Firmen?
- Arbeiten Anwender in einer Firma mit verschiedenen Profilen?
- Haben Anwender nur Anzeige-Berechtigungen?
- Gibt es Anwender mit wenigen Rechten innerhalb eines Anwendungsgebiets?
- Gibt es Anwender mit fast allen Rechten innerhalb bestimmter Anwendungsgebiete?
- Kann man Anwender in Gruppen allgemein oder innerhalb einer Firma zusammenfassen?
- Sind die Anwendergruppen in den verschiedenen Firmen identisch?
- Wird mit Standard-Menüs innerhalb von Anwendungsgebieten gearbeitet?
- Wird mit personifizierten Menüs gearbeitet?
- Wird mit den gleichen Menüs in den verschiedenen Firmen gearbeitet?
- Gibt es Personen auch innerhalb von Gruppen mit abweichenden Rechten?
- Sollen aufrufbare Programme mit allen Transaktionen aufrufbar sein?
- Sollen aufrufbare Programme mit allen Transaktionen innerhalb einer Firma aufrufbar sein?
- Wer darf Berechtigungen verwalten?
- Wer verwaltet Tabellendefinitionen?
- Dürfen Anwender alle Tabellensätze verwalten?
- Welche Berechtigungsstufe für Tabellen soll ein Anwender haben?
- Dürfen Anwender alle Tabellensätze sehen?
- Dürfen Anwender alle Tabellentransaktionen ausführen?
- Berechtigung für Belege?
- Berechtigung für Verzeichnisse?
- Datensätze bestimmter Dateien nicht sehen?
- Nur bestimmte Datensätze in Dateien ändern?
- Wer hat Berechtigung an Sonderfunktionen? (z. B. Favoriten-, DND-Verwaltung, Hotspots verwalten, Sichten verwalten, Design-Modus)
- Wie viele Programme oder Sitzungen darf ein Anwender öffnen?
- Hat ein Anwender Änderungsberechtigung für Tabellenarten, Bedienerhilfe, Firmenstamm etc.?