Fachbeitrag · Wirtschaftsinformatik ·
Berechtigungsrollen: Warum zwei einzeln passende Rollen zusammen einen Konflikt erzeugen können
Eine Rolle erlaubt das Anlegen eines Vorgangs, eine andere dessen Freigabe. Für sich betrachtet kann jede Rolle sachgerecht sein. Werden beide derselben Person zugewiesen, entsteht jedoch möglicherweise ein unerwünschter Gesamtzugriff. Rollenbasierte Berechtigungskonzepte müssen deshalb nicht nur einzelne Rechtepakete beschreiben. Sie brauchen auch Regeln für Kombinationen, Vererbungen und die Frage, wer innerhalb eines konkreten Vorgangs welche Schritte bereits ausgeführt hat.
Statische und dynamische Trennung unterscheiden
Bei statischer Funktionstrennung wird schon die gleichzeitige Zuweisung bestimmter Rollen ausgeschlossen. Eine dynamische Trennung prüft dagegen bei der Ausführung, ob eine Person die betreffende Kombination in diesem Kontext nutzen darf. So kann jemand grundsätzlich sowohl Anträge bearbeiten als auch freigeben, den eigenen Antrag jedoch nicht selbst abschließen. Diese zweite Variante benötigt Informationen über den Ablauf und die Identität der Beteiligten. Eine bloße Liste von Rollenbezeichnungen bildet die fachliche Regel nicht vollständig ab.
Auch geerbte Rechte betrachten
Rechte entstehen oft nicht ausschließlich durch direkte Rollenzuweisungen. Sammelrollen, Gruppenmitgliedschaften und übergeordnete Rollen können weitere Berechtigungen vermitteln. Ein Konflikttest muss deshalb den wirksamen Zugriff betrachten. Wird eine Berechtigung aus einer untergeordneten Rolle geerbt, verschwindet der mögliche Konflikt nicht durch einen anderen Namen der übergeordneten Rolle. Auch zeitlich befristete Zusatzrechte sind einzubeziehen. Eine sauber dokumentierte Ausnahme benennt Zweck, Geltungsbereich, Laufzeit und die vorgesehenen zusätzlichen Kontrollen.
Einen Vorgang durchspielen
In einem vereinfachten Stammdatenprozess darf eine Person eine neue Lieferadresse erfassen. Eine zweite Person prüft die Änderung, bevor sie produktiv genutzt wird. Der Test endet nicht bei der Frage, ob zwei unterschiedliche Konten angemeldet sind. Er prüft auch, ob beide Konten tatsächlich unterschiedlichen verantwortlichen Personen zugeordnet sind und ob eine Vertretungsregel den Kontrollschritt ungewollt aufhebt. Erfolgreiche und abgewiesene Freigabeversuche werden mit Vorgangskennung und relevanter Rolle nachvollziehbar protokolliert.
Grenzen und Pflege einplanen
Funktionstrennung verhindert nicht jede denkbare Absprache oder jeden fachlichen Fehler. Sie begrenzt bestimmte Möglichkeiten und macht Kontrollanforderungen prüfbar. Die Konfliktregeln müssen zu realen Aufgaben passen, sonst entstehen schwer bearbeitbare Ausnahmebestände. Bei Änderungen der Organisation, neuer Schnittstellen oder zusätzlicher Automatisierung werden sie erneut betrachtet. Entscheidend ist nicht die Anzahl der Rollen, sondern ob erlaubte Arbeit möglich bleibt und kritische Kombinationen im tatsächlichen Systemzustand erkannt oder wirksam verhindert werden.
Technical insight · Business information systems ·
Access roles: Why two individually suitable roles can create a conflict together
One role allows a request to be created; another allows it to be approved. Each role may be appropriate in isolation. Assigning both to the same person can nevertheless create an unwanted combined capability. Role-based access design therefore needs more than descriptions of individual permission packages. It also requires rules for combinations, inheritance and the actions a person has already performed within a particular transaction.
Distinguish static and dynamic separation
Static separation of duties prevents certain roles from being assigned together. Dynamic separation checks at execution time whether a person may use a particular combination in the current context. Someone might therefore be permitted to process requests and approve requests in general, but not to approve their own request. The dynamic approach needs process history and participant identity. A simple list of role names does not fully capture that business rule.
Consider inherited permissions as well
Permissions often come from more than direct role assignment. Composite roles, group membership and higher-level roles can grant additional access. Conflict checks must therefore consider effective permissions. If a permission is inherited from a subordinate role, changing the name of the higher-level role does not remove the potential conflict. Temporary additional access also belongs in the analysis. A documented exception should state its purpose, scope, duration and the additional controls that are intended to apply.
Walk through a concrete transaction
In a simplified master-data process, one person enters a new delivery address. Another reviews the change before it is used in production. Testing should go beyond checking that two different accounts were logged in. It should establish that the accounts are actually assigned to different accountable people and that a delegation rule does not unintentionally remove the control step. Successful and rejected approvals are recorded using the transaction identifier and relevant role.
Plan for limits and maintenance
Separation of duties cannot prevent every possible collusion or business error. It restricts specific capabilities and makes control requirements testable. Conflict rules must match real work, otherwise they produce exceptions that are difficult to manage. Revisit them when the organisation changes, new interfaces are introduced or automation gains additional permissions. The key measure is not how many roles exist, but whether legitimate work remains possible and critical combinations are detected or prevented in the actual system state.