Veröffentlicht Aktualisiert Mit KI erstellt
Zugriffsrechte für Mitarbeiter: Regeln, die wirklich schützen
Zugriffsrechte für Mitarbeiter sichern: Nur nötige Rechte vergeben, Austrittsprozess automatisieren und DSGVO konform dokumentieren.
Zugriffsrechte für Mitarbeiter regeln, wer auf welche Systeme, Daten und Räume zugreifen darf, und genau das ist der Kern jeder IT-Sicherheitsstrategie. Die wichtigste Sofortmaßnahme: Vergeben Sie Rechte nach dem Prinzip der geringsten Rechte (Least Privilege) und automatisieren Sie das Offboarding, damit ausgeschiedene Mitarbeiter sofort gesperrt werden. Das BSI empfiehlt genau das im IT-Grundschutz-Baustein ORP.4, die DSGVO verlangt eine dokumentierte Begründung dafür.
Kurz gesagt:
- Mitarbeitende sollen nur die Zugriffsrechte erhalten, die sie für ihre Aufgaben wirklich benötigen, um Permission Creep und Missbrauch zu vermeiden.
- Rollenbasierte Zugriffskontrolle ist skalierbar und sollte mit attributbasierter Ergänzung nur bei sensiblen Systemen eingesetzt werden.
- Der Mitarbeiterlebenszyklus inklusive Eintritt, Rollenwechsel und Austritt muss automatisiert und innerhalb weniger Stunden abgeschlossen sein.
- Regelmäßige Zugriffsprüfungen sind für privilegierte Konten quartalsweise und für Standardkonten jährlich empfehlenswert, inklusive Dokumentation der Ergebnisse; eine feste gesetzliche Frist gibt es nicht.
- Verantwortlichkeiten für Zugriffserteilung sollten klar bei Genehmigenden, Fachverantwortlichen und IT-Betrieb liegen, um unklare Zuständigkeiten zu vermeiden.
Weniger Verwaltungsaufwand im Restaurant
ShiftPriority bündelt Planung, Trinkgeldverwaltung und Teamorganisation in einer Anwendung für kleine Gastronomiebetriebe in Deutschland.
Inhaltsverzeichnis
- Was bedeuten Least Privilege und Need-to-Know bei Zugriffsrechten?
- Wie funktioniert rollenbasierte Zugriffskontrolle in der Praxis?
- Wie läuft Joiner-Mover-Leaver zuverlässig ab?
- Wie oft sollten Zugriffsprüfungen stattfinden?
- Wer trägt welche Verantwortung bei Zugriffsrechten?
- Was schreiben DSGVO und BDSG für Mitarbeiterzugriffe vor?
- Welche Sofortmaßnahmen wirken in 30 und 90 Tagen?
- Unsere Einschätzung: Was Gastronomiebetriebe bei Zugriffsrechten falsch machen
- So unterstützt ShiftPriority bei der Dienstplanung
- Quellen
- FAQ
Was bedeuten Least Privilege und Need-to-Know bei Zugriffsrechten?
Least Privilege heißt: Jeder Mitarbeiter bekommt nur die Rechte, die er für seine aktuelle Aufgabe braucht. Nicht mehr. Need-to-Know ergänzt das um die inhaltliche Seite: Zugang zu Informationen gibt es nur, wenn die Person sie für ihre Arbeit tatsächlich benötigt, unabhängig davon, ob sie technisch draufzugreifen könnte.
In der Praxis entsteht das Gegenteil fast automatisch. Ein Mitarbeiter wechselt die Abteilung, bekommt neue Zugriffe, die alten werden aber nie entfernt. Nach zwei, drei Wechseln hat die Person Rechte auf sieben Systeme, obwohl sie nur zwei aktiv nutzt. Dieses Phänomen heißt Permission Creep, und es ist einer der häufigsten Gründe, warum ein gestohlenes Konto plötzlich viel mehr Schaden anrichtet als nötig.
Das BSI beschreibt in ORP.4 konkrete Anforderungen an Vergabe, Dokumentation und Prüfung solcher Rechte. Drei Punkte daraus lassen sich sofort umsetzen:
- Rechte werden schriftlich begründet, nicht mündlich zugesagt.
- Jede Vergabe hat ein Ablaufdatum oder einen Prüfzeitpunkt.
- Standardkonten erhalten nie automatisch Administratorrechte.
Wie funktioniert rollenbasierte Zugriffskontrolle in der Praxis?
Rollenbasierte Zugriffskontrolle, kurz RBAC, bündelt Rechte nicht pro Person, sondern pro Funktion. Ein Küchenchef bekommt das Rechtepaket „Küchenleitung“, eine neue Servicekraft das Paket „Service Basis“. Wechselt jemand die Rolle, wechselt einfach das Paket, nicht 15 Einzelberechtigungen.
Das macht RBAC so skalierbar: Ein Unternehmen mit 200 Mitarbeitern verwaltet vielleicht 12 Rollen statt 200 individuelle Rechteprofile. Für komplexere Fälle, etwa wenn der Zugriff vom Standort, der Uhrzeit oder dem Gerät abhängen soll, reicht reines RBAC nicht mehr. Hier kommen attributbasierte Regeln (ABAC) ins Spiel, die zusätzliche Bedingungen prüfen, etwa „nur im Betriebsnetzwerk“ oder „nur während der Schicht“.
Für die meisten kleinen und mittleren Betriebe gilt trotzdem:
- Starten Sie mit RBAC und wenigen, klar geschnittenen Rollen.
- Ergänzen Sie ABAC-Regeln nur dort, wo ein echtes Risiko besteht (Finanzsysteme, Kassenzugriff außerhalb der Schicht).
- Vermeiden Sie Einzelrechte für einzelne Personen, das zerstört die Übersicht binnen Wochen.
Wie läuft Joiner-Mover-Leaver zuverlässig ab?
Joiner-Mover-Leaver, kurz JML, beschreibt den gesamten Lebenszyklus eines Mitarbeiterkontos: Eintritt, Rollenwechsel, Austritt. Genau an diesem Prozess scheitern die meisten Unternehmen, weil er oft manuell und über verschiedene Systeme verteilt abläuft. Fachartikel aus dem Identity-Management-Bereich stufen JML als häufigsten Schwachpunkt im gesamten Zugriffsmanagement ein.
So sieht ein belastbarer Ablauf aus:
- Beim Eintritt wird das Konto mit einem vordefinierten Rollenpaket angelegt, nie mit Admin-Rechten „auf Verdacht“.
- Bei jedem Rollenwechsel prüft eine verantwortliche Person, ob alte Rechte entfernt werden müssen.
- Beim Austritt wird das Konto binnen Stunden, nicht Wochen, deaktiviert.
- Aktive Sitzungen werden beendet, geteilte Passwörter sofort geändert.
- Eine Vertretungsregel legt fest, wer offene Aufgaben übernimmt.
Profi-Tipp: Legen Sie für saisonale Aushilfen im Gastgewerbe von Anfang an ein Konto mit Ablaufdatum an. Dann muss niemand daran denken, es später zu deaktivieren, das System erledigt das automatisch.
Wie oft sollten Zugriffsprüfungen stattfinden?
Nicht jeder Zugriff verdient die gleiche Aufmerksamkeit. Privilegierte Konten, also solche mit Admin- oder Finanzrechten, tragen ein deutlich höheres Risiko als ein Standardkonto, das nur Dienstpläne einsieht.
Praktikerleitfäden und ISO-27001-orientierte Prozesse empfehlen deshalb eine gestaffelte Prüffrequenz: kritische, privilegierte Konten quartalsweise, alle übrigen Konten mindestens einmal jährlich. Für wachsende Unternehmen gilt ein vierteljährlicher Rhythmus generell als solider Standard, wachstumsstarke Systeme profitieren sogar von monatlichen Stichproben.
Jede Prüfung braucht eine nachvollziehbare Spur. Dazu gehören:
- Ein Protokoll, wer welche Rechte wann geprüft und bestätigt hat.
- Eine Liste aller Abweichungen zwischen Soll- und Ist-Zustand.
- Ein Nachweis, dass entdeckte Fehlrechte tatsächlich entzogen wurden.
Ohne diese Dokumentation nützt die schönste Prüfung im Ernstfall wenig, weder gegenüber einem Auditor noch gegenüber der eigenen Geschäftsführung.
Wer trägt welche Verantwortung bei Zugriffsrechten?
Ein Zugriffsrecht braucht immer drei Rollen, sonst wird es zur Grauzone. Die genehmigende Person entscheidet fachlich, ob ein Zugriff notwendig ist. Der Fachverantwortliche kennt die Prozesse dahinter und beurteilt, welches Rechtepaket passt. Der IT-Betrieb setzt die Entscheidung technisch um und dokumentiert sie im System.
Fehlt eine dieser Rollen, entscheidet am Ende oft niemand wirklich, und Rechte werden „mal eben schnell“ vergeben. Genau das führt laut BSI-Praxishinweisen zu unklaren Verantwortlichkeiten und schlecht nachvollziehbaren Änderungen im Umsetzungsleitfaden ORP.4.
- Genehmigende Person: entscheidet, ob ein Zugriff gerechtfertigt ist.
- Fachverantwortlicher: definiert, welches Rollenpaket zur Aufgabe passt.
- IT-Betrieb: setzt die Rechte technisch um und protokolliert die Änderung.
- Kontoinhaber: meldet Änderungen im eigenen Aufgabenbereich aktiv zurück.
Praktiker warnen zusätzlich vor zu vielen Administratorkonten pro Team. Zwei Verantwortliche pro Bereich reichen fast immer aus, mehr schafft nur verwaiste, niemandem mehr zugeordnete Zugriffe.
Was schreiben DSGVO und BDSG für Mitarbeiterzugriffe vor?
Personalakten sind der sensibelste Bereich in jedem Betrieb; hier greifen Zweckbindung und Datenminimierung besonders streng. Zugriff bekommt ausschließlich das HR-Personal, das die Daten für eine konkrete Aufgabe tatsächlich braucht, nicht die gesamte Personalabteilung pauschal.
Der BfDI zieht dabei klare Grenzen: Überwachungsmaßnahmen wie Protokollauswertungen dürfen nicht flächendeckend erfolgen, sondern nur anlassbezogen und verhältnismäßig. Einwilligungen von Mitarbeitern gelten in diesem Zusammenhang als heikle Rechtsgrundlage, weil ein Beschäftigungsverhältnis selten die nötige Freiwilligkeit bietet, wie Diskussionen zur digitalen Personalakte zeigen.
- Nur namentlich benannte HR-Verantwortliche erhalten Zugriff auf Personalakten.
- Jede Auswertung von Zugriffsprotokollen braucht einen dokumentierten Anlass.
- Einwilligungen ersetzen keine sauber begründete Rechtsgrundlage.
Wer eigene Dienstplan- oder HR-Software einführt, sollte diese Punkte vorab prüfen, mehr dazu in einem Beitrag zu datenschutzkonformen Dienstplanapps.
Welche Sofortmaßnahmen wirken in 30 und 90 Tagen?
Nicht alles muss sofort perfekt sein, aber ein paar Dinge sollten es sehr bald sein.
In den ersten 30 Tagen zählt vor allem Aufräumen:
- Inaktive Konten identifizieren und deaktivieren.
- Alle Administratorkonten inventarisieren und auf zwei pro Bereich reduzieren.
- Notfallzugänge prüfen und deren Nutzung protokollieren.
In den folgenden 90 Tagen geht es um Struktur: RBAC-Pakete für die wichtigsten Funktionen definieren, JML-Prozesse so weit wie möglich automatisieren und den ersten quartalsweisen Access Review terminieren. Parallel dazu braucht es klare Zuständigkeiten: Wer genehmigt, wer prüft, wer dokumentiert.
Profi-Tipp: Schulen Sie neue Führungskräfte direkt beim Onboarding zu Zugriffsrechten, nicht erst nach dem ersten Vorfall. Zehn Minuten Erklärung sparen später Stunden Fehlersuche.
Unsere Einschätzung: Was Gastronomiebetriebe bei Zugriffsrechten falsch machen
In kleinen Gastronomiebetrieben zeigt sich immer wieder dasselbe Muster: Weil das Team klein ist, bekommt fast jeder Vollzugriff, „der Überschaubarkeit halber“. Genau das ist Permission Inflation im Miniaturformat, und sie rächt sich beim ersten Personalwechsel. Wer Rollen von Anfang an klein hält, spart sich später viel Aufräumarbeit. Weiterführende Gedanken dazu finden sich im Beitrag zur Datenaufbewahrung für Mitarbeiterdaten in der Gastronomie.
So unterstützt ShiftPriority bei der Dienstplanung
ShiftPriority ist eine Software für Dienstplanung, Trinkgeldverteilung und Personalkosten in Restaurants, Cafés und Bars. Sie planen Schichten in der Monats-, Wochen- oder Tagesansicht als Entwurf und veröffentlichen sie erst, wenn alles passt; das Team erhält die Änderung per E-Mail und Push-Benachrichtigung. Verfügbarkeiten, Urlaubsanträge, Schichttausch und Vertretungen laufen über eine gemeinsame Anfragen-Funktion statt über Chatverläufe, und beim Planen prüft ShiftPriority Ruhezeiten, Höchstarbeitszeiten und Mindestlohn-Konflikte nach deutschem Recht. Die Oberfläche gibt es auf Deutsch und Englisch, gehostet wird in Frankfurt. Einen Überblick finden Sie auf der Seite zur Dienstplan-Software für die Gastronomie.
Dieser Artikel enthält allgemeine Informationen und ersetzt nicht die Beratung durch einen qualifizierten Anwalt. Wenden Sie sich an eine qualifizierte Rechtsfachperson zu Ihrer persönlichen Lage, bevor Sie auf Grundlage dieses Inhalts handeln.
Quellen
FAQ
Welche Zugriffsrechte gibt es für Mitarbeiter?
Grundsätzlich unterscheidet man zwischen Lese-, Schreib- und Administratorrechten auf Systeme, Daten oder physische Räume. In der Praxis werden diese meist zu Rollenpaketen gebündelt, etwa „Service Basis“ oder „Küchenleitung“, statt einzeln pro Person vergeben zu werden.
Wie weit darf mein Arbeitgeber mich kontrollieren?
Der Arbeitgeber darf Zugriffsrechte technisch nachverfolgen, Kontrollen müssen aber anlassbezogen und verhältnismäßig bleiben, flächendeckende Überwachung ohne konkreten Grund ist unzulässig. Der BfDI legt dafür klare Grenzen fest.
Welche Rechte haben Mitarbeiter beim Datenschutz?
Mitarbeiter haben ein Recht darauf, dass ihre Daten nur zweckgebunden verarbeitet und nur von wirklich zuständigen Personen eingesehen werden. Personalakten dürfen nicht pauschal der gesamten HR-Abteilung offenstehen, sondern nur namentlich benannten Verantwortlichen.
Darf ein Arbeitgeber auf den PC eines Mitarbeiters zugreifen?
Ja, wenn es betrieblich notwendig ist und dokumentiert wird, etwa bei IT-Wartung oder im Rahmen einer begründeten Prüfung. Eine grundlose, dauerhafte Überwachung des PCs verstößt dagegen gegen die Grundsätze der Zweckbindung und Datenminimierung.
Was kostet eine Software wie ShiftPriority für Zugriffsrechte im Team?
ShiftPriority bietet die Modelle Starter, Pro und Business, die Preise sind direkt auf der Produktseite einsehbar. Alle Modelle enthalten rollenbasierte Zugriffsrechte für die Trennung zwischen Admin- und Mitarbeiteransicht.
