Berechtigungskonzept für kleine Firmen: wer was sehen darf

Was in das Konzept gehört

Ein Berechtigungskonzept für eine kleine Firma passt auf zwei Seiten. Es nennt die Rollen im Betrieb, zum Beispiel Geschäftsführung, Buchhaltung, Vertrieb und externer IT-Dienstleister, und legt für jedes Programm, jeden Ordner und jedes Online-Konto fest, welche Rolle dort lesen, ändern oder verwalten darf. Dazu kommt, wer Rechte vergibt und wieder entzieht, was beim Eintritt, beim Wechsel der Aufgabe und beim Austritt passiert, welche Personen besondere Rechte haben, etwa Administratorrechte an den Rechnern, und wann das Ganze geprüft wird.

Der Maßstab steht im IT-Grundschutz des BSI, Baustein ORP.4, Anforderung A2: Kennungen und Berechtigungen dürfen nur nach dem tatsächlichen Bedarf für die Aufgabe vergeben werden, beim BSI heißt das Prinzip der geringsten Berechtigungen und Erforderlichkeitsprinzip (Least Privileges, Need-to-know). Eine Vorlage enthalten weder der Baustein noch die DSGVO. Für einen Betrieb mit fünf bis zwanzig Leuten schlagen wir eine Tabelle mit Rollen und Rechten und ein paar Sätze zu den Abläufen vor.

Was DSGVO und Aufsicht dazu sagen

Im deutschen Text der DSGVO haben wir das Wort „Berechtigungskonzept“ nicht gefunden. Die Anforderungen dahinter stehen in mehreren Artikeln:

• Art. 32 Abs. 1 lit. b: Verantwortliche müssen die Vertraulichkeit der Systeme und Dienste auf Dauer sicherstellen können, mit Maßnahmen, die dem Risiko angemessen sind.
• Art. 32 Abs. 4 und Art. 29: Wer im Betrieb Zugang zu personenbezogenen Daten hat, verarbeitet sie nur auf Anweisung des Verantwortlichen.
• Art. 25 Abs. 2: Der Verantwortliche stellt durch Voreinstellungen sicher, dass nur die Daten verarbeitet werden, die für den Zweck nötig sind, ausdrücklich auch mit Blick auf ihre Zugänglichkeit.
• Art. 5 Abs. 2: Der Verantwortliche muss die Einhaltung der Grundsätze nachweisen können. Für die Zugriffsrechte hilft dabei eine schriftliche Regel.

Die deutschen Aufsichtsbehörden führen im Standard-Datenschutzmodell, Version 3.1 (PDF), beschlossen von der Datenschutzkonferenz am 14.05.2024, als erste typische Maßnahme für Vertraulichkeit die „Festlegung eines Berechtigungs- und Rollenkonzeptes nach dem Erforderlichkeitsprinzip“ auf. Die IHK Region Stuttgart schreibt für Bewerberdaten, der Zugriff sei im Rahmen eines Berechtigungskonzepts auf die Personen zu beschränken, die über die Einstellung entscheiden, die Unterlagen gehörten nicht in einen allgemein zugänglichen Ordner und nicht per E-Mail an die Beteiligten.

Die Vorlage in sechs Teilen

1. Zuständigkeit

Wer entscheidet über Rechte (meist die Geschäftsführung), wer richtet sie technisch ein, wer vertritt. Das BSI verlangt in ORP.4.A2, dass Berechtigungen über separate administrative Rollen eingerichtet werden.

2. Rollen

3. Rechte je System

Für jedes Programm und jeden Ordner eine Zeile. Das BSI empfiehlt in ORP.4.A16 Standard-Rechteprofile, die den Aufgaben entsprechen, und für jedes System eine schriftliche Zugriffsregelung.

4. Abläufe

• Eintritt: Rechte nach der Rolle, am ersten Tag. Was dabei sonst einzurichten ist, steht in der Checkliste für neue Mitarbeiter.
• Mehr als der Standard: nur mit Begründung und Prüfung, so verlangt es ORP.4.A2.
• Wechsel der Aufgabe und Austritt: Nicht mehr benötigte Kennungen und Rechte werden entfernt (ebenfalls A2). Für den Austritt gibt es die Checkliste, wenn ein Mitarbeiter geht.
• Längere Abwesenheit: Laut ORP.4.A7 sollten Berechtigte vorübergehend gesperrt werden. Wer in dieser Zeit vertritt und worauf die Vertretung zugreift, regelt Urlaubs- und Krankheitsvertretung.

5. Besondere Rechte namentlich

Alle Konten mit weitreichenden Rechten stehen mit Namen im Konzept: Administratoren der Rechner und von Microsoft 365, Eigentümer und Administratoren im Tresor, wer Konten wiederherstellen kann und wer einen Notfallzugang hat. Nach ORP.4.A10 sollten diese Konten mit einer Mehr-Faktor-Anmeldung geschützt sein.

6. Prüfung

ORP.4.A3 verlangt, die Dokumentation regelmäßig mit dem tatsächlichen Stand abzugleichen und vor unberechtigtem Zugriff zu schützen. Wird sie elektronisch geführt, gehört sie laut BSI in die Datensicherung. Ein festes Intervall nennt das BSI nicht. Wir raten zu einer Durchsicht im Jahr und zu einem kurzen Abgleich nach jedem Austritt.

Admin-Rechte an den Rechnern

Arbeiten alle Mitarbeiter mit Administratorrechten, weil irgendwann ein Druckertreiber installiert werden musste, gehört das ins Konzept. Microsoft rät in der Dokumentation zu lokalen Konten (Stand 13.04.2026), die Gruppe der Administratoren klein zu halten, weil ihre Mitglieder vollen Zugriff auf das Gerät haben, und für Internet, E-Mail und Textverarbeitung ein Standardkonto zu nutzen. Das BSI verlangt in ORP.4.A1, nicht benötigte Standard-Administratorkennungen zu deaktivieren oder zu löschen.

Bevor Sie Adminrechte entziehen, klären Sie, wer künftig Programme installiert und Updates freigibt, die nach einem Administrator fragen. Sonst steht am nächsten Morgen die Buchhaltung still, und die Rechte kommen auf Zuruf zurück. Wie jeder Rechner ein eigenes Administratorkennwort bekommt, beschreibt Lokales Administratorkennwort auf Firmen-PCs. Zu den Administratoren in Microsoft 365: Microsoft 365: Admin-Konto und Notfallzugang.

Sammlungen im Tresor als Teil des Konzepts

Gemeinsame Zugänge zu Portalen, Lieferantenkonten und Geräten verteilt ein Passwort-Tresor auf Sammlungen. Jede Sammlung entspricht einer Zeile im Konzept: Sie hat einen Zweck, eine Liste von Personen und je Person ein Recht, also lesen, bearbeiten oder die Sammlung verwalten. Im Tresor von Passwortheld, der auf der Open-Source-Software Vaultwarden basiert, gelten dabei diese Rollen der Organisation:

Für das Konzept heißt das ehrlich: Eine Sammlung „nur Geschäftsführung“ sehen außer der Geschäftsführung alle Eigentümer und Administratoren. Das haben wir in einem Test-Tresor am 15.10.2026 nachgeprüft. Schreiben Sie deshalb in die Zeile dieser Sammlung „Geschäftsführung sowie alle Eigentümer und Administratoren“ und geben Sie diese beiden Rollen nur der Leitung. Der Büroleitung, die Kollegen zuweisen soll, reicht meist die Rolle Manager für ihre Sammlungen. Konten wiederherstellen kann sie damit nicht.

Die Einstellung „Passwörter verbergen“ gehört nicht als Schutz ins Konzept. Sie blendet das Passwort nur in den Apps aus, die Person erhält es technisch trotzdem und kann es mit etwas Aufwand herausfinden. Wer ein Passwort nicht kennen darf, bekommt die Sammlung nicht.

Wiederherstellung und Notfallzugang gehören in Teil 5

Die Kontowiederherstellung ist ein Recht der Rollen Eigentümer und Administrator. Wer sie nutzt, setzt das Master-Passwort eines Mitglieds zurück und kommt damit auch an dessen persönlichen Tresor. Zugangsmittel, die nur einer Person gehören dürfen, etwa die PIN einer Signaturkarte oder die Zugangsdaten zum Onlinebanking, gehören deshalb nach unserem Rat nicht in den Tresor der Firma, auch nicht in den persönlichen Bereich. Wie Mitarbeiter eigene Bankzugänge bekommen, steht unter Onlinebanking für Mitarbeiter.

Den Notfallzugang räumt in der Regel die Geschäftsführung als Eigentümerin der Organisation einer Vertrauensperson ein. Nach der Übernahme nutzt die Vertrauensperson das Konto der Eigentümerin, sieht alle Sammlungen und kann Konten wiederherstellen. Sie gehört also schon heute in Teil 5 des Konzepts, und sie sollte jemand sein, der die Zugänge in diesen Sammlungen auch nutzen darf. Den Ablauf beschreibt Notfallzugriff auf Firmenpasswörter. Bei Passwortheld schalten wir am Tresor die Zwei-Faktor-Pflicht für alle Mitarbeiter ein. Eigentümer und Administratoren richten den zweiten Faktor selbst ein, und ob sie das getan haben, prüfen Sie bei der jährlichen Durchsicht.

Beispiel: ein Übersetzungsbüro mit freien Mitarbeitern

Ein erfundener Fall: Ein Übersetzungsbüro hat sieben feste Leute und arbeitet regelmäßig mit freien Übersetzerinnen. Ein Kunde verlangt für einen Rahmenvertrag ein Berechtigungskonzept. Bisher kennen alle festen Kräfte die Zugänge zu den Kundenportalen, und die Büroleiterin ist auf ihrem Rechner Administratorin.

Die Inhaberin ist die einzige Eigentümerin im Tresor. Die Büroleiterin wird Managerin der Sammlungen „Büro“ und „Kundenportale“ und weist dort die Projektleute zu, die Sammlung „Geschäftsführung“ sieht sie nicht. Den Notfallzugang räumt die Inhaberin ihr trotzdem ein, und im Konzept steht dazu, dass die Büroleiterin nach einer Übernahme alle Sammlungen sieht. Der IT-Dienstleister bekommt ein eigenes Konto nur für die Sammlung „IT“. Freie Übersetzerinnen erhalten kein Konto. Braucht eine von ihnen einen einzelnen Portalzugang, bekommt sie ihn als sicheren Link mit Ablaufdatum. Am Rechner der Büroleiterin entfernt der Dienstleister die Administratorrechte, Installationen laufen künftig über ihn. Welche Zugänge ein Übersetzungsbüro sonst hat, zeigt die Seite für Übersetzungsbüros.

Mit Passwortheld umsetzen

Bei der Einrichtung legen wir die Organisation mit Sammlungen nach den Bereichen an, die Sie uns nennen. Der Server läuft auf Ihre Firma bei netcup, die Inhalte sind Ende-zu-Ende-verschlüsselt, Ihre Passwörter können wir nicht lesen. Einladen, Rechte vergeben und Konten sperren übernimmt der Verantwortliche in Ihrer Firma selbst. Das Konzept schreiben Sie oder Ihr Datenschutzbeauftragter.

Die Wartung kostet 16,99 € im Monat inkl. MwSt. bei 12 Monaten Mindestlaufzeit, ohne Kosten pro Nutzer und nur für Unternehmer. Dazu kommt die Servermiete bei netcup ab 3,69 € im Monat inkl. MwSt. Ohne das Backup-Paket für 7,99 € im Monat inkl. MwSt. sichern wir den Tresor nicht, Sie exportieren ihn dann selbst verschlüsselt. Hilfe im Alltag rechnen wir nach Aufwand ab, 74,99 € je Stunde inkl. MwSt., je angefangener Viertelstunde. Wie sich Ihre Rollen auf Sammlungen verteilen lassen, besprechen wir im kostenlosen Erstgespräch (15 Minuten).