Das Berechtigungsmanagement als Datenschutzrisiko

Der Ausgangspunkt ist ein schleichender Prozess: Mit jedem Rollen- oder Abteilungswechsel kommen neue Zugriffsrechte hinzu, die alten werden jedoch selten oder erst spät wieder entzogen. So sammeln sich über die Zeit Berechtigungen an, die im Hintergrund aktiv bleiben, obwohl die ursprüngliche Grundlage längst entfallen ist. Betroffen sind nicht nur personenbezogene Daten, sondern auch vertrauliche Geschäftsinformationen wie Verträge, Kalkulationen und Personaldaten – also genau jene Informationen, die in der Zeitwirtschaft, der Lohnabrechnung und der Personalakte zusammenlaufen.

Datenschutzrechtlich ist das Berechtigungsmanagement eine Kernmaßnahme. Nach Art. 32 DSGVO gehört es zu den technischen und organisatorischen Maßnahmen, mit denen ein angemessenes Schutzniveau sichergestellt wird. Die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO verlangt, dass die Angemessenheit der vergebenen Rechte dokumentiert wird – es reicht nicht, dass sie nur plausibel erscheint. Das Need-to-know-Prinzip und der Grundsatz der minimalen Rechtevergabe setzen die Datenminimierung und die Vertraulichkeit praktisch um und stützen zugleich die Pflicht der Beschäftigten, nur weisungsgemäß zu handeln.

Ein fehlendes oder veraltetes Berechtigungskonzept ist für sich genommen noch keine meldepflichtige Datenpanne, macht spätere Vorfälle aber deutlich wahrscheinlicher. Dabei handeln Mitarbeitende nur selten böswillig; häufig ist ihnen gar nicht bewusst, dass sie noch Zugriff auf Laufwerke, Postfächer oder Anwendungen haben, die sie längst nicht mehr benötigen. Zu den typischen Schwachstellen zählen Rollen- und Abteilungswechsel, bei denen neue Rechte vergeben, alte aber nicht entzogen werden; separate Konten für Fachanwendungen oder Cloud-Dienste, die übersehen werden; neue Anwendungen und Schnittstellen, die den Zugriff erweitern, ohne dass das Konzept aktualisiert wird; geteilte oder funktionsbezogene Konten, die eine Zurechnung einzelner Handlungen verhindern; Kollaborationslinks, die nach Projektende aktiv bleiben; sowie temporäre Vertretungen und externe Dienstleister, deren Rechte kein Enddatum haben.

Die Folgen können gravierend sein. Eine unbefugte Offenlegung – auch über automatisch generierte Zusammenfassungen aus Dokumenten – kann Meldepflichten nach Art. 33 und 34 DSGVO auslösen und Geschäftsgeheimnisse preisgeben. Besonders deutlich wird das Risiko im Zusammenspiel mit KI: Assistenten wie Microsoft 365 Copilot greifen auf alles zu, was der jeweilige Nutzer lesen darf. Sind die Rechte zu weit gefasst, stellen solche Werkzeuge Inhalte zusammen, die eine Person eigentlich nicht mehr sehen sollte – aus theoretisch vorhandenem wird praktisch nutzbarer Zugriff, und eine ungeprüfte Weitergabe der Ergebnisse kann die Offenlegung weiter ausdehnen.

KI-Agenten erhöhen den Einsatz zusätzlich, weil sie nicht nur lesen, sondern mehrstufige Aufgaben ausführen, andere Systeme aufrufen und Daten verändern können. Sie handeln mit den Rechten eines Nutzers oder einer Rolle; Berechtigungsfehler wirken sich dann auch auf das Schreiben und Ändern von Daten aus. Umso wichtiger ist ein gepflegtes Rechtemanagement, das nicht nur den Lesezugriff, sondern auch Schreib- und Änderungsrechte sauber begrenzt.

Als Konsequenz empfiehlt der Beitrag, klare Verantwortlichkeiten zuzuweisen und Prozesse zu dokumentieren, das Berechtigungsmanagement als unternehmensweite Daueraufgabe statt als einmalige Administrationsarbeit zu begreifen und sicherzustellen, dass neue Anwendungen, interne Rollenwechsel und Austritte jeweils eine Prüfung, Anpassung oder einen Entzug auslösen. Vor der Einführung von Tools wie Copilot sollte die bestehende Rechtestruktur überprüft werden – vor allem bei historisch gewachsenen Freigaben in SharePoint, OneDrive und Teams. Eine praxisnahe Bestandsaufnahme der tatsächlichen Zugriffe und ein regelmäßiger Überprüfungsprozess runden das ab.

Für Personalbüros ist die Botschaft eindeutig: Gerade weil Arbeitszeit-, Abwesenheits- und Lohndaten hochsensibel sind, darf der Kreis der Zugriffsberechtigten nicht unkontrolliert wachsen. Wer das Rechtekonzept mit den Prozessen für Einstellung, Versetzung und Austritt verzahnt, erfüllt nicht nur die DSGVO-Vorgaben, sondern schützt auch das Vertrauen der Beschäftigten in den verantwortungsvollen Umgang mit ihren Daten.