Zugriffsrechte und Benutzerrollen im digitalen Vertragsmanagement
Digitale Vertragsdatenbanken und CAFM-Systeme enthalten Informationen mit sehr unterschiedlichem Schutzbedarf. Technische Objektleiter benötigen Zugriff auf Leistungsbeschreibungen und Anlageninformationen, der Einkauf auf Preise und Vertragslaufzeiten, die Rechtsabteilung auf Vertragsklauseln und Nachträge. Externe Dienstleister wiederum benötigen regelmäßig nur einen begrenzten Ausschnitt der für ihre Leistung erforderlichen Informationen.
Ein professionelles Berechtigungsmodell stellt deshalb sicher, dass jede Person genau diejenigen Informationen und Funktionen nutzen kann, die sie für ihre Aufgabe benötigt. Zugriffsrechte sollten nicht historisch wachsen oder individuell „auf Zuruf“ vergeben werden.
Zugriffsrechte und Benutzerrollen im Vertragsmanagement
Für größere FM-Organisationen bietet sich ein rollenbasiertes Berechtigungsmodell an. FM-Connect ordnet Role-Based Access Control bereits als besonders geeignet für bereichsübergreifende Vertragsprozesse zwischen Facility Management, Einkauf, Finanzen, Recht, Technik und Management ein.
Benutzerrolle
Typische Berechtigungen
Vertragsadministration
Stammdaten und Dokumente pflegen
Vertragsmanager
Verträge steuern, Fristen und Änderungen bearbeiten
Facility Management
Leistungsumfang und operative Vertragsinformationen lesen
Einkauf
Preise, Laufzeiten und Vergabeinformationen bearbeiten
Controlling
Kosten- und Auswertungsdaten lesen
Legal / Compliance
Rechtliche Dokumente und Nachträge prüfen
Technische Fachverantwortliche
Technische Anlagen und Leistungsanforderungen einsehen
Externe Dienstleister
Nur freigegebene vertrags- und leistungsbezogene Informationen
Least Privilege als Grundprinzip
Berechtigungen sollten nach dem Least-Privilege-Prinzip vergeben werden: Nutzer erhalten nur diejenigen Rechte, die für ihre aktuelle Aufgabe erforderlich sind. Der BSI-Grundschutz benennt dieses Prinzip ausdrücklich im Identitäts- und Berechtigungsmanagement.
Dabei sollte zwischen verschiedenen Rechten unterschieden werden:
Lesen,
Anlegen,
Bearbeiten,
Freigeben,
Löschen,
Exportieren,
Berechtigungen verwalten,
vertrauliche Dokumente einsehen.
Besonders sensible kaufmännische, rechtliche oder sicherheitsbezogene Inhalte sollten gesondert geschützt werden. Auch die FM-Connect-Systematik empfiehlt rollenbasierte Zugriffsrechte und eine Trennung sensibler kaufmännischer beziehungsweise rechtlicher Inhalte von operativ benötigten Leistungsinformationen.
Berechtigungen über einen geregelten Lebenszyklus führen
Zugriffsrechte benötigen einen vollständigen Prozess:
Gerade beim Offboarding müssen Zugänge zeitnah deaktiviert werden. Nicht mehr benötigte Rechte sollten nicht dauerhaft bestehen bleiben.
Kritische Rechte regelmäßig rezertifizieren
Mindestens für weitreichende oder sensible Zugriffe empfiehlt sich eine periodische Berechtigungsrezertifizierung. Dabei bestätigt der jeweilige Rollen- oder Datenverantwortliche, ob die Berechtigung weiterhin erforderlich ist.
Zu prüfen sind insbesondere:
Administratorrechte,
Zugriff auf Vertragswerte und Preisblätter,
vertrauliche Vertragsanlagen,
Exportmöglichkeiten größerer Datenbestände,
Freigabe- und Änderungsrechte,
Zugänge externer Dienstleister.
Funktionstrennung berücksichtigen
Bei kritischen Vertragsprozessen sollte eine Person möglichst nicht den gesamten Vorgang allein kontrollieren können. Beispielsweise kann sinnvoll sein:
Damit werden Fehler und unzulässige Veränderungen erschwert.
Zugriffe nachvollziehbar protokollieren
Bei besonders schützenswerten Informationen sollte nachvollziehbar sein, wer wesentliche Änderungen durchgeführt oder Freigaben erteilt hat. Die Vertragsdatenbank sollte daher Änderungs- und Freigabehistorien unterstützen.
Ein belastbares Berechtigungsmanagement folgt damit der Logik:
So werden Zugriffsrechte und Benutzerrollen zu einem wesentlichen Bestandteil professioneller digitaler FM-Governance. Sie schaffen gleichzeitig Arbeitsfähigkeit, Vertraulichkeit und nachvollziehbare Verantwortung, ohne berechtigte Nutzer durch unnötig komplizierte Zugriffsbeschränkungen zu behindern.
