Berechtigungsanalyse der IT-Rechte in Verwaltungs- und Geschäftsanwendungen

​Von Hannes Hahn

 

 

Das jeweilige Berechtigungssystem in Fach-, eGovernmentund doppischen Finanzmanagement- bzw. kaufmännischen ERP-Anwendungen hat die Aufgabe, die fachlichen Rechte auf technischer Ebene so einzuräumen, dass die Anwender ihrer täglichen Aufgaben ohne Hürden nachkommen können. Das Berechtigungssystem stellt aber auch sicher, dass die Anwender gemäß den Verwaltungs- und Unternehmensvorgaben nur auf die für sie relevanten Daten und Funktionen Zugriff haben.

 

Das Berechtigungssystem ist jedoch oftmals historisch gewachsen bzw. unterliegt laufend Veränderungen. Zudem lauert bei Einführung von neuen Anwendungen die Gefahr, dass man zugunsten von Lauffähigkeit und geringer Supportlast die Rechte zu weit vergibt, um Fehler und Prozessstillstand zu vermeiden. Viele Anwender dürfen am Anfang sehr viel, jedoch werden die Rechte im weiteren Verlauf nicht wieder genommen. Ergebnisse unserer IT-Prüfungen zeigen, dass viele Anwender mit sogenannten Admin-Rechten ihrer täglichen Arbeit nachgehen. Diese Konflikte gehören regelmäßig überprüft und beseitigt.

 

Aber auch bei Wachstum oder Veränderungen in der Verwaltungs- und Unternehmensstruktur ist es sinnvoll, ein besonderes Augenmerk auf die Deckungsgleichheit von Rechten der Mitarbeiter/-innen in den Verwaltungs- und Geschäftsprozessen und den Rechten als Anwender im System zu legen.

 

Dazu empfiehlt sich eine regelmäßige Überprüfung des Berechtigungssystems auf IT-technischer Ebene!

 

Für Kommunen und Unternehmen gilt nicht nur das Eigeninteresse, sich einen Überblick über das bestehende Berechtigungssystem zu verschaffen. Hierzu bestehen auch gesetzliche Pflichten. Das Bilanzrechtsmodernisierungsgesetz (BilMoG) schreibt für Unternehmen eine Stärkung des internen Kontrollsystems (IKS) vor. Neben einem ordnungsgemäßen IKS gehört die Überwachung der vergebenen Berechtigungen sowie die Erfüllung der Anforderungen der Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme (GoB) dazu. Auch bei Kommunen gilt die Erfüllung der Anforderungen an die GoB. So verweisen regelmäßig die landesspezifischen Gemeindeordnungen oder Haushaltskassenverordnungen auf die Einhaltung der GoB (z.B. § 95 Abs. 1 Satz 2 GO NRW) und die Prüfungspflichten bei Einsatz von IT (z. B. § 103 Abs. 1 Satz 6 GO NRW).

 

Je nach zu prüfendem System müssen die Rechte zunächst ausgelesen werden. Dies ist in Abhängigkeit des Systems manchmal einfach und manchmal ist es komplex. So werden z.B. die Rechte in Microsoft Dynamics AX erst zu Laufzeit über den Kernel des Systems aufgebaut und dem Anwender wird der Zugriff erlaubt oder verwehrt. Man findet in AX keine Tabelle, die die Rechtevergabe abschließend vorhält und welche man „nur” auslesen muss, um sie prüfen zu können. Dagegen sind die Rechte in Microsoft Navision (die Basis der Anwendungen von Infoma und MPS) in einzelnen Tabellen abgelegt, die relativ aufwandsarm extrahiert werden können.

 

Rödl & Partner hat als Microsoft-Partner eine Routine entwickelt, diese Rechte z.B. aus AX auszulesen. Ähnliche Routinen liegen auch für andere Systeme wie Microsoft Navision, SAP oder dem Microsoft Active-Directory vor.

 

In der Regel werden in den IT-Systemen Rechte nicht direkt an einzelne Anwender vergeben, sondern über Berechtigungsgruppen organisiert. In diesen Berechtigungsgruppen werden die einzelnen Rechte verankert (z.B. in einem ERP-System die Leserecht für Sachkonten, Schreibrechte für Rechnungen, etc.) und den einzelnen Anwendern über Mitgliedschaft zugewiesen. 

 

Durch diesen Sachverhalt können im Verlauf der Zeit eine Vielzahl von Berechtigungsgruppen unterschiedlichsten Zuschnitts entstehen. Manche Gruppen werden ordnungsgemäß funktional entwickelt. Manche Gruppen werden der Einfachheit halber anwenderspezifisch eingerichtet. Dies kann zu einem sehr unsystematischen Verbund verschiedener Berechtigungsgruppen und zu einem Chaos auf Anwenderebene führen. 

 

Die Gefahr besteht, dass der Überblick über die Rechte in den Gruppen verloren geht. Dies führt zu nicht gewollten Rechte- Kombinationen bei den Anwendern, wenn diese Mitglied in mehreren Gruppen sind. Daher ist es notwendig, dass die Rechte aus den Gruppen pro Anwender verschnitten und analysiert werden. 

 

Die anwenderbezogene Analyse dieser Rechtevergabe ist oftmals im System sehr umständlich und wird daher nur selten bis gar nicht gemacht. Durch die von uns entwickelte Routine ist diese Analyse aufwandsärmer umzusetzen.

 

 

Diese Mengenanalyse dient als Basis für einen Abgleich mit der in der Verwaltung bzw. im Unternehmen definierten Funktionstrennung. Das Ergebnis der Analyse wird mit dem Organigramm bzw. den Organisationsrichtlinien verglichen.

 

Danach werden Konflikte innerhalb der Rechtevergabe analysiert. Bei der Konfliktanalyse wird davon ausgegangen, dass bestimmte Rechte mit anderen Rechten im System nicht vereinbar sind. Um eine wirksame Trennung von Funktionen (Vier-Augen- Prinzip) in der Verwaltung bzw. im Unternehmen umsetzen zu können, muss diese auch innerhalb des Berechtigungssystems der Anwendungen umgesetzt sein.

 

 

Dieser Basisumfang kann und sollte um für die Kommunen oder die Unternehmen spezifische interne Kontrollen und Funktionstrennungen angereichert werden. Diese Methode der Konfliktanalyse setzt eine genaue Kenntnis des Rechtesystems voraus, um die gewünschte Funktionstrennung im System analysieren zu können. Über die regelmäßige IT-Prüfung bei unseren Mandanten hat Rödl & Partner viele Anwendungssysteme analysiert und diese der Routinenentwicklung zugeführt.

 

Das Analyseergebnis dient als Ausgangsgrundlage für die Ableitung des Handlungsbedarfs. Wir kennen drei Stufen: In einer ersten Stufe müssen den Anwendern kurzfristig die Rechte entzogen werden, die definitiv nicht zum Modell einer ordnungsgemäßen Funktionstrennung passen. Dazu zählen z.B. Entwicklerrechte für die Geschäftsleitung oder Admin-Rechte auf Sachbearbeitungsebene. 

 

In einer weiteren Stufe muss geklärt werden, wie mit Rechtekonflikten umzugehen ist. Dabei kann eine Lösung sein, dass idealerweise der Rechtekonflikt durch Rechteentzug gelöst wird. Es kann aber auch sein, dass die Anwenderrechte so belassen werden und der Konflikt durch eine organisatorische Kontrolle kompensiert wird.

 

In jedem Falle ist in einer dritten Stufe ein Berechtigungskonzept aufzubauen bzw. ein bestehendes anzupassen. Dieses Berechtigungskonzept ist im Idealfall regelmäßig (jährlich) über die obige Analyse zu verifizieren.