Zum Inhalt springen
0621 877 55 990
Notfall
DAVINCI Rechenzentrum

Berechtigungskonzept und Funktionstrennung: der Beleg, nach dem jeder Prüfer zuerst fragt

Wer darf was, wer hat das entschieden, wann wurde es zuletzt geprüft – drei Fragen, die Wirtschaftsprüfer, Betriebsprüfer, Kundenauditoren und das BSI gleichermaßen stellen. In den meisten Häusern liegt die Antwort im Verzeichnisdienst, aber nicht auf Papier. Wie ein Berechtigungskonzept aussieht, das ein Prüfer akzeptiert, und wie es gepflegt wird.

0621 877 55 990 · rund um die Uhr, 365 Tage im Jahr
Arbeitsplatz mit zwei Monitoren und einer ProzessübersichtKI-generiertes Bild

Was Ihr Haus vorlegen muss

Wirtschaftsprüfer, Finanzamt, Kunden und BSI verlangen dieselben Belege – gebaut werden sie einmal.

1Wie viele Arbeitsplätze hat Ihr Unternehmen?
2In welcher Branche?
3Welche Software setzen Sie ein?

Erscheint nach der Branche.

Drei Angaben genügen – Sie sehen sofort, was bei Ihnen trägt.

Es gibt einen Beleg, nach dem jeder der vier Prüfer zuerst fragt, und es ist derselbe: das Berechtigungskonzept. Der Wirtschaftsprüfer will wissen, wer buchen und wer freigeben darf, weil daran hängt, ob die Zahlen manipulierbar sind. Die GoBD nennen Zugriffsberechtigungskonzepte in Rz. 110 als organisatorischen Weg zur Unveränderbarkeit. Der Kundenauditor nach TISAX oder ISO 27001 fragt nach Zugriffssteuerung als Kernkontrolle. Und § 30 Abs. 2 Nr. 9 BSIG verlangt von NIS2-Einrichtungen Konzepte für die Zugriffskontrolle.

Und es ist zugleich der Beleg, der in mittelständischen Häusern am seltensten vorliegt – nicht, weil die Rechte nicht geregelt wären, sondern weil die Regelung im Verzeichnisdienst steckt und nirgends sonst. Ein Prüfer akzeptiert keinen Bildschirm. Er akzeptiert ein Dokument, das sagt, wer was dürfen soll, mit Datum und Freigabe – und eine Liste, die zeigt, dass es so ist.

Fünf Prinzipien, die ein Prüfer sucht

Nicht alle stehen in einem Gesetz; alle stehen in jedem Prüfungsleitfaden, und alle lassen sich mit Bordmitteln umsetzen.

  • Rollen statt PersonenRechte werden an Rollen vergeben – Buchhaltung, Einkauf, Vertrieb, Administration –, Personen bekommen Rollen. Wer wechselt, wechselt die Rolle; wer geht, verliert sie. Ein Konzept, das Rechte je Person aufzählt, ist nach dem ersten Personalwechsel veraltet.
  • FunktionstrennungWer einen Lieferanten anlegt, darf keine Zahlung freigeben; wer bucht, darf die Buchung nicht ohne Spur ändern. Wo das Haus zu klein für vier Augen ist, ersetzt eine nachträgliche Kontrolle durch die Leitung die Trennung – und das muss im Konzept stehen.
  • Persönliche AdministratorkontenEin geteiltes Admin-Konto ist die häufigste Feststellung überhaupt. Jeder Administrator hat ein eigenes privilegiertes Konto, getrennt vom Alltagskonto, und die Nutzung wird protokolliert. Das Standard-Administratorkonto wird nicht im Alltag verwendet.
  • Austritt am selben TagDer Austrittsprozess der Personalabteilung erreicht die IT, bevor der letzte Arbeitstag endet. Nachweis: ein vierteljährlicher Abgleich der Kontenliste gegen die Personalliste, mit Datum und Ergebnis.
  • RezertifizierungEinmal im Jahr bestätigt jeder Fachverantwortliche, dass die Rechte seiner Rolle noch stimmen; einmal im Quartal werden die privilegierten Konten geprüft. Ein Konzept ohne Rezertifizierung beschreibt den Stand seiner Erstellung.

Gliederung eines Berechtigungskonzepts, das ein Prüfer liest

Acht bis zwölf Seiten genügen. Entscheidend sind Datum, Freigabe und die Liste im Anhang.

AbschnittInhaltQuelle
1. Geltungsbereich und VerantwortungWelche Systeme, wer verantwortet das Konzept, wer gibt es frei (Geschäftsführung), Datum, VersionGeschäftsführung
2. RollenJe Rolle: Zweck, Systeme, Rechte in Worten (lesen, buchen, freigeben, verwalten)Fachabteilungen
3. FunktionstrennungWelche Rollen eine Person nicht gleichzeitig haben darf; Ausnahmen mit kompensierender KontrolleGeschäftsführung, Buchhaltung
4. Privilegierte KontenWer Administrator ist, auf welchen Systemen, mit welchem Konto; wie die Nutzung protokolliert wirdIT oder Rechenzentrum
5. Vergabe, Änderung, EntzugWer beantragt, wer genehmigt, wer setzt um; Austrittsprozess; FristenPersonal, IT
6. RezertifizierungRhythmus, Verantwortliche, Form des NachweisesGeschäftsführung
Anhang A: RechtelisteExport aus dem Verzeichnisdienst mit Datum: Konto, Person, Rollen, letzte AnmeldungIT oder Rechenzentrum – das liefern wir
Anhang B: AbgleichProtokoll des letzten Abgleichs Konten gegen PersonallisteIT oder Rechenzentrum – das liefern wir

Datenschutz und Prüfung verlangen dasselbe

Das Berechtigungskonzept ist zugleich die technisch-organisatorische Maßnahme, die Artikel 32 DSGVO für den Zugriff auf personenbezogene Daten verlangt. Wer es für den Wirtschaftsprüfer schreibt, hat es für den Datenschutzbeauftragten mitgeschrieben – und umgekehrt. Es lohnt sich deshalb, ein Dokument zu führen, nicht zwei, und beide Leser im Geltungsbereich zu nennen.

Für NIS2-Einrichtungen kommt § 30 Abs. 2 Nr. 9 BSIG hinzu: Konzepte für die Zugriffskontrolle und das Management von Anlagen sind einer der zehn Pflichtbereiche, und Nr. 10 verlangt Mehrfaktor-Authentifizierung. Beides gehört in Abschnitt 4 und 5 des Konzepts. Ein Haus, das die NIS2-Checkliste abgearbeitet hat, hat dieses Dokument bereits – es muss es nur dem Prüfer vorlegen.

Häufige Fragen

Wir sind zwölf Leute, jeder macht alles – wie soll da Funktionstrennung gehen?
Sie geht nicht vollständig, und das darf im Konzept stehen. Wo eine Person anlegt und freigibt, ersetzt eine nachträgliche Kontrolle die Trennung: Die Geschäftsführung sieht monatlich die neuen Lieferanten und die Zahlungen über einem Betrag durch und zeichnet ab. Das ist eine kompensierende Kontrolle, und Prüfer akzeptieren sie – wenn sie dokumentiert und nachweislich durchgeführt wird.
Reicht ein Export aus dem Active Directory als Berechtigungskonzept?
Nein. Der Export zeigt, was ist; das Konzept sagt, was sein soll – und wer das entschieden hat. Ein Prüfer vergleicht beides. Ohne das Konzept kann er nicht beurteilen, ob der Zustand richtig ist; ohne den Export kann er nicht prüfen, ob das Konzept umgesetzt ist. Der Export ist Anhang A.
Wie oft muss rezertifiziert werden?
Kein Gesetz nennt einen Rhythmus. Üblich und von Prüfern erwartet: jährlich alle Rollen durch die Fachverantwortlichen, vierteljährlich die privilegierten Konten, und bei jedem Austritt sofort. Was zählt, ist der Nachweis – ein Protokoll mit Datum, nicht die Absicht.
Was ist mit Dienstleistern, die Zugang zu unseren Systemen haben?
Sie stehen im Konzept wie Beschäftigte: eigenes Konto je Person, nicht je Firma; Rechte nach Rolle; Entzug, wenn der Auftrag endet. Für Fernwartung: Zugang nur auf Anforderung, nicht dauerhaft. Das ist zugleich die Anforderung an die Lieferkette, die § 30 Abs. 2 Nr. 4 BSIG stellt – und die Frage, die ein Kundenauditor Ihnen stellt.

Quellen und Nachweise

  1. GoBD im Amtlichen AO-Handbuch 2024, Anhang 64 – Rz. 110 (Zugriffsberechtigungskonzepte) · Bundesministerium der Finanzenamtlich
  2. § 30 BSIG – Risikomanagementmaßnahmen, Absatz 2 Nummer 4, 9 und 10 · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich
  3. Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Artikel 32 – Sicherheit der Verarbeitung · Amtsblatt der Europäischen Unionamtlich
  4. § 317 HGB – Gegenstand und Umfang der Prüfung · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich

Das gehört dazu

WirtschaftsprüferDer Wirtschaftsprüfer prüft IT nicht als IT, sondern als Grundlage der Zahlen: Wer darf buchen, wer darf ändern, läuft die Sicherung, wer hat Administratorrechte. Die vier Felder, die typischen Feststellungen – und warum eine Feststellung ein Termin für die Geschäftsführung ist.Ansehen →
VerfahrensdokumentationFür jedes DV-System muss eine Verfahrensdokumentation vorhanden sein, aus der Inhalt, Aufbau, Ablauf und Ergebnisse vollständig und schlüssig ersichtlich sind – so steht es in Rz. 151 der GoBD. Was hinein muss, wie sie gegliedert ist, wer welchen Teil schreibt, und warum sie fehlt, obwohl alles läuft.Ansehen →
GoBD-konforme IT„GoBD-konform“ ist keine Eigenschaft einer Software, sondern eines Verfahrens. Drei Dinge muss die Technik dafür leisten: Buchungen und Belege unveränderbar halten, acht bis zehn Jahre lesbar aufbewahren und dem Prüfer auf drei Wegen zugänglich machen. Was das für Server, Archiv und Sicherung bedeutet – mit Randnummern.Ansehen →
TISAXWer Automobilhersteller beliefert, wird nach TISAX gefragt – einem Prüfverfahren der ENX Association auf Basis des VDA-ISA-Katalogs. Was dahintersteckt, wie lange ein Label gilt, was ein Zulieferer mit 80 Beschäftigten technisch braucht und was davon aus dem Rechenzentrum kommt. Die Prüfung selbst machen zugelassene Prüfdienstleister – nicht wir.Ansehen →
ISO 27001ISO/IEC 27001 zertifiziert ein Managementsystem, nicht eine Technik – aber ohne die Technik besteht kein Audit. Was ein Zertifikat ist, wie lange es gilt, wie das BSI den Weg über den IT-Grundschutz beschreibt, und welche Maßnahmen der Auditor im Betrieb der Systeme prüft. Wir sind nicht zertifiziert und sagen, was das für Sie bedeutet.Ansehen →
ISAE 3402 / PS 951Wenn Buchhaltung, Server oder Archiv bei einem Dienstleister laufen, muss Ihr Wirtschaftsprüfer dessen Kontrollen beurteilen. Entweder prüft er selbst – oder er liest einen Bericht, den ein anderer Prüfer über den Dienstleister erstellt hat: nach ISAE 3402 international, nach IDW PS 951 in Deutschland. Was darin steht, wie man ihn liest, was Typ 1 von Typ 2 unterscheidet – und warum wir ehrlich sagen, dass wir keinen haben.Ansehen →
DORASeit dem 17. Januar 2025 gilt die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Sie verpflichtet Finanzunternehmen – und reicht ihre Pflichten an jeden IT-Dienstleister weiter, der für sie arbeitet. Was ein Dienstleister dann vertraglich zusagen und nachweisen muss, und wo die Grenze zu Rechtsberatung liegt.Ansehen →
NachweismappeDer Nachweiskatalog dieses Bereichs als Arbeitsliste: je Beleg, was er enthält, wer ihn liefert, in welchem Rhythmus er erneuert wird und welcher Prüfer in welcher Formulierung danach fragt. Wer die Mappe führt, bereitet keine Prüfung mehr vor – er zieht sie aus dem Schrank.Ansehen →
Prüfung bestehenVier Prüfer, ein Nachweiskatalog: Wer die Buchführung prüft, die Steuer, die Lieferkette oder die Sicherheit, verlangt am Ende dieselben acht Belege aus der IT. Einmal gebaut, viermal vorgelegt. Diese Seiten sagen, was jeder Prüfer sehen will, was technisch dahintersteht und was davon aus dem Rechenzentrum kommt.Ansehen →

Rechteliste mit Stand – aus dem Betrieb

Für Systeme, die wir betreiben, liefern wir die Rechteliste mit Datum, die Liste der privilegierten Konten und den vierteljährlichen Abgleich gegen die Personalliste. Das Konzept selbst – wer was dürfen soll – ist Ihre Entscheidung; wir bringen die Vorlage mit.

Verfahrensdokumentation gliedern