Rollen- und Rechtekonzept fürs ERP aufbauen

Rechte im ERP werden schnell unübersichtlich, wenn sie einzeln an Personen vergeben werden: Jede neue Aufgabe erzeugt ein neues Recht, und niemand sieht mehr, wer was darf. Das Gegenmittel ist ein Rollenkonzept, das Rechte an Aufgaben bindet statt an Personen. Die folgende Anleitung führt vom Tätigkeitsprofil über die Rolle zum Recht und liefert eine Rollenmatrix für fünf typische Funktionen. Die Anforderungen stammen aus dem BSI-IT-Grundschutz (Kompendium Edition 2023 und Umsetzungshinweise zu ORP.4); das ist eine Methode des BSI, kein Gesetz – sie bindet nur, wo Gesetz, Vertrag oder eine eigene Regelung darauf verweist.

Was Sie vorab brauchen

• die Liste der Funktionen, die das ERP nutzen (Einkauf, Vertrieb, Lager, Buchhaltung, Key User)
• je Funktion die Tätigkeiten, die im System ausgeführt werden: was angelegt, gebucht, geändert und freigegeben wird
• eine Person, die den Rollenzuschnitt entscheidet (Fachverantwortliche)
• eine Person, die die Rollen technisch anlegt (IT-Betrieb)
• die Funktionstrennungen, die in Ihrem Betrieb gelten, also welche Rechtepaare nicht in eine Hand gehören

Ohne die Tätigkeitsliste werden Rollen nach der Menüstruktur des Systems geformt, nicht nach der Arbeit.

Schritt für Schritt: vom Tätigkeitsprofil zur Rolle zum Recht

Die sechs Schritte folgen der Reihenfolge, in der die Festlegungen voneinander abhängen.

Schritt 1: Tätigkeitsprofile erfassen

Führen Sie je Funktion alle Tätigkeiten im ERP auf. Nicht die Person, sondern die Tätigkeit: „Einkaufsorder anlegen”, „Wareneingang buchen”, „Eingangsrechnung buchen”, „Zahlung freigeben”, „Lieferantenstamm anlegen”, „Bankdaten ändern”. Ergebnis: eine Tätigkeitsliste je Funktion. Sie ist die Grundlage für alles Weitere; ohne sie entstehen Rollen aus der Systemlandschaft statt aus der Arbeit.

Schritt 2: Tätigkeiten zu Rollen gruppieren

Gruppieren Sie Tätigkeiten, die immer zusammen vorkommen, zu einer Rolle. Die Rolle trägt den Namen der Funktion, nicht den Namen einer Person: „Einkauf”, „Vertrieb”, „Lager”, „Buchhaltung”, „Key User”. Nach den BSI-Umsetzungshinweisen sollten Rollen modular und in sich geschlossen definiert sein, damit sie beliebig kombinierbar bleiben; der Rollenzuschnitt wird auf Ebene der Fachverantwortlichen abgestimmt. Ergebnis: eine kleine Zahl von Rollen, keine Liste von Einzelrechten.

Schritt 3: Rechten zuordnen

Ordnen Sie jeder Rolle nur die Rechte zu, die für ihre Tätigkeiten nötig sind (Prinzip der geringsten Berechtigungen). Trennen Sie dabei drei Gruppen: operative Rechte (anlegen, erfassen), Buchungsrechte (Buchung ins Hauptbuch) und Stammdatenrechte (Artikel, Kunden, Lieferanten anlegen und ändern). Wenden Sie die Funktionstrennung an: unvereinbare Aufgaben – etwa operative und kontrollierende Funktionen – trennen Sie auf verschiedene Personen (ORP.1.A4). Ergebnis: eine Rollenmatrix mit Häkchen.

Schritt 4: Personen zuordnen

Ordnen Sie jede Person einer Rolle zu, nicht einzelnen Rechten. Einzige Ausnahme in diesem Konzept: das Bankdatenrecht, das einzeln vergeben wird (siehe Rollenmatrix). Jede Person hat ein eigenes Konto; gemeinsame Konten gibt es nicht. Braucht eine Person eine zweite Rolle, etwa als Vertretung, wird die zweite Rolle zugewiesen; die Rechte der anderen Person werden nicht kopiert. Ergebnis: eine Zuordnungsliste Person–Rolle.

Schritt 5: Rechtekonzept dokumentieren

Dokumentieren Sie die Rollen, ihre Rechte und die Zuordnung Person–Rolle. Nach der BSI-Methode (ORP.4.A3) muss diese Dokumentation regelmäßig mit dem tatsächlichen Stand der Rechtevergabe abgeglichen werden; der BSI-Umsetzungshinweis M3 empfiehlt mindestens alle sechs Monate. Ergebnis: eine Rollenmatrix, die als Dokumentation dient.

Schritt 6: Prüfen und anpassen

Prüfen Sie das Konzept, wenn sich Tätigkeiten ändern, wenn Personal wechselt und zusätzlich einmal im Jahr. Entfernen Sie nicht mehr benötigte Rechte (ORP.4.A2). Ergebnis: eine aktuelle Rollenmatrix.

Rollenmatrix: Einkauf, Vertrieb, Lager, Buchhaltung, Key User

Die Matrix zeigt eine Ausgangszuordnung für fünf Funktionen. Die Spalten trennen operative Rechte, Buchungsrechte und Stammdatenrechte. Ein Häkchen bedeutet, dass die Rolle das Recht trägt; ein Strich, dass sie es nicht trägt.

Rolle	Einkaufsorder anlegen	Wareneingang buchen	Eingangsrechnung buchen	Zahlung freigeben	Verkaufsorder anlegen	Lieferung buchen	Kundenstamm pflegen	Lieferantenstamm pflegen	Bankdaten ändern	Berichte lesen	System konfigurieren
Einkauf	✓	–	–	–	–	–	–	✓	–	✓	–
Vertrieb	–	–	–	–	✓	–	✓	–	–	✓	–
Lager	–	✓	–	–	–	✓	–	–	–	✓	–
Buchhaltung	–	–	✓	✓	–	–	–	–	–	✓	–
Key User	–	–	–	–	–	–	–	–	–	–	✓

Die Buchhaltung trägt in dieser Matrix sowohl die Buchung der Eingangsrechnung als auch die Zahlungsfreigabe. In einem kleinen Team, in dem keine zweite Person diese Rechte trennen kann, gehört dazu eine Ersatzkontrolle, die vor der Zahlung greift; die Paare und die Kontrollen stehen im Artikel Funktionstrennung im ERP. Das Recht, Bankdaten zu ändern, trägt keine Rolle; es wird einzeln vergeben und mit einer Freigabe durch eine zweite Person verbunden. Der Key User trägt keine operativen Rechte, sondern Konfigurationsrechte; er ändert das System, nicht die Geschäftsvorfälle.

Unterschied zur Kassenrolle

Eine Kassenrolle regelt den Kassenbetrieb: Kasse öffnen und schließen, Bon stornieren, Rabatt geben, Rückbuchung. In diesem Zuschnitt enthält die Kassenrolle keine Buchungsrechte ins Hauptbuch und keine Stammdatenrechte. Das ERP-Rollenkonzept umfasst beide Rechtegruppen, verteilt sie aber auf unterschiedliche Rollen: In der Matrix oben bucht die Buchhaltung ins Hauptbuch, Einkauf und Vertrieb pflegen die Stammdaten. Die Trennung von Buchungs- und Stammdatenrechten ist der Punkt, an dem ein Kassenkonzept allein nicht trägt.

So prüfen Sie das Ergebnis

Fünf Proben, die auch ein Dritter nachvollziehen kann:

• Rollenprobe: Gibt es für jede Funktion genau eine Rolle, und ist jede Rolle nach der Funktion benannt, nicht nach einer Person?
• Rechteprobe: Trägt jede Rolle nur die Rechte, die für ihre Tätigkeiten nötig sind, und keine darüber hinaus?
• Trennungsprobe: Führt keine Rolle unvereinbare Aufgaben aus und kontrolliert sie zugleich; sind die kritischen Rechtepaare getrennt oder durch eine Ersatzkontrolle gesichert?
• Kontenprobe: Hat jede Person ein eigenes Konto, und sind keine gemeinsamen Konten im Einsatz?
• Dokumentationsprobe: Steht die Zuordnung Person–Rolle in der Dokumentation, und wurde sie zuletzt mit dem tatsächlichen Stand abgeglichen?

Wenn etwas nicht klappt

Je Fall stehen Symptom, mögliche Ursache und Abhilfe nebeneinander.

Symptom	Mögliche Ursache	Abhilfe
Eine Person braucht ständig neue Einzelrechte	Rechte sind an Personen statt an Rollen vergeben	Tätigkeitsprofil prüfen und die Rechte in die passende Rolle verschieben
Zwei Abteilungen nennen verschiedene Rechte für dieselbe Aufgabe	Rollenzuschnitt wurde nicht abgestimmt	Fachverantwortliche einberufen und den Zuschnitt dokumentieren
Ein Konto kann bestellen, buchen und zahlen	Funktionstrennung fehlt	Rechte trennen oder eine Ersatzkontrolle vor der Zahlung einrichten
Nach einem Personalwechsel sind alte Rechte noch aktiv	Entzug wurde nicht durchgeführt	Rechte entfernen (ORP.4.A2) und die Dokumentation aktualisieren
Die Rollenliste wächst um Einzelrollen je Person	Rollen werden nach Personen statt nach Funktionen gebildet	Rollen zusammenfassen und nach Funktion benennen

Wann Sie Hilfe holen sollten

Holen Sie die IT oder den ERP-Betreuer dazu, wenn das System keine Rollen kennt, die Sie brauchen, wenn Rechte nur auf Kontenebene vergeben werden können oder wenn die Funktionstrennung technisch nicht abbildbar ist; das sind Änderungen am System, keine Rollenarbeit. Braucht eine Rolle Rechte, die über den Standard hinausgehen, dokumentieren Sie die Begründung (ORP.4.A2). Die Pflege der Konten bei Eintritt, Wechsel und Austritt beschreibt Benutzerverwaltung im ERP; was ein Berechtigungskonzept ist, erklärt Berechtigungskonzept.