Berechtigungskonzept (Wer im System was darf)

Berechtigungskonzept ist die schriftliche Regelung, die jeder Rolle im ERP- oder Warenwirtschaftssystem die erlaubten Daten, Belege und Funktionen zuordnet und den Weg beschreibt, auf dem eine Person eine Rolle erhält, wechselt und wieder abgibt. Gemeint ist die Regelung, nicht die technische Rollenverwaltung im System.

Wozu ein Berechtigungskonzept dient

Es bündelt Einzelrechte in Rollen statt Einzelrechte je Person. Es hält fest, wer welche Rolle zuweisen darf, welche Aufgaben unvereinbar sind und wie Rechte bei Eintritt, Aufgabenwechsel und Austritt angepasst werden. Nach dem IT-Grundschutz des BSI dürfen Rechte nur nach tatsächlichem Bedarf vergeben werden (Prinzip der geringsten Berechtigung, ORP.4.A2); die zugelassenen Kennungen und Rechteprofile sind zu dokumentieren und regelmäßig mit dem tatsächlichen Stand der Rechtevergabe abzugleichen (ORP.4.A3). Die Abläufe für Eintritt und Austritt beschreibt die Anleitung Benutzerverwaltung im ERP näher.

Beispiel: Rollenmatrix mit sechs Rollen

Die Tabelle zeigt für sechs Rollen, welche der vier Schritte Bestellung, Wareneingang, Rechnungsbuchung und Zahlungsfreigabe eine Rolle ausführen darf und mit welcher anderen Rolle sie nicht in derselben Person liegen darf. “Nein” heißt: kein Recht in dieser Rolle. Die Angaben sind ein Beispiel für einen Handelsbetrieb, keine Vorgabe aus einer Norm.

Rolle	Bestellung	Wareneingang	Rechnungsbuchung	Zahlungsfreigabe	Nicht in derselben Person wie
Einkauf	ja	nein	nein	nein	Lager, Zahlungsverkehr
Lager	nein	ja	nein	nein	Einkauf, Kreditorenbuchhaltung
Kreditorenbuchhaltung	nein	nein	ja	nein	Lager, Zahlungsverkehr
Zahlungsverkehr	nein	nein	nein	ja	Einkauf, Kreditorenbuchhaltung
Geschäftsführung	nein	nein	nein	ja	Einkauf, Kreditorenbuchhaltung
Key User und IT-Administration	nein	nein	nein	nein	–

Vier Kombinationen sind unvereinbar, weil eine ausführende und eine kontrollierende Funktion zusammenfallen: Bestellung mit Wareneingang, Bestellung mit Zahlungsfreigabe, Wareneingang mit Rechnungsbuchung und Rechnungsbuchung mit Zahlungsfreigabe. Wer bestellt und den Wareneingang bucht, kann eine nicht gelieferte Ware als geliefert erfassen; wer die Rechnung bucht und die Zahlung freigibt, kontrolliert sich selbst. Der Key User hat in diesem Beispiel keine Buchungsrechte: Wer Rollen pflegt, soll nicht selbst buchen. Die Matrix im Detail und Ersatzkontrollen für kleine Teams stehen unter Funktionstrennung im ERP.

Rechtsgrundlage je Land

Deutschland: Die GoBD (BMF-Schreiben vom 28. November 2019, Rz. 100) verlangen für die Ordnungsvorschriften des § 146 AO Kontrollen und nennen als Beispiele “Zugangs- und Zugriffsberechtigungskontrollen auf Basis entsprechender Zugangs- und Zugriffsberechtigungskonzepte” und Funktionstrennungen; die Ausgestaltung richtet sich nach Größe, Organisation und eingesetztem DV-System. Der IT-Grundschutz des BSI ist eine Methode, kein Gesetz; er bindet, soweit Gesetz, Vertrag oder eine eigene Regelung darauf verweisen. ORP.4.A4 verlangt, unvereinbare Aufgaben und Funktionen durch das Berechtigungsmanagement zu trennen, ORP.1.A4 dasselbe für Vertretungen.

Österreich: § 131 Abs. 1 BAO verlangt Bücher, die einem sachverständigen Dritten in angemessener Zeit einen Überblick über die Geschäftsvorfälle vermitteln und einzelne Vorgänge in ihrer Entstehung und Abwicklung verfolgen lassen. Werden zur Führung von Büchern und Aufzeichnungen oder bei der Erfassung der Geschäftsvorfälle Datenträger verwendet, sollen Eintragungen und Aufzeichnungen nicht so verändert werden können, dass der ursprüngliche Inhalt nicht mehr ersichtlich ist; die vollständige, richtige und lückenlose Erfassung soll insbesondere bei der Losungsermittlung mit elektronischem Aufzeichnungssystem durch Protokollierung der Datenerfassung und nachträglicher Änderungen überprüfbar sein (§ 131 Abs. 1 Z 6 lit. b BAO, eine Soll-Vorschrift, Fassung in Kraft seit 1. Jänner 2026). Eine Vorschrift, die ein Berechtigungskonzept ausdrücklich verlangt, habe ich in § 131 BAO nicht gefunden.

Schweiz: Art. 957a Abs. 2 OR verlangt unter anderem die vollständige, wahrheitsgetreue Erfassung der Geschäftsvorfälle und die Nachprüfbarkeit (Fassung in Kraft seit 1. Januar 2013). Bei einer ordentlichen Revision prüft die Revisionsstelle nach Art. 728a Abs. 1 Ziff. 3 OR, ob ein internes Kontrollsystem existiert. Die Zuordnung einer Buchung zu einer Person leistet der Audit Trail.

Standard: Die ISO/IEC 27001:2022 führt im Anhang A unter A.5.15 Zugangssteuerung, A.8.2 privilegierte Zugangsrechte und A.8.3 Informationszugangsbeschränkung; das BSI ordnet diese Maßnahmen dem Baustein ORP.4 zu. Der Standard bindet nicht durch Gesetz, sondern nur durch Vertrag oder eine freiwillige Zertifizierung.

Nicht zu verwechseln mit

• Authentisierungskonzept: regelt, wie sich eine Person anmeldet, nicht was sie danach darf (ORP.4.A12).
• Rollenkonzept: ordnet Rechte den Rollen zu; das Berechtigungskonzept umfasst zusätzlich, wer Rechte vergibt und wie sie geprüft werden. Zum Aufbau siehe Rollen- und Rechtekonzept.
• Funktionstrennung: die Regel, welche Aufgaben unvereinbar sind; sie ist ein Bestandteil des Berechtigungskonzepts.
• Internes Kontrollsystem: der größere Rahmen, in den das Berechtigungskonzept gehört (siehe IKS).
• Verzeichnisdienst: das technische Werkzeug für Kennungen, nicht die Regelung selbst.