Aufgabenteilung und Zugriffsebenen

1) Ziele und Grundsätze

• Abschaffung der alleinigen Kontrolle kritischer Vorgänge (Geld/PII/Compliance),
• Verringerung des Risikos von Betrug/Fehlern,
• Sicherstellung der Überprüfbarkeit für Regulierungsbehörden und interne Audits.

Prinzipien: Zero Trust· Least Privilege· Need-to-Know· SoD (4-Augen)· Traceability· Revocability (schneller Rückruf).

2) Datenklassifizierung und Zugriffsebenen

3) Rechtemodell: RBAC + ABAC

RBAC: Domänenrollen (Support, VIP, Zahlungen, AML, KYC, FRM, BI, DevOps, DPO, Legal).
ABAC: Kontextattribute (Umgebung, Geographie, Datenklasse, Gerät/MDM, Zeit, KYC-Ebene, Zweck des Zugriffs „Zweck“, Geräterisiko).

Beispiel ABAC-Bedingung: Ein BI-Analyst kann „events _“ nur ohne PII, nur aus dem Unternehmensnetzwerk/MDM, werktags 08: 00-21: 00 Uhr lesen, wenn ein aktives Privacy-Training vorliegt.

4) SoD - Matrix inkompatibler Funktionen

5) Zugriffsebenen und -typen

Nur lesen/maskiert Lesen: Standard für BI/Support.
Scoped Write: Änderungen innerhalb des Service/Reglements (z.B. Eingabe von Fallnotizen).
Privilegierter Admin: nur über PAM (Passwortsafe, Session Proxy, Session Record, Secret Rotation).
API/Service Accounts: Minimale Copes, separate Schlüssel per Integration, mTLS.

6) JIT и break-glass

JIT (Just-in-Time): vorübergehende Erhöhung der Rechte (15-120 min) für ein bestimmtes Ticket, automatischer Widerruf, obligatorische „Purpose“.
Break-glass: Notfallzugang mit MFA + zweiter Bestätigung, Sitzungsaufzeichnung, Security + DPO Post-Review, automatische Erstellung eines Vorfalls bei Verstößen.

7) Prozesse (SOP)

7. 1 Zugriff anfordern/ändern (IDM/ITSM)

1. Bewerbung mit 'purpose', Laufzeit und Dateneigentümer.
2. SoD/Datenklasse/Gerichtsbarkeit Autoprüfung.
3. Domain Owner Approval + Security (für Restricted +).
4. Ausstellung eines JIT/permanenten Zugangs (minimaler Scope).
5. Eintragung in das Rechteregister (Revisionsdatum, SLA des Widerrufs).

7. 2 Re-Zertifizierung der Rechte

Vierteljährlich bestätigen die Eigentümer die Rechte der Gruppen/Nutzer.
Automatische Rücknahme ungenutzter Rechte (> 30/60 Tage).

7. 3 Datenexport

Nur über zugelassene Vitrinen/Pipelines; Standardmaskierung; weiße Listen der Adressaten/Formate; Signatur/Hash; Entladeprotokoll.

8) Kontrolle der Anbieter/Partner

Individuelle B2B-Tenanten, minimale API-Scopes, allow-list IP, Zeitfenster.
DPA/SLA: Zugriffsprotokolle, Aufbewahrungsfristen, Geographie, Vorfälle, Subprozessoren.
Offboarding: Schlüsselrückruf, Löschbestätigung, Schließungsakt.

9) Integration mit Sicherheit und Compliance

Audit trails: `READ_PII`, `EXPORT_DATA`, `ROLE_UPDATE`, `PAYMENT_APPROVE`, `BREAK_GLASS`.
SIEM/SOAR: Warnungen für anomale Volumina/Zugang ohne' purpose '/Fenster verlassen/geo.
DSGVO/AML/PCI: Need-to-Know, DSAR-Kompatibilität, Zahlungsumfangssegregation, WORM für Zeitschriften.

10) Beispielrichtlinien (Fragmente)

10. 1 VIP Manager Politik

Maskierte Profilansicht, Exportverbot, JIT zur KYC-Einzelansicht über Ticket.

10. 2 Richtlinien für Marketing-Analysten

Nur Aggregate ohne PII; Zugriff bei Vorliegen einer Einwilligung (CMP-Flag), von einem MDM-Gerät aus, während der Geschäftszeiten.

10. 3 Pseudo-YAML ABAC

yaml policy: read_transactions_masked subject: role:bi_analyst resource: dataset:tx_
condition:
data_class: in [Confidential]
network: in [corp_vpn, office_mdm]
time: 08:00-21:00 workdays purpose: required effect: allow masking: on logging: audit_access + fields_scope

11) RACI

12) Metriken und KRIs/KPIs

Coverage ABAC: ≥ 95% der kritischen Sets unter Attributregeln.
JIT-Rate: ≥ 80% der Rechteerhöhungen gehen als JIT.
Offboarding TTR: Widerruf des Zugangs ≤ 15 Minuten ab dem Zeitpunkt der Kündigung/Deaktivierung.
Abnormale Zugriffe ohne' purpose': = 0 (KRI).
Quarterly recertification: 100% der Rollen/Gruppen sind bestätigt.
Exportkonformität: 100% der Exporte sind signiert/gebunden.

13) Checklisten

13. 1 Vor der Erteilung des Zugangs

• Defined „purpose“, deadline, data owner
• Überprüfung der SoD/Jurisdiktionen/Datenklasse bestanden
• Minimum scope + Masking enthalten
• MFA/MDM/Netzbedingungen erfüllt
• Protokolle und Revisionsdatum eingerichtet

13. 2 Vierteljährliche Prüfung

• Gruppen/Rollen mit der Organisationsstruktur vergleichen
• Nicht genutzte Rechte widerrufen
• Überprüfen Sie Break-Glass und große Exporte
• Schulung bestätigen (Datenschutz/Sicherheit)

14) Typische Szenarien und Maßnahmen

A) Ingenieur benötigt temporären Zugriff auf prod-DB

JIT 30-60 min, aufgezeichnete Sitzung über PAM, Post-Revue, CAPA bei Verstößen.

B) Neuer Affiliate bittet um Abladen der Spieler

Nur Aggregate/Anonymisierung; wenn PII ein Vertrag, eine Rechtsgrundlage, eine weiße Feldliste, eine Zeitschrift/Unterschrift, eine begrenzte Referenzdauer ist.

C) VIP-Manager möchte KYC-Dokumente sehen

Verbot des direkten Zugangs; Anfrage über AML/KYC, Einzelausgabe über JIT, vollständige Feldprotokolle.

15) Fahrplan für die Umsetzung

Woche 1-2: System-/Dateninventar, Klassifizierung, Basis-RBAC-Matrix, primäre SoD-Tabelle.
Woche 3-4: Einführung von ABAC (Medium/Geo/Klasse/MDM), JIT und Break-Glass, PAM-Launch, Exportprotokolle.
Monat 2: CUS/Payment Perimeter Segmentierung, separate Schlüssel/KMS, SOAR-Warnungen für SoD/ABAC Verstöße.
Monat 3 +: vierteljährliche Re-Zertifizierungen, Attributerweiterung (Geräterisiko/Zeit), Maskierungsautomatisierung, regelmäßige Tabletop-Übungen.

TL; DR

Robustes Zugriffsmodell = Datenklassifizierung → RBAC + ABAC → SoD mit 4-eyes → JIT/PAM und hartes Audit → regelmäßige Re-Zertifizierung und Exportkontrolle. Dies verringert die Wahrscheinlichkeit von Missbrauch und beschleunigt die Durchführung von Audits/regulatorischen Prüfungen.