Sechs Bereiche, ein durchgängiges Berechtigungskonzept
Arbeitsplatz, Server, Netzwerk, Cloud, Sicherheit und Automatisierung wirken in Haar erst dann zusammen, wenn dieselbe Rollenlogik überall gilt und jede Rechtevergabe schriftlich begründet ist.
Von München aus liegt Haar rund 13 km in östlicher Richtung. Der Ort wird vom Gesundheits- und Sozialwesen geprägt, ergänzt um Wohnbebauung und gemischtes Gewerbe. Aus dieser Struktur ergibt sich eine Anforderung, die den gesamten IT-Betrieb durchzieht: Besondere Kategorien personenbezogener Daten dürfen nur von genau den Personen erreichbar sein, die sie fachlich benötigen — und dieser Zustand muss jederzeit darstellbar sein. Wir setzen deshalb alle sechs Leistungsbereiche auf ein gemeinsames Rollenmodell auf, statt jedes System einzeln zu berechtigen. Ein Zugang, der im Dateisystem eingeschränkt ist, über eine Cloud-Freigabe aber wieder offensteht, ist kein eingeschränkter Zugang.
Eine Rolle, alle Systeme
Berechtigungen hängen an definierten Rollen und werden von dort in Arbeitsplatz, Fachanwendung, Ablage und Cloud-Dienst gespiegelt.
Zonen statt Flachnetz
Verwaltung, Fachbereiche, Technikgeräte und Gäste liegen in eigenen Netzsegmenten mit ausdrücklich freigegebenen Übergängen.
Eintritt und Austritt als Prozess
Wer kommt oder geht, löst eine festgelegte Abfolge aus, deren Abschluss dokumentiert wird — nicht eine Zuruf-Änderung.
Nachvollziehbarkeit im Regelbetrieb
Änderungen an Rechten laufen in eine auswertbare Aufzeichnung mit begrenzter, festgelegter Aufbewahrungsdauer.
Rollenmodell als gemeinsame Grundlage aller Bereiche
Bevor wir Technik auswählen, beschreiben wir die Tätigkeiten in Ihrem Haus als Rollen. Eine Rolle bündelt, was eine Funktion fachlich benötigt: bestimmte Ablagen, bestimmte Anwendungen, bestimmte Postfächer. Personen erhalten anschließend Rollen, keine Einzelrechte.
Diese Vorarbeit zahlt sich in jedem Folgeschritt aus: Ein Serverwechsel überträgt eine geprüfte Struktur statt gewachsener Einzelfälle, und eine Cloud-Anbindung übernimmt die bestehende Logik, statt eine zweite daneben aufzubauen.
- ✓Erhebung der Tätigkeiten und Zusammenfassung zu Rollen
- ✓Zuordnung von Ablagen, Anwendungen und Postfächern je Rolle
- ✓Personen erhalten ausschließlich Rollen, keine Einzelrechte
- ✓Abweichungen nur befristet und mit hinterlegter Begründung
Arbeitsplatz und Server: Trennung bis auf die Ablage
Am Endgerät setzen wir zentrale Vorgaben durch: verschlüsselte Datenträger, gesperrte lokale Administratorrechte, definierte Sperrzeiten und getrennte Profile auf gemeinsam genutzten Geräten. Ein Sammelkonto für mehrere Beschäftigte schließen wir aus, weil es jede spätere Zuordnung unmöglich macht.
Auf Serverseite entscheidet der Zuschnitt der Ablagestruktur, wie fein sich Rechte vergeben lassen. Wir schneiden Verzeichnisse deshalb entlang der Rollen, nicht entlang gewachsener Abteilungsnamen. Für den laufenden Betrieb greift die Betreuung unter IT-Support für KMU.
- ✓Verschlüsselung und zentrale Richtlinien auf allen Endgeräten
- ✓Getrennte Benutzerprofile statt geteilter Anmeldedaten
- ✓Verzeichnisstruktur entlang der Rollen zugeschnitten
- ✓Administrative Konten vom Alltagskonto getrennt
Netzwerk und Cloud ohne stille Umwege
Ein sauberes Rechtekonzept auf dem Dateiserver hilft wenig, wenn ein Ordner parallel über einen Cloud-Dienst geteilt wird. Wir prüfen deshalb systematisch, welche Freigabewege existieren, und begrenzen externe Freigaben auf ausgewählte Bereiche mit Ablaufdatum und benanntem Verantwortlichen.
Im Netz trennen wir Fachbereiche, Verwaltung, Technikgeräte und Besucherzugang in eigene Zonen. Übergänge zwischen den Zonen sind einzeln freigegeben und dokumentiert. Weitergehende Schutzmaßnahmen ordnen wir dem Bereich unter IT-Sicherheit zu.
- ✓Inventar aller vorhandenen Freigabe- und Synchronisationswege
- ✓Externe Freigaben befristet und mit benanntem Verantwortlichen
- ✓Eigene Netzzonen für Fachbereich, Verwaltung, Technik und Gäste
- ✓Jeder Zonenübergang einzeln freigegeben und schriftlich festgehalten
Ein- und Austritte als geschlossener Ablauf
Der häufigste Grund für zu weit gefasste Rechte ist kein Fehler in der Technik, sondern ein unvollständiger Personalwechsel. Wir hinterlegen daher je Rolle eine feste Abfolge: Was wird eingerichtet, was wird beim Wechsel entzogen, was wird beim Austritt gesperrt und wann werden Daten übergeben.
Jeder Durchlauf endet mit einer Bestätigung, offene Punkte bleiben bis zur Erledigung sichtbar. Damit lässt sich für jeden Zeitpunkt zeigen, wer welchen Zugang hatte und auf welcher Grundlage.
- ✓Feste Abfolge je Rolle für Eintritt, Wechsel und Austritt
- ✓Sofortige Sperrung aller Zugänge zum vereinbarten Stichtag
- ✓Geregelte Übergabe von Postfach und persönlichen Ablagen
- ✓Abschlussbestätigung als Nachweis über den erledigten Vorgang
Automatisierung und wiederkehrende Prüfung
Automatisierung setzen wir dort ein, wo sie Handarbeit ersetzt, die sonst fehleranfällig bleibt: Anlage von Konten nach Rollenvorlage, Entzug abgelaufener Sonderrechte, Erinnerungen an auslaufende Freigaben. Auswertende Verfahren einschließlich KI-gestützter Werkzeuge lassen wir nur auf Datenbestände zugreifen, deren Freigabe zuvor geklärt wurde.
Einmal jährlich vergleichen wir vergebene Rechte vollständig mit dem dokumentierten Sollzustand. Abweichungen werden benannt, bewertet und entweder korrigiert oder mit Begründung übernommen. Das Ergebnis ist eine Übersicht, die Ihre Leitung ohne technische Vorkenntnisse lesen kann.
- ✓Kontenanlage und Rechteentzug nach hinterlegten Vorlagen
- ✓Automatischer Ablauf befristeter Sonderfreigaben
- ✓Auswertende Werkzeuge nur auf zuvor freigegebenen Beständen
- ✓Jährlicher vollständiger Abgleich von Soll- und Ist-Rechten
Häufige Fragen
Mit einer Bestandsaufnahme, nicht mit dem Umbau. Wir lesen die tatsächlich vergebenen Rechte aus und stellen sie den Tätigkeiten gegenüber. Meist zeigt sich eine kleine Zahl von Ablagen, die deutlich zu breit freigegeben sind. Diese bereinigen wir zuerst, danach führen wir das Rollenmodell schrittweise ein.
So wenige wie möglich, so viele wie fachlich nötig. Erfahrungsgemäß liegt die Zahl im niedrigen zweistelligen Bereich. Zu feine Modelle werden nicht gepflegt und verfallen, zu grobe geben systematisch zu viel frei. Den Zuschnitt prüfen wir nach dem ersten Jahr gemeinsam mit Ihnen.
Das entscheiden Sie, nicht wir. Wir stellen den Ablauf bereit, in dem eine Anforderung erfasst, von einer benannten Stelle freigegeben und danach technisch umgesetzt wird. Ohne Freigabe wird nichts erweitert. Die fachliche Bewertung bleibt bei Ihrer Leitung und Ihrem Datenschutzbeauftragten.
Nur wenn man alles aufzeichnet. Wir begrenzen die Aufzeichnung auf die als schutzbedürftig eingestuften Bereiche und auf Ereignisse, die für spätere Fragen relevant sind. Umfang, Zweck und Aufbewahrungsdauer legen wir vorab schriftlich fest.
Ja. Bei rund 13 km Entfernung sind Termine je nach Verkehrslage gut planbar. Netz- und Serverarbeiten sowie die gemeinsame Durchsprache der Berechtigungsübersicht führen wir vor Ort durch, laufende Betreuung und Überwachung überwiegend aus der Ferne. Wartungsfenster richten wir nach Ihren betriebsarmen Zeiten aus.
Lass uns über dein Projekt sprechen
Kostenloses Erstgespräch & IT-Bestandsaufnahme – unverbindlich und ohne versteckte Kosten.