Der Administrator muss nicht alles sehen: Einrichtung und Fachdaten trennen

Die Kollegin aus der IT soll das neue Fachverfahren für die Unterbringung einrichten. Sie legt Standorte an, Wohnungen und Zimmer, pflegt die Mailvorlagen, vergibt Rollen an das Sozialamt. Das dauert ein paar Tage, und in diesen Tagen hat sie Zugriff auf alles, was im System steht: Namen, Geburtsdaten, Aufenthaltsstatus, Atteste, die Religion der Bewohnerinnen und Bewohner. Sie hat nie danach gefragt. Es ergab sich, weil die Rolle "Administrator" nun einmal alles darf.

So ist es in vielen Verwaltungen, und zwar nicht nur bei der Unterbringung. Wer die Terminvergabe einrichtet, sieht, wer zur Schuldnerberatung kommt. Wer das Ticketsystem pflegt, liest die Meldungen mit. Das ist selten böse Absicht und fast immer ein Konstruktionsfehler.

Warum "Admin darf alles" so verbreitet ist

Die Regel stammt aus einer Zeit, in der ein Verfahren von zwei oder drei Personen betreut wurde, die ohnehin alles machten. Eine Rolle mit allen Rechten war bequem: Sie funktioniert immer, niemand muss überlegen, welches Recht fehlt, und kein Anruf endet mit "Ich sehe da nichts".

Mit jeder neuen Fachanwendung ist diese Bequemlichkeit teurer geworden. Die Rolle, die ursprünglich für die Technik gedacht war, öffnet heute Sozialdaten, Gesundheitsangaben und Vorgänge, die nur eine Sachbearbeiterin kennen sollte. Und sie liegt meist bei genau den Personen, die fachlich gar nichts mit diesen Daten zu tun haben.

Was die DSGVO dazu sagt

Das Prinzip ist nicht neu, es hat nur selten Folgen für die Rollenmaske.

Datenminimierung. Nach Art. 5 Abs. 1 lit. c DSGVO dürfen personenbezogene Daten nur verarbeitet werden, soweit es für den Zweck nötig ist. Ein Zugriff, den niemand für seine Aufgabe braucht, ist nicht nötig.

Datenschutz durch Voreinstellung. Art. 25 Abs. 2 DSGVO verlangt, dass technische Voreinstellungen nur die Daten zugänglich machen, die für den jeweiligen Zweck erforderlich sind. Eine Administratorrolle, die ab Werk jede Akte öffnet, ist das Gegenteil davon.

Weisungsgebundener Zugriff. Nach Art. 32 Abs. 4 DSGVO muss der Verantwortliche sicherstellen, dass Beschäftigte personenbezogene Daten nur auf seine Anweisung verarbeiten. Ein Zugriff, der sich aus der Technik ergibt statt aus einer Aufgabe, erfüllt das nicht.

Besondere Kategorien. Gesundheit, Religion oder ethnische Herkunft fallen unter Art. 9 DSGVO. Gerade dort sollte der Kreis der Personen, die Zugang haben, klein und begründet sein.

Dazu kommt der IT-Grundschutz des BSI: Der Baustein ORP.4 (Identitäts- und Berechtigungsmanagement) beschreibt dasselbe als "Need-to-know" und Funktionstrennung.

Zwei Arten von Rechten

Der Schlüssel liegt in einer einfachen Unterscheidung, die in den meisten Rollenmasken fehlt.

Einrichtungsrechte regeln, wie das Verfahren arbeitet: Standorte, Räume, Öffnungszeiten, Terminraster, Mailvorlagen, Benutzer und Rollen, Schnittstellen. Wer sie ausübt, braucht keinen einzigen Namen eines Bürgers zu sehen.

Fachrechte öffnen die Vorgänge selbst: die Akte einer Person, den Termin mit Name und Anliegen, die Belegung einer Unterkunft, die Meldung eines Bürgers. Sie gehören zu den Personen, die mit diesen Vorgängen arbeiten.

Eine Administratorrolle, die nur Einrichtungsrechte trägt, kann das Verfahren vollständig betreiben. Was sie nicht kann, ist in den Akten lesen — und genau das ist der Zweck.

Die Grenzfälle

Die Trennung ist in der Tabelle einfach und im Alltag an einigen Stellen knifflig. Diese Punkte lohnen einen zweiten Blick:

• Belegung ohne Namen. Wer Wohnungen verwaltet, muss wissen, ob ein Bett frei ist, aber nicht, wer darin schläft. "Belegt" ohne Namen genügt für die Einrichtung.
• Testmails. Eine Mailvorlage, die zum Ausprobieren mit einem echten Vorgang befüllt wird, verrät diesen Vorgang. Testen geht auch mit Beispieldaten.
• Statistiken. Zahlen über hundert Termine sind unbedenklich. Eine Auswertung, in der eine Zeile genau eine Person beschreibt, ist es nicht.
• Anzeigen und Displays. Wer einschalten darf, dass ein Aufrufmonitor Namen zeigt, entscheidet über Fachdaten, auch wenn der Schalter in den Einstellungen liegt.
• Mails an selbst eingetragene Adressen. Darf die Einrichtung eine Empfängeradresse für Benachrichtigungen eintragen, kann sie sich die Vorgänge selbst zuschicken.

Keiner dieser Punkte ist ein Grund, die Trennung aufzugeben. Aber jeder ist ein Grund, sie nicht nur in der Rollenmaske, sondern auch in den Dialogen, Mails und Schaltern durchzuhalten.

Vergabe mit vier Augen

Eine Trennung, die der Administrator mit zwei Klicks aufheben kann, ist keine. Deshalb gehören zwei Regeln dazu:

Niemand gibt sich selbst Fachrechte. Braucht ein Administrator tatsächlich Zugriff auf Akten, weil er auch fachlich arbeitet, bekommt er eine zusätzliche Fachrolle — und die vergibt ihm eine andere Person.

Weitergeben kann nur, wer es selbst hat. Ein Fachrecht in eine Rolle legen oder eine Rolle mit Fachrechten vergeben darf nur, wer dieses Recht selbst trägt. Sonst ließe sich die Sperre über einen Umweg umgehen: eine neue Rolle anlegen, das Recht hineinlegen, sich die Rolle geben.

Zwei Administratoren könnten sich gegenseitig Fachrollen geben. Das ist kein Fehler des Konzepts, sondern seine Grenze: Es macht den Zugriff sichtbar und nachvollziehbar, es verhindert keine Absprache.

Und wenn es brennt?

Es gibt Situationen, in denen jemand ohne Fachrolle schnell an einen Vorgang muss: ein Fehler, der nur an einem bestimmten Datensatz auftritt, eine Datenschutzauskunft, die ansteht, während die zuständige Kollegin krank ist.

Dafür braucht es einen Notfallzugang, keinen Dauerzugang. Er sollte drei Eigenschaften haben: Er wird protokolliert, er wird begründet, und er endet wieder. Bei externen Dienstleistern gehört er zusätzlich in den Vertrag zur Auftragsverarbeitung. Wer die Protokolle dieser Zugriffe einmal im Quartal durchsieht, weiß, ob der Notfall die Ausnahme geblieben ist.

Womit man anfängt

1. Inventur. Wer trägt in welchem Verfahren die Administratorrolle? Die Liste ist oft länger als erwartet, weil Rollen aus der Einführungsphase nie zurückgenommen wurden.
2. Bedarf klären. Für jede dieser Personen eine Frage: Arbeitet sie fachlich mit den Vorgängen, oder richtet sie nur ein?
3. Fachrollen getrennt vergeben. Wer fachlich arbeitet, bekommt eine zusätzliche Fachrolle — von jemand anderem. Wer nur einrichtet, bekommt keine.
4. Grenzfälle prüfen. Testmails, Statistiken, Displays, Empfängeradressen: Wo öffnet eine Einstellung doch einen Blick auf Fachdaten?
5. Datenschutzbeauftragte einbeziehen. Das neue Konzept gehört ins Verzeichnis der Verarbeitungstätigkeiten, und es ist eine gute Gelegenheit, das Berechtigungskonzept überhaupt einmal schriftlich zu haben.

Häufige Fragen

**Wir sind eine kleine Verwaltung, dieselbe Person richtet ein und bearbeitet. Bringt das dann etwas?** Ja, auch wenn beide Rollen bei derselben Person landen. Der Unterschied ist, dass die Fachrolle bewusst vergeben und dokumentiert ist, statt sich aus der Technik zu ergeben. Wechselt die Person oder kommt eine Vertretung, ist klar, was sie braucht und was nicht.

Ist das nicht ein Zeichen von Misstrauen gegenüber der IT? Eher das Gegenteil. Wer keine Akten sehen kann, kann auch nicht in Verdacht geraten, sie gelesen zu haben. Die Trennung schützt die Administratoren mindestens so sehr wie die Bürgerinnen und Bürger.

Was ist mit dem Zugriff auf Server und Datenbank? Das Rollenkonzept regelt den Zugriff über die Anwendung. Wer Zugang zum Server hat, kann technisch mehr. Dafür gelten eigene Maßnahmen: wenige Konten, protokollierte Anmeldungen, Verschlüsselung besonders schutzwürdiger Angaben. Beides ergänzt sich, keines ersetzt das andere.

Und externe Dienstleister? Für sie gilt dasselbe Prinzip, nur strenger. Ein Dienstleister, der das Verfahren betreibt, braucht in aller Regel keinen Zugriff auf Fachdaten. Wo er ihn im Einzelfall doch braucht, gehört das in den Vertrag zur Auftragsverarbeitung und ins Protokoll.