Ein ERP-Berechtigungskonzept legt fest, welche Nutzer in welcher Rolle auf welche Daten und Funktionen eines ERP-Systems zugreifen dürfen. Es folgt dem Prinzip der minimalen Rechtevergabe („Least Privilege“): Jeder Account erhält nur die Rechte, die für seine Aufgabe tatsächlich nötig sind – nicht mehr. Ohne ein dokumentiertes Konzept wachsen Zugriffsrechte in der Praxis fast immer unkontrolliert, weil neue Rechte meist schneller vergeben als wieder entzogen werden.
Warum ein Berechtigungskonzept im ERP unverzichtbar ist
ERP-Systeme bündeln sensible Daten aus Finanzbuchhaltung, Einkauf, Lager, Vertrieb und Personalwesen an einer einzigen Stelle. Ein falsch vergebenes Recht kann hier deutlich mehr Schaden anrichten als in einer isolierten Einzelanwendung, weil ein Konto im Zweifel gleich mehrere Unternehmensbereiche betrifft. Das Berechtigungskonzept ergänzt damit das Datensicherheits- und Backup-Konzept um die Frage, wer überhaupt an die Daten herankommt, die gesichert werden. Wie relevant unzureichend verwaltete Zugriffsrechte für die IT-Sicherheit insgesamt sind, zeigen aktuelle Zahlen:
- Laut der Bitkom-Studie „Wirtschaftsschutz 2026“ (1.003 befragte Unternehmen ab 10 Beschäftigten, Erhebung KW 16–23/2026, veröffentlicht 8.9.2026) waren unter den von Sicherheitsvorfällen betroffenen Unternehmen 19 % vorsätzlich handelnde (ehemalige) Beschäftigte und 23 % unabsichtlich handelnde (ehemalige) Beschäftigte an den Vorfällen beteiligt.
- Bei den Unternehmen mit nachweisbaren Schäden durch Cyberangriffe nannten 55 % ein unzureichendes Identitäts- und Zugriffsmanagement als begünstigenden Faktor (ebenfalls Bitkom Wirtschaftsschutz 2026).
- Eine ältere, aber häufig zitierte globale Erhebung von Varonis (Data Risk Report, veröffentlicht 2019, über 700 untersuchte Unternehmen aus rund 30 Ländern) fand, dass bei 53 % der Unternehmen alle Mitarbeiter auf mehr als 1.000 sensible Dateien zugreifen konnten und durchschnittlich 22 % aller Ordner unternehmensweit offen zugänglich waren. Die Zahl ist nicht ERP-spezifisch und mittlerweile älter, beschreibt aber ein Strukturproblem – gewachsene, ungepflegte Zugriffsrechte –, das sich in ERP-Systemen genauso wiederfindet.
Rollenbasierte Rechtevergabe (RBAC) statt Einzelfreigaben
In der Praxis haben sich zwei Grundmodelle etabliert. Bei der einzelfallbasierten Vergabe bekommt jeder Nutzer individuell zusammengestellte Rechte – flexibel, aber bei wachsender Nutzerzahl kaum noch nachvollziehbar und fehleranfällig. Beim rollenbasierten Modell (Role Based Access Control, RBAC) werden Rechte zunächst zu Rollen gebündelt (z. B. „Einkäufer Sachbearbeitung“, „Lagerleitung“, „Finanzbuchhaltung Lesezugriff“) und diese Rollen dann den Nutzern zugewiesen. Eine Übersicht weiterer ERP-Fachbegriffe findet sich im Glossar. Das reduziert den Pflegeaufwand erheblich, weil eine Rechteänderung nur einmal an der Rolle vorgenommen werden muss und nicht an jedem einzelnen Konto. Die meisten gängigen ERP-Systeme unterstützen RBAC nativ; bei der Einführung lohnt es sich, Rollen entlang der tatsächlichen Arbeitsabläufe und nicht entlang der Organigramm-Hierarchie zu schneiden.
Funktionstrennung (Segregation of Duties)
Ein zentrales Element jedes ERP-Berechtigungskonzepts ist die Funktionstrennung, international als Segregation of Duties (SoD) bezeichnet. Sie verhindert, dass eine einzelne Person einen kompletten kritischen Geschäftsprozess allein abwickeln kann – etwa eine Bestellung anlegen, den Wareneingang buchen und anschließend die Rechnung freigeben. Solche Kombinationen gelten als klassisches SoD-Risiko, weil sie Betrug oder Fehler ohne Vier-Augen-Kontrolle ermöglichen. Typische Konfliktpaare, die ein Berechtigungskonzept trennen sollte, sind: Lieferantenstammdaten anlegen vs. Zahlungsläufe freigeben, Bestellungen auslösen vs. Rechnungen prüfen, sowie Benutzerkonten anlegen vs. eigene Berechtigungen ausweiten. Größere ERP-Projekte prüfen solche Konfliktmatrizen inzwischen häufig mit spezialisierter Analyse-Software, kleinere Unternehmen kommen meist auch mit einer gepflegten Excel-Matrix der kritischen Kombinationen aus. Wer sein ERP-System ohnehin gegen einen Zertifizierungsstandard wie ISO 27001, BSI C5 oder SOC 2 prüfen lässt, findet Funktionstrennung und Zugriffskontrollen dort als festen Prüfpunkt wieder.
Least Privilege und regelmäßige Rezertifizierung
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt im IT-Grundschutz-Baustein ORP.4 „Identitäts- und Berechtigungsmanagement“ genau diese Anforderungen als Standard für Organisationen jeder Größe: Rechte sollen nach dem Minimalprinzip vergeben, Vergabe und Entzug dokumentiert und bestehende Berechtigungen in festen Abständen überprüft werden. In der Praxis bedeutet das eine Rezertifizierung: Vorgesetzte oder Systemverantwortliche bestätigen regelmäßig (meist halb- oder jährlich), dass die Rechte ihrer Mitarbeiter noch zur aktuellen Aufgabe passen. Gerade bei Abteilungswechseln, Beförderungen oder dem Ausscheiden von Mitarbeitern bleiben sonst erfahrungsgemäß „Altrechte“ bestehen, die niemand mehr aktiv nutzt, aber auch niemand entzieht. Relevant wird das Thema auch mit Blick auf externe Dienstleister: Wer im Cloud-ERP Subunternehmer einsetzt oder im Auftragsverarbeitungsvertrag (AVV) Zugriffsrechte regelt, sollte diese Vorgaben im eigenen Berechtigungskonzept konsistent abbilden.
Typische Fehler bei ERP-Berechtigungskonzepten
- Generische Admin-Rollen für den Testbetrieb, die nach dem Go-Live nie wieder eingeschränkt werden.
- Fehlende Deaktivierung von Konten ausgeschiedener Mitarbeiter oder externer Dienstleister nach Projektende.
- Rollen 1:1 aus dem Altsystem übernommen, ohne zu prüfen, ob sie zu den Prozessen im neuen ERP noch passen.
- Keine dokumentierte Freigabe für Rechtevergaben, sodass im Nachhinein nicht mehr nachvollziehbar ist, wer eine Berechtigung wann genehmigt hat.
- Technische Service-Accounts für Schnittstellen zu Drittsystemen mit weit mehr Rechten, als die jeweilige Integration tatsächlich benötigt.
Das Wichtigste in Kürze
- Ein ERP-Berechtigungskonzept regelt nach dem Minimalprinzip, wer auf welche Daten und Funktionen zugreifen darf.
- Rollenbasierte Rechtevergabe (RBAC) reduziert den Pflegeaufwand gegenüber Einzelfreigaben erheblich.
- Funktionstrennung (Segregation of Duties) verhindert, dass eine Person kritische Prozesse allein und ohne Kontrolle abwickeln kann.
- Das BSI empfiehlt im Baustein ORP.4 eine regelmäßige Rezertifizierung bestehender Zugriffsrechte.
- Laut Bitkom (2026) nennen 55 % der Unternehmen mit Cyberschäden unzureichendes Zugriffsmanagement als Mitursache.
Häufige Fragen zum ERP-Berechtigungskonzept
Was gehört in ein ERP-Berechtigungskonzept?
Mindestens eine Übersicht aller Rollen, die zugeordneten Rechte je Modul/Funktion, die Konfliktmatrix für Funktionstrennung, den Prozess für Beantragung und Freigabe neuer Rechte sowie den Turnus für die Rezertifizierung.
Wer ist für das Berechtigungskonzept verantwortlich?
In der Regel die IT-Abteilung gemeinsam mit den Fachbereichsleitungen, die den tatsächlichen Rechtebedarf ihrer Teams am besten einschätzen können. Bei größeren Projekten übernimmt häufig ein eigener Rollen- oder Berechtigungsverantwortlicher die Koordination.
Wie oft sollten Zugriffsrechte überprüft werden?
Üblich sind halb- oder jährliche Rezertifizierungen, ergänzt um anlassbezogene Prüfungen bei Abteilungswechseln, Beförderungen oder dem Ausscheiden von Mitarbeitern.
Was ist der Unterschied zwischen Berechtigungskonzept und Rollenkonzept?
Das Rollenkonzept beschreibt, wie Rechte zu Rollen gebündelt werden (das „Wie“). Das Berechtigungskonzept ist der übergeordnete Rahmen, der zusätzlich Prozesse, Verantwortlichkeiten und Kontrollmechanismen wie die Funktionstrennung festlegt (das „Wie“ plus das „Wer darf was ändern“).
Gilt ein Berechtigungskonzept auch für kleine Unternehmen?
Ja. Der Umfang kann deutlich schlanker ausfallen als in einem Konzern, aber auch bei wenigen Mitarbeitern verhindert eine schriftlich fixierte Rollenzuordnung, dass Zugriffsrechte unbemerkt wachsen.
Meine Einschätzung: Ein Berechtigungskonzept wirkt im ERP-Projekt oft wie ein lästiger Nebenschauplatz neben Datenmigration und Prozessdesign – dabei ist es eines der wenigen Themen, die sich nach dem Go-Live kaum noch nachträglich sauber aufräumen lassen, wenn sie am Anfang vernachlässigt werden. Wer Rollen und Funktionstrennung schon in der Einführungsphase dokumentiert, erspart sich Jahre später eine aufwendige Bereinigung gewachsener Altrechte.
