Das Berechtigungsmanagement als Datenschutzrisiko

Ein unzureichendes Berechtigungsmanagement gehört zu den unterschätzten Risiken in Unternehmen. Zugriffsrechte wachsen mit jedem Rollenwechsel, werden selten oder nur spät entzogen und wirken so im Hintergrund weiter. Spätestens mit dem zunehmenden Einsatz von fest in der Arbeitsumgebung verwurzelten KI-Assistenten können fehlerhafte Berechtigungen zu schwerwiegenden Folgen führen – oftmals unbemerkt.

Berechtigungsmanagement als Baustein der TOM

Wer innerhalb eines Unternehmens auf welche Systeme, Anwendungen und Datenbestände zugreifen darf, regelt das Berechtigungsmanagement. Dazu zählen die Zuweisung von Rechten, deren laufende Kontrolle, die Anpassung bei veränderten Aufgaben und der Entzug, sobald die sachliche Grundlage entfällt. Das Berechtigungsmanagement betrifft nicht nur Zugriffe auf personenbezogene Daten, sondern ebenso auf vertrauliche Unternehmensinformationen wie Vertragsunterlagen, Kalkulationen, Kunden- oder Personaldaten.

Für personenbezogene Daten ist das Berechtigungsmanagement ein zentraler Bestandteil der technischen und organisatorischen Maßnahmen (kurz: TOM) nach Art. 32 DSGVO. Die Pflicht als Verantwortlicher, die Vertraulichkeit und Integrität der Verarbeitung dauerhaft sicherzustellen, verlangt angemessene Zugriffsbeschränkungen. Verantwortliche erreichen dies in der Regel durch die Ausarbeitung und Implementierung eines Berechtigungskonzepts. Hinzu kommt die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO: Die Angemessenheit der vergebenen Rechte muss dokumentiert belegbar sein, nicht lediglich plausibel erscheinen.

Ein belastbares Berechtigungskonzept berücksichtigt dabei das Need-to-know-Prinzip, also den Zugriff nur auf Informationen, die für die konkrete Aufgabe erforderlich sind, sowie das Least-Privilege-Prinzip, also die Beschränkung auf die minimal nötigen Berechtigungen. Beide Grundsätze setzen die Vorgaben der Datenminimierung nach Art. 5 Abs. 1 lit. c) DSGVO und der Vertraulichkeit nach Art. 5 Abs. 1 lit. f) DSGVO technisch und organisatorisch um. Sie stützen zugleich die Weisungsbindung der Beschäftigten nach Art. 29 und Art. 32 Abs. 4 DSGVO, denn wer technisch keinen Zugriff hat, sollte auch nicht weisungswidrig zugreifen können.

Risiken durch unzureichendes Berechtigungsmanagement

Ein fehlendes Berechtigungskonzept muss nicht zwingend selbst eine Verletzung des Schutzes personenbezogener Daten darstellen. Es erhöht jedoch die Wahrscheinlichkeit, dass es früher oder später zu Datenschutzvorfällen im Sinne des Art. 4 Nr. 12 DSGVO kommt.

Dabei müssen Beschäftigte mit fehlerhaften Berechtigungen keineswegs böswillig handeln. Häufig wissen sie schlicht nicht, dass sie noch Zugriff auf Laufwerke, Postfächer oder Anwendungen haben, die sie für ihre aktuelle Tätigkeit nicht (mehr) benötigen. Solange die Rechte aber technisch bestehen, lassen sich diese Informationen grundsätzlich aufrufen, obwohl der Zugriff nach der eigentlichen Aufgabenzuordnung nicht (mehr) vorgesehen wäre.

Als ganz typische Schwachstellen im Unternehmensalltag haben sich erfahrungsgemäß folgende Szenarien herausgestellt:

• Abteilungs-, Positions- und Rollenwechsel: Neue Rechte werden zwar zügig ergänzt, alte bleiben aber weiterhin bestehen.
• Nebenzugänge außerhalb des zentralen Kontos: Einzelzugänge zu Fachanwendungen oder Cloud-Diensten werden bei einem internen Wechsel übersehen.
• Neue Anwendungen und Schnittstellen: Zusätzliche Datenquellen vergrößern den Kreis der Zugriffsberechtigten, ohne dass das Berechtigungskonzept nachgezogen wird.
• Sammel- und Funktionskonten: Geteilte Zugänge verhindern die Zuordnung von Zugriffen zu einzelnen Personen.
• Offene Freigaben in Kollaborationsplattformen: Links für alle ehemals beteiligten Personen bleiben wirksam, auch nach Projektende.
• Temporäre Vertretungen und Zugang externer Dienstleister: Befristet gedachte Rechte bestehen ohne Enddatum weiter.

Kritisch wird es, wenn auf diesem Weg Informationen an unberechtigte Empfänger gelangen, etwa durch die Weitergabe eines Dokuments oder einer daraus erstellten Zusammenfassung. Neben der datenschutzrechtlichen Bewertung samt möglicher Meldepflichten nach Art. 33 und Art. 34 DSGVO können Geschäftsgeheimnisse und sonstige vertrauliche Informationen betroffen sein. Dort setzt der Schutz angemessene Geheimhaltungsmaßnahmen voraus, zu denen eine kontrollierte Zugriffsvergabe gehört.

Wenn KI auf zu weitreichende Zugriffsrechte trifft

KI-Assistenten können die Auswirkungen unzureichender Berechtigungen erheblich verstärken, weil sie Informationen selbstständig im Hintergrund zusammenführen. Assistenzsysteme wie Copilot für Microsoft 365 greifen dabei grundsätzlich auf Daten zu, für die der jeweilige Nutzer mindestens über entsprechende Leseberechtigungen verfügt. Zu weit gefasste oder veraltete Zugriffsrechte führen in solchen Fällen dazu, dass Inhalte durch das KI-Assistenzsystem aufbereitet werden, auf die eine Person nach ihrer aktuellen Rolle eigentlich keinen Zugriff mehr haben sollte. Was bislang nur theoretisch durch den Nutzer auffindbar war, wird über den KI-Assistenten praktisch nutzbar. Aus latenter Überberechtigung entsteht eine unbefugte interne Offenlegung, die sich fortsetzt, sobald die erzeugten Ergebnisse durch den Nutzer ungeprüft oder nur grob überprüft weitergegeben werden.

Bei KI-Agenten steigt das Risiko zusätzlich. Während ein Assistent typischerweise auf Anfragen reagiert und Informationen bereitstellt, können Agenten je nach Konfiguration eigenständig mehrstufige Aufgaben bearbeiten, weitere Systeme über Schnittstellen aufrufen und Aktionen ausführen, etwa Daten ändern oder Arbeitsabläufe anstoßen. Handelt ein Agent mit den Rechten eines bestimmten Nutzers oder einer bestimmten Rolle, wirken bestehende Berechtigungsfehler nicht nur lesend, sondern plötzlich auch schreibend.

Berechtigungsmanagement als Daueraufgabe

Ein wirksames Berechtigungsmanagement erfordert klare Zuständigkeiten, dokumentierte Prozesse und regelmäßige Kontrollen. Es ist keine einmalige Aufgabe der IT-Administration, sondern eine fortlaufende organisatorische und technische Herausforderung für das ganze Unternehmen. Neue Anwendungen, interne Rollenwechsel und das Ausscheiden von Beschäftigten müssen verlässlich dazu führen, dass Zugriffsrechte überprüft, angepasst oder entzogen werden.

Gerade die Einführung umfassender Anwendungen wie beispielsweise Copilot für Microsoft 365, die tief in die Arbeitsumgebung innerhalb eines Unternehmens eingebunden werden, sollte zum Anlass genommen werden, die bestehende Berechtigungsstruktur zu überprüfen. Historisch gewachsene Freigaben in SharePoint, OneDrive oder Teams können anderenfalls dazu führen, dass Informationen für einen größeren Personenkreis zugänglich sind als beabsichtigt.

Wie weit die eigenen Freigaben tatsächlich reichen, zeigt sich in der Praxis oft erst bei einer gezielten Bestandsaufnahme.  Sie, und ein regelmäßiger Prozess zur Überprüfung gilt es praxisorientiert umzusetzen.

Webinar zum Thema Copilot und Microsoft 365

Ein durchdachtes Berechtigungsmanagement ist eine wichtige Voraussetzung für den datenschutzkonformen Einsatz von Copilot für Microsoft 365. In unserem Webinar „Copilot für Microsoft 365 – Datenschutz und Compliance praktisch umsetzen“ erfahren Sie, welche datenschutzrechtlichen Herausforderungen zu beachten sind und wie sich Datenschutz und Compliance in der Praxis umsetzen lassen.

Wenn Sie bei den Herausforderungen von KI-VO und praktischer Umsetzung bzw. Einführung von KI-Systemen Unterstützung benötigen, besuchen Sie doch unser Webinar zum Thema „DSGVO und Künstliche Intelligenz“.

Mittwoch, den 18.11.2026
von 10:00 bis 12:00 Uhr

Hier können Sie sich anmelden.

Das Kleingruppenformat bietet praxisnahe Beispiele und Best-Practice-Ansätze für die Umsetzung in Ihrem Unternehmen.