Berechtigungen und Backups einer Verwaltungssoftware: was der Inhaber prüfen können muss

Zwei Fragen genügen, um zu verstehen, ob eine Verwaltungssoftware gesteuert wird oder nur läuft: Wer sieht was, und wie viel Arbeit geht verloren, wenn das System morgen früh nicht mehr da ist. Das sind Fragen für den Inhaber, nicht für den Techniker, und sie müssen vor der Unterschrift gestellt werden, denn danach werden sie zu kostenpflichtigen Änderungsanfragen.

Um sie zu prüfen, sind keine IT-Kenntnisse nötig. Nötig sind zwei Dokumente, die jeder lesen kann: eine Tabelle, wer was tun darf, und das Protokoll eines erfolgreichen Wiederherstellungstests.

Berechtigungen sind keine Frage des Vertrauens

Der häufigste Einwand ist, dass man im Unternehmen allen vertraut. Der Punkt ist ein anderer: Berechtigungen begrenzen den Schaden durch Fehler, gestohlene Zugangsdaten und schlecht gehandhabte Austritte, und sie machen nachvollziehbar, wer eine Änderung vorgenommen hat. Eine ehrliche Person, die eine falsche Zeile trifft, kann ein Jahr an Stammdaten genauso löschen wie eine unehrliche.

• Eine Berechtigung wird für die Tätigkeit vergeben, nicht für die Person. Ändert sich die Aufgabe, ändert sich die Rolle, statt eine Ausnahme hinzuzufügen.
• Sehen, ändern, löschen und exportieren sind unterschiedliche Aktionen. Der Export ist die, die vergessen wird, und die, mit der Daten das Unternehmen wirklich verlassen.
• Manche Daten braucht nicht, wer sie nicht benötigt: Einkaufspreise, Margen, Personaldaten, vertrauliche, mit einzelnen Kunden vereinbarte Konditionen.

Die Rollen-Aktionen-Matrix

Das ist das Dokument, das die Diskussion konkret macht. Es wird mit den Verantwortlichen geschrieben und dann dem Anbieter zur Umsetzung übergeben, nicht umgekehrt. Illustratives Beispiel für ein Unternehmen mit Lager, Vertrieb und Verwaltung.

Die Spalte, die wirklich zählt, ist die letzte. Aufzulisten, was eine Rolle nicht können darf, zwingt zur Entscheidung; die Liste dessen, was sie kann, neigt für sich genommen dazu, sich aufzublähen, bis sie nichts mehr bedeutet.

Eintritt, Abteilungswechsel, Austritt: der Zyklus, den niemand steuert

Berechtigungen verkommen nicht am ersten Tag. Sie verkommen über drei Jahre, eine Ausnahme nach der anderen.

1. Eintritt: Die Person erhält die vorgesehene Rolle, nicht die Kopie des Kontos eines Kollegen. Ein Konto zu kopieren ist der schnellste Weg, Privilegien zu verbreiten, die niemand entschieden hatte.
2. Aufgabenwechsel: Die alte Rolle wird entzogen und die neue vergeben. Beide zu addieren ist die Hauptursache angehäufter Berechtigungen.
3. Vertretungen und Delegationen: haben ein schriftlich festgelegtes Enddatum, sonst bleiben sie bestehen.
4. Austritt: Der Zugang wird noch am selben Tag geschlossen, und in die Liste gehören auch E-Mail, gemeinsame Archive, Geräte und Konten bei externen Diensten.

Backups: zwei zu vereinbarende Kennzahlen, keine Beruhigung

Auf die Frage „gibt es Backups?“ lautet die Antwort immer ja. Die nützliche Frage hat zwei Teile, und beide sind zunächst Ihre Entscheidung, nicht eine technische.

• Wie viel Arbeit Sie sich zu verlieren leisten können. Ist die Sicherung nächtlich, kostet ein Ausfall um 17 Uhr einen Tag an Eingaben. Ist ein Tag nicht tragbar, muss die Häufigkeit erhöht werden, und das hat Kosten, die mit denen des Verlusts zu vergleichen sind.
• Wie lange Sie stillstehen können. Ein System wieder aufzubauen dauert Stunden, nicht Minuten, und die Dauer hängt davon ab, wie viel im Voraus vorbereitet wurde.

Beide Werte müssen im Vertrag stehen, zusammen mit dem, was sie umfassen. Ein illustratives Beispiel, mit Zahlen, die von Fall zu Fall zu entscheiden sind: tägliche Sicherungen, einige Wochen aufbewahrt, eine periodische Sicherung, länger aufbewahrt, und mindestens eine Kopie an einem anderen Ort, der nicht mit denselben Zugangsdaten wie die genutzten Systeme erreichbar ist.

• Was gesichert wird: die Datenbank, aber auch die Anhänge, die erzeugten Dokumente, die Konfigurationen und die individuellen Anpassungen. Eine Wiederherstellung nur der Datenbank kann Jahre an Dokumenten außen vor lassen.
• Wer kontrolliert, dass die Sicherungen wirklich durchgeführt werden, und wer benachrichtigt wird, wenn sie fehlschlagen. Ein stillschweigend fehlschlagendes Backup ist die häufigste und gefährlichste Situation.
• Wer auf die Sicherungen zugreifen kann: Sie enthalten dieselben Daten wie das System, mit denselben Vertraulichkeitspflichten.

Eine ungetestete Wiederherstellung existiert nicht

Der einzige Beweis, dass ein Backup funktioniert, ist, es wieder aufgebaut zu haben. Der Test findet in einer getrennten Umgebung statt, mit Demodaten oder einer Kopie, und wird protokolliert. Das Protokoll ist das Dokument, das Sie jedes Jahr verlangen können, ohne über Technik zu diskutieren.

1. Datum des Tests, wer ihn durchgeführt hat und auf welcher Kopie.
2. Was wiederhergestellt wurde: System, Datenbank, Anhänge, Konfigurationen.
3. Wie viel Zeit es gebraucht hat, vom Startsignal bis zum wieder nutzbaren System.
4. Was danach geprüft wurde: einige geöffnete Dokumente, einige kontrollierte Stammdaten, ein durchgeführter Ausdruck, ein mit einem normalen Benutzerkonto getesteter Zugriff.
5. Was nicht funktioniert hat und wie es korrigiert wurde. Ein erster Test ohne festgestelltes Problem wurde in der Regel zu bequem durchgeführt.

Was man nicht versprechen kann

Kein Anbieter kann garantieren, dass ein System nie verletzt wird oder Daten nie verloren gehen. Wer das verspricht, verkauft Beruhigung, nicht Sicherheit.

Was dieser Leitfaden nicht abdeckt

Hier geht es um überprüfbare Anforderungen zu Zugriffen und Wiederherstellung: keine absolute Sicherheitsgarantie und keine Konformitätserklärung. Die funktionalen Tests, die vor der Einführung einer Software durchzuführen sind, also die Prüfung, ob sie bei realen Fällen das Nötige leistet, sind etwas anderes und kommen vorher. Auch wie man vermeidet, an einen einzigen Anbieter gebunden zu bleiben, wobei Daten und Zugangsdaten Ihnen gehören müssen, verdient ein eigenes Thema.