Vergabe der SAP R/3 - Technische Universität Wien

Systematische Vergabe von
Benutzerzugriffsberechtigungen
eingereicht von:
Bernd Marx
DIPLOMARBEIT
zur Erlangung des akademischen Grades
Magister rerum socialium oeconomicarumque
Magister der Sozial- und Wirtschaftswissenschaften
(Mag. rer. soc. oec)
Fakultät für Wirtschaftswissenschaften und Informatik,
Universität Wien
Fakultät für Technische Naturwissenschaften und Informatik,
Technische Universität Wien
Studienrichtung: Wirtschaftsinformatik
Begutachter:
a. Prof. Dr. Jürgen Dorn
Wien, im Mai 2002

Systematische Vergabe von Benutzerzugriffsberechtigungen
Abstrakt
Der ständig zunehmende Einsatz von elektronischer Datenverarbeitung und die Anbindung
von EDV-Systemen an Netzwerkarchitekturen im Berufs- und Privatleben bergen
viele Gefahren. Zwei wichtige Instrumente, um ein möglichst hohes Maß an Datenschutz
und Datensicherheit erreichen zu können, sind die Zugangskontrolle und der Zugriffsschutz.
Die vorliegende Arbeit untersucht verschiedene Verfahren der Zugangs- und
Zugriffskontrolle und beleuchtet in diesem Zusammenhang beispielhaft auch Betriebssysteme
und Standardsoftware. Es werden die Eigenschaften und Vor- und Nachteile der
jeweiligen Techniken behandelt und anschließend wird ein Modellansatz für die zentralisierte
und systematische Vergabe aller Zugriffsberechtigungen innerhalb eines Betriebes
erstellt. Danach wird die Vergabe der Benutzerzugriffsberechtigungen in der Standardsoftware
SAP R/3 in der Hella Fahrzeugteile Austria GmbH & Co KG beschrieben.
2

Inhaltsverzeichnis
Systematische Vergabe von Benutzerzugriffsberechtigungen
1 EINLEITUNG ................................................................................................................................ 5
1.1 MOTIVATION ZUR WAHL DER THEMENSTELLUNG................................................................ 5
1.2 ERKENNTNISZIELE UND ERKENNTNISOBJEKT ....................................................................... 6
1.3 GLIEDERUNG UND VORGEHEN ZUR ZIELERREICHUNG ......................................................... 7
2 DAS RISIKO „INFORMATIONSTECHNOLOGIE“............................................................ 9
2.1 DATENSCHUTZ UND DATENSICHERHEIT ................................................................................ 9
2.1.1 Begriffsbestimmungen..................................................................................................... 9
2.1.2 Gesetzliche Aspekte zu Datenschutz und Datensicherheit.......................................... 10
2.2 GEFAHREN BEIM EINSATZ VON PCS UND NETZWERKTECHNOLOGIEN IN UNTERNEHMEN ..
................................................................................................................................................ 12
2.2.1 Gefahrenquellen ............................................................................................................ 13
2.2.2 Gefährdungsarten.......................................................................................................... 15
2.2.3 Computeranomalien...................................................................................................... 16
2.3 MAßNAHMEN ZUR GEFAHRENABWEHR UND GEFAHRENVERMEIDUNG............................. 17
2.3.1 Hard- und softwaretechnische Maßnahmen................................................................ 17
2.3.2 Bauliche und organisatorische Maßnahmen............................................................... 17
3 ZUGANGSKONTROLLE UND ZUGRIFFSSCHUTZ ........................................................ 19
3.1 BEGRIFFSABGRENZUNGEN .................................................................................................... 19
3.1.1 Zugangskontrolle........................................................................................................... 19
3.1.2 Zugriffskontrolle............................................................................................................ 19
3.2 PASSWORT-MANAGEMENT ................................................................................................... 20
3.2.1 Die Funktionsweise von Passwortsystemen ................................................................ 20
3.2.2 Eigenschaften von Passwörtern ................................................................................... 21
3.2.3 Vorteile von Passwortsystemen .................................................................................... 21
3.2.4 Nachteile von Passwortsystemen ................................................................................. 21
3.3 BIOMETRISCHE METHODEN .................................................................................................. 22
3.3.1 Begriffserklärung .......................................................................................................... 22
3.3.2 Funktionsweise biometrischer Methoden .................................................................... 22
3.3.3 Verfahren biometrischer Identifikation bzw. Verifikation.......................................... 24
3.3.4 Biometrie und Datenschutz........................................................................................... 26
3.3.5 Vorteile von biometrischen Authentisierungsverfahren ............................................. 27
3.3.6 Nachteile von biometrischen Authentisierungsverfahren........................................... 28
3.4 SMARTCARDS ........................................................................................................................ 28
3.4.1 Charakteristik und Funktionsweise von SmartCards.................................................. 28
3.4.2 Vorteile von SmartCards .............................................................................................. 29
3.4.3 Nachteile von SmartCards............................................................................................ 29
3.5 BEISPIELHAFTE BETRACHTUNG VON BETRIEBSSYSTEMEN UND STANDARDSOFTWARE.. 29
3.5.1 UNIX .............................................................................................................................. 29
3.5.2 Linux............................................................................................................................... 31
3.5.3 Windows 2000 ............................................................................................................... 31
3.5.4 Lotus Notes .................................................................................................................... 32
4 MODELLANSATZ: SYSTEMATISCHE VERGABE VON
BENUTZERZUGRIFFSBERECHTIGUNGEN............................................................................. 34
4.1 ZIEL UND VORGEHEN ............................................................................................................ 34
4.2 DIE FÜNF SCHRITTE DES MODELLS ...................................................................................... 35
4.2.1 Schritt 1: Modellierung der Geschäftsprozesse .......................................................... 35
3

Systematische Vergabe von Benutzerzugriffsberechtigungen
4.2.2 Schritt 2: Ableitung der Informationsprozesse............................................................ 37
4.2.3 Schritt 3: Bilden von Berechtigungsgruppen............................................................... 39
4.2.4 Schritt 4: Erzeugen von Benutzergruppen................................................................... 41
4.2.5 Schritt 5: Verknüpfen von Berechtigungsgruppen und Benutzergruppen ................. 43
4.3 DAS GESAMTMODELL ........................................................................................................... 44
5 PROJEKT: VERGABE DER SAP R/3-BENUTZERBERECHTIGUNGEN IN DER
HELLA FAHRZEUGTEILE AUSTRIA GMBH & CO KG........................................................ 46
5.1 DAS UNTERNEHMEN.............................................................................................................. 46
5.1.1 Geschichte und Tätigkeitsfeld....................................................................................... 46
5.1.2 Eingesetzte Hardware................................................................................................... 46
5.1.3 Eingesetzte Software ..................................................................................................... 47
5.2 SAP R/3.................................................................................................................................. 47
5.2.1 Allgemeines.................................................................................................................... 47
5.2.2 Datenschutz und Sicherheit in SAP R/3....................................................................... 49
5.2.3 Einführung in das Berechtigungskonzept von SAP R/3 .............................................. 49
5.3 DAS PROJEKT ......................................................................................................................... 50
5.3.1 Ausgangssituation ......................................................................................................... 50
5.3.2 Aufgabenstellung........................................................................................................... 51
5.3.3 Planung.......................................................................................................................... 51
5.3.4 Implementierung............................................................................................................ 52
5.3.5 Testphase ....................................................................................................................... 59
5.3.6 Transport der neuen Berechtigungszuordnungen in das SAP-Produktivsystem....... 63
5.3.7 Schwierigkeiten und Sonderfälle im Projekt ............................................................... 64
6 RESÜMEE .................................................................................................................................... 66
6.1 DATENSCHUTZ, ZUGANGSKONTROLLE UND ZUGRIFFSSCHUTZ......................................... 66
6.2 MODELLANSATZ VERSUS SAP R/3-PROJEKT ...................................................................... 67
ANHANG............................................................................................................................................... 69
LITERATURVERZEICHNIS ................................................................................................................... 69
4

1 Einleitung
Systematische Vergabe von Benutzerzugriffsberechtigungen
1.1 Motivation zur Wahl der Themenstellung
Die Nutzung moderner Informationstechnologie, vor allem in Betrieben unterschiedlicher
Art, in denen ein Arbeiten ohne das Hilfsmittel Computer heute kaum noch vorstellbar ist,
bringt eine Reihe von Vorteilen mit sich, wie z. B. ein Eindämmen der anfallenden Papierflut
in den Büros, das rasche Auffinden von Daten und den schnellen Zugriff auf benötigte
Informationen, eine damit einhergehende Effizienzsteigerung, und ähnliches. Neben den
Vorteilen treten aber auch einige Nachteile zutage, die nicht übersehen werden sollten.
Eine der größten Schwierigkeiten, die aus dem Einsatz von EDV-Systemen und deren
Anbindung an verschiedene Netzwerke, wie etwa das Internet, resultieren, ist der Schutz
der enormen Menge an Daten, die durch die tägliche Arbeit anfallen. Es gilt, sowohl personenbezogene
Daten, wie z. B. Mitarbeiterstammdaten, Kundendaten, usw., als auch
betriebliche Daten, wie Umsatzzahlen, Buchhaltungsbelege, Forschungsdaten, usw. vor
ungerechtfertigten Zugriffen, vor kriminellen Angriffen, usw. zu schützen. Die Bedeutung,
die dem Datenschutz zukommt, lässt sich daran erkennen, welche Auswirkungen unzureichende
Datenschutz- und Datensicherheitsmaßnahmen für ein Unternehmen zur Folge
haben können. Sollte teuer entwickeltes KnowHow in die Hände der Konkurrenz gelangen,
dann wäre möglicherweise ein Wettbewerbsvorteil dahin, und dadurch könnte im
Extremfall sogar der Bestand des gesamten Unternehmens gefährdet sein. Das impliziert
natürlich auch die damit einhergehende Bedrohung der Arbeitsplätze dieses Betriebes.
Auch die von sogenannten Hackern verursachten Schäden, die von einfachen Scherzen
über die Bereicherung an fremdem Kapital bis hin zur Zerstörung ganzer Datenbestände
reichen, haben nicht selten ruinöse Folgen. Aber nicht nur Außenstehende von Unternehmen
stellen eine potentielle Gefahr für die Daten dar. Es sind auch die Mitarbeiter und
die ehemaligen Mitarbeiter zu beachten, wenn es um das Thema Datenschutz geht.
Die angeführten Sachverhalte führen zu der Fragestellung: Kann den drohenden Gefahren
mit entsprechenden Maßnahmen, wie etwa mit Methoden der Zugangs- und
Zugriffskontrolle, begegnet werden und bieten die eingesetzten Systeme auch die jeweils
erforderliche Sicherheit?
Es sind verschiedene Techniken und Verfahren im praktischen Einsatz, um den Zugang
zu Systemen und den Zugriff auf Datenbestände ausschließlich autorisierten Personen zu
ermöglichen. Eine den jeweiligen Erfordernissen entsprechende Zugangs- und Zugriffskontrolle
zu implementieren, stellt eine wichtige Aufgabe für jedes Unternehmen dar. Um
ein möglichst hohes Maß an Datenschutz und Datensicherheit zu erreichen, ist der Einsatz
von geeigneter Hardware und Software erforderlich. Speziell im Bereich der Software
ist zu beachten, dass unterschiedliche Betriebssysteme und Standardsoftwareprodukte
das Problem des Datenschutzes auf unterschiedliche Weise lösen. Der Faktor Sicherheit
sagt vordergründig meist nichts über die eigentliche Funktionalität des betreffenden Produktes
aus, was eventuell dazu verleiten mag, den Aspekt der Zugangs- und Zugriffskontrolle
im Zuge der Anschaffung von Software und Hardware zu vernachlässigen. Die
Folgen eines derartigen Fehlers zeigen sich generell nicht sofort, doch sollte sich herausstellen,
dass die eingesetzte Soft- und Hardware in bezug auf Datenschutz eklatante
Mängel aufweist, dann ist es meist schon zu spät, da die aufgetretenen Schäden entweder
gar nicht, nicht zur Gänze oder zumindest nicht ohne finanzielle Einbussen behoben
werden können.
5

Systematische Vergabe von Benutzerzugriffsberechtigungen
Um die Gefahr des Eintretens solcher Schäden zu minimieren, ist es unerlässlich, bei der
Auswahl der Produkte besonders darauf zu achten, wie das Problem des Datenschutzes
und der Datensicherheit gehandhabt wird, und ob sie das angestrebte Maß an Sicherheit
auch bieten können.
1.2 Erkenntnisziele und Erkenntnisobjekt
In der vorliegenden Arbeit werden Zielsetzungen verfolgt, die einen Einblick in die Komplexität
und Wichtigkeit von Datenschutz und Datensicherheit ermöglichen sollen, mit
Schwerpunkt auf die Kontrolle der Zugangs- und Zugriffsberechtigungen. Es werden bestehende
Methoden der Zugriffssteuerung beschrieben und deren Vor- und Nachteile
aufgezeigt. Es wird auch beispielhaft darauf eingegangen, wie unterschiedliche Betriebsysteme
und Standardsoftwareprodukte das Problem der Zugangs- und Zugriffskontrolle
lösen bzw. welche Verfahren zur Zugangs- und Zugriffskontrolle eingesetzt werden. Im
Zuge dieser Untersuchungen soll die Arbeit sowohl eine wissenschaftliche als auch eine
praktische Funktion erfüllen:
• Wissenschaftliche Funktion:
Es soll eine inhaltliche Beschreibung für ein Modell erstellt werden, das eine
effiziente und systematische Zugriffskontrolle für das gesamte
Informationssystem innerhalb eines Unternehmens ermöglichen soll. Der
Modellansatz soll des weiteren auch die Vergabe sämtlicher Zugriffsberechtigungen
durch eine einzige zentrale Stelle erlauben. Schließlich soll
noch ein Vergleich des entstandenen Modellansatzes mit einem real
durchgeführten Projekt stattfinden.
• Praktische Funktion:
Anhand der Standardsoftware SAP R/3 wird der Weg von der Planung über
die Entwicklung bis hin zum Einsatz eines Konzeptes für die Vergabe von
Benutzerzugriffsberechtigungen beschrieben. Das entsprechende Projekt
wird in dem Produktions- und Handelsunternehmen Hella Fahrzeugteile
Austria GmbH & Co KG, A-7503 Großpetersdorf, durchgeführt, und soll unter
anderem auch die Funktionsweise und die administrativen
Eingriffsmöglichkeiten darstellen, die SAP R/3 als weltweit marktführender
Anbieter von betriebswirtschaftlicher Anwendungssoftware betreffend des
Einrichtens der Benutzerzugriffsberechtigungen bietet. Es sollen aber auch
Besonderheiten und Schwierigkeiten jeglicher Art aufgezeigt werden, die im
Zuge eines derartigen Projektes in einem Betrieb auftreten können.
Erkenntnisobjekt der vorliegenden Arbeit ist das soziotechnische System Unternehmen,
mit Fokus auf Mittel- und Grossbetriebe. Obwohl schon sehr viele Privathaushalte mit PCs
ausgestattet sind und die Zahl der privat genutzten Computer ständig im Wachstum begriffen
ist, ist das Problem der Zugangs- und Zugriffskontrolle in erster Linie für
Unternehmen relevant, da hier der wirtschaftliche Schaden im Fall von Sicherheitsdefiziten
ungleich große Ausmaße annehmen kann. Handelt es sich bei den Nutzern von EDV-
Systemen um Betriebe, dann steigt die Wichtigkeit einer geeigneten Zugangs- und
Zugriffskontrolle mit dem Vorhandensein von technischem Know-How und mit zunehmender
Betriebsgröße, denn je größer die Menge und die Sensitivität der Daten sind, desto
umfangreicher kann sich auch ein potentieller Schadensfall auswirken. Das heißt aber
nicht, dass Kleinunternehmen von dem Gefahrenpotential Informationstechnologie nicht
betroffen sind.
6

Systematische Vergabe von Benutzerzugriffsberechtigungen
Für diese Unternehmen sind die im System befindlichen und archivierten Daten ebenso
wichtig für die Sicherung ihrer Existenz wie für Mittel- und Großunternehmen, allerdings
mit dem Unterschied, dass beim Auftreten eines Schadensfalles meist nur wenige Arbeitsplätze
gefährdet sind und sich die Höhe des wirtschaftlichen Schadens einigermaßen
in Grenzen hält.
1.3 Gliederung und Vorgehen zur Zielerreichung
Der Aufbau der vorliegenden Arbeit stellt sich im Überblick wie folgt dar:
Einleitung
• Motivation zur Wahl der Themenstellung
• Definition der Erkenntnisziele
• Gliederung und Vorgehen zur Zielerreichung
Das Risiko „Informationstechnologie“
• Datenschutz und Datensicherheit
• Gefahren beim Einsatz von PCs und Netzwerktechnologien in Unternehmen
• Maßnahmen zur Gefahrenabwehr und Gefahrenvermeidung
Zugangskontrolle und Zugriffsschutz
• Begriffsabgrenzungen
• Passwort-Management
• Biometrische Methoden
• SmartCards
• Beispielhafte Betrachtung von Betriebssystemen und Standardsoftware
MODELLANSATZ: Systematische Vergabe von Benutzerzugriffsberechtigungen
• Ziel und Vorgehen
• Die 5 Schritte des Modells
• Das Gesamtmodell
PROJEKT: Vergabe der SAP R/3-Benutzerzugriffsberechtigungen in der Hella
Fahrzeugteile Austria GmbH & Co KG
• Das Unternehmen
• SAP R/3
• Das Projekt
Resümee
• Datenschutz, Zugangskontrolle und Zugriffsschutz
• Modellansatz versus SAP R/3-Projekt
Abb. 1: Aufbau der vorliegenden Arbeit
7

Systematische Vergabe von Benutzerzugriffsberechtigungen
Anfangs sollen Begriffsbestimmungen die Bedeutung, Unterschiede und Zusammenhänge
der Begriffe Datenschutz und Datensicherheit erkennen lassen. Im Anschluss daran
soll ein kurzer Blick auf die gesetzlichen Bestimmungen zum Thema Datenschutz verdeutlichen,
dass ein Unternehmen von Seiten des Gesetzgebers, also auch ohne das
Vorhandensein eigenen Interesses, dazu verpflichtet ist, ein bestimmtes Maß an Datenschutz
zu gewährleisten. Danach wird versucht, einen Überblick über die Vielfalt der
drohenden Gefahren zu schaffen, denen ein Unternehmen durch den Einsatz von Computern
und Netzwerktechnologien ausgesetzt ist. Anschließend werden beispielhaft
Sicherheitsmassnahmen angeführt, die eingesetzt werden, um potentiellen Gefahren erfolgreich
begegnen zu können und dadurch das Risiko von wirtschaftlichen Schäden zu
minimieren.
Von den möglichen Sicherheitsmassnahmen, die einem Unternehmen einsetzen kann,
wird dann der Bereich der Zugangs- und Zugriffskontrolle nach einer kurzen, begrifflichen
Abgrenzung einer genaueren Betrachtung unterzogen. Dabei werden sowohl aktuell eingesetzte
Methoden als auch neuere technische Entwicklungen beschrieben. Es wird die
Funktionalität verschiedener Verfahren der Zugangs- und Zugriffskontrolle dargestellt, und
es wird auch versucht, die Vor- und Nachteile der unterschiedlichen Methoden aufzuzeigen.
Im Anschluss daran wird versucht, einen Modellansatz für die Einführung einer
möglichst effizienten und effektiven Zugriffskontrolle zu erstellen, der durch eine Steigerung
des Zugriffsschutzes den Datenschutz und die Datensicherheit in einem
Unternehmen verbessern soll.
Im nächsten Schritt wird anknüpfend an das Thema Zugriffskontrolle die Planung und
Einführung eines Konzepts der Vergabe von Benutzerzugriffsberechtigungen für das Unternehmen
Hella Fahrzeugteile Austria GmbH & Co KG in der betrieblichen
Standardsoftware SAP R/3 beschrieben. Einleitend wird dabei das betreffende Unternehmen
vorgestellt, es wird die Ausgangssituation im Unternehmen, vor allem die SAP R/3-
Benutzerberechtigungen betreffend, erläutert, und anschließend wird die Aufgabenstellung
seitens des Betriebes inklusive etwaiger Vorgaben dargestellt. Danach wird
beschrieben, in welcher Art und Weise Benutzerberechtigungen in SAP R/3 vergeben
werden können, und es werden eventuelle Einschränkungen durch die Software und auch
Änderungs- und Eingriffsmöglichkeiten durch Administratoren aufgezeigt. Es folgen die
Beschreibungen der verschieden Projektphasen, das sind im groben die Planung, Implementierung,
Tests und die Inbetriebnahme des Berechtigungskonzepts. Im Zuge dessen
werden auch Schwierigkeiten abgehandelt, die im Laufe des Projekts auftreten.
Der erste Teil der Arbeit soll also eine Einführung in das Gebiet „Computer und Datensicherheit“,
mit besonderem Augenmerk auf das Teilgebiet der Zugriffskontrolle, darstellen,
gefolgt von der Erstellung eines Modellansatzes zum ganzheitlichen Zugriffsschutz. Der
praktische Teil soll hingegen ein Projekt beschreiben, dessen Umsetzung einen Teil des
anzustrebenden und auch gesetzlich vorgeschriebenen Datenschutzes innerhalb eines
Unternehmens gewährleisten soll. Durch diese Aufteilung der Arbeit in einen theoretischwissenschaftlichen
und einen praktischen Teil ergeben sich zwei unterschiedliche Tätigkeitsfelder:
während die Ergebnisse des ersten Teiles vorwiegend aus der Recherche in
Literatur, Internet, und dgl. resultieren, handelt es sich im praktischen Teil um eine Projektbeschreibung,
wofür lediglich die SAP R/3-Dokumentation als Unterlage zur
Verfügung steht.
8

Systematische Vergabe von Benutzerzugriffsberechtigungen
2 Das Risiko „Informationstechnologie“
2.1 Datenschutz und Datensicherheit
2.1.1 Begriffsbestimmungen
2.1.1.1 Datenschutz
Unter Datenschutz versteht man in erster Linie, den einzelnen vor möglichen Gefährdungen
oder Beeinträchtigungen seines Rechts auf informationelle Selbstbestimmung, die
sich aus der Informationsverarbeitung ergeben können, zu schützen [KüSc97a, 11].
Der Datenschutz soll dabei einerseits die Erhebung personenbezogener Daten auf das
erforderliche Mindestmass begrenzen, und andererseits gilt es, den Missbrauch bei der
Verarbeitung solcher Daten zu verhindern.
Unter Datenschutz im engeren Sinn ist die Aufgabe zu verstehen, den einzelnen davor zu
schützen, dass er durch den Umgang mit seinen personenbezogenen Daten in seinem
Persönlichkeitsrecht beeinträchtigt wird. Im weiteren Sinn wird darunter aber auch der
Schutz aller schutzwürdigen Daten vor jeglichem Missbrauch verstanden.
Die vorliegende Arbeit behandelt nicht nur den Schutz von personenbezogenen Daten,
sondern den Schutz sämtlicher in einem Unternehmen anfallender Daten, die vor jeglichem
Missbrauch und sonstigen Gefahren geschützt werden sollen.
2.1.1.2 Datensicherheit
Unter Datensicherheit versteht man den Zustand eines Systems der Informationstechnik,
in dem die Risiken, die beim Einsatz dieses Systems aufgrund von Bedrohungen vorhanden
sind, durch angemessene Maßnahmen auf ein tragbares Maß eingeschränkt sind.
Häufig spricht man in diesem Zusammenhang nicht nur allgemein von Bedrohungen,
sondern definiert die Datensicherheit etwas spezifischer als “...Schutz vor absichtlichen
Manipulationsversuchen, Bedienungsfehlern, katastrophenbedingten Ausfällen und technischem
Versagen“ [Kers91, 9].
Der Schutz bezieht sich auf Programme, Computer und Netzwerke, mit denen personenbezogene
Daten verarbeitet, oder auf denen solche Daten gespeichert oder transportiert
werden.
Datensicherheit wird häufig auch als ein älterer Begriff für die Informationssicherheit verwendet,
die sich jedoch schwerpunktmäßig nur auf die Sicherung der Daten konzentriert.
9

Systematische Vergabe von Benutzerzugriffsberechtigungen
2.1.2 Gesetzliche Aspekte zu Datenschutz und Datensicherheit
2.1.2.1 Rechtsstruktur in Österreich
Das österreichische Datenschutzgesetz (ÖDSG), das bereits im Jahr 1978 in seiner ersten
Fassung eingeführt wurde, genügte in einigen Punkten nicht der EU-Richtlinie zum
Datenschutz vom 24. Oktober 1995, was dazu führte, dass mit 1. Januar 2000 ein neues
Datenschutzgesetz, und zwar das Bundesgesetz über den Schutz personenbezogener
Daten (Datenschutzgesetz 2000 – DSG) in Österreich rechtskräftig wurde. Diese neueste
Fassung des Datenschutzgesetzes wurde zur Gänze neu formuliert und lehnt sich eng an
die oben erwähnte EU-Richtlinie an.
Der Aufbau des Datenschutzgesetzes 2000 lässt sich im Überblick folgendermaßen darstellen:
Artikel 1 Verfassungsbestimmung
§1 Grundrecht auf Datenschutz
§2 Zuständigkeit
§3 Räumlicher Anwendungsbereich
Artikel 2
1. Abschnitt §4 – 5 Allgemeines
2. Abschnitt §6 – 13 Verwendung von Daten
3. Abschnitt §14 – 15 Datensicherheit
4. Abschnitt §16 – 25 Publizität der Datenverarbeitungen
5. Abschnitt §26 – 29 Die Rechte des Betroffenen
6. Abschnitt §30 – 34 Rechtsschutz
7. Abschnitt §35 – 44 Kontrollorgane
8. Abschnitt §45 – 48 Besondere Verwendungszwecke von Daten
9. Abschnitt §49 – 50 Besondere Verwendungsarten von Daten
10. Abschnitt §51 – 52 Strafbestimmungen
11. Abschnitt §53 – 64 Übergangs- und Schlussbestimmungen
Abb. 2: Aufbau des Österreichisches Datenschutzgesetzes 2000
§1 Abs.1 des DSG 2000 lautet wie folgt:
„Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens,
Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten,
soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses
ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen
ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch
nicht zugänglich sind.“
„Durch die Benützung des Wortes „Jedermann“ ist das Grundrecht als Menschenrecht
verankert [Dohr96a, 85]“, was besagt, dass das DSG für jedermann gleichermaßen gültig
ist, und nicht nur für Österreichische Staatsbürger. Das Grundrecht auf Datenschutz stellt
ein sog. Grundrecht mit Drittwirkung dar, das heißt, es gilt auch im öffentlichen Bereich,
und es begründet damit nicht nur eine Garantie des Staates gegenüber den Bürgern,
sondern es regelt auch das Rechtsverhältnis zwischen den Bürgern, also zu Dritten.
10

Systematische Vergabe von Benutzerzugriffsberechtigungen
Die gesetzlich vorgesehenen Maßnahmen für die Datensicherheit sind in den §§ 14 und
15 geregelt. Pflüger, der in seinem Vorlesungsskriptum zu Datenschutz und Datensicherheit
das Österreichische Datenschutzgesetz 2000 erläutert und auch dessen gesamten
Wortlaut wiedergibt, erwähnt im Zusammenhang mit der Datensicherheit unter anderem,
dass Zutrittsberechtigungen für Räumlichkeiten, Zugriffsberechtigungen auf Daten und
Programme oder auch Belehrungen der Mitarbeiter über Gesetze und Datensicherheitsvorschriften
zu erlassen sind [Pflü00, 12]. Laut Gesetzgeber müssen Maßnahmen zur
Gewährleistung der Datensicherheit getroffen werden, und es ist sicherzustellen, dass die
Verwendung der Daten ordnungsgemäß erfolgt und dass die Daten von Unbefugten nicht
eingesehen werden können. Es sind auch Sicherheitsvorschriften zu erlassen und diese
sind so zur Verfügung zu halten, dass sich die Arbeitnehmer jederzeit über die für sie geltenden
Regelungen informieren können. Der Arbeitgeber muss für die entsprechende
Dokumentation und Information sorgen.
2.1.2.2 Rechtsstruktur in der EU
Am 24. Oktober 1995 trat die EU-Datenschutzrichtlinie des Europäischen Parlaments und
des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener
Daten und zum freien Datenverkehr in Kraft. Diese Datenschutzrichtlinie ist für die einzelnen
Mitgliedsstaaten der Europäischen Union (EU) lediglich hinsichtlich des zu
erreichenden Zieles verbindlich. Die Wahl der Form und Mittel, die zum Erreichen dieses
Zieles führen, bleibt dabei den jeweiligen innerstaatlichen Stellen überlassen, jedoch sind
die Gesetze in den Mitgliedsstaaten innerhalb einer Frist von 3 Jahren entsprechend anzupassen.
Das Ziel dieser „Allgemeinen Datenschutzrichtlinie“ soll es sein, in allen Mitgliedsstaaten
der EU ein gleich hohes Schutzniveau einzuführen, um die Hemmnisse für den Austausch
von Daten abzubauen, der für das Funktionieren des Binnenmarktes unerlässlich ist. Die
Verwirklichung des europäischen Binnenmarktes setzt den freien Verkehr von Waren,
Dienstleistungen, Kapital und Personen voraus, was auch den transnationalen Datenverkehr
unverzichtbar macht [Dohr96b, 146], und dazu müssen die in der Richtlinie
genannten Grundsätze von allen Mitgliedsstaaten garantiert werden.
Die Hauptgrundsätze der EU-Datenschutzrichtlinie beziehen sich auf
• die Qualität der Daten,
• die Zulässigkeit der Verarbeitung von Daten,
• besondere Kategorien der Verarbeitung,
• die Information der betroffenen Person,
• das Auskunftsrecht der betroffenen Person,
• das Widerspruchsrecht der betroffenen Person,
• Vertraulichkeit und Sicherheit der Verarbeitung und
• die Meldung.
Die Richtlinie ist laut Artikel 3, Abs. 1, „auf die ganz oder teilweise automatisierte Verarbeitung
personenbezogener Daten und die nichtautomatisierte Verarbeitung
personenbezogener Daten, die in Dateien gespeichert sind oder gespeichert werden sollen“,
anzuwenden. Alle Bestimmungen der Richtlinie gelten grundsätzlich sowohl für den
öffentlichen als auch für den privaten Bereich.
11

Systematische Vergabe von Benutzerzugriffsberechtigungen
Da nach erfolgter Anpassung der jeweiligen Gesetze an diese Richtlinie jeder Mitgliedsstaat
der EU bei der Verarbeitung personenbezogener Daten den gleichen, hohen Schutz
genießt, können die Mitgliedsstaaten die Freizügigkeit der betreffenden Daten in der Gemeinschaft
nicht mehr mit der Begründung des Schutzes einer oder mehrerer Personen
einschränken. Dadurch sollte das Thema Datenschutz als Hemmnis für die Umsetzung
des europäischen Binnenmarktes entfallen.
Die Europäische Kommission stellte überdies am 12. Juli 2000 einen neuen Entwurf für
eine EU-Richtlinie über die Verarbeitung personenbezogener Daten und den Schutz der
Privatsphäre in der elektronischen Kommunikation vor.
„Der Vorschlag soll den Schutz der Privatsphäre verbessern, enthält aber zugleich eine
Art Generalausnahme für die „gesetzlich ermächtigten Behörden“ – Strafverfolgungsbehörden
und Geheimdienste. Die neue Richtlinie soll die vom Europäischen Parlament und
dem Rat am 15. Dezember 1997 verabschiedete Richtlinie 97/66/EG über die Verarbeitung
personenbezogener Daten und den Schutz der Privatsphäre im Bereich der
Telekommunikation ersetzen [VaBu00].“
Die Europäische Kommission verfolgt dabei das Ziel, die neue Gesetzgebung bis Anfang
2002 unterzubringen. Die Institutionen der Europäischen Union beschäftigen sich derzeit
unter anderem noch mit einer Richtlinie über die Genehmigung elektronischer Kommunikationsnetze
und –dienste und mit einer Rahmenrichtlinie dafür. Das lässt schon
erkennen, dass sich im Bereich der gesetzlichen Vorschriften bezüglich Datenschutz und
Datensicherheit ständig Veränderungen ergeben, die es hinsichtlich des Einsatzes von
EDV-Systemen in Unternehmen zu beobachten und zu befolgen gilt.
2.2 Gefahren beim Einsatz von PCs und Netzwerktechnologien
in Unternehmen
Der fortschreitende Bedarf an Informationstechnologie inklusive der verschiedensten
Netzwerktechnologien bringt neben häufig angestrebten Rationalisierungseffekten und
anderen Vorteilen zunehmend sicherheitstechnische Probleme und Risiken mit sich. Der
Schutz der Daten, Programme, Hardware, usw. wird zu einer immer wichtigeren Aufgabe
für Betriebe, von denen auch heutzutage noch viele die drohenden Gefahren und damit
verbundenen Konsequenzen, die als Folge unzureichender Datenschutz- und Datensicherheitsmassnahmen
auftreten können, nicht oder zumindest nicht im ausreichendem
Masse beachten.
Die Bedrohungen bezüglich Daten, Software und Hardware, denen ein Unternehmen
ausgesetzt ist und die es so weit wie möglich abzuwenden gilt, sind sehr zahlreich. Die
folgende Behandlung dieser Gefahren stellt keinen Anspruch auf Vollständigkeit. Es wird
lediglich versucht, durch beispielhafte Erklärungen einen Überblick über die Vielfältigkeit
und Komplexität der potentiellen Gefahren zu schaffen. Dabei werden nicht nur Gefahren
behandelt, die in direktem Zusammenhang mit dem Datenschutz stehen. Es wird versucht,
überblicksartig die weitreichende Bandbreite aller Bedrohungen darzustellen,
denen ein Unternehmen im Zuge des EDV-Einsatzes ausgesetzt ist.
Die potentiellen Gefahren werden dabei anhand ihrer Einteilung nach den Kriterien entsprechend
der nachfolgenden Tabelle betrachtet [PiFl96]:
12

Systematische Vergabe von Benutzerzugriffsberechtigungen
Gefahrenquellen Gefährdungsarten Computeranomalien
- Katastrophen und
natürliche Schäden
- Mangelhafte Planung
und Organisation
- Menschliches Versagen
- Kriminelle Handlungen
- Arbeitsorganisatorische
Gefährdungen
- Technische Gefährdungen
- Wirtschaftliche und
sonstige Gefährdungen
Abb. 3: Gefahreneinteilung anhand unterschiedlicher Kriterien
2.2.1 Gefahrenquellen
2.2.1.1 Katastrophen und natürliche Schäden
Dazu gehören unter anderem die folgenden Gefahren:
- Wanze
- Trojanisches Pferd
- Wurm
- Computervirus
- Logische Bombe
- Hintertür
- Schläfer
- Krebs
• Feuer (z. B. Kabelbrände, brennende Papierkörbe, usw.)
• Explosionen
• Löschschäden (Diese können beispielsweise durch die falsche Handhabung von
Löschgeräten oder durch ungeeignete Feuerlöscher verursacht werden.)
• Naturkatastrophen (z. B. Überschwemmungen, Erdbeben)
• Umweltgefahren (z. B. hohe Luftfeuchtigkeit, große Hitze oder Kälte, starke Sonneneinstrahlung,
u. ä.)
• Stromausfall
• Magnetische Felder (Diese können etwa durch Transformatoren, Motoren, Lastenmagnete
oder Induktionsöfen hervorgerufen werden.)
Viele der oben genannten Beispiele werden häufig zu dem Begriff „Höhere Gewalt“ zusammengefasst,
worunter man jene Katastrophen versteht, deren Eintreten der Mensch
nicht direkte beeinflussen kann. Dazu gehören Erdbeben, Blitzschlag, Hochwasser, usw.
2.2.1.2 Mangelhafte Planung und Organisation
Verlust der Beweglichkeit
Basiert der EDV-Einsatz in einem Betrieb auf mangelhafter Planung, so kann das zu einer
Behinderung des betrieblichen Ablaufs führen.
Abhängigkeit von Spezialisten
Wird für einen EDV-Anwender ein individuelles Programm entwickelt, und zwar unabhängig
davon, ob dies auf speziellen Wunsch des Anwenders oder auf Anraten des
Softwareherstellers geschieht, dann entsteht daraus oft eine zu starke Abhängigkeit von
einer bestimmten Person oder von einem einzelnen Softwareunternehmen. Treten in einem
solchen Fall Probleme auf, dann ist man der Person bzw. dem Unternehmen zumeist
hilflos ausgeliefert. Die schlimmsten Folgen aus einem derartigen Sachverhalt entstehen
dann, wenn die betreffende Softwarefirma ihre Tätigkeit einstellt.
Fehlerhafte Programme und Systeme
Viele EDV-Anwender erwerben sog. Billigsysteme, deren Systemzukunft nur schwer einschätzbar
ist, um Kosten zu sparen, setzen sich damit aber häufig der Gefahr von
mangelhafter Unterstützung bei der Wartung und bei anfallenden Servicetätigkeiten aus.
13

Systematische Vergabe von Benutzerzugriffsberechtigungen
Unzureichende Kontrolle
Wenn bei der Planung und Durchführung eines EDV-Projektes ein entsprechendes Kontrollinstrument
fehlt, dann besteht häufig die Gefahr einer Termin- bzw.
Kostenüberschreitung.
Fehlende Investitionen
Werden im Budgetplan für EDV-Projekte die Kosten für Wartung, Service, Aus- und Weiterbildung,
Störungen, usw. nicht oder nicht ausreichend berücksichtigt, so kann es dazu
kommen, dass zu einem späteren Zeitpunkt enorme Folgekosten auftreten, die in Extremfällen
das betreffende Unternehmen in ernsthafte, finanzielle Schwierigkeiten bringen
können.
2.2.1.3 Menschliches Versagen
Hierzu gehören alle Gefahren, die unmittelbar von menschlichen EDV-AnwenderInnen
ausgehen. Einige Beispiele dafür sind:
Unsachgemäße Handhabung von EDV-Systemen
Hierunter fällt z. B. die fachliche Überforderung, die in so manchen Fällen während des
EDV-Einsatzes zu Tage tritt, und wovon häufig, jedoch nicht ausschließlich, ältere Mitarbeiter
betroffen sind. Das Auftreten von EDV-bedingter Überforderung lässt sich sehr oft
daran erkennen, dass passiver Widerstand geleistet wird oder dass das alte System parallel,
jedoch versteckt, weiterbetrieben wird.
Unqualifizierte Bedienung der EDV-Anlage durch Fremdpersonal
Werden personelle Engpässe durch den temporären Einsatz von Fremdpersonal überbrückt,
dann besteht die Gefahr von Fehlbedienungen, da das Fremdpersonal mit dem
betriebsspezifischen EDV-System zumeist nicht vertraut ist.
Operator-Fehler
Der EDV-Operator bzw. EDV-Administrator ist für die Systembetreuung zuständig. Er
muss dafür sorgen, dass das EDV-System ordnungsgemäß funktioniert. Etwaige Fehler
des EDV-Operators können zum Verlust von Daten oder Programmen führen, und im
schlimmsten Fall können auch Hardware- und Softwarezusammenbrüche eintreten.
2.2.1.4 Kriminelle Handlungen
Beispiele für kriminelle Handlungen sind:
• Sabotage
• Vandalismus
• Diebstahl
- Nutzung der EDV-Anlage durch unberechtigte Außenstehende
- Diebstahl von Programmen beispielsweise durch Kopieren
- Erstellung von Programmen für Kollegen oder gegen Bezahlung für Dritte
auf Kosten des Unternehmens
• Unterschlagung
• Betrug
14

Systematische Vergabe von Benutzerzugriffsberechtigungen
• Spionage: Von der Gefahr der Spionage sind in erster Linie High-Tech-Firmen bedroht,
die wichtige Labordaten oder Konstruktionen im EDV-System gespeichert
haben. Bei einem Datendiebstahl durch Spionage kann ein vorhandener Technologievorsprung
mit einem Schlag zunichte gemacht werden.
• Manipulation (z. B. das Ändern von Datenbeständen oder Programmen)
Ehemalige Mitarbeiter werden häufig als Sicherheitslücke vernachlässigt, können aber
sehr oft ein hohes Sicherheitsrisiko für den ehemaligen Arbeitgeber darstellen [Szel01].
2.2.2 Gefährdungsarten
2.2.2.1 Arbeitsorganisatorische Gefährdungen
Zu den arbeitsorganisatorischen Gefährdungen gehören der unberechtigte Zugang zu
Räumlichkeiten und Systemen, die unzulässige Nutzung von Hard- und Software, Gefährdungen
durch eine unzureichende Kontrolle und die unzulässige Datenweitergabe.
Die Gefahr eines unberechtigten Zugangs ist beispielsweise gegeben, wenn kein Zugangsnachweis
erbracht werden muss oder wenn Datenträger häufig ungeschützt an frei
zugänglichen Orten aufbewahrt werden.
Bei einer mangelhaften Identifikation der Person gegenüber dem System oder wenn die
unzulässige private Nutzung von Teilen des EDV-Systems leicht möglich ist, dann spricht
man von einer Gefährdung durch unzulässige Nutzung.
Von der Gefahr der unzureichender Kontrolle spricht man etwa bei mangelnder Programm-
und Softwaresystemwartung oder bei einer gegebenen Abhängigkeit vom
Programmhersteller.
Eine unzulässige Datenweitergabe wird z. B. durch eine unzureichende Funktionstrennung
oder durch die einfache Möglichkeit der Datenweitergabe mittels Disketten,
Ausdrucken, usw. ermöglicht.
2.2.2.2 Technische Gefährdungen
Unzureichende Protokollierung, unzulässigen Zugriff und Mehrfachspeicherung bilden
gemeinsam die Gruppe der technischen Gefährdungen.
Die Gefahr der unzureichenden Protokollierung tritt z. B. dann auf, wenn die automatische
Protokollierung aller Systemaktivitäten fehlt oder wenn die Eingaben der Anwender nicht
mitprotokolliert werden.
Eine Gefährdung durch unzulässigen Zugriff entsteht durch mangelnde Zugriffsbeschränkungen,
durch eine fehlende Zugriffsprotokollierung oder auch durch die ständige
Verfügbarkeit von Daten und Programmen auf der Festplatte.
Die Gefahr der Mehrfachspeicherung ist beispielsweise dann gegeben, wenn aufgrund
der Eigenverantwortlichkeit der Anwender der Datenbestand unkontrolliert wächst.
2.2.2.3 Wirtschaftliche und sonstige Gefährdungen
In die Gruppe der wirtschaftlichen und sonstigen Gefährdungen fallen schließlich die unkontrollierte
Beschaffung, die Nichterfüllung datenschutzrechtlicher Anforderungen, der
Verlust durch höhere Gewalt, Verluste durch verbrecherische Handlungen sowie Verluste
durch Unachtsamkeit, mangelndes Problembewusstsein und mangelnde Maßnahmenakzeptanz.
15

Systematische Vergabe von Benutzerzugriffsberechtigungen
Die Gefahr der unkontrollierten Beschaffung entsteht durch das Fehlen von geeigneten
Kontrollmechanismen beim Ankauf von Hard- und Software oder generell durch die Beschaffung
von wirtschaftlich ineffizienten oder inkompatiblen Systemen.
Die Gefahr, durch verbrecherische Handlungen Verluste hinnehmen zu müssen, basiert
auf vorsätzlicher Gewalt, Manipulation oder Diebstahl.
Verluste durch Unachtsamkeit werden häufig durch fehlerhafte Bedienung oder Nachlässigkeit
hervorgerufen.
Mangelndes Datenschutzbewusstsein, eine unzureichende Ausbildung des Personals, die
fehlende Akzeptanz und das Nichteinhalten der Datenschutzmaßnahmen durch das Personal,
usw. führen schließlich zur Bedrohung durch mangelndes Problembewusstsein und
mangelnde Maßnahmenakzeptanz.
2.2.3 Computeranomalien
Computeranomalien bezeichnen eine Reihe von Programmen oder Programmteilen, die
mit der Absicht entworfen und in Umlauf gebracht werden, verschiedenartige Softwaremanipulationen
durchzuführen.
Wanze
Eine Wanze ist ein Programmfehler, der z. B. durch eine falsch programmierte Programmroutine
entsteht und unter bestimmten Bedingungen Daten verfälscht oder zerstört.
Trojanisches Pferd
Ein trojanisches Pferd führt auf Benutzerebene alle gewünschten Funktionen in erwarteter
Weise aus, besitzt darüber hinaus aber eine verborgene Funktionalität, die während des
normalen Programmablaufs in Erscheinung tritt, und die für den Manipulanten die Möglichkeit
zu unerlaubtem Handeln bietet.
Wurm
Ein Wurm ist ein eigenständig lauffähiges Programm, das in der Lage ist, sich über ein
Netzwerk in andere Rechner zu vervielfältigen. Ein Wurm kann Viren oder trojanische
Pferde enthalten, die dann auf fremden Rechnern aktiv werden.
Computervirus
Beim Computervirus handelt es sich um die wohl bekannteste Form einer Computeranomalie,
was darauf zurückzuführen ist, dass Computerviren auch immer wieder in den
Medien auftauchen, weil durch sie häufig enorme wirtschaftliche Schäden entstehen. Ein
Computervirus ist im Gegensatz zum Wurm kein eigenständiges Programm. Er besteht
aus einer Befehlsfolge und benötigt ein sog. Wirtsprogramm, um seine verborgene Funktion
zu entfalten. Wird nun diese Befehlsfolge ausgeführt, dann wird der Virus in eine oder
mehrere, bis dahin nicht infizierte, Datei bzw. Dateien kopiert, oder es werden Mutationen
in einem Speicherbereich hervorgerufen. Als zusätzliche Funktion kann der Computervirus
z. B. einen Schadenteil enthalten, der beim Eintreten eines bestimmten Ereignisses
(nach Erreichen eines bestimmten Datums, Start einer speziellen Anwendung, usw.) aktiviert
wird. Die Funktionalität des Schadenteils besteht häufig darin, dass die Festplatte
formatiert wird und dadurch alle Daten auf dem betreffenden Computer zerstört werden,
was auch die bereits erwähnten, hohen Schadensausmasse erklärt.
16

Systematische Vergabe von Benutzerzugriffsberechtigungen
Logische Bombe
Eine logische Bombe ist ein lauffähiges Programm, das die gewünschte Funktion solange
korrekt ausführt, bis eine vorgegebene Bedingung des Manipulanten erfüllt ist, die eine
Fehlfunktion mit bestimmten Folgen (Löschen des Speicherinhalts, Zerstörung von Programmen,
usw.) auslöst.
Hintertür
Eine Hintertür ermöglicht den nichtautorisierten Zugang zu einem EDV-System. Zugangs-
und Berechtigungsprüfungen werden damit umgangen und unzulässige Privilegien können
dadurch angeeignet werden. Die Hintertür kann z. B. durch die Eingabe einer
speziellen Zeichenfolge aktiviert werden.
Schläfer
Schläfer sind Teile eines Programms, die erst zu einem späteren Zeitpunkt wirksam werden,
und dann einen Datenverlust oder gezielte Fehlfunktionen auslösen.
Krebs
Ein Krebs modifiziert vorhandene Programme oder Datenbestände in stetig wachsendem
Ausmaß.
2.3 Maßnahmen zur Gefahrenabwehr und Gefahrenvermeidung
Wie das vorangegangene Kapitel deutlich erkennen lässt, ist die Liste der potentiellen
Gefahren für die NutzerInnen von EDV-Systemen sehr lang, und dieser Umstand stellt
entsprechend große Anforderungen an die verantwortlichen Personen jener Betriebe, in
denen Informationstechnologie zum Einsatz kommt. Hier sollte es in jedem Fall ein Ziel
sein, ein EDV-System mit jenen Voraussetzungen auszustatten, mit denen ein möglichst
hohes Maß an Sicherheit erreicht werden kann.
Nachfolgend werden einige Sicherheitsmaßnahmen angeführt, die in der Praxis bereits
zum Einsatz kommen, um den Datenschutz und die Datensicherheit zu erhöhen. Dabei
wird zwischen hard- und softwaretechnischen Maßnahmen einerseits und baulichen und
organisatorischen Maßnahmen andererseits unterschieden.
2.3.1 Hard- und softwaretechnische Maßnahmen
• Service- und Wartungsverträge mit möglichst kurzen Reaktionszeiten seitens der
Hersteller
• Erstellen von Programmen in Teamarbeit und nicht durch Einzelpersonen
• Firewall (zum Schutz vor Angriffen über Netzverbindungen)
• Proxy-Server (zum Schutz vor böswilligen Programmen bzw. Programmteilen)
• VPN (Virtual Private Network): Dabei handelt es sich um ein besonders
geschütztes Netzwerk, das sich allerdings öffentlicher
Kommunikationseinrichtungen bedient.
• Virensuchprogramme: Das sind spezielle Programme, die EDV-Systeme nach
bekannten Viren durchsuchen, und diese gegebenenfalls isolieren oder löschen.
2.3.2 Bauliche und organisatorische Maßnahmen
17

Systematische Vergabe von Benutzerzugriffsberechtigungen
• Feuermelder
• Alarmanlagen
• EDV-gerechtes Löschsystem
• Absicherung der EDV-Anlage mit Thermoschutz und FI-Schutz
• Automatisches Pumpenkonzept
• Kein unbeaufsichtigtes Arbeiten von Fremdpersonen einschließlich nichtautorisierter
Personen in EDV-Räumen (Zugangskontrolle)
• Beauftragung einer verantwortlichen Person, die EDV-sicherheitstechnische Belange
wahrnimmt. Dieser Sicherheitsbeauftragte überwacht jedes EDV-Projekt und
den laufenden EDV-Einsatz in Hinsicht auf Datenschutz und Datensicherheit.
• Ausstattung der Hard- und Software mit geeignetem Zugriffsschutz
18

Systematische Vergabe von Benutzerzugriffsberechtigungen
3 Zugangskontrolle und Zugriffsschutz
3.1 Begriffsabgrenzungen
3.1.1 Zugangskontrolle
Das primäre Ziel einer Zugangskontrolle ist die Sicherstellung, dass nur berechtigte Personen
bestimmte Bereiche eines Unternehmens betreten dürfen. In Hinblick auf
Datenschutz und Datensicherheit sind das jene Räumlichkeiten, in denen mit geheimen
oder vertraulichen Daten gearbeitet wird.
Die Zugangskontrolle identifiziert die BenutzerInnen anhand der jeweils eingesetzten Methode,
also aufgrund des eingegebenen Passworts, auf der Basis bestimmter
Körpermerkmale oder durch die Daten auf einer Chipkarte bzw. Magnetkarte. Nach erfolgter
und erfolgreicher Identifizierung erlaubt die Zugangskontrolle gemäß vorher definierten
Rechten den Zutritt zu den entsprechenden Räumlichkeiten.
Der Vorgang der Zugangskontrolle setzt sich aus den Schritten Identifikation, Authentisierung
und Protokollierung zusammen [Petz96].
Die Identifikation besteht in der Verknüpfung einer Person mit deren Identität oder Pseudoidentität.
Die Authentisierung als wesentlicher Schritt der Zugangskontrolle prüft, ob die
vorgegebene Identität eindeutig zu einer Person gehört. Diese Prüfung kann durch verschiedene
Authentisierungsmechanismen verifiziert werden. Sie kann entweder durch
Wissen erfolgen, d. h. durch die Abfrage einer nur der jeweiligen Person bekannten Information
(Passwort). Eine weitere Möglichkeit ist die Authentisierung durch Besitz, die
durch den Einsatz von Chipkarten oder Magnetkarten realisiert wird. Die dritte Möglichkeit
besteht schließlich darin, den erforderlichen Authentifizierungsnachweis durch auszeichnende
physiologische oder verhaltenstypische Charakteristika der Person zu erbringen.
Die Protokollierung als letzter Schritt der Zugangskontrolle übernimmt die Aufgabe, alle
Zutritte mit der Kennung der Person, der Zutrittszeit und der Verweildauer aufzuzeichnen.
Die Zugangskontrolle bezieht sich sowohl auf unbefugte Angehörige des jeweiligen Unternehmens
als auch auf betriebsfremde Personen und Besucher. Es gibt hier speziell
zwei Möglichkeiten, um einem Besucher von vornherein die Chance zu verwehren, vertrauliche
Daten bewusst oder unbewusst auszuspähen:
1. Die Einrichtung von Besucherzonen oder Besucherzimmern
2. Der Besucher darf nicht alleine gelassen werden!
3.1.2 Zugriffskontrolle
Die Zugriffskontrolle auf ein System beruht auf einer Menge von Zugriffsregeln, die festlegen,
wer auf welches Objekt zugreifen kann. Sie erlaubt dadurch den Zugriff auf Daten
und Programme, die sich auf einem Rechner oder in einem EDV-System befinden, und ist
damit ein wichtiges Instrument für einen Systemadministrator oder Netzwerkverwalter, um
zu regeln, welche Personen auf welche Dateien zugreifen können und welche Personen
welche Programme ausführen können.
19

Systematische Vergabe von Benutzerzugriffsberechtigungen
Die Zugriffskontrolle schließt dabei chronologisch an die Zugangskontrolle an. Durch die
technisch bereits sehr fortgeschrittenen Netzwerksysteme, wie das Internet, das weltweit
unzähligen Betrieben und Privatpersonen zur Verfügung steht, wird der Stellenwert der
Zugriffskontrolle immer wichtiger, da die persönliche Anwesenheit häufig nicht mehr erforderlich
ist, um an wichtige Daten gelangen zu können. Diesem Umstand folgend und
aufgrund der Tatsache, dass bei der Zugangskontrolle und beim Zugriffsschutz häufig auf
dieselben oder ähnliche Schutzmechanismen zurückgegriffen wird, beziehen sich die
nachfolgenden Abschnitte der vorliegenden Arbeit nicht nur auf den Zugriffsschutz, sondern
auch auf die Zugangskontrolle.
3.2 Passwort-Management
3.2.1 Die Funktionsweise von Passwortsystemen
Die in der Praxis mit Abstand am häufigsten eingesetzte Sicherheitsmaßnahme im EDV-
Bereich ist der Passwortschutz, der zum Schutz von Rechnern und Programmen, aber
auch bei Geldausgabeautomaten oder Türöffnern eingesetzt wird.
Das Passwort „... ist ein individuelles Kennwort, mit dem sich ein Anwender dem System
gegenüber (Rechner, Programm) als zugriffsberechtigt ausweist [Adam95, 85].“
Es ist eine Zeichenfolge und wird in der Regel vom Anwender selbst vergeben, kann in
Ausnahmefällen jedoch auch vom jeweiligen Vorgesetzten oder vom zuständigen Systemadministrator
vergeben werden.
Bevor ein mit Passwortschutz versehenes Programm oder Computersystem gestartet
werden kann, muss der Anwender für gewöhnlich seine Benutzerkennung bzw. seinen
Namen und ein Passwort eingeben. Die Eingabe einer Benutzerkennung ist nicht bei allen
Passwortsystemen erforderlich. Die meisten der verwendeten Passwortsysteme erlauben
nur die Eingabe einer geringen Anzahl von fehlerhaften Passwörtern und sperren nach
dem letztmöglichen Versuch die Anwendung, wodurch keine weitere Eingabe erlaubt wird.
Erst der Systemadministrator, oder auch der EDV-Leiter, kann nach Prüfung der gegebenen
Umstände das gesperrte Programm für den betreffenden Benutzer wieder freigeben.
Hat der Benutzer sein bestehendes Passwort vergessen, dann wird im Zuge der Freischaltung
ein neues Passwort vergeben. Bei vielen Systemen wird dem
Systemadministrator schon die Möglichkeit eingeräumt, die Anzahl der möglichen Fehleingaben
selbst festzulegen.
Ein Passwortsystem führt oft ein sogenanntes Logbuch, in dem jeder Zugriff mit Datum,
Zeitangabe und der Benutzerkennung der zugreifenden Person gespeichert wird. Werden
die Daten des jeweils letzten Zugangs außerdem bei jeder neuerlichen Anmeldung am
Bildschirm angezeigt, dann ist der betreffende Anwender (oder der Systemadministrator)
in der Lage, sehr leicht zu erkennen, ob sich jemand unberechtigt auf dem Rechner zu
schaffen gemacht hat.
Ein Passwort sollte in bestimmten, unregelmäßigen Abständen geändert werden. In einigen
Systemen kann der Systemadministrator auch bestimmte Intervalle festlegen, nach
deren Ablauf die vergebenen Passwörter geändert werden müssen. Ist der Zeitpunkt der
Änderung gekommen, dann wird der Anwender vom System dazu aufgefordert, ein neues
Passwort zu vergeben.
20

3.2.2 Eigenschaften von Passwörtern
Systematische Vergabe von Benutzerzugriffsberechtigungen
Um den Zugriffsschutz, der durch den Einsatz eines Passwortsystems angestrebt wird,
realisieren zu können, ist er erforderlich, dass sowohl die Passwörter selbst als auch das
Passwortsystem einige Eigenschaften erfüllen. Als wichtigste dieser Eigenschaften können
die folgenden genannt werden:
1. Ein Passwort soll lang sein, sehr häufig wird eine Mindestlänge von sechs oder
sieben Zeichen empfohlen bzw. festgelegt.
2. Das Passwort soll aus einer Kombination aus Buchstaben, Ziffern und Sonderzeichen
bestehen und als solche keine Bedeutung aufweisen. Es soll also vermieden
werden, herkömmliche Wörter des Sprachgebrauchs als Passwörter einzusetzen.
3. Das Passwort soll jederzeit änderbar sein und auch regelmäßig geändert werden.
4. Es soll von den AnwenderInnen nirgends notiert werden.
5. Das Passwort soll in Gegenwart anderer Personen immer geschützt in das Eingabegerät
eingegeben werden.
6. Die Anzahl möglicher Fehlversuche soll auf n Versuche begrenzt und der betreffende
Benutzer nach n erfolglosen Anmeldeversuchen gesperrt werden.
7. Das Passwort soll geschützt zur prüfenden Stelle übertragen werden, und auch
die Überprüfung und Speicherung sollen durch einen Schutzmechanismus (z. B.
Verschlüsselung) abgesichert werden.
Der Sicherheitsbeauftragte bzw. der Systemadministrator eines Unternehmens sollte einerseits
selbst bei der Einführung eines Passwortsystems die angeführten Eigenschaften
beachten und andererseits alle SystembenutzerInnen dahingehend anweisen, ihre Passwörter
entsprechend der geforderten Eigenschaften zu wählen und auch in ihrer täglichen
Arbeit mit Daten und Passwörtern auf die nötige Sorgfalt zu achten.
3.2.3 Vorteile von Passwortsystemen
Der Passwortschutz als sehr häufig eingesetzte Methode der Zugriffskontrolle bietet u. a.
folgende Vorteile:
1. Ein Passwortsystem ist die mit Abstand kostengünstigste und am einfachsten zu
realisierende aller bestehenden Systeme der Zugriffskontrolle.
2. Die Anwender sind meist mit dem Umgang mit Passwörtern vertraut. Häufig ist nur
eine kurze Einweisung nötig, und es bedarf keiner speziellen Kenntnisse, um mit
einem Passwortsystem arbeiten zu können.
3. Der Passwortschutz ist eine sehr weit verbreitete Methode der Zugriffskontrolle,
woraus der Vorteil resultiert, dass es dafür sehr viele Anbieter und Standards gibt,
und dass außerdem sehr viele Erfahrungen mit derartigen Systemen vorliegen.
4. Passwortsysteme sind in der Regel sehr einfach zu administrieren. Dieser Vorteil
verwandelt sich aber sehr schnell ins Gegenteil, wenn ein Betriebssystem oder eine
Standardanwendung eingesetzt wird, deren Passwortsystem aufgrund hoher
Komplexität, Kompliziertheit oder Undurchschaubarkeit nur mit hohem Aufwand
administrierbar ist.
3.2.4 Nachteile von Passwortsystemen
Den erwähnten Vorteilen von Passwortsystemen können die folgenden Nachteile gegenübergestellt
werden:
21

Systematische Vergabe von Benutzerzugriffsberechtigungen
1. Die EDV-Anwender müssen sich das gewählte Passwort merken. Dazu kommt
noch, dass sich ein Anwender nicht nur eines, sondern meist mehrere, verschiedene
Passwörter merken muss, wenn zum Beispiel ein Netzwerk und
verschiedene Anwendungsprogramme mit unterschiedlichen Passwortsystemen
geschützt sind und der Anwender verschiedene Passwörter vergibt, um ein möglichst
hohes Maß an Zugriffsschutz zu erreichen. Außerdem erfordert die
technisierte Welt von heute vielerorts auch im Privatleben den Gebrauch von verschiedenen
Passwörtern, Pincodes und dgl. Der Umstand, sich gleichzeitig
mehrere Passwörter merken zu müssen, führt in der Praxis häufig dazu, dass Anwender
für verschiedene Programme dasselbe Passwort vergeben oder einfache
Begriffe als Passwörter wählen, die sie sich dann leichter merken können. Es
kommt auch immer wieder vor, dass Anwender ihre Passwörter notieren, was natürlich
eine zusätzliche Sicherheitslücke bedeutet.
2. Ein EDV-Anwender kann sein Passwort sehr leicht an eine unautorisierte Person
weitergeben.
3. Das Passwort kann unter bestimmten Umständen herausgefunden werden. Vor allem,
wenn die Anzahl möglicher Falschanmeldungen nicht nach oben begrenzt ist,
besteht die Gefahr, dass durch Probieren, durch genaues Beobachten während
der Eingabe oder mit Hilfe eines Passwortsuchprogramms das Passwort herausgefunden
wird. Weitere Möglichkeiten, um an Passwörter zu gelangen, sind das
Abhören der Übertragungsleitung oder das Auslesen der Datei, in der das Passwort
gespeichert ist.
3.3 Biometrische Methoden
3.3.1 Begriffserklärung
Unter Biometrie versteht man laut Lexikon die „Lehre der Anwendung mathematischer,
statistischer Methoden auf die Mess- und Zahlenverhältnisse der Lebewesen und ihrer
Einzelteile“.
Bezogen auf die EDV, und hier in erster Linie auf Systeme der Zugangs- und Zugriffskontrolle,
steht die Biometrie für „... ein Synonym für den Identitätsnachweis von Personen
unter Verwendung ihrer individuellen, körperlichen Merkmale [Ruef00]“. Diese Definition
kann um den Aspekt der Verwendung von spezifischen Verhaltensweisen einzelner Personen
ergänzt werden, denn es gibt auch biometrische Methoden, die nicht nur punktuelle
Merkmale, sondern auch das Verhalten von Personen erkennen und für die Authentisierung
verwenden.
3.3.2 Funktionsweise biometrischer Methoden
3.3.2.1 Grundsätzlicher Ablauf
Ein biometrisches System zur Zugangs- und Zugriffssteuerung von Räumlichkeiten, EDV-
Systemen, Anwendungen, usw. funktioniert auf die folgende Art und Weise:
Wenn sich eine Person am System identifiziert bzw. versucht, sich zu identifizieren, dann
werden zunächst die der eingesetzten, biometrischen Methode entsprechenden, biometrischen
Merkmale der Person aktuell erhoben. Diese Merkmale werden dann in
komprimierte Datensätze umgewandelt.
22

Systematische Vergabe von Benutzerzugriffsberechtigungen
Die entstandenen Datensätze, die die Musterinformationen der Originaldaten enthalten,
werden anschließend mit Referenzdatensätzen der betreffenden Person verglichen, und
bei entsprechender Übereinstimmung wird der Zugang bzw. der Zugriff durch das System
gewährt.
Die oben erwähnten Referenzdaten müssen in der sog. „Einlernphase“ für alle Benutzer
erfasst werden, um bei späteren Anmeldeversuchen für den erforderlichen Vergleich zur
Verfügung zu stehen. In der Einlernphase werden die biometrischen Daten der Benutzer
meist mehrfach mit Hilfe von Sensoren erfasst, digitalisiert und schließlich in komprimierte
Referenzdatensätze umgewandelt. Das Einlernen kann einmalig vor der Nutzung stattfinden,
es gibt aber auch Systeme, die adaptiv arbeiten, d. h. auch bei sich ändernden
Merkmalen, z. B. durch den Alterungsprozess, bleibt die Funktionalität der biometrischen
Verfahren erhalten, ohne neuerlich einlernen zu müssen.
Bei den biometrischen Verfahren wird zwischen der Verifikation und der Identifikation unterschieden:
- Bei der Verifikation werden die Eingangsdaten mit den Referenzdaten jener Person
verglichen, für die sicher der Nutzer ausgibt, um dessen Identität zu
bestätigen.
- Bei der Identifikation wird durch einen 1:n-Vergleich der Eingangsdaten mit den
gespeicherten Referenzdaten vieler Benutzer versucht, die Identität einer bestimmten
Person festzustellen.
3.3.2.2 Fehlertoleranz
Die Fehlertoleranz bezeichnet die maximale Differenz zwischen den aktuell festgestellten,
biometrischen Daten und den zugehörigen Referenzdaten, bei der die sich anmeldende
Person noch als solche erkannt wird. Innerhalb dieser Toleranz wird einer Person also der
gewünschte Zugang bzw. Zugriff gewährt.
Die Festlegung einer bestimmten Fehlertoleranz ist wichtig, weil dadurch die Erkennungsrate
des Verfahrens bestimmt wird. Die Erkennungsrate sagt aus, wie viele der
gespeicherten Benutzer als solche erkannt werden. Ist die gewählte Toleranz zu klein,
dann werden auch berechtigte Benutzer abgewiesen, was sich negativ auf die Akzeptanz
des Systems auswirken kann. Ist die Fehlertoleranz zu groß, dann wird möglicherweise
einem unberechtigten Benutzer Zugang oder Zugriff gewährt, was dazu führt, dass die
Zuverlässigkeit des Systems in Frage gestellt wird.
Als Maß für die Leistungsfähigkeit eines biometrischen Verfahrens kann die Gleichfehlerrate
herangezogen werden, bei der die Zahl der fälschlich abgewiesenen Personen mit
der Zahl der fälschlich akzeptierten Personen übereinstimmt. Diese Gleichfehlerrate fiel
bei praktischen Erprobungen des Fingerabdruckverfahrens im Promillebereich aus, bei
anderen Verfahren sollen sogar schon Ergebnisse mit der Gleichfehlerrate Null erzielt
worden sein.
3.3.2.3 Referenzdatenverwaltung
Der Grad der Datensicherheit, die bei biometrischen Verfahren erreicht werden kann,
hängt in hohem Maß vom Schutz der Referenzdaten und Vergleichsmechanismen ab. Als
Speicherort für die biometrischen Referenzdatensätze fungieren entweder das Lesegerät
selbst als lokaler Speicher, ein zentraler Speicherort im Netzwerk oder eine Chip- bzw.
Magnetkarte [ScWe00].
23

Systematische Vergabe von Benutzerzugriffsberechtigungen
Werden alle Referenzdaten lokal im Lesegerät gespeichert, dann bietet das Vorteile bezüglich
der Geschwindigkeit, bringt allerdings auch einige Nachteile und Gefahren mit
sich. Ein wichtiger dieser Nachteile ist die eingeschränkte, lokale Einsetzbarkeit. Beim
Einsatz mehrerer derartiger Geräte und einem anfallenden Update erhöht sich zudem der
Wartungsaufwand erheblich, da das Update bei allen Geräten einzeln durchgeführt werden
muss. Außerdem birgt die Form der lokalen Speicherung die Gefahr, bei Defekten
oder Diebstählen alle Daten zu verlieren.
Bei der zentralen Speicherung werden alle Referenzdaten auf einem Server gespeichert,
auf den alle eingesetzten Geräte zugreifen können, was auch den laufenden Wartungsaufwand
minimiert. Der Verlust eines Lesegerätes würde zudem ein deutlich geringeres
Schadensausmaß bedeuten als im Fall eines Gerätes mit lokal gespeicherten Referenzdaten.
Bei der zentralen Speicherung muss jedoch ein sehr hohes Maß an
Datensicherheit gewährleistet werden. Das betrifft sowohl den Server selbst als auch das
Netzwerk, über das die Referenzdaten vom Server in das Lesegerät, oder umgekehrt,
transportiert werden.
Bei der dritten Möglichkeit der Referenzdatenspeicherung werden diese auf einer Chipkarte
oder einer Magnetkarte gespeichert. Jeder Benutzer verwendet die Chipkarte mit
seinen Referenzdaten dazu, seine Identität nachzuweisen. Diese Vorgehensweise bietet
den Vorteil, dass die Möglichkeit zur Verifizierung nicht auf lokale Netze beschränkt ist, da
alle Personen ihre persönlichen Gegenmuster überall hin mitnehmen können, und für die
Art der Speicherung sind auch keine besonderen Datenschutzmaßnahmen erforderlich.
Negative Auswirkungen könnte diese Methode unter Umständen auf die Akzeptanz durch
die AnwenderInnen haben, da sie für jede Anmeldung ihre Chipkarte benötigen, was aus
Sicht der Benutzerfreundlichkeit häufig als nachteilig empfunden wird. Die Chipkarte ist
auch jederzeit dem Verlust durch Verlieren, Verlegen oder Diebstahl ausgesetzt. Der Einsatz
dieser Art der Referenzdatenspeicherung setzt daher eine entsprechende Sorgfalt
und Disziplin bei den AnwenderInnen voraus.
3.3.3 Verfahren biometrischer Identifikation bzw. Verifikation
Nachfolgend werden verschiedene Verfahren der Biometrie erläutert, und es wird versucht,
die wichtigsten Vor- und Nachteile der jeweiligen Methode herauszustreichen.
3.3.3.1 Fingerabdruckverfahren
Das Fingerabdruckverfahren basiert auf der Tatsache, dass kein Fingerabdruck einem
anderen gleicht. Zum Erfassen der Fingerabdrücke werden zwei unterschiedliche Methoden
eingesetzt. Während bei der optischen Variante die Fingerspitzen von Scannern
aufgenommen werden, wird bei der kapazitiven Variante die Haut in einem elektrischen
Verfahren durch Sensoren vermessen, wobei die Fingerabdrücke nicht als ganzes gespeichert
werden, sondern eine Reduktion auf ihre wesentlichen Merkmale stattfindet.
Wesentliche Merkmale sind etwa die Position und Richtung der Linien sowie deren Enden
und Verzweigungen.
Die Vorteile des Fingerabdruckverfahrens liegen in der hohen Fälschungssicherheit und in
niedrigen Anschaffungskosten des Systems verglichen mit anderen biometrischen Systemen.
Als weiterer Vorteil kann die Benutzerfreundlichkeit genannt werden.
24

Systematische Vergabe von Benutzerzugriffsberechtigungen
Die geringe Benutzerakzeptanz, die aus der Kenntnis über den Einsatz von Fingerabdruck-Systemen
durch die Exekutive bei der Suche nach Verbrechern resultiert, stellt
einen der größten Nachteile solcher Systeme dar, da Benutzer dadurch sehr schnell ihre
Persönlichkeitsrechte gefährdet sehen.
3.3.3.2 Gesichtsgeometrie
Bei dieser Methode werden die charakteristischen Merkmale der Gesichtszüge zur Identifikation
herangezogen. Die Gesichter der Benutzer werden mittels Videokamera
aufgezeichnet und das Ergebnis danach entsprechend ausgewertet.
Als Vorteil für dieses System kann dessen berührungsfreie Durchführung genannt werden.
Als nachteilig erweist sich jedoch der Umstand, dass derartige Systeme auch zur Identifizierung
von Personen in der Öffentlichkeit eingesetzt werden, was datenschutzrechtlich
zu Problemen führen kann, und folglich auch die Akzeptanz durch die Benutzer hemmt.
Außerdem sind für Gesichtsgeometrieverfahren umfangreiche Datensätze und sehr
schnelle, also auch dementsprechend kostenintensive Computersysteme erforderlich.
3.3.3.3 Handgeometrie
Hier werden mit Hilfe eines geeigneten Abtastgerätes entweder die genauen Masse der
Hand registriert, oder es werden Systeme eingesetzt, die ein Venenbild der Hand liefern.
Ein Vorteil dieser Technologie ist, dass sie schon seit mehr als zehn Jahren im Einsatz ist,
und man daher auf entsprechende Erfahrungen zurückgreifen kann.
Ein nachteiliger Aspekt ist aber, dass dieses Verfahren nicht hundertprozentig sicher ist,
obwohl keine Hand einer anderen gleicht. So können zum Beispiel die Länge und ev. die
Lackierung von Fingernägeln ein Problem für den eingesetzten Scanner darstellen.
3.3.3.4 Netzhautabtastung
Bei dieser Methode der biometrischen Authentisierung wird die Netzhaut (Iris) des
menschlichen Auges mit einem ungefährlichen Laserstrahl abgetastet. Dabei wird die
Adernstruktur des Augenhintergrundes aufgezeichnet, die dann zur Identifikation der
betreffenden Person dient. Die Adernstruktur verändert sich nur durch schwere Augenverletzungen
und ist deshalb ein sehr zuverlässiges Merkmal für die biometrische
Authentifizierung.
Aufgrund der Größe (Datenmenge) vorläufig weggelassen!
Abb. 4: Netzhaut des menschlichen Auges
Der wichtigste Vorteil der Netzhautabtastung besteht in der extrem niedrigen Fehlerrate.
Durch die Einzigartigkeit und Stabilität der Adernstruktur des Augenhintergrundes, und
durch die Schnelligkeit der Abtastung gehört dieses System zu den besten Authentifizierungsmethoden.
25

Systematische Vergabe von Benutzerzugriffsberechtigungen
Ein Nachteil des Verfahrens resultiert aus dem Umstand, dass Personen häufig mit Skepsis
und Hemmnissen reagieren, wenn ihre Augen mit einem Laser abgetastet werden
sollen. Zusätzlich wird von verschiedenen Stellen die medizinische Unbedenklichkeit der
Irisabtastung immer wieder angezweifelt.
3.3.3.5 Unterschriftenerkennung
Bei der Unterschriftenerkennung werden die Dynamik des Schreibvorgangs, die Unterschiede
in der Kraftanwendung und von manchen Systemen auch die Geschwindigkeit
und Beschleunigung des Schreibstiftes während des Schreibvorgangs ausgewertet.
Die Vorteile dieses Verfahrens sind in der hohen Akzeptanz durch die Benutzer und in der
hohen Fälschungssicherheit durch die Auswertung der individuellen Feinmotorik zu finden.
Als nachteilig könnte der erforderliche, im Vergleich zu anderen biometrischen Systemen,
höhere Zeitaufwand empfunden werden.
3.3.3.6 Stimmerkennung
Bei der Stimmerkennung kann man je nach den gemessenen Merkmalen zwei verschiedene
Formen der Identifikation unterscheiden. Bei der Stimmanalyse werden die
unterschiedlichen Kombinationen von Frequenzbereichen in der menschlichen Stimme
aufgezeichnet und verglichen, während bei der Sprachmustererkennung Sprachmerkmale,
wie etwa die Sprachdynamik, ausgewertet werden.
Die Stimmenanalyse zeichnet sich durch eine sehr hohe Erkennungsrate aus. Der größte
Vorteil der Sprachmustererkennung ist sicherlich die Möglichkeit der Identifikation über
Telefonleitungen.
Ein erheblicher sicherheitstechnischer Nachteil ergibt sich daraus, dass gesprochene
Wörter auch mit Hilfe eines Recorders aufgenommen und wiedergegeben werden können.
Diese Gefahr kann jedoch umgangen werden, wenn der Benutzer vom Computer
jeweils zufällig vorgegebene Wörter nachsprechen muss.
3.3.3.7 PsyLock
Bei diesem Verfahren dient das individuelle Anschlagverhalten auf einer Tastatur als Erkennungsmerkmal.
Der wichtigste Vorteil dieser Variante liegt sicherlich in der hohen Akzeptanz durch die
Benutzer.
Als Nachteil kann der vergleichsweise hohe Aufwand für die Erstmustererstellung genannt
werden.
3.3.4 Biometrie und Datenschutz
Biometrische Authentifizierungsmethoden beinhalten das nicht unerhebliche Problem,
dass die erhobenen, biometrischen Daten als personenbezogene Daten dem Datenschutzgesetz
unterliegen.
26

Systematische Vergabe von Benutzerzugriffsberechtigungen
Viele Sensoren, die zur biometrischen Personenidentifikation eingesetzt werden, können
viel mehr Informationen aufnehmen, als sie für die eigentliche Identifikation benötigen. Auf
diese Art könnten Informationen über Krankheiten, Drogenkonsum oder ähnliches gewonnen
und ausgewertet werden [Köhn99]. Nicht nur deswegen ist es enorm wichtig,
dass biometrische Verfahren, die zur Authentifizierung von Personen eingesetzt werden,
den Forderungen des Datenschutzgesetzes gerecht werden.
Ein biometrisches Verfahren sollte so gewählt werden, dass die biometrischen Eingangs-
und Referenzdaten keine Informationen enthalten, die über das für die Identifikation notwendige
Maß hinausgehen. Die verwendeten Daten dürfen keine Hinweise auf
Veranlagungen, den gesundheitlichen Zustand oder das Verhalten der Benutzer liefern.
Es darf auch nicht möglich sein, von den gespeicherten Referenzdaten Rückschlüsse auf
die Personen oder ihre biometrischen Merkmale zu ziehen. Außerdem muss die Möglichkeit
unterbunden werden, mit Hilfe der Referenzdaten Aktionen der Benutzer vortäuschen
zu können. Ein Beispiel hierfür wäre das erfolgreiche Einbringen von falschen Fingerabdrücken.
Biometrische Merkmale lassen sich anhand der beiden folgenden Kriterien differenzieren:
- Dauerhaftigkeit: Es gibt Merkmale, die ein Leben lang an eine Person gebunden
sind, wie beispielsweise das Erbmaterial. Andere Merkmale können sich im Laufe
der Zeit durch Alterung, Wachstumsprozesse oder Krankheiten verändern. Aus
Datenschutzsicht sollten Verfahren bevorzugt werden, die sich jener Merkmale
bedienen, die keinen langfristigen oder sogar lebenslangen Personenbezug und
damit eine entsprechend lange Sensibilität der Daten mit sich bringen.
- Das zweite Unterscheidungskriterium besteht in der Frage, ob das biometrische
Verfahren eine bewusste Entscheidung oder Mithilfe der Person erforderlich
macht, wozu unter anderem das Tätigen einer Unterschrift oder das Sprechen eines
bestimmten Textes zählen, oder ob das Verfahren auch unbemerkt ablaufen
kann, was im Falle der Gesichtserkennung zutreffen würde. Hier sollte jenen Verfahren
der Vorrang gegeben werden, die eine bewusste Entscheidung oder
Mithilfe des Benutzers erfordern.
Während des Einsatzes eines biometrischen Authentifizierungsverfahrens sollte auch das
Anlegen großer Datensammlungen, wie etwa bei der zentralen Speicherung der Referenzdaten,
vermieden werden. Es muss sehr sorgfältig auf die Wahl eines sicheren
Lagerortes für die Referenzdaten geachtet werden. Die beste Lösung in diesem Zusammenhang
wäre sicherlich, den Benutzern die ausschließliche Kontrolle über ihre
Referenzdaten zu überlassen, was durch die Speicherung der verschlüsselten Referenzdaten
auf Chipkarten oder sog. SmartCards möglich wäre [PrKö99].
Für die Übertragung von biometrischen Daten sollten unbedingt Verschlüsselungstechniken
eingesetzt werden, und es sollte auch eine zuverlässige und manipulationssichere
Protokollierung von Referenzdaten, erfolgreichen Authentifizierungen und erfolglosen Authentifizierungsversuchen
stattfinden. Wichtig sind zudem die Transparenz des
eingesetzten Verfahrens und der Sicherheitsmechanismen.
3.3.5 Vorteile von biometrischen Authentisierungsverfahren
Zusammengefasst können die folgenden Vorteile von biometrischen Verfahren genannt
werden:
27

1. Hohe Erkennungssicherheit
1. Fast absolute Verlustsicherheit
2. Minimales Fälschungsrisiko
3. Einfachheit der Benutzung
4. Keine Möglichkeit der Weitergabe
5. Sehr vielfältige Einsatzmöglichkeiten
Systematische Vergabe von Benutzerzugriffsberechtigungen
3.3.6 Nachteile von biometrischen Authentisierungsverfahren
Als nachteilig erweisen sich die folgenden Punkte:
1. Hohe Anschaffungskosten
2. Gefahr der Verletzung des Persönlichkeitsschutzes
3. Eventuell hygienische Bedenken bei berührungsabhängigen Systemen
4. Fehlende Standards
5. Viele unterschiedliche Produkte
3.4 SmartCards
3.4.1 Charakteristik und Funktionsweise von SmartCards
Breitere Anwendungsmöglichkeiten als biometrische Verfahren zur Authentifizierung bieten
derzeit die sog. SmartCards, da sie die Eigenschaft der Portabilität mit höchsten
Sicherheitseigenschaften verbinden.
Sie haben in der Regel die Größe einer Standard-EC-Karte (86 x 54 x 0,76 mm), besitzen
jedoch im Unterschied zu Magnetstreifenkarten einen Chip zur Informationsspeicherung.
Dieser Chip enthält den kryptografischen Schlüssel und daduch werden die individuellen
Daten ihres Eigentümers sicher auf der SmartCard gespeichert.
Die SmartCard eignet sich besonders dazu, die privaten Schlüssel, die Bestandteil vieler
Verschlüsselungsverfahren sind, wie auch spezielle Zertifikate zu speichern.
Sie ist nicht nur für den Anwender praktisch, der die auf der Karte gespeicherten Informationen
immer mit sich führt, sondern erleichtert umgekehrt auch wesentlich die
Schlüsselverteilung. Damit ist die Chipkarte für alle offenen Netze einsatzfähig.
Durch ihre erwähnten Eigenschaften werden die SmartCards häufig in das Sicherheitskonzept
eines Unternehmensnetzes integriert. In PCs fest eingebaute SmartCard-Leser
machen hohe Sicherheit für den Anwender zur Selbstverständlichkeit. Zusätzlichen Komfort
für den Anwender bringt die SmartCard auch, da Benutzerkennung und Details zur
Anmeldung wie Domain-Name auf der Karte gespeichert sind. Zusätzlich können auf der
Chipkarte auch applikationsspezifische Passwörter, die der jeweilige Host verlangt, etwa
für Lotus Notes oder SAP R/3, gespeichert werden [Geig00].
Eventuell vorhandene Schwachstellen eines bestehenden Systems lassen sich durch sog.
Krypto-SmartCards umgehen, mit deren Hilfe eine Authentisierung durch kryptographische
Protokolle zwischen Workstation und Host vollzogen werden kann. Das ist sinnvoll,
da ohne Verschlüsselung die durch das Anmeldeprotokoll übertragenen Passwörter zu
einfach rekonstruierbar wären. Soll darüber hinaus eine sichere Authentisierung für Telearbeiter
oder Mitarbeiter im Aussendienst erreicht werden, so ist zu beachten, dass die
Verbindung zum Firmennetz durch kryptographische Verfahren zu sichern ist.
28

Systematische Vergabe von Benutzerzugriffsberechtigungen
Um einem möglichen Missbrauch von SmartCards vorzubeugen, sind diese typischerweise
mit einer PIN geschützt, was die SmartCard zu einem Authentifizierungsverfahren
macht, das Wissen und Besitz kombiniert.
3.4.2 Vorteile von SmartCards
Die Vorteile der SmartCard sind:
- Verschlüsselungsmöglichkeit der gespeicherten Daten
- Vielfältige und systemübergreifende Einsatzmöglichkeiten
- Passwortschutz der Karte zur Erhöhung der Sicherheit
- Portabilität
- Einfachheit der Benutzung
3.4.3 Nachteile von SmartCards
Als nachteilig können genannt werden:
- Möglichkeit der Weitergabe
- Eingeschränktes Verlustrisiko (durch Passwortschutz)
3.5 Beispielhafte Betrachtung von Betriebssystemen und
Standardsoftware
In diesem Abschnitt werden die Betriebssysteme UNIX, Linux und Windows 2000 und die
Standardsoftware Lotus Notes in Hinblick auf Daten- und Zugriffsschutz untersucht. Die
Erläuterungen zur Applikationssoftware SAP R/3 bezüglich der Zugriffskontrolle erfolgen
im Rahmen der Projektbeschreibung an späterer Stelle.
3.5.1 UNIX
UNIX ist ein Betriebssystem, das sich in den letzten Jahren bzw. Jahrzehnten als ein
hardware- und herstellerunabhängiges Betriebssystem immer stärker durchsetzen konnte.
Es gilt als das offene Betriebssystem schlechthin und wurde speziell unter dem Aspekt
der Sicherheit immer wieder als vorbildlich bezeichnet. Ob dem wirklich so ist, und ob
UNIX speziell auf dem Gebiet der Zugriffskontrolle ein Höchstmass an Schutz zur Verfügung
stellt, soll hier näher betrachtet werden.
Das Betriebssystem unterscheidet drei verschiedene Arten von Benutzern, nämlich den
Eigentümer der jeweiligen Datei, Benutzergruppen und sämtliche anderen Benutzer. Außer
diesen drei Benutzerarten gibt es nur noch den sog. Super-User, der für
administrative Zwecke vorgesehen ist, und für den die regulären Zugriffsmechanismen
nicht wirksam sind. Das UNIX-Zugriffsschutzkonzept bietet die Grundvoraussetzungen für
eine effektive Vergabe von Benutzerberechtigungen, indem Lese-, Schreib- und Ausführungsberechtigungen
jeder einzelnen Datei für deren Eigentümer, für eine ihr zugeordnete
Benutzergruppe sowie für alle anderen Benutzer unabhängig voneinander vergeben werden
können [KüSc97b, 122].
29

Systematische Vergabe von Benutzerzugriffsberechtigungen
Andere Rechte, wie etwa das Löschrecht oder das Recht, etwas an eine Datei anfügen zu
können, werden durch das Betriebssystem nicht unterstützt. UNIX bietet auch wenig Flexibilität
bei der Verwaltung von verschiedenen Benutzergruppen mit unterschiedlichen
Rechten an gemeinsam benutzten Dateien. Neuere UNIX-Systeme bieten zwar die Möglichkeit,
Benutzern die gleichzeitige Mitgliedschaft in mehreren Gruppen zu erlauben, was
dieses Problem allerdings auch nicht löst. Soll eine Datei unter UNIX vor unbefugten Manipulationen
sicher sein, dann erfordert das, dass nicht nur die betreffende Datei, sondern
auch das übergeordnete Verzeichnis derartig geschützt ist. Man muss also auch ein besonderes
Augenmerk auf die Verzeichnisrechte legen.
Auch die Protokollierung unter UNIX weist einige Mängel auf. Es werden lediglich erfolgreiche
und fehlgeschlagene Benutzeranmeldungen sowie gelungene und misslungene
Versuche, Super-User-Status zu erhalten, aufgezeichnet. Andere Protokollierungen, wie
das Aufzeichnen von Dateizugriffen, Programmaufrufen, Datenübertragungen, usw. werden
durch das Betriebssystem nicht unterstützt, sondern müssen auf der
Anwendungsebene durchgeführt werden.
Die häufig kritisierten, uneingeschränkten Rechte des bereits erwähnten Super-Users
können durch bestimmte Maßnahmen eingeschränkt werden. Durch Verwendung von
Menüsystemen für die Systemverwaltung kann man gewährleisten, dass der Super-User
nicht direkt auf der Ebene des Betriebssystems arbeitet, sondern mittels festgelegter
Funktionen, die entsprechend der jeweiligen Anforderungen vergeben werden können,
auf diese zugreift. Derartige Menüsysteme gehören allerdings nicht zum UNIX-Standard.
Zur organisatorischen Kontrolle des Super-Users kann auch eine geteilte Vergabe des
Super-User-Passworts erfolgen, womit das Vier-Augen-Prinzip realisiert werden kann,
oder das Arbeiten als Super-User könnte auch an die Bedingung geknüpft werden, dass
sich vor dessen Anmeldung ein Kontrollbenutzer am System angemeldet hat. Benutzer
können ihre Daten vor dem Zugriff des Super-Users schützen, indem sie diese unter Zuhilfenahme
geeigneter Mechanismen verschlüsseln.
Die lokale Authentisierung der UNIX-Benutzer erfolgt mittels Eingabe der Benutzerkennung
und zugehörigem Passwort. Die Passwörter werden verschlüsselt im System
gespeichert, wodurch es selbst dem Super-User nicht möglich ist, die Passwörter der Benutzer
in Erfahrung zu bringen. Es besteht aber die Gefahr, dass verschlüsselt
gespeicherte Passwörter durch systematische Verfahren bzw. systematisches Probieren
entschlüsselt werden [KeKr91, 62]. Deshalb ist es notwendig, die Dateien mit den verschlüsselten
Passwörtern vor dem lesenden Zugriff gewöhnlicher Benutzer zu schützen.
Zusätzlich sollte die Passwortgültigkeitsdauer begrenzt werden.
In bezug auf böswillige Programme, wie Viren, ist zu sagen, dass hier speziell der Super-
User angehalten ist, nur jene Programme auszuführen, die sicher sind und Super-User-
Berechtigung benötigen, da der Super-User bekanntlich alle Zugriffskontrollen umgeht.
Generell bieten UNIX-Systeme aber wenig Angriffspunkte für Viren und ähnliche Computeranomalien.
Trotz oder gerade wegen der aufgezählten Schwächen ist das Sicherheitskonzept von
UNIX leicht zu verstehen und die grundlegende Benutzeradministration und Rechteverwaltung
der einzelnen Benutzer einfach und übersichtlich. Der Einsatz von UNIX erfordert
allerdings Personen, die Erfahrung im Umgang mit UNIX haben, was in erster Linie den
Super-User, aber auch alle anderen BenutzerInnen betrifft. Sind geübte BenutzerInnen
vorhanden, und reichen die in UNIX vorhandenen Möglichkeiten der Benutzerrechteverwaltung
aus, dann ist UNIX sicherlich eine gute Wahl, auch in Hinsicht auf Datenschutz
und Zugriffskontrolle.
30

3.5.2 Linux
Systematische Vergabe von Benutzerzugriffsberechtigungen
Linux ist ein Betriebssystem, das in den letzten Jahren immer mehr Anhänger gefunden
hat. Es setzt in bezug auf Zugriffsberechtigungen das Modell des Betriebssystems UNIX
um und unterstützt hauptsächlich die Zugriffsarten „lesen“, „schreiben“ und „ausführen“
[Magn99]. Darüber hinaus bietet Linux aber eine Reihe von Verfeinerungsmöglichkeiten
dieser Zugriffsarten, wie beispielsweise Attribute für sicheres Löschen, Unveränderlichkeit,
u. ä. Ein weiterer Vorteil von Linux gegenüber UNIX ist, dass die meisten
implementierten Übertragungsprotokolle unter Linux offene Standards darstellen, was
wichtig für die Nachvollziehbarkeit vertraulicher Datenübertragungen ist. Der Zugang zum
System erfolgt auch unter Linux mittels Passwörtern. Linux bietet hier schon lange die
Möglichkeit, die verschlüsselten Passwörter mit einer größeren Länge zu versehen und an
einer nichtöffentlichen Stelle im System zu speichern, um der Gefahr entgegenzuwirken,
das Passwort durch Ausprobieren herausfinden zu können.
Abschließend kann festgehalten werden, dass unter Linux, äquivalent zu UNIX, durch
einen erfahrenen Systemadministrator eine für die meisten Anforderungen hinreichende
Vertraulichkeit der Daten erreicht werden kann.
3.5.3 Windows 2000
Die Windows-Betriebssysteme des amerikanischen Softwareherstellers Microsoft sind die
bekanntesten aller angebotenen Betriebssysteme. Windows 2000 ist als Nachfolger des
Betriebssystems Windows NT ein multitaskingfähiges Netzwerkbetriebssystem, das wie
sein Vorgänger über eine auf den Mehrbenutzerbetrieb ausgelegte Systemarchitektur
verfügt. Windows 2000 bietet eine Reihe von Sicherheitsmaßnahmen, die in das System
integriert sind, und die Möglichkeit dafür bieten sollen, sowohl unvernetzte als auch vernetzte
Arbeitsplatzrechner mit einem hohen Maß an Sicherheit auszustatten.
Für jeden Benutzer von Windows 2000 muss ein Benutzerkonto eingerichtet werden, das
sich aus einem eindeutigen Benutzernamen und einem Passwort zusammensetzt. Durch
das zusätzliche Einrichten von Gruppenkonten lassen sich Benutzerberechtigungen effizient
den einzelnen Benutzern zuweisen. Vom Betriebssystem werden vier
Standardgruppen für Administratoren, Hauptbenutzer, Benutzer und Sicherungsoperatoren
zur Verfügung gestellt, die über entsprechende Berechtigungen verfügen. Windows
2000 ermöglicht durch die Verwendung des NT-spezifischen Dateiformats NTFS eine
grundsätzlich sichere Dateiorganisation. Werden NTFS-Laufwerke eingesetzt, dann können
Zugriffsberechtigungen für Ordner oder Dateien an Benutzer oder Benutzergruppen
vergeben werden. Außerdem haben BenutzerInnen die Möglichkeit, ihre Ordner und Dateien
zu verschlüsseln. Deswegen sollte beim Einrichten von Windows 2000 immer das
Dateisystem NTFS gewählt werden.
Die Passwörter unter Windows 2000 werden auf eine festlegbare Mindestlänge geprüft,
und deren Gültigkeitsdauer lässt sich zeitlich begrenzen. Neue Passwörter werden auch
mit zurückliegenden Passwörtern verglichen, zu einfache Passwörter werden jedoch nicht
ausgeschlossen. Im Gegensatz zum Vorgänger Windows NT bietet Windows 2000 die
Möglichkeit zur Beschränkung der Anzahl von Fehlversuchen bei der Anmeldung. Abgewiesene
und erfolgreiche Zugriffe auf Objekte werden protokolliert, wobei die
Protokollierung eingeschränkt werden kann. Auch Änderungen des Systemzustands können
protokolliert werden. Zum Schutz der Daten bei temporärer physischer Abwesenheit
kann ein passwortgeschützter Bildschirmschoner aktiviert werden.
31

Systematische Vergabe von Benutzerzugriffsberechtigungen
Beim Einsatz von Windows 2000 im Netzbetrieb werden sämtliche Änderungen von Namen
und Benutzerrechten vom sog. Domain-Controller verwaltet. Alle anderen Server in
der entsprechenden Domäne werden mit dem Domain-Controller abgeglichen. Das ermöglicht
den Zusammenschluss mehrerer Server zu einer einzelnen Domäne, die eine
zentrale Benutzeranmeldung und eine zentrale Administration erlaubt. Ein Vorteil des
Domänen-Konzepts ist, dass umfangreiche Netzwerke in unterschiedliche Domänen aufgeteilt
werden können, wobei jede Domäne eine eigenständige Sicherheitsstrategie
verfolgen kann. Ein Benutzer kann auf eine fremde Domäne nur dann zugreifen, wenn er
in dieser als berechtigter Benutzer registriert ist.
Als Schwachstellen von Windows 2000 gelten z. B. Disketten- und CD-ROM-Laufwerke,
da es bereits Programme gibt, die es auch unter MS-DOS ermöglichen, NTFS-formatierte
Datenträger zu lesen. Eine weitere Schwachstelle ist die fehlende Möglichkeit der Schnittstellenkontrolle.
Die größten Schwächen zeigt das Windows-Betriebssystem aber immer
wieder in Verbindung mit böswilligen Programmen, wie etwa Viren. Das Microsoft-
Kommunikationstool Outlook dient häufig zur ,teilweise automatisierten, Übertragung von
böswilligen Programmen oder E-Mails, die derartige Programme enthalten. Vor solchen
Attacken muss man sich dann mit Hilfe anderer Programme, durch entsprechende Netzwerkstrukturen,
durch ein sicherheitsbewusstes Verhalten der BenutzerInnen, usw.
schützen.
Trotz der angeführten Schwächen ist Windows 2000 angesichts der Flexibilität im Umgang
mit Zugriffsberechtigungen, der relativ einfachen Administration der Benutzer und
ihrer Rechte, und sicherlich auch aufgrund der Bekanntheit und Benutzerfreundlichkeit ein
häufig eingesetztes Betriebssystem.
3.5.4 Lotus Notes
Lotus Notes ist eine Anwendungssoftware zur Unterstützung der Bürokommunikation, die
vor allem für die E-Mail-Kommunikation eingesetzt wird. Es handelt sich dabei um ein
System, das auf der Client-Server-Architektur basiert und aus mindestens einem Domino
Server, das ist der Applikationsserver, und mehreren Client-Systemen besteht. Auf eine
Notes-Datenbank kann von einem Notes-Client aus zugegriffen werden. Aufgrund der
zunehmenden Verwendung von Internet-Technologien in Unternehmensnetzwerken wurde
durch die jüngsten Versionen von Lotus Notes eine konsequente Öffnung in Richtung
Internet betrieben. Aus diesem Grund kann auch ein Web-Browser zum Zugriff auf eine
Notes-Datenbank genutzt werden.
Die Authentifizierung von Notes-Benutzern wird mit Hilfe eines Public-Key-Verfahrens,
wobei es sich um einen Verschlüsselungsmechanismus handelt, bei dem ein öffentlicher,
also allgemein bekannter Schlüssel, verwendet wird, durchgeführt. Die Notes-Zertifikate
und Schlüssel werden in der sog. Notes-ID gespeichert. Um auf die in der Notes-ID gespeicherten
Informationen zugreifen zu können, muss der Benutzer das Notes-ID-
Passwort angeben, da die Daten mit dem Passwort verschlüsselt in der Notes-ID abgelegt
sind. Der Benutzer authentifiziert sich mit dem Passwort also gegenüber der Notes-ID,
deren Daten dann vom Notes-Client genutzt werden, um den Benutzer gegenüber dem
Notes-Server zu authentifizieren. Weitere Schutzmechanismen von Lotus Notes sind eine
auf Zugriffslisten basierende Zugriffskontrolle und unterschiedliche Verfahren und Mechanismen,
um die Vertraulichkeit von Daten zu gewährleisten, wie etwa verschiedene
kryptographische Verfahren.
32

Systematische Vergabe von Benutzerzugriffsberechtigungen
Die Internet-Schnittstelle der Software setzt auf etablierte Standards, sodass die einfache
Integration und Erweiterbarkeit erreicht wird.
Fünfrocken kommt in seiner Untersuchung zu dem Schluss, dass der direkte, externe
Web-Zugriff auf das produktive Notes-System im internen Netz über das Internet aus Sicherheitsgründen
nicht empfehlenswert sei, und er geht sogar soweit, dringend von
derartigen Nutzungen abzuraten [Fünf01]. Bezogen auf die betriebsinterne Kommunikation
kann Lotus Notes jedoch als durchaus sicher bezeichnet werden, speziell was die
Benutzerzugriffe betrifft. In Verbindung mit der externen Kommunikation bleibt das von
Windows bekannte Problem der böswilligen Programme, wogegen man sich auch hier
gesondert schützen muss.
33

Systematische Vergabe von Benutzerzugriffsberechtigungen
4 MODELLANSATZ: Systematische Vergabe von
Benutzerzugriffsberechtigungen
4.1 Ziel und Vorgehen
Die Zugriffskontrolle nimmt innerhalb eines Unternehmens eine wichtige Rolle im Zusammenhang
mit den Faktoren Datenschutz und Datensicherheit ein. In jedem Unternehmen
müssen den MitarbeiterInnen die nötigen Berechtigungen für die betrieblich genutzten
Informationssysteme erteilt werden. Da in einem Betrieb meist mehrere unterschiedliche
Informationssysteme, wie z. B. Betriebssysteme, betriebliche Standardsoftware, Kommunikationsapplikationen,
usw. zum Einsatz kommen, entsteht häufig die Notwendigkeit, für
die verschiedenen Systeme indiviuell die Zugriffsberechtigungen zu erteilen.
Mit dem nachfolgend schrittweise erstellten und erläuterten Modell wird versucht, eine
Möglichkeit darzustellen, um die erforderlichen Benutzerzugriffsberechtigungen innerhalb
eines Unternehmens effizient vergeben und zudem gewährleisten zu können, dass die
Zugriffe auf sämtliche Informationssysteme eines Unternehmens unter Zugrundelegung
dieses einen Modells verwaltet werden können.
Der Modellansatz setzt sich aus den folgenden fünf Schritten zusammen, die im Anschluss
detailliert behandelt werden:
Schritt 1 Modellierung der Geschäftsprozesse
Schritt 2 Ableitung der Informationsprozesse
Schritt 3 Bilden von Berechtigungsgruppen
Schritt 4 Erzeugen von Benutzergruppen
Schritt 5 Verknüpfen von Berechtigungsgruppen und Benutzergruppen
Abb. 5: Die fünf Schritte des Modellansatzes
Die Einrichtung der Benutzerzugriffsberechtigungen innerhalb eines Unternehmens gemäß
dem vorliegenden Modellansatz soll die in der folgenden Abbildung dargestellten
Eigenschaften einer betrieblichen Zugriffskontrolle sicherstellen:
34

SystemübergreifendeEinsetzbarkeit
Abb. 6: Angestrebte Eigenschaften des Zugriffsschutzes
Systematische Vergabe von Benutzerzugriffsberechtigungen
Systematisches
Vorgehen
Zugriffskontrolle
Wartungsfreundlichkeit
Systematisches Vorgehen
Ein systematisches Vorgehen bei der Vergabe der Benutzerzugriffsberechtigungen samt
einer durchgehenden Dokumentation soll die einfache Nachvollziehbarkeit des Zugriffsschutzes
ermöglichen, und auch die Voraussetzungen für die beiden Eigenschaften
Vollständigkeit und Wartungsfreundlichkeit schaffen.
Vollständigkeit
Durch eine vollständige und umfassende Vergabe sämtlicher erforderlicher Zugriffsberechtigungen
sollen langwierige Nacharbeiten und häufige Ergänzungen vermieden
werden.
Wartungsfreundlichkeit
Eine entsprechende Wartungsfreundlichkeit der Zugriffskontrolle ist notwendig, um anfallende
Änderungen des Systems mit geringem Aufwand bewerkstelligen zu können.
Systemübergreifende Einsetzbarkeit
Der Modellansatz und der damit entwickelte Zugriffsschutz sollen sämtliche Softwarekomponenten
eines Unternehmens abdecken.
4.2 Die fünf Schritte des Modells
Vollständigkeit
4.2.1 Schritt 1: Modellierung der Geschäftsprozesse
Um alle notwendigen Zugriffsberechtigungen für sämtliche Bereiche eines Unternehmens
lückenlos erfassen zu können, werden die Geschäftsprozesse des Qualitätsmanagements
als Grundlage für den Modellansatz herangezogen. Nachfolgend wird beispielhaft ein Geschäftsprozess
dargestellt, der u. a. als Basis für die Vergabe der Zugriffsberechtigungen
dienen soll.
35

Bestellung
schreiben
Auftrag prüfen
Fertigung
planen
Fertigungsplan
Kunde
Kundenbestellung
Vertrieb
Kunde
Artikel
Fertigung
Arbeitsplan
Fertigung
Qualitätssicherung
Qualitätsberichte
Versand
Abb. 7: Geschäftsprozess „Bearbeitung eines Kundenauftrags“
Systematische Vergabe von Benutzerzugriffsberechtigungen
Artikel fertigen
Artikel versenden
Ware annehmen
Lieferant
Auftrag abwickeln
Bestellung
schreiben
Lieferant
Zahlung
FIBU
Lieferantenbestellung
Einkauf Lieferant
Versandauftrag Artikellieferung
Kunde
Kunde
Artikel prüfen
Bezahlen
Kundenzahlung
Arbeitsplan
Artikel Auftragsdokumente
Artikel
Geld annehmen
Auftragsdokumente
Geld annehmen
Bezahlen
Kunde
FIBU
36

Funktion
Systematische Vergabe von Benutzerzugriffsberechtigungen
Organisationseinheit
Leistung
Umfelddaten
Logischer „UND“-Konnektor
Funktionsfluss
Organisationsfluss
Informationsfluss
Informationsdienstleistungsfluss
Sachleistungsfluss
Abb. 8: Legende zum Geschäftsprozess „Bearbeitung eines Kundenauftrags
Die modellierten Geschäftsprozesse eines Unternehmens müssen einen hohen Detaillierungsgrad
aufweisen, damit sie als Grundlage für die Vergabe der Zugriffsberechtigungen
dienen können. Es müssen alle Prozesse eines Betriebes auf allen Ebenen und in allen
Bereichen detailliert dargestellt werden.
4.2.2 Schritt 2: Ableitung der Informationsprozesse
Im nächsten Schritt des Modellansatzes werden aus allen Geschäftsprozessen die entsprechenden
Informationsprozesse abgeleitet, um dadurch die auftretenden
Informationsflüsse und die Informationsobjekte, die durch das Ausführen der verschiedenen
Funktionen benötigt werden, zu veranschaulichen. Die Informationsprozesse
enthalten dabei nicht die einzelnen Zugriffsberechtigungen auf Informationsobjekte, usw.,
da dies die Überschaubarkeit der Prozesse wohl nahezu unmöglich würde. Die Informationsprozesse
sollen in erster Linie als Hilfestellung für die weitere Vorgehensweise im
Modell dienen.
Der Informationsprozess zum dargestellten Geschäftsprozess einer Kundenauftragsbearbeitung
könnte dann folgendermaßen aussehen:
37

Kundenbestellung
Bestellung
schreiben
Bestell-
daten
Kundenauftrag
Auftrag
prüfen
Auftrags-
daten
Fertigungsplan
Fertigung
planen
Bonität
Lagerbestand
Materialbedarf
Bestelldaten
Arbeitsgang-
daten Fertigungsdaten
Arbeitsplan
Kundenzahlung
Fertigungs-
daten
Auftragsdokumente
Zahlungsdaten
Systematische Vergabe von Benutzerzugriffsberechtigungen
Fertigungsdaten
Rechnungs-
betrag
Abb. 9: Informationsprozess zur „Bearbeitung eines Kundenauftrags“
Name
Funktion
Name
Kunde
Artikel
Lieferantenbestell.
Bestellung
schreiben
Materialdaten
Lieferantendaten
Informationsdienstleistungsobjekt
Sonstiges Informationsobjekt
Informationsfluss
Versandauftrag
Artikel
versenden
Kundenkonto
Abb. 10: Legende zum Informationsprozess „Kundenauftragsbearbeitung“
Prüfdaten
Material
Lieferant
Qualitätsberichte
Artikel
prüfen
38

Systematische Vergabe von Benutzerzugriffsberechtigungen
In den Informationsprozessen werden zwar die Informationsobjekte und die Informationsflüsse
zwischen den einzelnen Funktionen der Geschäftsprozesse sichtbar, sie enthalten
jedoch noch keine Informationen über die jeweils benötigten Zugriffsberechtigungen. Die
Berechtigungen, die erforderlich sind, um auf die benötigten Informationsobjekte zugreifen
und Operationen auf ihnen ausführen zu können, werden deshalb im nächsten Schritt
erfasst.
4.2.3 Schritt 3: Bilden von Berechtigungsgruppen
Hier werden für jede Funktion eines jeden Geschäftsprozesses alle Zugriffsberechtigungen,
die man benötigt, um die betreffende Funktion ausführen zu können, in einer Tabelle,
oder noch besser in einer eigens dafür angelegten Datenbank, erfasst. Das Anlegen einer
Datenbank soll eine hohe Wartungsfreundlichkeit der Berechtigungsgruppen und ihrer
Inhalte ermöglichen. Die Zugriffsberechtigungen werden in Form von Transaktionen, Berichten,
Datenbankzugriffen, u. dgl. und nach den eingesetzten Softwareprodukten
(Standardsoftware-Applikationen, Betriebssystemebene, usw.) festgehalten. Bei Bedarf
sind pro Berechtigung auch allenfalls erforderliche Zugriffsbeschränkungen durch Attribute,
wie lesen, schreiben, löschen, ändern, usw., in die Liste der Zugriffsberechtigungen
aufzunehmen.
Die Summe der Zugriffsberechtigungen samt zugehöriger Attribute ergibt pro Funktion
eine Berechtigungsgruppe, woraus folgende Darstellung resultiert:
z1 z2 ....... zn
Abb. 11: Von der Funktion zur Berechtigungsgruppe
Es gilt folgendes:
Funktion
Berechtigungsgruppe
- F = Summe der Funktionen
- B = Summe der Berechtigungsgruppen
- Z = Summe der Zugriffsberechtigungen
- A = Summe der Attribute
39

Systematische Vergabe von Benutzerzugriffsberechtigungen
Für eine Funktion f!F und eine Berechtigungsgruppe b!B gilt dann weiters:
- f ! b
- b = {z1, z2, ..., zn} wobei gilt: z!Z und b " 0; eine Berechtigungsgruppe muss
mindestens eine Zugriffsberechtigung enthalten;
- zn = { zn # (a1 – an)} für alle z!Z und a!A
Um zwischen den Zugriffsberechtigungen für die verschiedenen Softwareprodukte unterscheiden
zu können, wird folgendes vereinbart:
- Z = Summe der Zugriffsberechtigungen z der Software $,
- Y = Summe der Zugriffsberechtigungen y der Software %,
- X = Summe der Zugriffsberechtigungen x der Software &, usw.
Eine mögliche Ausnahme zur Bildung der Berechtigungsgruppen besteht dann, wenn es
die individuelle, betriebliche Organisation erforderlich macht, dass auch einzelne Berechtigungsgruppen
benötigt werden, die nicht direkt aus Funktionen ableitbar sind. Darunter
könnten beispielsweise Berechtigungsgruppen für die Geschäftsleitung fallen, sofern diese
nicht durch die Geschäftsprozesse abgedeckt sind. Diese Berechtigungsgruppen
werden dann gesondert, also ohne zugrundeliegende Funktion, erstellt und mit den entsprechenden
Zugriffsberechtigungen ausgestattet. In die Reihe der Sonderfälle kann
zusätzlich noch eine Berechtigungsgruppe aufgenommen werden, die später allen Benutzern
bzw. Mitarbeitern zur Verfügung stehen soll. In eine derartige Berechtigungsgruppe
werden beispielsweise Zugriffsrechte auf Informationsdatenbanken u. ä. aufgenommen.
Um das mit Hilfe einer Geschäftsprozess- und davon abgeleiteter Informationsprozessmodellierung
vorgestellte Beispiel weiter fortzusetzen, sind anschließend einige
Berechtigungsgruppen, die aus den Funktionen des Informationsprozesses abgeleitet
werden können, angeführt. Zu jeder Berechtigungsgruppe sind dabei einige Beispiele der
enthaltenen Zugriffsberechtigungen angeführt:
Berechtigungsgruppe Inhalt der Berechtigungsgruppe
Auftragsprüfung
Fertigungsplanung
Lieferantenbestellung
Artikelprüfung
Artikelversand
Leseberechtigungen für Bestelldaten und Kundenstammdaten,
Zugriff auf Lager- und
Materialbestände,...
Leseberechtigungen für Auftragsdaten und Daten
zu Lieferantenbestellungen, Rechte zum
Erstellen von Arbeitsplänen, Stücklisten und
Auftragsdokumenten,...
Zugriffsrechte auf Materialdaten, Leseberechtigung
für Lagerbestände, Zugriff auf
Lieferantenstammdaten,...
Leserechte für Fertigungsdaten, Berechtigungen
zum Erstellen und Verändern von Qualitätsbe-
richten,...
Leserechte für Fertigungsdaten, Rechte zum
Erstellen der Versandpapiere,...
Abb. 12: Berechtigungsgruppen zum Informationsprozess „Kundenauftragsbearbeitung“
40

4.2.4 Schritt 4: Erzeugen von Benutzergruppen
Systematische Vergabe von Benutzerzugriffsberechtigungen
In diesem Arbeitsschritt gilt es, auf der Basis des betrieblichen Organisationsdiagramms
Benutzergruppen zu bilden, damit den Mitarbeitern des Unternehmens die benötigten
Zugriffsberechtigungen nicht einzeln zugewiesen werden müssen. Sie sollen demnach
durch Zuweisung zu einer oder mehrerer Benutzergruppen die entsprechenden Berechtigungen
erhalten.
Ein einfaches Beispiel für ein betriebliches Organisationsdiagramm kann z. B. folgendermaßen
aussehen:
Finanzbuchhaltung
Personalverrechnung
EDV-Abteilung
Abb. 13: Organisationsdiagramm
Einkauf
Vertrieb
Material- und
Lagerwirtschaft
Geschäftsleitung
Produktion Qualitätssicherung
Fertigungsplanung
Controlling Versand
Fertigungssteuerung
Marketing
Montage
Forschung &
Entwicklung
Instandhaltung
Das betriebliche Organisationsdiagramm eignet sich umso besser für die Erzeugung von
Benutzergruppen, je funktionaler, d. h. den funktionalen Abteilungen des Unternehmens
entsprechend, es abgebildet ist.
Aus den vorliegenden Abteilungen werden nun Benutzergruppen abgeleitet. In die entstanden
Benutzergruppen werden dann die MitarbeiterInnen des Unternehmens
eingetragen. Dabei ist es möglich, dass ein Mitarbeiter in mehrere Benutzergruppen eingetragen
wird.
41

Systematische Vergabe von Benutzerzugriffsberechtigungen
Die beschriebene Bildung von Benutzergruppen lässt sich folgendermaßen veranschaulichen:
Dabei gilt:
p1 p2 ............ pn
Abb. 14: Von der Abteilung zur Benutzergruppe
- D = Summe der Abteilungen
- U = Summe der Benutzergruppen
- P = Summe der Personen (MitarbeiterInnen)
Für eine Abteilung d!D und eine Benutzergruppe u!U gilt weiters:
- d ! u1, u2,..., un
- u = { p1, p2,..., pn}; p!P
Abteilung
Benutzergruppe
Auf der Basis einer Abteilung d können im Bedarfsfall auch mehrere, unterschiedliche
Benutzergruppen gebildet werden. Dieser Fall kann eintreten, wenn innerhalb einer funktionalen
Abteilung mehrere Gruppen existieren, zwischen denen eine strikte
Aufgabentrennung besteht. Ein Beispiel für eine derartige Abteilung ist in vielen Fällen in
der Finanzbuchhaltung zu finden, in der häufig zwischen Debitoren-SachbearbeiterInnen,
Kreditoren-SachbearbeiterInnen, AnlagenbuchhalterInnen, usw. unterschieden wird.
Aus dem o. a. Beispiel für ein betriebliches Organisationsdiagramm gehen u. a. die folgenden
Benutzergruppen hervor:
- Vertrieb
- Fertigungsplanung
- Einkauf
- Versand
- Qualitätssicherung, usw.
42

Systematische Vergabe von Benutzerzugriffsberechtigungen
4.2.5 Schritt 5: Verknüpfen von Berechtigungsgruppen und Benutzergruppen
Im letzten Schritt muss schließlich noch dafür gesorgt werden, dass den definierten Benutzergruppen
die nötigen Zugriffsberechtigungen zugeordnet werden. Die
Benutzergruppen werden zu diesem Zweck mit den entsprechenden Berechtigungsgruppen
in Beziehung gebracht. Zum Erfassen und Darstellen der erforderlichen Zuweisungen
zwischen Berechtigungsgruppen und Benutzergruppen eignet sich die Matrixdarstellung.
Dabei werden, wie aus der folgenden Abbildung ersichtlich, zeilenweise die Berechtigungsgruppen
und spaltenweise die Benutzergruppen eingetragen.
Benutzer-
gruppen
Berechtigungsgruppen
Vertrieb
Fertigungsplanung
Einkauf
Versand
Qualitätssicherung
Auftragsprüfung x x
Fertigungsplanung x
Lieferantenbestellung x
Artikelprüfung x
Artikelversand x
b6
b7
b8
b9
b10
b11
b12
b13
Abb. 15: Matrixdarstellung der Zuweisung von Berechtigungs- und Benutzergruppen
Danach werden alle Zuordnungen zwischen Berechtigungsgruppen und Benutzergruppen
durch das Setzen eines bestimmten Merkmals (hier: x) an der entsprechenden Position in
der Matrix gekennzeichnet. Die in der dargestellten Matrix enthaltenen Berechtigungs-
und Benutzergruppen entstammen dem durchgehenden Beispiel der „Kundenauftragsbearbeitung“.
Anhand der so entstandenen, zusammengefassten Darstellung der Zuordnungen zwischen
Berechtigungs- und Benutzergruppen können diese während der praktischen
Modellumsetzung in den einzelnen Softwareapplikationen vorgenommen werden.
u6
u7
u8
u9
u10
43

4.3 Das Gesamtmodell
Der gesamte Modellansatz sieht folgendermaßen aus:
Funktion
Berechtigungsgruppe
Systematische Vergabe von Benutzerzugriffsberechtigungen
Abteilung
Benutzergruppe
z1 z2 .......... zn p1 p2 .......... pn
z1 - zn: Zugriffsberechtigungen inklusive Attribute
p1 - pn: Personen (= MitarbeiterInnen)
Abb. 16: Modellansatz zur systematischen Vergabe von Benutzerzugriffsberechtigungen
Das entstandene Modell setzt sich aus den beiden Darstellungen für die Erzeugung der
Berechtigungsgruppen einerseits und für das Anlegen der Benutzergruppen andererseits
sowie aus deren gegenseitige Zuweisung zusammen.
Der gestrichelte Rahmen, der in der Modelldarstellung Berechtigungsgruppe und Benutzergruppe
einschließt, bezieht sich dabei bereits auf die modellbasierte Zuweisung der
Zugriffsberechtigungen in den einzelnen Softwareapplikationen und Betriebssystemen.
Während es bei der Informationssammlung und –aufbereitung im Rahmen der Vergabe
der Zugriffsberechtigungen zweckmäßig ist, sowohl Berechtigungsgruppen als auch Benutzergruppen
anzulegen, bieten nicht alle Betriebssysteme und Softwareprodukte die
Möglichkeit, beide Arten von Gruppen zu erzeugen und diese anschließend einander zuzuweisen.
Bietet nun ein System lediglich die Möglichkeit, Zugriffsberechtigungen in einer Berechtigungsgruppe
zu erfassen, dann werden die BenutzerInnen dieses Systems ebenfalls
diesen Berechtigungsgruppen zugewiesen.
Wenn ein System hingegen nur die Erzeugung von Benutzergruppen erlaubt, was auf
viele Betriebssysteme zutrifft, dann werden die einzelnen Zugriffsberechtigungen in den
Benutzergruppen eingerichtet.
44

Systematische Vergabe von Benutzerzugriffsberechtigungen
Trotz der erwähnten Einschränkungen, die durch Software- und Betriebssysteme häufig
bestehen, gewährleistet der beschriebene Modellansatz durch die enge Bindung der
Zugriffsberechtigungen an die betrieblichen Funktionen und durch die Ableitung der Benutzergruppen
aus den organisatorischen Einheiten ein hohes Maß an
Nachvollziehbarkeit und Wartungsfreundlichkeit. Zudem werden auch die restlichen, einleitend
angeführten Eigenschaften einer Zugriffskontrolle, nämlich die
systemübergreifende Verwendbarkeit und die Vollständigkeit in der Erfassung und Verteilung
der Zugriffsberechtigungen weitestgehend durch das Modell sichergestellt.
45

Systematische Vergabe von Benutzerzugriffsberechtigungen
5 PROJEKT: Vergabe der SAP R/3-
Benutzerberechtigungen in der Hella Fahrzeugteile
Austria GmbH & Co KG
5.1 Das Unternehmen
5.1.1 Geschichte und Tätigkeitsfeld
Die Hella Fahrzeugteile Austria GmbH & Co KG ist ein Produktions- und Handelsbetrieb
in 7503 Großpetersdorf, Fabriksgasse 2, im österreichischen Burgenland. Die Hella Fahrzeugteile
Austria (HFA) ist ein Unternehmen der Hella-Gruppe, einer weltweiten
Organisation, die alle Hella-Niederlassungen für Produktion, Forschung und Entwicklung,
Erstausrüstung und Handel sowie alle Handelsgesellschaften beinhaltet und insgesamt
ungefähr 22.000 Mitarbeiter beschäftigt. Die HFA gliedert sich in vier Geschäftseinheiten,
in die Geschäftseinheit Großpeterdorf, die Geschäftseinheit Wien, die Geschäftseinheit
Verwaltung und die Geschäftseinheit Technik. Mit weltweit über 30 Fertigungsstätten ist
die Unternehmensgruppe ein global operierender Partner der Automobilindustrie. Vertriebsgesellschaften
und –partner weltweit beliefern Automobilhersteller und den
Fachhandel rund um den Globus.
Die Unternehmensgruppe Hella erzeugt moderne und hochwertige Geräte und Systeme
der Fahrzeugbeleuchtung. Sowohl der nationale und internationale Handelsmarkt, als
auch eine Reihe namhafter Fahrzeughersteller werden von Hella mit Heck- und Signalleuchten,
Arbeitsscheinwerfern, Zusatz-, Nebel- und Fernscheinwerfern sowie mit einem
breiten Zubehör- und Ersatzteilprogramm beliefert.
Die heutige Hella Fahrzeugteile Austria wurde im Jahr 1933 als Fabrik für Metallverarbeitung
in Wien gegründet. 1958 erforderte die Expansion des Betriebes eine Verlegung der
Verwaltung und der Produktion nach Großpetersdorf. In einer modernen Fabrik stehen
heute rund 10.100 m! für Verwaltung, technische Büros, Fertigung und Lager zur Verfügung.
Die Belegschaft des Unternehmens umfasst insgesamt 277 Mitarbeiter (Stand vom
28. Februar 2002). 1995 wurde die HFA nach ISO9001 und 1997 nach QS9000 zertifiziert.
Im Mai 2000 bestätigte der TÜV Österreich die erfolgreiche Einführung und
Anwendung eines Umweltmanagementsystems nach EN ISO14001.
Als eines der ersten mittelständischen Unternehmen in Österreich führte die HFA im Jahr
1997 SAP R/3 für die Unternehmensorganisation ein.
5.1.2 Eingesetzte Hardware
In der HFA werden insgesamt elf Windows NT-Server eingesetzt, mit denen die PCs der
EDV-Anwender über ein Netzwerk verbunden sind oder bei Bedarf verbunden werden
können. Ein Server befindet sich in Wien und die restlichen zehn Server stehen in Großpetersdorf,
wo auch die gesamte Systemadministration stattfindet. Die Geschäftseinheit
Wien ist über eine Standleitung mit Großpetersdorf verbunden. Außer Servern, PCs und
Kommunikationsleitungen kommen u. a. Workstations in der technischen Konstruktion,
Drucker und Plotter zum Einsatz.
46

5.1.3 Eingesetzte Software
Die folgenden Softwareprodukte finden in der HFA Verwendung:
- SAP R/3, Version 4.6B (Frontend-SAPGUI 4.6D)
- Lotus Notes, Version 4.6a
- CATIA
- Windows 2000
- Microsoft Office 2000
Systematische Vergabe von Benutzerzugriffsberechtigungen
Lotus Notes wird für die interne und externe Kommunikation via E-Mail eingesetzt, und
auch für das Abwickeln von Workflows und das betriebsinterne Meldewesen. CATIA wird
in der technischen Konstruktion zum Erstellen von Konstruktionszeichnungen verwendet
und läuft auf dem Betriebssystem UNIX. Auf den PCs kommen außer dem
Betriebssystem Windows 2000 vereinzelt auch noch Windows 98 oder Windows 95 zum
Einsatz. Zusätzlich zur angeführten Software werden noch eine Anzahl weiterer
Anwendungen, wie etwa Antivirenprogramme, der Adobe Acrobat Reader,
Bildbearbeitungssoftware, eine Faxanwendung, usw. verwendet.
Wie bereits erwähnt, wurde SAP 1997 in der Hella Fahrzeugteile Austria eingeführt. SAP
R/3 läuft in der HFA unter Windows NT und auf einer Oracle Datenbank. Seit 1. Januar
1997 werden die Bausteine für das Finanzwesen und die Personalwirtschaft, und seit 1.
Juni 1997 die Bausteine für Vertrieb, Materialwirtschaft, Produktionsplanung, Controlling
und das Workflow-Management im Betrieb eingesetzt. Das Qualitätsmanagement wird
noch nicht in SAP abgewickelt, befindet sich derzeit aber in der Einführungsphase. Ein
weiterer SAP-Baustein, der in Zukunft genutzt werden soll, ist jener für die Instandhaltung.
Hier hat die Einführungsphase aber noch nicht begonnen.
In der HFA wird mit zwei SAP-Systemen gearbeitet. Zum einen ein Testsystem, das Testzwecken
dienen soll, und in dem auch unterschiedliche Programm- bzw.
Einstellungsänderungen vorgenommen werden. Derartige Änderungen müssen dann in
das zweite System, das SAP-Produktivsystem, transportiert und im Produktivsystem importiert
werden, um auch dort aktiv zu werden. Das SAP-Produktivsystem dient der
eigentlichen, täglichen Arbeitsabwicklung.
Die Administration von SAP R/3 ist in der HFA Aufgabe der EDV-Abteilung, jedoch mit der
Ausnahme, dass laufende Anpassungen, das sog. Customizing, nicht durch die EDV-
Abteilung, sondern von sog. Keyusern erledigt werden. Die Keyuser sind HFA-
MitarbeiterInnen aus den unterschiedlichen Abteilungen, die Anpassungen für die betreffende
Abteilung und im entsprechenden SAP-Baustein vornehmen. In der HFA üben
insgesamt zwölf Mitarbeiter, d. s. jeweils ein oder zwei Mitarbeiter pro Baustein, die Funktion
eines Keyusers aus.
5.2 SAP R/3
5.2.1 Allgemeines
Der Softwarehersteller SAP wurde im Jahr 1972 in Walldorf, Deutschland, gegründet und
besitzt mit 36% den größten Marktanteil im Marktsegment der betriebswirtschaftlichen
Standardsoftware. SAP beschäftigt weltweit über 23.000 Mitarbeiter und erzielte im Jahr
1999 einen Umsatz von 5,1 Mrd. EURO [Jahn01].
47

Systematische Vergabe von Benutzerzugriffsberechtigungen
„Grundgedanke bei der R/3 Software ist die funktionale Abdeckung aller wesentlichen
Unternehmensanforderungen sowie die umfassende Integration betriebswirtschaftlicher
Informationsverarbeitung [Dorn99, 125].“
Abb. 5 zeigt den Startbildschirm der Frontend-Version 4.6D von SAP R/3 mit dem SAP-
Menü im linken, oberen Bereich. Ganz oben befindet sich eine Menüzeile, über die, je
nach aktuell aktiver Anwendung, verschiedene Funktionen aufgerufen werden können.
Darunter finden sich zwei Zeilen mit Buttons, mit denen ebenfalls eine Reihe von Funktionen
angewählt werden können. Zwischen den beiden Buttonreihen wird der Name der
jeweils aktuellen Transaktion angezeigt. Als Transaktionen werden die von SAP R/3 zur
Verfügung gestellten Funktionen bezeichnet. Dazu gehören z. B. Transaktionen für die
Auftragsanzeige, für die Buchung von Belegen und unzählige andere. Zu jeder Transaktion
existiert ein Kürzel, der sog. Transaktionscode, der in der Regel aus vier oder fünf
Zeichen besteht. Die Transaktionen können direkt durch Eingabe des Transaktionscodes
in der Befehlszeile, die sich links in der ersten Buttonreihe befindet, aufgerufen werden,
oder durch Doppelklicken auf die entsprechende Transaktion im SAP-Menü, das über
viele Ebenen in Untermenüs verzweigt. Zusätzlich zu den Transaktionen gibt es in SAP
R/3 noch die Möglichkeit der Ausführung von sog. Reports, worunter eine Vielzahl zur
Verfügung stehender Berichte aus den unterschiedlichsten SAP-Bausteinen zu verstehen
ist. SAP R/3 bietet verschiedene Bausteine für die unterschiedlichen Bereiche eines Unternehmens,
wie beispielsweise die Finanzbuchhaltung, die Materialwirtschaft, usw. Diese
Module mit den SAP Standardeinstellungen können durch entsprechendes Customizing
an die individuellen, betrieblichen Gegebenheiten angepasst werden.
Abb. 17: SAP R/3 Startbildschirm (Frontend-Version 4.6D)
Das R/3-System stellt eine sog. Client-Server-Architektur dar und bietet die Möglichkeit,
das System anhand einer dreistufigen Rechnerhierarchie zu verteilen. Ein zentraler
Rechner fungiert dabei als Datenbankserver, auf dem jene Prozesse laufen, die das Datenbankservice
darstellen. Zusätzlich ist dieser Rechner verantwortlich für die
Durchführung von Datenbankänderungen. Die eigentliche Anwendungslogik wird auf den
48

Systematische Vergabe von Benutzerzugriffsberechtigungen
Anwendungs- oder Applikationsservern abgearbeitet. Mehrere solcher Applikationsserver
können mit einem Datenbankserver verbunden sein. An jeden Applikationsserver lassen
sich wiederum mehrere SAP-Frontends verbinden. Frontends sind Workstations oder
PCs, an denen die Benutzer arbeiten, und an denen alle Präsentationsaufgaben abgewickelt
werden.
5.2.2 Datenschutz und Sicherheit in SAP R/3
Mit SAP R/3 werden zum Teil hochsensible personenbezogene Daten verarbeitet. Das
System wird in vielen Staaten weltweit eingesetzt und muss unterschiedliche nationale
Gesetze abbilden, insbesondere im Bereich der Finanzbuchhaltung und Personalwirtschaft.
Demzufolge muss es aber auch den Anforderungen der jeweils gültigen
Datenschutzgesetze gerecht werden.
SAP R/3 bietet einige Sicherheitsmechanismen für die Vertraulichkeit und Integrität der
Daten an, wie z. B. Authentisierung, Berechtigungskonzept, Protokollierung, Datenkomprimierung
und Verschlüsselung, und zudem wird auch die sichere Einbindung in
unterschiedliche Betriebssysteme, Datenbanken und Netzwerke ermöglicht.
Die Authentisierung einer Person gegenüber dem System erfolgt durch eine Benutzerkennung
und ein Passwort. Für jede Benutzerkennung kann ein Gültigkeitszeitraum
angegeben werden, und es kann auch eine Mindestlänge für das Passwort im Bereich
von drei bis acht Zeichen definiert werden. Zusätzlich kann der Administrator in einer Tabelle
unzulässige Passwörter erfassen, wie z. B. Vornamen oder triviale Wörter. Es ist
auch möglich, nach Ablauf einer frei wählbaren Tagesanzahl eine Passwortänderung
zwingend vorzuschreiben. Die Passwörter selbst werden als Hashwerte geschützt gespeichert.
Es ist auch möglich, die Anzahl der fehlgeschlagenen Anmeldeversuche zu
begrenzen und den Benutzer nach Erreichen der festgesetzten Grenze zu sperren. Die
Benutzersperre kann durch den Systemadministrator wieder aufgehoben werden. Erfolglose
Anmeldeversuche und Benutzersperren werden aufgezeichnet und es sind noch
weitere, vielfältige Protokollierungen möglich. Außerdem kann eine Inaktivitätsdauer in
Sekunden angegeben werden, nach deren Ablauf der entsprechende Benutzer automatisch
vom System abgemeldet wird.
Mit Hilfe der genannten Maßnahmen schafft SAP R/3 die Voraussetzungen, um das System
den Sicherheitserfordernissen eines Unternehmens anzupassen.
5.2.3 Einführung in das Berechtigungskonzept von SAP R/3
Mit Hilfe des R/3-Berechtigungskonzepts wird Einzelpersonen bzw. Mitarbeitergruppen
die Ausführung von Transaktionen und Programmen erlaubt. Um eine Operation im SAP-
System durchführen zu können, sind unter Umständen mehrere Berechtigungen erforderlich,
und die daraus resultierenden Zusammenhänge können sehr komplex werden. Um
trotzdem ein überschaubares Verfahren anbieten zu können, das leicht zu handhaben ist,
wurde das SAP-Berechtigungskonzept auf der Basis von Berechtigungsobjekten realisiert.
Mehrere zu schützende Systemelemente bilden dabei ein Berechtigungsobjekt.
Berechtigungsobjekte ermöglichen komplexe, an mehrere Bedingungen gebundene Prüfungen
einer Berechtigung, die einem Benutzer erlaubt, eine Aktion durchzuführen. Ein
Berechtigungsobjekt kann bis zu 10 Berechtigungsfelder umfassen, die in UND-
Verknüpfung geprüft werden. Eine Berechtigung ist eine Kombination zulässiger Werte
zu jedem Berechtigungsfeld eines Berechtigungsobjekts.
49

Systematische Vergabe von Benutzerzugriffsberechtigungen
Jede Berechtigung bezieht sich auf genau ein Berechtigungsobjekt und definiert für jedes
Berechtigungsfeld dieses Berechtigungsobjekts die erlaubte Wertemenge.
Um einem Benutzer bestimmte Berechtigungen zu erteilen, müssen diese in seinen Benutzerstammsatz
eingetragen werden. Der Benutzerstammsatz dient auch zur Anmeldung
an das SAP-System. Da der Pflegeaufwand zu groß wäre, wenn einzelne Berechtigungen
in den Benutzerstammsatz eingetragen würden, können Berechtigungen zu Berechtigungsprofilen
zusammengefasst werden. Änderungen an Zugriffsrechten werden in
diesem Fall für alle Benutzer wirksam, in deren Benutzerstammsatz sich das entsprechende
Profil befindet.
Person Zugriffsberechtigungen
Abb. 18: Berechtigungsvergabe in SAP R/3
Berechtigungsprofile können sowohl manuell als auch automatisch erzeugt werden. Will
man ein Profil automatisch erzeugen, dann muss zunächst eine Aktivitätsgruppe angelegt
werden. In dieser Aktivitätsgruppe werden Transaktionen, Berichte und Web-Adressen
in einem Benutzermenü zusammengefasst. Das Benutzermenü enthält die Aktivitäten, die
eine Gruppe von Anwendern für ihr Arbeitsumfeld benötigt. Zu einer Aktivitätsgruppe können
automatisch Berechtigungen erzeugt werden, wobei die Feldinhalte der
Berechtigungsobjekte von SAP weitgehend voreingestellt sind. Die voreingestellten Werte
können nachbearbeitet und leere Felder ergänzt werden. Schließlich kann daraus mit Hilfe
des Profilgenerators automatisch ein Berechtigungsprofil erzeugt werden, das dann
bestimmten Benutzern zugeordnet werden kann.
Im Laufe der anschließenden Projektbeschreibung wird auf genannte Komponenten, wie
Aktivitätsgruppe, Berechtigungsprofil, Profilgenerator, usw., ausführlicher eingegangen.
5.3 Das Projekt
Benutzerstamm-
satz
5.3.1 Ausgangssituation
Berechtigungsprofil
(Aktivitätsgruppe)
Bei der Einführung von SAP R/3 in der HFA wurde ein Teil der von SAP standardmäßig
zur Verfügung gestellten Aktivitätsgruppen, die als Benutzerrollen bezeichnet werden, an
die SAP-Benutzer zugewiesen. Im SAP-Standard finden sich mehr als 150 vordefinierte
Benutzerrollen aus allen Anwendungsbereichen. Durch die Zuweisung der vordefinierten
Benutzerrollen an die BenutzerInnen sollten diese bei der Anmeldung automatisch die für
ihre tägliche Arbeit typischen Benutzermenüs erhalten sowie die Berechtigungen, die sie
für diese Arbeit benötigen.
Im Laufe der Zeit stellte sich jedoch heraus, dass die Benutzerrollen von SAP nur bedingt
zum Einsatz in der HFA taugten, da immer wieder Berechtigungen benötigt wurden, die in
den Standardprofilen nicht vorhanden waren.
50

Systematische Vergabe von Benutzerzugriffsberechtigungen
Auf der anderen Seite zeigte sich, dass einige Zugriffsberechtigungen aus sensitiven Bereichen,
wie etwa der Gehaltsverrechnung oder der Finanzbuchhaltung, in jenen
Berechtigungsprofilen enthalten waren, die nicht den genannten Abteilungen zugeordnet
wurden. Deshalb wurde begonnen, eigene Aktivitätsgruppen anzulegen und diese den
BenutzerInnen zuzuordnen, wegen des dafür erforderlichen, hohen Zeitaufwands wurde
bislang aber kein umfassendes Projekt bezüglich der SAP-Zugriffsberechtigungen durchgeführt.
Es mussten laufend neue Aktivitätsgruppen angelegt bzw. bestehende
Aktivitätsgruppen um einzelne Transaktionen ergänzt werden.
Schließlich wies auch eine unternehmensgruppeninterne Revision durch ein renommiertes
Beratungsunternehmen darauf hin, dass die bestehende Berechtigungsvergabe in
SAP einige Lücken aufwies, die so schnell wie möglich beseitigt werden sollten. Diese
Beanstandung der Revision kann durchaus als endgültiger Auslöser dafür gesehen werden,
dass innerhalb der HFA beschlossen wurde, ein Projekt durchzuführen, um SAP-
Benutzerzugriffsberechtigungen zur Gänze neu zu vergeben.
5.3.2 Aufgabenstellung
Die Aufgabenstellung für das SAP-Berechtigungsprojekt wurde folgendermaßen formuliert:
Sämtliche Benutzerberechtigungen in SAP sollten neu vergeben werden. Dabei sollten
auch bestehende Aktivitätsgruppen berücksichtigt werden. Diese sollten auf ihre Eignung
zur Weiterverwendbarkeit untersucht werden und bei entsprechender, positiver Bewertung
sollten sie überarbeitet und an die neuen Erfordernisse angepasst werden. Außer
der Neuvergabe der Berechtigungen sollte nach Projektabschluss auch gewährleistet
sein, dass das entstandene Berechtigungskonzept einfach zu warten, und bei auftretender
Notwendigkeit mit möglichst geringem Aufwand um einzelne Berechtigungen,
Aktivitätsgruppen, usw. ergänzt werden konnte. Auch bei zukünftigen Personaleinstellungen
und Austritten sollte das einfache und systematische Vergeben bzw. Löschen der
benötigten Benutzerzugriffsberechtigungen in SAP R/3 möglich sein.
5.3.3 Planung
Nachdem feststand, welche Ziele mit dem Projekt verfolgt werden sollten, wurden die einzelnen
Schritte des Projekts und das genaue Vorgehen beim Vergeben der SAP-
Zugriffsberechtigungen festgelegt. Man einigte sich darauf, mit Hilfe des Profilgenerators
Aktivitätsgruppen anzulegen, die Transaktionen und Reports entsprechend der Angaben
der Keyuser enthalten sollten. Den Keyusern wurde eine wichtige Aufgabe innerhalb des
Projekts zugeteilt, denn sie sollten sowohl die nötigen Transaktionen und Reports für die
SAP-Benutzer liefern, als auch der Großteil der während des Projekts anfallenden Tests
durchführen. Zudem sollte durch diese Aufgabenverteilung auch eine entsprechende Verteilung
der Projektverantwortung realisiert werden. Der EDV-Mitarbeiter, dem die
Durchführung des Projekts übertragen wurde, in der Folge als Projektleiter bezeichnet,
wurde bei seiner Projektarbeit vom EDV-Leiter unterstützt und hatte dafür Sorge zu tragen,
dass Termine eingehalten und die notwendigen Treffen arrangiert und durchgeführt
wurden, und außerdem für die Implementierung und Integrierung des Projekts in das
SAP-System. Den Keyusern oblag die Verantwortung dafür, dass den SAP-
BenutzerInnen nur jene Berechtigungen zugewiesen wurden, die sie für ihre tägliche Arbeit
benötigten.
51

Systematische Vergabe von Benutzerzugriffsberechtigungen
Zwecks Vereinfachung der zukünftigen Pflege der Zugriffsberechtigungen wurde vereinbart,
dass die Aktivitätsgruppen und Berechtigungsprofile nicht den SAP-Benutzern direkt
zugeordnet werden sollten, sondern indirekt über die entsprechenden Organisationseinheiten,
Stellen oder Planstellen. Da das Organisationsdiagramm der HFA in SAP R/3
nicht abgebildet war, entstand so die zusätzliche Notwendigkeit, auch diese Aufgabe im
Zuge des Projekts durchzuführen, und sie sollte vom Projektleiter wahrgenommen werden.
Der geplante Ablauf der Berechtigungsvergabe im Projekt lässt sich folgendermaßen darstellen:
ZUGRIFFSBERECHTIGUNGEN
AKTIVITÄTSGRUPPE / BERECHTIGUNGSPROFIL
ORGANISATIONSEINHEIT / STELLE / PLANSTELLE
INHABER / BENUTZERSTAMMSATZ
Abb. 19: Berechtigungsvergabe im SAP R/3-Projekt
Aufgrund der Beteiligung der Keyuser wurde im Zuge der Projektplanung kein detaillierter
Zeitplan erstellt, da durch die relativ große Anzahl der am Projekt beteiligten Personen ein
hohes Maß an Flexibilität gewährleistet sein musste. Somit wurde vorab lediglich ein Zeitrahmen
von sechs Monaten festgelegt, innerhalb dessen das gesamte Projekt
abgewickelt werden sollte.
5.3.4 Implementierung
5.3.4.1 Evaluierung und Anlegen der erforderlichen Stellen und
Aktivitätsgruppen
In diesem Teil des Projekts hatten die Keyuser zu evaluieren, welche Stellen und wie viele
davon abgeleiteter Planstellen je Abteilung bzw. SAP-Modul benötigt würden, und dies
dem Projektleiter mitzuteilen. Außerdem mussten die Keyuser den Projektleiter darüber
informieren, welche Aktivitätsgruppen sie einerseits für die eigenen Mitarbeiter und andererseits
für Mitarbeiter aus anderen Abteilungen benötigten. Zu jeder angeforderten
Aktivitätsgruppe wurde der EDV auch mitgeteilt, welchen MitarbeiterInnen diese später
zur Verfügung gestellt werden sollte. Für die Namen der neuen Aktivitätsgruppen wurde
das folgende Format gewählt:
HFA_A.Name
HFA am Beginn jedes Names sollte darauf hinweisen, dass es sich bei der betreffenden
Aktivitätsgruppe um eine von der HFA erzeugte und nicht um eine von der SAP vordefinierte
Aktivitätsgruppe handelt.
52

Systematische Vergabe von Benutzerzugriffsberechtigungen
Nach einem Unterstrich sollte ein Großbuchstabe Aufschluss darüber geben, welche Abteilung
für die Erstellung der betreffenden Aktivitätsgruppe verantwortlich war bzw. aus
welchem SAP-Baustein die Transaktionen innerhalb der Aktivitätsgruppe stammten. Folgende
Großbuchstaben waren dabei möglich:
- C: Produktionsplanung und –steuerung
- F: Finanzbuchhaltung
- K: Controlling
- M: Materialwirtschaft
- P: Personalwirtschaft
- Q: Qualitätsmanagement
- S: System
- V: Vertrieb
Der Name nach dem Punkt sollte schließlich noch auf den Inhalt der Transaktionen oder
auf die Mitarbeitergruppe, der die Aktivitätsgruppe zugeordnet werden sollte, hinweisen.
Ein Beispiel für den Namen einer Aktivitätsgruppe ist HFA_C.USER. Diese Aktivitäsgruppe
entstammt der Abteilung Produktionsplanung und –steuerung und enthält
Transaktionsberechtigungen für die Sachbearbeiter dieser Abteilung. In bezug auf die
beschriebene Namenskonvention gab es zwei Ausnahmen zu beachten. Die Aktivitätsgruppen
der Abteilung Einkauf begannen mit HFA_M.EK, gefolgt von einem Unterstrich
und dem Namen zur näheren Bezeichnung, da der Einkauf im SAP-Modul Materialwirtschaft
enthalten ist, und die Aktivitätsgruppen mit der Kennzeichnung S enthielten
Systemberechtigungen, wie beispielsweise die Berechtigung zum Ausdrucken von Dokumenten,
usw., und wurden von der EDV vergeben. Insgesamt entstanden zusammen mit
den überarbeiteten mehr als 130 neue Aktivitätsgruppen. Beispielhaft sind an dieser Stelle
die Aktivitätsgruppen des Vertriebes angeführt:
Aktivitätsgruppe Kurzbeschreibung Profilname
HFA_V.ANZEIGE Anzeige Verkauf V:ANZEIGE_
HFA_V.FIBU FIBU (Verkauf) V:FIBU____
HFA_V.INTRASTAT Intrastat-Meldung (Verkauf) V:INTRASTA
HFA_V.KEYUSER Keyuser Verkauf V:KEYUSER_1
HFA_V.TECHNIK Technik (Vertrieb) V:TECHNIK_
HFA_V.USER Sachbearbeiter Verkauf V:USER____1
Abb. 20: Aktivitätsgruppen aus der Abteilung „Vertrieb“
Die Keyuser mussten in dieser Projektphase aber nicht nur dafür sorgen, dass die erforderlichen
Aktivitätsgruppen für ihre Mitarbeiter angelegt wurden, sondern auch für das
Einrichten von Aktivitätsgruppen, die Mitarbeitern aus anderen Abteilungen zur Verfügung
gestellt werden sollten.
Der SAP-Administrator hat anhand der Anforderungen der Keyuser die benötigten Aktivitätsgruppen
mit Hilfe des Profilgenerators angelegt. Dabei wurden noch keine
Transaktionen und Reports in den neuen Aktivitätsgruppen erfasst.
53

Abb. 21: Profilgenerator
Systematische Vergabe von Benutzerzugriffsberechtigungen
Der Profilgenerator kann über das SAP-Menü Werkzeuge ! Administration ! Benutzerpflege
! Aktivitätsgruppen (Benutzerrollen) oder durch direktes Aufrufen der Transaktion
PFCG gestartet werden. Im Feld „Aktivitätsgruppe“ kann ein Name einer Aktivitätsgruppe
eingegeben werden und durch Drücken des entsprechenden Buttons kann die Aktivitätsgruppe
angezeigt, geändert oder angelegt werden. Über den kleinen Button, der sich
rechts, unmittelbar neben dem Eingabefeld befindet, kann eine Suchfunktion aufgerufen
werden. Will man das Organisationsdiagramm in die Pflege der Aktivitätsgruppen bzw. in
die Vergabe der Berechtigungen mit einbeziehen, dann muss in der Sichtauswahl die Gesamtsicht
gewählt werden. Mittels der Typauswahl ist es möglich, auch
Sammelaktivitätsgruppen anzulegen, in denen mehrere Aktivitätsgruppen zusammengefasst
werden können. Im Zuge des HFA-Berechtigungsprojekts wurden jedoch keine
Sammelaktivitätsgruppen angelegt, weshalb an dieser Stelle auch nicht näher auf diese
Funktion eingegangen werden soll.
5.3.4.2 Erfassen der Transaktionen und Reports
Für das Erfassen der Transaktionen und Reports in den neuen Aktivitätsgruppen wurde
denjenigen Keyusern, die auch die Erstellung der Aktivitätsgruppen veranlassten, die
temporäre Berechtigung für den Profilgenerator in SAP R/3 erteilt. Dadurch wurde ihnen
die Möglichkeit eingeräumt, selbst selbst die benötigten Transaktionen und Reports in ihre
Aktivitätsgruppen einzufügen. Die betroffenen Keyuser wurden durch eine kurze Einweisung
mit dem Teil des Profilgenerators vertraut gemacht, der für sie relevant war. Sie
sollten die nötigen Transaktionen und Reports aus dem SAP-Menü in die aktuelle Aktivitätsgruppe
aufnehmen. Aus dem SAP-Menü konnten die Keyuser ganze Menüzweige
inklusive aller untergeordneten Knoten und Transaktionen durch Anklicken des betreffenden
Menüzweiges in die Aktivitätsgruppe aufnehmen. Durch Expandieren der
Menüzweige hatten sie aber auch die Möglichkeit, untergeordnete Knoten oder einzelne
Transaktionen bzw. Reports in die Aktivitätsgruppe aufzunehmen.
54

Systematische Vergabe von Benutzerzugriffsberechtigungen
Weitere Möglichkeiten, Transaktionen in eine Aktivitätsgruppe einzufügen, sind das Kopieren
aus einer bereits bestehenden Aktivitätsgruppe, die Übernahme aus vorhandenen
Bereichsmenüs oder die einzelne Aufnahme von Transaktionen, Reports oder, falls erforderlich,
auch Web-Adressen. In der nachfolgenden Abbildung sind die Buttons ersichtlich,
über die man die Aktivitätsgruppe, wie beschrieben, um Transaktionen, Reports und Web-
Adressen ergänzen kann.
Abb 22: Transaktionserfassung im Profilgenerator
Der Keyuser der Qualitätssicherung war von der Aufgabe der Transaktionserfassung ausgenommen,
da der SAP-Baustein für die Qualitätssicherung zum Zeitpunkt des
Berechtigungsprojekts in der HFA eingeführt wurde. Aus diesem Grund wurden die erforderlichen
Aktivitätsgruppen und Transaktionen vom Keyuser und einem SAP-Berater im
Zuge der Einführung erfasst und der EDV mitgeteilt. Die Transaktionen wurden dann
durch direktes Erfassen der Transaktionscodes in die Aktivitätsgruppen der Qualitätssicherung
übernommen.
Eine weitere Ausnahme in diesem Projektabschnitt bildeten jene Berichte, die der EDV in
Form einer Liste von der Personalwirtschaft übermittelt wurden. Dabei handelte es sich
um Berichte, die nicht als Reports direkt übernommen werden konnten, sondern die in
dem Berechtigungsobjekt S_PROGRAM (ABAP: Programmablaufprüfungen) innerhalb
der Aktivitätsgruppen für den Keyuser und den User der Personalwirtschaft zu erfassen
waren.
55

Systematische Vergabe von Benutzerzugriffsberechtigungen
5.3.4.3 Überarbeitung der neuen und übernommenen Aktivitätsgruppen
Die Aktivitätsgruppen, die bei Projektbeginn bereits existierten und übernommen werden
sollten, wurden überarbeitet und das Namensformat wurde durch Kopieren der Aktivitätsgruppen
an das neue Format angepasst. Es handelt sich dabei um Aktivitätsgruppen, die
seit der Einführung von SAP R/3 in der HFA sukzessive und jeweils unter Einbeziehung
der zuständigen Keyuser von der EDV erstellt worden sind und die aufgrund ihres bewährten
Einsatzes in der Vergangenheit erhalten bleiben sollten, um den Projektaufwand
dadurch zu verringern. Zu den überarbeiteten Aktivitätsgruppen gehören u. a. die BAB-
Aktivitätsgruppen, die Zeitkonto- und Reisekosten-Aktivitätsgruppen und die meisten System-Aktivitätsgruppen.
Die Überarbeitung der alten Aktivitätsgruppen wurde von der EDV seit Beginn des Projekts
durchgeführt, während die neuen Aktivitätsgruppen erst überarbeitet werden
konnten, sobald die Keyuser alle erforderlichen Transaktionen erfasst hatten. Da die Keyuser
zu unterschiedlichen Zeitpunkten ihre Transaktionserfassungen abschlossen,
wurden die neuen Aktivitätsgruppen nicht ab einem bestimmten Zeitpunkt überarbeitet,
sondern laufend nach entsprechender Benachrichtigung durch die Keyuser.
Bei der Überarbeitung der bestehenden und neuen Aktivitätsgruppen wurden die Berechtigungsobjekte
und die zugehörigen Berechtigungsfelder in jeder Aktivitätsgruppe
gepflegt. Abbildung 23 zeigt einige Berechtigungsobjekte und –felder der Aktivitätsgruppe
HFA_C.ANZEIGE. Es ist auch das Ampelsystem ersichtlich, das auf verschiedenen Ebenen
mit roten, gelben und grünen Ampelsignalen den aktuellen Pflegezustand der
Aktivitätsgruppe darstellt. Im Zuge der Überarbeitung wurden überflüssige Berechtigungsobjekte
inaktiviert, fehlende Berechtigungswerte eingetragen, usw. Über den Button
Orgebenen wurden Organisationsebenen, wie Werke, Buchungskreise, Geschäftsbereiche,
u. ä. gepflegt, die dann in allen Berechtigungsobjekten, in denen ein entsprechendes
Berechtigungsfeld enthalten ist, automatisch eingetragen wurden. Hatte die EDV keine
oder mangelnde Informationen über einzutragende Werte in bestimmte Felder, dann wurde
ein Dummy-Wert eingetragen, um nicht das gesamte Berechtigungsobjekt deaktivieren
zu müssen.
Nach dem Abschluss der Überarbeitung jeder Aktivitätsgruppe wurde durch Betätigen des
entsprechendes vierten Buttons von links in der unteren Buttonreihe sofort das Berechtigungsprofil
aus der Aktivitätsgruppe generiert. Wie bei den Aktivitätsgruppen wurde auch
bei den Berechtigungsprofilen ein einheitliches Namensformat eingehalten. Aus der Aktivitätsgruppe
HFA_C.ANZEIGE entstand beispielsweise durch eine Ableitung aus dem
Namen das Profil C:ANZEIGE_. Nach dem Buchstaben, der die Abteilung kennzeichnet,
aus der die Aktivitätsgruppe entstammt, ersetzt bei den Profilnamen ein Doppelpunkt den
Punkt. Bei weniger als acht Zeichen nach dem Doppelpunkt wurde der Name durch Unterstriche
auf die Länge von acht Zeichen ergänzt. Je nach der Größe der
Aktivitätsgruppe generiert das SAP-System auch mehrere Berechtigungsprofile aus einer
Aktivitätsgruppe. In diesem Fall wird an das zweite Profil eine 1, an das dritte Profil eine 2,
usw. angehängt.
56

Abb. 23: Berechtigungsobjekte und –felder einer Aktivitätsgruppe
Systematische Vergabe von Benutzerzugriffsberechtigungen
Die Überarbeitung sämtlicher Aktivitätsgruppen inklusive der Erstellung der Berechtigungsprofile
war am 16. Oktober 2001 abgeschlossen.
5.3.4.4 Abbilden des Organisationsdiagramms in SAP R/3
Parallel zu den beiden ersten Schritten im Projekt wurde das bis dahin ungepflegte Organisationsmanagement
im SAP-System angelegt. Dabei wurden in enger Anlehnung an
das Organisationsdiagramm der HFA alle MitarbeiterInnen berücksichtigt, die über einen
eigenen SAP-Benutzer Zugriff auf SAP-Anwendungen erhalten sollten.
Dabei war es zunächst nötig, mittels der Transaktion PPOME (Organisation und Besetzung
ändern), die auch über den Menüpfad Personal ! Organisationsmanagement !
Aufbauorganisation ! Organisation und Besetzung ! Ändern erreichbar ist, die erforderlichen
Organisationseinheiten der HFA anzulegen.
Abb. 9 zeigt die Transaktion PPOME und einen Teil des erfassten Organisationsmanagements.
Nach dem Anlegen sämtlicher Organisationseinheiten wurden die erforderlichen
Stellen eingerichtet und in weiterer Folge auch die benötigten Planstellen. Man erkennt
die Planstellen in der Abbildung an dem Personensymbol, wobei die mit einem Hut gekennzeichneten
Symbole auf eine Leitungsfunktion hinweisen.
57

Abb. 24: Organisationsmanagement
Systematische Vergabe von Benutzerzugriffsberechtigungen
Da das Organisationsmanagement in SAP ein vollständiges, funktionales Abbild der HFA-
Organisation darstellen mußte, um für eine effiziente Berechtigungsvergabe verwendet
werden zu können, wurde das HFA-Organisationsdiagramm nicht hundertprozentig übernommen.
Im Organisationsdiagramm der HFA werden in erster Linie Geschäftseinheiten
mit deren Abteilungen und den Namen der jeweiligen Kostenstellenverantwortlichen dargestellt.
Die verschiedenen Sachbearbeiterstellen mussten also hinzugefügt werden.
Außerdem musste eine neue Organisationseinheit für die Telefonzentrale berücksichtigt
werden, die im Organisationsdiagramm der HFA nicht explizit aufscheint.
Nachdem alle Organisationseinheiten, Stellen und Planstellen über das Organisationsmanagement
in SAP R/3 angelegt waren, mussten noch allen Planstellen die
entsprechenden InhaberInnen zugeordnet werden. Diese Zuordnung erfolgte der Einfachheit
halber nicht in der Transaktion PPOME, sondern in der Transaktion PPOM_OLD, die
eine etwas ältere Version der Transaktion PPOME zur Pflege des Organisationsmanagements
darstellt. Zu dieser Transaktion gelangt man auch man über den Menüpfad
Personal ! Organisationsmanagement ! Expertenmodus ! Einfache Pflege ! Ändern.
Um die Zuordnung der Inhaber zu den Planstellen durchführen zu können, war es zunächst
notwendig, dass in den Personalstammdaten der betreffenden Personen ein
bestimmtes Feld gepflegt war, über das die Verknüpfung zwischen SAP-Benutzer und
Person hergestellt wird. Bei den Personen, bei denen dieses Feld noch nicht gepflegt war,
wurde es durch die Personalabteilung nachgepflegt.
Ein Spezialfall, der im Zuge des Erstellens des Organisationsmanagements behandelt
werden musste, trat durch den Umstand auf, dass zwei SAP-Benutzer berücksichtigt werden
mussten, die für das Ausdrucken der Warenbegleitkarten vorgesehen waren. Diese
beiden Benutzer, BKARTE und OBFL, sollten ausschließlich über die Berechtigung zum
Begleitkartendruck verfügen, da mehrere Personen aus den Abteilungen Oberflächenbearbeitung
und Kunststoffverarbeitung mit diesen Benutzern arbeiten müssten.
58

Systematische Vergabe von Benutzerzugriffsberechtigungen
Um diese Benutzer in das Berechtigungsprojekt integrieren zu können, war es erforderlich,
sie an zwei Mitarbeiter aus den jeweiligen Abteilungen zu koppeln, die eigentlich
keine SAP-Anwender sind. Die entsprechenden Verknüpfungen wurden wiederum durch
die Personalabteilung durchgeführt, und anschließend wurden die beiden Mitarbeiter im
Organisationsmanagement erfasst. Die Stellen bzw. Planstellen dieser Mitarbeiter wurden
durch den Zusatz Begleitkarte gekennzeichnet.
5.3.4.5 Kontrolle aller Aktivitätsgruppen
In dieser Phase des Projekts hatten die Keyuser sämtliche Aktivitätsgruppen dahingehend
zu überprüfen, ob sich darin kritische Transaktionen aus ihrem jeweiligen Verantwortungsbereich
befanden. Die Keyuser konnten sich zu diesem Zweck alle ausführbaren
Transaktionen eines Berechtigungsprofils mit Hilfe der SAP-Transaktion
S_BCE_68001427 anzeigen lassen. Diese Transaktion ist auch über den Menüpfad
Werkzeuge ! Administration ! Benutzerpflege ! Infosystem ! Transaktionen !
Transaktionen für Benutzer, mit Profil oder Berechtigung ! ausführbar mit Profil aufrufbar.
Da nur die Anzeige der ausführbaren Transaktionen pro Berechtigungsprofil, und
nicht pro Aktivitätsgruppe, möglich ist, wurde den Keyusern vom Projektleiter eine Liste
der zu kontrollierenden Aktivitätsgruppen zur Verfügung gestellt, in der zu jeder Aktivitätsgruppe
auch der Name des Profils angeführt war. Bei mehreren vorhandenen Profilen pro
Aktivitätsgruppe wurde der Name jenes Profils angeführt, das zur Anzeige der Transaktionen
verwendet werden kann. Das war im Normalfall jenes Profil mit der höchsten
Endnummer.
Die Keyuser teilten in dieser Projektphase dem Projektleiter mit, welche Transaktionen
aus welchen Aktivitätsgruppen entfernt werden sollten. Nach den erfolgten Korrekturen
durch den Projektleiter wurden die Aktivitätsgruppen jeweils neu generiert, also neue Berechtigungsprofile
ohne die beanstandeten, kritischen Transaktionen erzeugt.
5.3.5 Testphase
5.3.5.1 Test der neuen Aktivitätsgruppen
Nach dem Ende der Kontrollen der Aktivitätsgruppen durch die Keyuser wurden im SAP-
Testsystem Testbenutzer für die neuen Aktivitätsgruppen angelegt. Die Keyuser sollten
mit Hilfe dieser Testbenutzer die Funktionalität ihrer Aktivitätsgruppen testen. Am 13. November
2001 erhielten alle Keyuser, die für das Anlegen neuer Aktivitätsgruppen
verantwortlich waren, eine Liste der für sie eingerichteten Testbenutzer, und das war auch
gleichzeitig der Beginn dieser Testphase. Neben den Berechtigungen der eigentlichen
Aktivitätsgruppen wurden die Testbenutzer mit allgemeinen Berechtigungen bzw. mit Berechtigungsprofilen,
die in dieser Testphase nicht gesondert getestet werden sollten,
ausgestattet. Die nachfolgende Abbildung zeigt beispielhaft die Testbenutzer des Vertriebes:
59

Systematische Vergabe von Benutzerzugriffsberechtigungen
VKEY HFA_V.KEYUSER HFA_S.CUSTOMIZING
HFA_F.SK_ALL HFA_S.USER
HFA_F.SK_SD HFA_S.BASIS_EDI
HFA_P.REISE_ERF HFA_S.ARCHIV_SD
HFA_P.ZEITKONTO HFA_S.SYSTEM_SD
VUSER HFA_V.USER HFA_S.USER
HFA_F.SK_ALL HFA_S.BASIS_EDI
HFA_F.SK_SD
HFA_P.REISE_ERF
HFA_P.ZEITKONTO
VANZ HFA_V.ANZEIGE HFA_S.USER
HFA_F.SK_ALL
VFIBU HFA_V.FIBU HFA_S.USER
HFA_F.SK_ALL
VINTRA HFA_V.INTRASTAT HFA_S.USER
HFA_F.SK_ALL
Abb. 25: Vertriebs-Testbenutzer samt enthaltener Aktivitätsgruppen
Den Keyusern wurde es überlassen, ihre Aktivitätsgruppen zur Gänze selbst zu testen
oder einzelne davon von ihren Kollegen testen zu lassen. Traten während dieser Testphase
Berechtigungsprobleme bei den Testbenutzern auf, dann wurden diese Probleme
durch den Projektleiter behoben, indem fehlende Berechtigungswerte eingetragen oder
neue Berechtigungsobjekte in die Aktivitätsgruppe aufgenommen wurden. Wurden die
Testbenutzer vom System auf eine fehlende Berechtigung hingewiesen, dann konnten sie
sich über den Pfad System ! Hilfsmittel ! Anz. Berecht.prüfung in der Menüzeile Details
zur letzten Berechtigungsprüfung anzeigen lassen. Mit Hilfe dieser Informationen konnte
der Projektleiter die erforderlichen Einträge in die betreffende Aktivitätsgruppe durchführen.
Führte die Korrektur aufgrund der Anzeige der letzten Berechtigungsprüfung nicht
zum angestrebten Erfolg, dann bediente man sich der Möglichkeit, mit dem Systemtrace
von SAP R/3 alle Berechtigungsprüfungen aufzuzeichnen. Der Systemtrace von SAP
stellt ein umfassendes Protokollierungstool dar und kann durch den Transaktionscode
ST01 aufgerufen und entsprechend der jeweiligen Anforderungen konfiguriert werden.
Mit Hilfe der beiden erwähnten Protokollfunktionen hinsichtlich der Berechtigungsprüfungen
wurden alle Berechtigungsprobleme, die bei den Testbenutzern im Laufe der
Testphase auftraten, durch den Projektleiter bereinigt.
In der ersten Testphase wurde vorrangig darauf Wert gelegt, die geläufigsten, d. h. im
Tagesgeschäft am häufigsten benötigten Transaktionen in den neuen Aktivitätsgruppen
zu testen. Das sollte den Testaufwand in der zweiten Testphase, in der alle SAP-Benutzer
ihre Berechtigungen prüfen könnten, verringern. Einige Keyuser nutzten diese Testphase
aber bereits dazu, um umfangreiche Tests durchzuführen, damit sich für sie der Arbeitsaufwand
in der nächsten Testphase verringern sollte. Andere wiederum testeten hier
nur sehr oberflächlich, da sie genauere Tests erst in der nächsten Testphase durchführen
wollten. Die Entscheidung, in welcher Testphase die detaillierteren Tests durchgeführt
werden sollten, wurde seitens der EDV den Keyusern überlassen, wodurch diesen ein
gewisser Handlungs- und Entscheidungsspielraum eingeräumt wurde. Beispielsweise
wurden dem Wunsch der Finanzbuchhaltung entsprechend deren Testbenutzern bereits
in dieser ersten Testphase Aktivitätsgruppen anderer Abteilungen zugeordnet, damit hier
schon detailliertere Tests durchgeführt werden konnten.
Das offizielle Ende dieser Testphase war der 05. Dezember 2001.
60

Systematische Vergabe von Benutzerzugriffsberechtigungen
5.3.5.2 Vergabe der neuen Berechtigungen im Testsystem
Nach dem Ende der ersten Testphase und bevor die zweite Testphase begonnen werden
konnte, war es notwendig, alle bestehenden Berechtigungen im Testsystem zu löschen
und anschließend die neuen Aktivitätsgruppen bzw. Berechtigungsprofile indirekt über
Organisationseinheiten, Stellen und Planstellen den SAP-BenutzerInnen zuzuordnen.
Zunächst wurden im Testsystem die Testbenutzer aus der vorangegangenen Testphase
gelöscht. Danach wurde der Benutzer HELP angelegt, der von den bevorstehenden Änderungen
im Testsystem nicht betroffen sein würde und deshalb unentbehrlich war, da
nach dem Löschen aller Berechtigungen im Testsystem für kurze Zeit kein Mitarbeiter der
HFA Berechtigungen im SAP haben sollte. Der Benutzer HELP gewährleistete also ein
Weiterarbeiten im SAP-Testsystem und diente in erster Linie dazu, die neuen Berechtigungen
zuordnen zu können.
Das Löschen der bestehenden Berechtigungszuordnungen erfolgte im Benutzerstamm, in
den sowohl die Aktivitätsgruppen als auch die Berechtigungsprofile bei einer Benutzerzuordnung
über den Profilgenerator eingetragen werden. Um keine SAP-BenutzerInnen
vergessen zu können, wurden anhand einer vollständigen Liste der BenutzerInnen bei
allen BenutzerInnen sämtliche Aktivitätsgruppen aus den Benutzerstämmen gelöscht. Mit
dem Entfernen der Aktivitätsgruppen wurden automatisch alle zugehörigen Berechtigungsprofile
aus den Benutzerstämmen entfernt. Die nachfolgende Abbildung zeigt einen
Benutzerstamm, dem eine Aktivitätsgruppe zugeordnet ist. Im Änderungsmodus kann
diese Aktivitätsgruppe durch Markieren der betreffenden Zeile und anschließendes Betätigen
des linken der drei Buttons innerhalb des Registers gelöscht werden.
Abb. 26: Benutzerpflege - Aktivitätsgruppen
61

Systematische Vergabe von Benutzerzugriffsberechtigungen
Nach dem erfolgreichen Löschen aller bestehenden Berechtigungszuordnungen im Testsystem
wurden die neuen Aktivitätsgruppen, wiederum anhand einer vollständigen Liste,
über das Organisationsmanagement indirekt den SAP-Benutzern zugeordnet. Jede Aktivitätsgruppe
wurde entsprechend der jeweiligen Anforderungen einzeln an Organisationseinheiten,
Stellen oder Planstellen zugeordnet, was zur Folge hatte, dass die InhaberInnen
der Planstellen in diese Aktivitätsgruppe als zugeordnete BenutzerInnen eingetragen
wurden. Es war auch vereinzelt der Fall, dass einer Aktivitätsgruppe sowohl ganze Organisationseinheiten,
als auch einzelne Stellen bzw. Planstellen zuzuordnen waren.
Die Zuordnung erfolgte durch das Anwählen des Buttons Benutzer, dessen Ampel bis dahin
den Status rot zeigte, da noch keine Benutzer gepflegt wurden. Über den Button
Org.Management konnten neue Zuordnungen angelegt werden. Hier konnten auch bestehende,
indirekte Benutzerzuordnungen wieder entfernt werden. Ein Löschen von
indirekten Benutzerzuordnungen in der Aktivitätsgruppe ist allerdings nicht möglich. Diese
Möglichkeit besteht nur, wenn die Benutzer durch Erfassen in der Benutzerliste direkt der
Aktivitätsgruppe zugeordnet wurden. Direkte und indirekte Benutzerzuordnungen in einer
Aktivitätsgruppe können daran unterschieden werden, dass indirekt zugeordnete Benutzer
grau, direkt zugeordnete Benutzer hingegen weiß hinterlegt sind. Will man in R/3 eine
neue, indirekte Benutzerzuordnung über das Organisationsmanagement erzeugen, so erscheint
nach Betätigen des entsprechenden Buttons ein Auswahlfenster mit den möglichen
organisatorischen Einheiten. Nach erfolgter Wahl der gewünschten Einheit kann
man aus einer Liste mit allen bestehenden Einträgen, also allen zuvor angelegten Stellen,
Planstellen, usw., jene auswählen, die der Aktivitätsgruppe zugeordnet werden sollen.
Abb. 11 zeigt das Register Benutzer innerhalb einer Aktivitätsgruppe. Man erkennt auch
den Button Org.Management, über den indirekte Zuordnungen vorgenommen werden
können. In den freien Feldern darunter stehen nach einer erfolgten Zuordnung zeilenweise
die einzelnen Benutzer, das sind in diesem Fall die Inhaber der zugeordneten
Planstellen, wobei diese, wie bereits erwähnt, grau hinterlegt dargestellt werden.
Abb. 27: Aktivitätsgruppe – Benutzerzuordnung
62

Systematische Vergabe von Benutzerzugriffsberechtigungen
Nach dem Erzeugen der indirekten Benutzerzuordnungen wurden diese sofort in einem
Transportauftrag erfasst. Mit der Hilfe von Transportaufträgen können Änderungen, die im
Testsystem durchgeführt werden, und zum Teil auch nur in diesem System möglich sind,
in das Produktivsystem transportiert und dort anschließend importiert werden. Dadurch
muss man Änderungen nur in einem System vornehmen und kann sie nach erfolgreichem
Testen direkt in das Produktivsystem übernehmen. Beim Erfassen der Benutzerzuordnungen
in der ersten Aktivitätsgruppe wurde ein neuer Transportauftrag für die indirekten
Zuordnungen erzeugt. In diesem Transportauftrag wurden dann sämtliche Benutzerzuordnungen
für alle Aktivitätsgruppen des laufenden Projekts erfasst.
5.3.5.3 Test der neuen Berechtigungszuordnungen
Am 18. Dezember 2001 wurden alle SAP-BenutzerInnen der HFA darüber informiert, dass
die Benutzerberechtigungen im Testsystem zur Gänze neu vergeben wurden, und gleichzeitig
wurden sie aufgefordert, entsprechende Tests durchzuführen. Zuvor wurden alle
Benutzer im Testsystem freigeschalten. Das war erforderlich, da die meisten BenutzerInnen
im Testsystem für gewöhnlich gesperrt sind, da für gewöhnlich nur die Keyuser und
Systemadministratoren Änderungen und Tests im Testsystem durchführen. Als voraussichtliches
Ende dieser 2. Testphase wurde der 18. Januar 2002 bekannt gegeben.
Wie bereits in der ersten Testphase, wurden auch in dieser Testphase laufend Korrekturen
in den Aktivitätsgruppen durchgeführt. Jeder einzelne Benutzer sollte durch diese
Testphase gewährleisten, dass sein SAP-Benutzer die für die tägliche Arbeit erforderlichen
Berechtigungen besitzt. Dadurch sollten gröbere Probleme mit dem neuen
Berechtigungskonzept im Produktivsystem von vornherein vermieden werden.
Die Testphase endete schließlich am 25. Januar 2002. Die Keyuser wurden darüber informiert,
dass am 26. Januar 2002 die neuen Berechtigungszuordnungen in das
Produktivsystem transportiert werden sollten und deswegen die Testphase für beendet
erklärt war.
5.3.6 Transport der neuen Berechtigungszuordnungen in das
SAP-Produktivsystem
Am Samstag, den 26. Januar 2002, wurde das neue Berechtigungskonzept nach den abgeschlossenen
Tests schließlich in das Produktivsystem transportiert. Diese Tätigkeit
musste an einem arbeitsfreien Tag durchgeführt werden, da sämtliche SAP-
BenutzerInnen durch die Umstellung der Berechtigungszuordnungen eine zeitlang nicht
im SAP arbeiten konnten.
Alle Aktivitätsgruppen, die Bestandteil des neuen Berechtigungskonzepts waren, wurden
zunächst in einem Transportauftrag erfasst, anschließend in das Produktivsystem transportiert
und von dort importiert. Der Transport der Aktivitätsgruppen wurde zwar schon
Anfang Dezember 2001 durchgeführt (siehe nächster Abschnitt), es sollte aber sichergestellt
werden, dass alle späteren Änderungen in den Aktivitätsgruppen auch im
Produktivsystem berücksichtigt waren. Anschließend wurde im Produktivsystem der Benutzer
HELP angelegt, der, wie bereits im Testsystem, ein Weiterarbeiten im SAP-System
nach dem Löschen der alten Berechtigungen sicherstellen sollte. Danach wurden in allen
Benutzerstammsätzen sämtliche Aktivitätsgruppen und Berechtigungsprofile, und damit
alle SAP-Benutzerberechtigungen, gelöscht.
63

Systematische Vergabe von Benutzerzugriffsberechtigungen
Nach erfolgreichem Löschen aller bestehenden Benutzerzuordnungen im Produktivsystem
wurde der Transportauftrag, der im Testsystem erstellt wurde und die indirekten
Benutzerzuordnungen der neuen Aktivitätsgruppen enthielt, vom Testsystem exportiert
und im Produktivsystem importiert. Nun mussten noch in jeder der Aktivitätsgruppen sowohl
ein Abgleich der indirekten Benutzerzuordnungen als auch ein vollständiger
Benutzerabgleich durchgeführt werden. Danach waren einerseits alle Benutzer in den
entsprechenden Aktivitätsgruppen und andererseits alle Aktivitätsgruppen und zugehörigen
Berechtigungsprofile in den entsprechenden Benutzerstammsätzen eingetragen.
Nun befanden sich alle neuen Aktivitätsgruppen und Benutzerzuordnungen im Produktivsystem.
Das neue Berechtigungskonzept war somit aktiv und das Berechtigungsprojekt
damit, bis auf eventuell erforderliche Nacharbeiten, abgeschlossen. Die SAP-
BenutzerInnen der HFA wurden per E-mail darüber informiert, dass die Berechtigungen
im SAP-Produktivsystem jetzt neu vergeben waren, und sie wurden gleichzeitig gebeten,
auftretende Probleme im Zusammenhang mit SAP-Berechtigungen sofort der EDV-
Abteilung mitzuteilen.
5.3.7 Schwierigkeiten und Sonderfälle im Projekt
Während des Projekts traten einige Probleme auf, die es zu lösen gab, und es gab auch
einige Sonderfälle, die einer speziellen Behandlung bedurften. Der Sonderfall mit den
Warenbegleitkarten wurde bereits im Zuge der Beschreibung der Abbildung des Organisationsdiagramms
erörtert. Weitere Schwierigkeiten und Sonderfälle werden nachfolgend
kurz beschrieben:
1. Das erste Problem ergab sich aus der Tatsache, dass alle Keyuser der HFA am Projekt
beteiligt werden sollten und das Projekt im Sommer, also in der Urlaubssaison,
gestartet wurde. Durch ein großzügiges Bemessen der Zeitspannen zwischen den
einzelnen Projektphasen konnte dem Umstand, dass zu fast keinem Zeitpunkt während
der ersten Projektphasen alle Keyuser im Betrieb anwesend waren, aber
erfolgreich begegnet werden.
2. Eine weitere Schwierigkeit war, dass nicht alle Keyuser erfreut waren, an dem Projekt
mitarbeiten zu müssen. Bei einigen war durchaus Überzeugungskraft und Motivationsarbeit
nötig, um sie von der Wichtigkeit des Projekts zu überzeugen und ihnen
klarzumachen, dass das Projekt ohne ihre Hilfe nicht ordnungsgemäß durchgeführt
werden könnte.
3. Einen Sonderfall bei der Erfassung der Transaktionen in den Aktivitätsgruppen stellten
manuell erstellte Transaktionen dar. Dabei handelt es sich um Transaktionen, die in
der HFA erstellt wurden. Solche Transaktionen beginnen mit einem Z, damit sie eindeutig
von SAP-Standardtransaktionen unterschieden werden können. Die manuell
erstellten Transaktionen wurden nach Rücksprache mit jenen Mitarbeitern, die diese
erzeugt hatten, in die entsprechenden Aktivitätsgruppen eingefügt.
64

Systematische Vergabe von Benutzerzugriffsberechtigungen
4. Nach dem Erfassen der Transaktionen durch die Keyuser stellte sich heraus, dass in
den Aktivitätsgruppen des Einkaufs zu viele Transaktionen enthalten waren, die nicht
benötigt wurden. Dies resultierte daraus, dass durch das Auswählen von Menüs sehr
viele Untermenüs, und damit unzählige Transaktionen, in die entsprechenden Aktivitätsgruppen
aufgenommen wurden. Nach Rücksprache mit dem verantwortlichen
Keyuser erklärte sich dieser bereit, eine Liste mit den erforderlichen Transaktionen zu
erstellen. Diese Transaktionen wurden dann in die Aktivitätsgruppen
HFA_V.KEYUSER und HFA_V.USER eingefügt, nachdem alle zuvor erfassten Transaktionen
gelöscht waren.
5. Es traten auch Sonderfälle im Zusammenhang mit SAP-Benutzern auf. Es sind z. B.
einige Benutzer für SAP-Berater eingerichtet, für die eine eigene Aktivitätsgruppe erstellt
wurde. Diese Aktivitätsgruppe konnte natürlich nicht über das
Organisationsmanagement zugeordnet werden. Sie wurde deshalb nach Abschluss
des Projekts direkt an die entsprechenden Benutzer zugeordnet. Ein weiterer Sonderfall
war, dass von zwei Benutzern noch kein Personalstamm im Testsystem existierte.
Das resultierte daraus, dass bei einem Neueintritt der Personalstamm nur im Produktivsystem
angelegt wird. In der Regel wird dann zweimal jährlich eine sog.
Mandantenkopie durchgeführt, mit der die Daten des Testsystems durch die Daten
des Produktivsystems ersetzt werden. Nach einer solchen Mandantenkopie haben das
Test- und das Produktivsystem also den gleichen Stand. Bis zur nächsten Mandantenkopie
konnten die zwei betroffenen Benutzer also nicht in das
Organisationsmanagement aufgenommen werden.
6. Anfang Dezember 2001 musste das Projekt für eine kurze Zeitspanne anderen Arbeiten,
die im SAP-System anfielen, weichen. Am 1. Dezember 2001 wurden sog.
Support Packages in SAP R/3 eingespielt. Dabei handelt es sich um Korrekturprogramme,
die aufgetretene Fehler in den verschiedensten SAP-Anwendungen
beheben. Außerdem wurden mit den HR-Packages wichtige Änderungen, die sich einerseits
aufgrund der EURO-Umstellung und andererseits durch gesetzliche
Änderungen, die die Entgeltabrechnung betreffen, ergaben, in das System eingespielt.
Am 8. Dezember 2001 wurde dann die bereits erwähnte Mandantenkopie durchgeführt.
Das Personalmanagement benötigte zum Testen der EURO-Umstellung einen
aktuellen Datenbestand im Testsystem, weshalb die ursprünglich für Jänner 2002 geplante
Mandantenkopie in den Dezember vorverlegt wurde.
7. Durch das Vorverlegen der Mandantenkopie mussten vor dem Kopieren des Produktivsystems
das Organisationsmanagement und sämtliche neuen und überarbeiteten
Aktivitätsgruppen vom Testsystem in das Produktivsystem transportiert werden, da
ansonsten nach der Mandantenkopie die ganze, bis dahin durchgeführt, Projektarbeit
verloren gewesen wäre.
8. Im Laufe der verschiedenen Kontroll- und Testphasen mussten auch einige neue Aktivitätsgruppen
angelegt werden, die am Beginn des Projekts aus verschiedenen
Gründen noch nicht berücksichtigt wurden. So vergaß man z. B. auf Aktivitätsgruppen
für solche Tätigkeiten, die nur ein- oder zweimal jährlich durchgeführt werden mussten.
Darunter fällt etwa die einmal pro Jahr durchzuführende Planung des nächsten
Geschäftsjahres.
Die angeführten Schwierigkeiten und Sonderfälle konnten schließlich alle zufriedenstellend
gelöst bzw. behandelt werden, wodurch ein erfolgreicher Abschluss des gesamten
Projekts möglich war.
65

6 Resümee
Systematische Vergabe von Benutzerzugriffsberechtigungen
6.1 Datenschutz, Zugangskontrolle und Zugriffsschutz
Der Datenschutz und die Absicherung elektronischer Datenbestände gegen jegliche Art
von Gefahren stellt eine immer größere Herausforderung für alle Unternehmen dar, die
mit entsprechenden Daten arbeiten. Waren früher in erster Linie Betriebe mit hohem Forschungs-
und Know-How-Anteil davon betroffen, viel Wert auf Schutzvorkehrungen zu
legen, so sind in der heutigen, wirtschaftlich schnelllebigen und hochtechnisierten Welt
nahezu alle Unternehmen darauf angewiesen, entsprechende Sicherheitsvorkehrungen
zu treffen. Kein Betrieb kann heutzutage auf den Einsatz von moderner Informationstechnologie
verzichten, egal ob in der Produktion, in der Verwaltung oder in den restlichen
betrieblichen Bereichen. Ein Arbeiten ohne den Einsatz von EDV ist kaum noch vorstellbar.
Damit einhergehende Gefahren verursachen jährlich Schäden in Milliardenhöhe, und
sind nicht selten mitverantwortlich für den wirtschaftlichen Untergang ganzer Unternehmen.
Dabei drohen nicht nur kriminelle Handlungen und Datendiebstahl, sondern eine
Vielzahl von Gefahren unterschiedlichen Ursprungs.
Das IT-Sicherheitskonzept eines Unternehmens sollte sich aus dessen allgemeinen Sicherheitskonzept
ableiten und jedes Unternehmen sollte sich zunächst mit der Frage
beschäftigen, was Sicherheit für das Unternehmen selbst bedeutet [Grub02, 26].
Viele Hardware- und Softwarehersteller haben den hohen Stellenwert, den die Sicherheit
in Zusammenhang mit dem EDV-Einsatz einnimmt, längst erkannt und bieten seit einigen
Jahren spezielle Lösungen an, um EDV-Systeme gegen die drohenden Gefahren zu
schützen. Für Unternehmen gilt es nun, im Zuge der Anschaffung von EDV-Systemen
großen Wert auf die durch das System gebotene Sicherheit zu legen, wobei der Faktor
Sicherheit nicht nur als zusätzliche Eigenschaft, sondern als eine zentrale Funktion betrachtet
werden sollte, damit ihr auch die nötige Aufmerksamkeit entgegengebracht wird.
Sämtliche Maßnahmen, die nötig sind, um ein ausreichend sicheres EDV-System in ein
Unternehmen zu integrieren, müssen genau geplant und konsequent umgesetzt werden,
damit sowohl den Forderungen des Datenschutzgesetzes als auch den speziellen Sicherheitsanforderungen
des jeweiligen Unternehmens entsprochen werden kann. Schon die
kleinste Schwachstelle im System kann genügen, um das gesamte Sicherheitskonzept
und dessen Wirksamkeit zu gefährden. Sicherheit sollte zu einem fixen und allgegenwärtigen
Faktor in sämtlichen, betrieblichen Prozessen werden. Allen MitarbeiterInnen sollte
durch Schulungen und Einweisungen die Wichtigkeit des Datenschutzes und der Datensicherheit
bewusst gemacht werden. In diesem Zusammenhang muss auch großer Wert
auf die angewendeten Systeme der Zugangs- und Zugriffssteuerung gelegt werden. Es ist
zu prüfen, ob hier ein ausreichender Schutz vorhanden ist bzw. ob durch den Einsatz
neuerer Technologien ein vielleicht sogar um ein Vielfaches höherer Schutz erreicht werden
kann.
Erst wenn alle erforderlichen baulichen und organisatorischen Maßnahmen getroffen sind,
die entsprechende Hardware und Software installiert sind und sich alle Beteiligten den
Sicherheitsanforderungen gemäß verhalten, können die drohenden Risiken auf ein akzeptables
Mindestmaß gesenkt werden. Diese Minimierung des Risikos sollte in allen
Unternehmen mit Nachdruck verfolgt werden, um dadurch einen reibungslosen Betriebsablauf
gewährleisten zu können.
66

6.2 Modellansatz versus SAP R/3-Projekt
Systematische Vergabe von Benutzerzugriffsberechtigungen
Das in der Hella Fahrzeugteile Austria GmbH & Co KG durchgeführte Projekt zur Vergabe
der Zugriffsberechtigungen in der betrieblichen Standardsoftware SAP R/3 verwirklichte,
teilweise leicht modifiziert, einen Teil der Punkte jenes Modellansatzes, der eine möglichst
effiziente und effektive Zuordnung von Benutzerzugriffsberechtigungen gewährleisten soll.
Andere, zum Teil sehr wichtige Schritte des Modells, wurden durch das Projekt jedoch
nicht behandelt. Abbildung 28 zeigt den Vergleich zwischen dem erstellten Modellansatz
und dem R/3-Projekt gemessen an den einzelnen Schritten des Modells:
MODELLANSATZ SAP R/3-PROJEKT
Geschäftsprozesse NICHT BEARBEITET
Informationsprozesse NICHT BEARBEITET
Berechtigungsgruppen Aktivitätsgruppen
Benutzergruppen Organisationseinheiten
Zuweisung der Gruppen KONFORM
Abb. 28: Vergleich zwischen Modell und Projekt
Die Zugriffsberechtigungen, die im Zuge des Projekts bearbeitet wurden, wurden nicht auf
der Basis von Geschäfts- und Informationsprozessen vergeben, sondern durch eine Reihe
von Personen, die auch dafür verantwortlich waren, dass die benötigten
Berechtigungsgruppen (Aktivitätsgruppen) erzeugt wurden. Durch diese Vorgehensweise
verringerte sich zwar der Arbeitsaufwand des Projekthauptverantwortlichen, und er gab
damit auch einen Teil der Verantwortung weiter, aber diese Art der Abwicklung birgt auch
einige negative Aspekte. So kann der Projektleiter nicht alleine dafür sorgen, dass alle
benötigten, jedoch keine darüber hinaus gehenden Zugriffsberechtigungen in den entsprechenden
Aktivitätsgruppen enthalten sind. Es mangelt also sowohl an zentraler
Verantwortung als auch an zentraler Kontrolle. Beide Faktoren sind besonders in Bereichen
der Sicherheit und des Datenschutzes enorm wichtig und dürfen daher nicht
vernachlässigt oder sorglos abgegeben werden.
Die durch das Modell vorgesehene Bildung von Berechtigungsgruppen wurde im R/3-
Projekt durch das Erzeugen von Aktivitätsgruppen verwirklicht. Die Keyuser des Unternehmens
statteten die Aktivitätsgruppen mit Zugriffsberechtigungen und allenfalls
erforderlichen Attributseinschränkungen aus. Dieser Projektschritt wurde jedoch nicht detailliert
dokumentiert, da die Keyuser die Zugriffsberechtigungen direkt im R/3-System
erfassten, ohne vorher entsprechende Unterlagen über die Aktivitätsgruppen und deren
Inhalt angefertigt zu haben.
Das Erzeugen von Benutzergruppen wird vom R/3-System zwar unterstützt, jedoch nicht
die Möglichkeit, Berechtigungen an diese Benutzergruppen zuzuweisen. Aus diesem
Grund wurden im Zuge der Projektabwicklung keine Benutzergruppen angelegt.
67

Systematische Vergabe von Benutzerzugriffsberechtigungen
Die Berechtigungen wurden bekanntlich über Organisationseinheiten, Stellen und Planstellen
an die BenutzerInnen zugeordnet, was dem Konzept der Benutzergruppen
einerseits zwar sehr nahe kommt, andererseits kommt es durch die gleichzeitige Berechtigungszuweisung
an Planstellen und Stellen bzw. Organisationseinheiten aber zu einer
simultanen Gruppen – und Einzelvergabe, was sich u. a. negativ auf die Einheitlichkeit
des Berechtigungssystems auswirkt.
Der letzte Punkt des Modellansatzes fand schließlich auch im SAP-Projekt Anwendung.
Dort wurden die Aktivitätsgruppen an Organisationseinheiten, Stellen und Planstellen zugewiesen,
und dadurch die BenutzerInnen mit Zugriffsberechtigungen ausgestattet.
Basierend auf dem angestellten Vergleich zwischen Modellansatz und Projekt wird nun
noch kurz die folgende Fragestellung untersucht: Welche Verbesserungen bzw. Einbussen
könnten in der Hella Fahrzeugteile Austria entstehen, wenn man die Gesamtheit der
Zugriffsberechtigungen auf Basis des vorgestellten Modellansatzes neu vergeben würde?
Folgende Verbesserungen könnten realisiert werden:
• Zentralisierung der gesamten Zugriffsschutz-Administration
• Vergabe sämtlicher, systemübergreifender Zugriffsberechtigungen auf der Basis
eines Modells bzw. einer Datensammlung
• Durchgehende und detaillierte Dokumentation
• Erhöhung der Nachvollziehbarkeit und ev. auch der Wartungsfreundlichkeit
Demgegenüber stünden u. a.:
• ein ungleich hoher Projektaufwand, da nicht nur die Zugriffsberechtigungen in SAP
R/3, sondern auch in Lotus Notes, Windows 2000 und Windows NT neu vergeben
werden müssten
• Dazu käme noch die Notwendigkeit, Geschäfts- und Informationsprozesse abbilden
zu müssen, da diese nicht in erforderlichem Ausmaß vorhanden sind.
Die Entscheidung, ob in der Hella Fahrzeugteile Austria ein neues, umfassendes Projekt
zur Vergabe der Zugriffsberechtigungen erwogen bzw. durchgeführt wird, wird von verschiedenen
Faktoren abhängen. Wichtige Punkte werden dabei sicherlich der Stellenwert
von Datenschutz und Datensicherheit innerhalb des Unternehmens und das Sicherheitsbewusstsein
der Entscheidungsträger bilden, gleichzeitig wird jedoch der zu erwartende,
hohe Projektaufwand ein sehr wichtiges Entscheidungskriterium darstellen. Und schließlich
wird auch mitentscheidend sein, ob das Ergebnis des R/3-Berechtigungsprojekts
insgesamt als zufriedenstellend gewertet und der entstandene Zugriffsschutz als ausreichend
betrachtet wird.
Es bleibt also abzuwarten, ob das bestehende System der Vergabe der Zugriffsberechtigungen
in der HFA in Zukunft beibehalten wird, oder ob doch die Notwendigkeit entsteht,
die Zugriffsberechtigungen entsprechend des beschriebenen Modellansatzes zur Gänze
neu zu vergeben.
68

Anhang
Literaturverzeichnis
Systematische Vergabe von Benutzerzugriffsberechtigungen
[Adam95] Adam, Uwe: Einführung in die Datensicherheit: Probleme und Lösungen.
Vogel, Würzburg 1995.
[Dohr96a] Dohr, Walter: Das österreichische Datenschutzgesetz. In: Fleissner, P.;
Choc, M. (Hrsg.): Datensicherheit und Datenschutz. Studien-Verlag, Innsbruck
Wien 1996, S. 83-116.
[Dohr96b] Dohr, Walter: Datenschutz in internationalen Organisationen. In: Fleissner,
P.; Choc, M. (Hrsg.): Datensicherheit und Datenschutz. Studien-Verlag,
Innsbruck Wien 1996, S. 139-160.
[Dorn99] Dorn, Jürgen: Informationsmanagement für Wirtschaftsinformatiker. Vorlesungsskriptum,
TU Wien 1999.
[Geig00] Geiger, Marcel: Sicherheitsaspekte in Unternehmensnetzwerken.
http://www.utk.ch/archiv/2000/3/seit2933.htm, 2000-09-10, Abruf am
2002-02-19.
[Grub02] Gruber, Siegfried: Beko setzt auf Security. In: Nikoll, H. (Hrsg.): IT & T Business
03/02. it media & consulting, Klosterneuburg 2002.
[Jahn01] Jahns, Angela: SAP AG investiert in humanIT.
http://www.humanit.de/de/humanit/pressereleases/0102/
pi_sap_ventures_de.pdf, 2001-02-05, Abruf am 2002-01-12.
[KeKr91] Kersten, Heinrich; Kreutz, Hartwig: Sicherheit unter dem Betriebssystem
Unix. Oldenbourg, München Wien 1991.
[Kers91] Kersten, Heinrich: Einführung in die Computersicherheit. Oldenbourg, München
Wien 1991.
[Köhn99] Köhntopp, Marit: Technische Randbedingungen für einen datenschutzgerechten
Einsatz biometrischer Verfahren. In: Horster, P. (Hrsg.):
Sicherheitsinfrastrukturen. Vieweg, Wiesbaden 1999, S. 177-188.
[KüSc97a] Kühn, Ulrich; Schläger, Uwe: Datenschutz in vernetzten Computersystemen.
Datakontext, Frechen-Königsdorf Köln 1997.
[KüSc97b] Kühn, Ulrich; Schläger, Uwe: Datenschutz in vernetzten Computersystemen.
Datakontext, Frechen-Königsdorf Köln 1997, S. 122-133.
[Magn99] Magnus, Nils: Wie sicher ist Linux? http://www.unix-ag.uni-kl.de/~linux/
Linuxtag99/wie-sicher-ist-linux.html, Abruf am 2001-10-25.
[Pflü00] Pflüger, Jörg: Datenschutz und Datensicherheit, Österreichisches Datenschutzgesetz.
Vorlesungsskriptum 2000.
69

Systematische Vergabe von Benutzerzugriffsberechtigungen
[PiFl96] Piller, Ernst; Fleissner, Peter: Gefahren und Gefährdungen. In: Fleissner,
P.; Choc, M. (Hrsg.): Datensicherheit und Datenschutz. Studien-Verlag,
Innsbruck Wien 1996, S. 217-240.
[PrKö99] Probst, Thomas; Köhntopp, Marit: Datenschutzgerechter und datenschutzfördernder
Einsatz von biometrischen Verfahren. http://www.rewi.huberlin.de/Datenschutz/DSB/SH/projekte/biometri/
bsibabio.htm, Abruf am 2001-10-25.
[Ruef00] Ruef, Marc: Grundlagen biometrischer Authentifikation.
http://www.utk.ch/archiv/2000/4/seit2628.htm, 2000-12-15, Abruf am 2001-
10-25.
[ScWe00] Schipper, Johannes; Wehr, Markus: Biometrische Methoden.
http://www.infosys.tuwien.ac.at/Teaching/Courses/AK2/vor99/t4, Abruf am
2001-10-20.
[Szel01] Szelgrad, Martin: Kriminelle Kollegen. In: Flatscher, A. (Hrsg.): Telekommunikationsreport.
Report-Verlag, Wien Oktober/2001.
[VaBu00] Van Buuren, Jelle: Neue EU-Richtlinie zum Schutz der Privatsphäre im
Informationszeitalter vorgeschlagen.
http://www.heise.de/tp/deutsch/inhalt/te/8378/1.html, 2000-07-14, Abruf am
2002-01-14.
[VonA00] Von Ah, Marc: Biometrie: Chancen und Risiken.
http://www.infoweek.ch/archive/a_single.cfm?artikelx=4600, Abruf am
2001-10-25.
70