Was bedeutet das Need-to-know-Prinzip?

Jeder Mitarbeiter erhält Zugriff auf genau die Daten und Dokumente, die er für seine Aufgabe braucht – nicht mehr. Der Techniker braucht die Wartungsanleitung, aber keine Gehaltsliste; die Lohnverrechnung braucht die Gehaltsliste, aber keine Konstruktionsdaten.

Verlangt die DSGVO ein Berechtigungskonzept?

Nicht wörtlich – aber sie verlangt Vertraulichkeit und dem Risiko angemessene technische und organisatorische Maßnahmen (Art. 5 und 32 DSGVO). Ein dokumentiertes Rollenkonzept ist der anerkannte Standardweg, diese Pflicht bei Dokumenten mit Personenbezug umzusetzen.

Sind zu weit vergebene Zugriffsrechte eine Datenpanne?

Sie können eine werden: Greifen Unbefugte tatsächlich auf personenbezogene Daten zu – auch intern –, kann eine meldepflichtige Verletzung des Schutzes personenbezogener Daten vorliegen. Der offen lesbare Gehaltsordner im Netzlaufwerk ist ein Klassiker.

Was ist der Unterschied zwischen Rollen und Einzelrechten?

Einzelrechte werden pro Person vergeben und wuchern mit den Jahren unkontrolliert. Rollen bündeln Rechte nach Funktion – etwa Technik, Verkauf, Lohnverrechnung, Geschäftsführung – und Personen werden Rollen zugeordnet. Das bleibt nachvollziehbar, auch bei Ein- und Austritten.

Wie funktionieren Zugriffsrechte in einer KI-Wissensdatenbank?

Die Berechtigungen müssen bis in die KI-Suche durchgreifen: Das System darf für eine Antwort nur Dokumente heranziehen, die der Fragende auch sehen dürfte. Sonst plaudert die KI Inhalte aus, die per Ordnerrecht eigentlich geschützt waren.

Zugriffsrechte richtig regeln

Die Grundregel für Zugriffsrechte heißt Need-to-know: Jeder sieht, was er für seine Arbeit braucht – und nicht mehr. Die DSGVO macht daraus bei Dokumenten mit Personenbezug eine Pflicht, denn sie verlangt Vertraulichkeit und angemessene Schutzmaßnahmen. Genauso wichtig ist aber die Gegenrichtung: Wissen, das das ganze Team braucht – Anleitungen, Protokolle, Standards –, darf nicht hinter unnötigen Sperren verschwinden. Gute Zugriffsrechte schützen das Sensible und öffnen das Nützliche. Wie beides zusammengeht, zeigt dieser Beitrag; er gibt die Grundzüge wieder und ersetzt keine Rechtsberatung im Einzelfall.

In Kürze

Die DSGVO verlangt Vertraulichkeit und dem Risiko angemessene Maßnahmen (Art. 5 und 32) – ein Berechtigungskonzept ist der Standardweg dorthin.
Need-to-know heißt: Zugriff nach Aufgabe, nicht nach Hierarchie oder Bequemlichkeit.
Die meisten realen Vorfälle sind intern: der offene Gehaltsordner, das Bewerbungs-PDF im allgemeinen Laufwerk, Rechte von Ex-Mitarbeitern.
Rollen statt Einzelrechte: Rechte werden pro Funktion definiert, Personen den Rollen zugeordnet – das bleibt über Jahre wartbar.
In einer KI-Wissensdatenbank müssen Berechtigungen bis in die Antworten durchgreifen: Die KI darf nur zitieren, was der Fragende sehen darf.

Warum sind Zugriffsrechte ein DSGVO-Thema?

Die DSGVO nennt in Art. 5 die Grundsätze „Integrität und Vertraulichkeit”: Personenbezogene Daten sind so zu verarbeiten, dass sie vor unbefugtem Zugriff geschützt sind. Art. 32 konkretisiert das zu technischen und organisatorischen Maßnahmen, die dem Risiko angemessen sein müssen – und die Steuerung, wer worauf zugreifen kann, gehört zum Kern dieser Maßnahmen.

Der Punkt, der dabei gerne übersehen wird: Unbefugt kann auch der eigene Kollege sein. Eine Verletzung des Datenschutzes setzt keinen Hacker voraus. Wenn die Gehaltsliste für alle lesbar im Netzlaufwerk liegt oder Bewerbungsunterlagen im allgemeinen Scan-Ordner landen, greifen Personen auf Daten zu, für die sie keine Aufgabe und damit keine Befugnis haben. Je nach Fall kann daraus eine meldepflichtige Datenpanne werden – zuständig ist die österreichische Datenschutzbehörde (dsb.gv.at). Dazu kommt der Schaden jenseits des Rechts: Nichts vergiftet das Betriebsklima zuverlässiger als ein offen einsehbarer Gehaltsordner.

Was bedeutet Need-to-know konkret?

Need-to-know („Wissensbedarf”) heißt: Der Maßstab für Zugriff ist die Aufgabe, nicht die Neugier, nicht die Hierarchieebene und nicht die Bequemlichkeit der IT. Zwei Beispiele machen das Prinzip greifbar:

Die Wartungsanleitung für die Hebebühne soll jeder Techniker finden – am besten rasch, auch der Lehrling im ersten Jahr. Sie enthält keine schutzwürdigen Personendaten; sie wegzusperren schadet nur.
Der Lohnzettel eines Mitarbeiters geht ausschließlich die Lohnverrechnung und die Geschäftsführung etwas an. Er enthält Gehaltsdaten und über die Lohnverrechnung sogar besonders geschützte Angaben.

Need-to-know hat also zwei Seiten, und beide werden im Alltag verletzt: Zu offene Systeme legen Personaldaten frei; zu geschlossene Systeme verstecken das Erfahrungswissen, von dem der Betrieb lebt. Die Kunst ist die Trennlinie – und die verläuft zwischen Dokumentarten, nicht zwischen Abteilungs-Eitelkeiten.

Wer braucht Zugriff worauf? Beispiele aus dem Betriebsalltag

Dokumentart	Zugriff sinnvoll für	Kein Zugriff nötig für
Wartungs- und Bedienungsanleitungen, Serviceprotokolle	Alle Techniker, oft der ganze Betrieb	– (möglichst offen halten)
Angebots- und Kalkulationsvorlagen	Verkauf, Geschäftsführung	Werkstatt, Lager
Kundenverträge	Geschäftsführung, zuständige Sachbearbeiter	Übrige Belegschaft
Lohnzettel, Gehaltsdaten, Krankenstände	Lohnverrechnung, Geschäftsführung	Alle anderen – ausnahmslos
Bewerbungen	Geschäftsführung, einstellende Führungskraft	Alle anderen
Rezepturen, Konstruktionsdaten	Produktion bzw. Entwicklung	Nicht beteiligte Bereiche

Die Tabelle ist bewusst grob – sie zeigt das Muster: Wissen breit, Personendaten eng, Geschäftsgeheimnisse gezielt.

Wie bauen Sie ein Rollenkonzept in fünf Schritten?

Dokumentarten erheben: Nicht jede Datei einzeln, sondern Kategorien – Anleitungen, Verträge, Personalunterlagen, Kalkulationen, Projektordner. Eine Stunde mit den Abteilungsverantwortlichen reicht für die erste Landkarte.
Rollen definieren – nach Funktion, nicht nach Person: Technik, Verkauf, Buchhaltung/Lohn, Geschäftsführung, Lehrlinge, Externe. In einem KMU sind fünf bis acht Rollen fast immer genug.
Grundsatz festlegen: Betriebswissen so offen wie möglich, Personendaten und Geheimnisse so eng wie nötig. Dieser Satz gehört schriftlich ins Konzept, damit künftige Entscheidungen einen Maßstab haben.
Sonderfälle regeln: Vertretungen (wer übernimmt im Urlaub?), Externe (Steuerberater, IT-Dienstleister – zeitlich befristet), Rollenwechsel im Haus (alte Rechte entziehen, nicht nur neue vergeben).
Regelmäßig aufräumen: Zweimal im Jahr prüfen: Stimmen die Zuordnungen noch? Sind Rechte von Ausgeschiedenen deaktiviert? Rechte-Altlasten sind das häufigste Loch im Konzept – ausgerechnet das leiseste.

Wichtig ist die Dokumentation: Ein kurzes, aktuelles Berechtigungskonzept ist im Anlassfall – etwa bei einer Anfrage der Datenschutzbehörde – Gold wert und gehört zu den Nachweisen, die auch die Wirtschaftskammer (wko.at) in ihren Datenschutz-Leitfäden für Betriebe empfiehlt.

Welche Fehler passieren bei Zugriffsrechten am häufigsten?

Das Alles-offen-Laufwerk. Historisch gewachsen, nie hinterfragt: ein Netzlaufwerk, auf dem seit fünfzehn Jahren alles für alle lesbar liegt – inklusive der Ordner „Personal” und „Gehälter”. Wer neu strukturiert, beginnt am besten genau dort.

Rechte werden vergeben, aber nie entzogen. Der Lehrling von damals ist heute im Verkauf, trägt aber noch die Rechte aus drei früheren Rollen mit sich. Und beim Austritt wird zwar das Konto deaktiviert – einzelne Freigaben auf Ordnerebene überleben oft Jahre.

Das Chef-hat-alles-Syndrom. Verständlich, aber riskant: Ein Konto mit Vollzugriff auf alles ist das attraktivste Ziel für Angreifer und der größte Einzelschaden, wenn ein Passwort gestohlen wird.

Kopien umgehen jedes Konzept. Das bestgeschützte Dokument nützt wenig, wenn es als Mail-Anhang oder privater Download weiterwandert. Zugriffskonzepte brauchen deshalb auch einfache Regeln für Weitergabe und Export.

Was ändert eine KI-Wissensdatenbank an den Zugriffsrechten?

Eine KI-Suche macht Dokumente radikal auffindbar – das ist ihr Zweck. Genau deshalb muss das Berechtigungskonzept bis in die Antworten durchgreifen: Wenn ein Mitarbeiter fragt „Was verdient eigentlich unser Werkstattleiter?“, darf das System den Lohnzettel weder anzeigen noch dessen Inhalt in einer Antwort zusammenfassen – auch dann nicht, wenn das Dokument irgendwo im indexierten Bestand liegt. Die Regel lautet: Die KI darf für eine Antwort nur Quellen verwenden, die der Fragende auch direkt öffnen dürfte.

Achten Sie bei der Auswahl deshalb darauf, dass eine KI-Wissensdatenbank Rollen und Zugriffsrechte durchsetzt und jede Antwort mit dem Quelldokument belegt – so sehen Sie jederzeit, woher eine Aussage stammt, und können sie prüfen. Richtig eingesetzt wird die Wissensdatenbank damit zum Ort, an dem beides gilt: Das Wartungswissen findet jeder Techniker rasch, und die Personalunterlagen bleiben dort, wo sie hingehören. Zugriffsrechte sind dabei einer von mehreren Bausteinen eines DSGVO-konformen KI-Einsatzes – das Gesamtbild samt Anbieter-Checkliste zeigt der Beitrag KI und DSGVO in Österreich.

Als nächster Schritt: Nehmen Sie sich die Fünf-Schritte-Liste vor und erstellen Sie die erste Fassung Ihres Rollenkonzepts – ein Nachmittag genügt für den Anfang, und jedes künftige System (KI inklusive) baut darauf auf. Wie die Einführung einer Wissensdatenbank mit Rollenkonzept abläuft, sehen Sie unter wie die Einführung abläuft.

Zugriffsrechte richtig regeln: Wer darf welche Dokumente sehen?