Rechte bis auf den Datensatz
Rollen legen fest, welche Datensätze jemand lesen, anlegen, bearbeiten oder löschen darf, zum Beispiel „nur die eigene Kostenstelle“.
Zentrale Rechteprüfung
Eine Rechteprüfung für jeden Zugriff
Wer alle Prozesse auf einer Plattform betreiben möchte, muss klären, ob dann etwa die IT die Personalvorgänge sieht. Diese Trennung muss technisch gesichert sein, nicht nur organisatorisch. In nexxcite läuft deshalb jeder Zugriff durch eine zentrale Rechteprüfung, auch der Zugriff der KI.
- Rechte als Regel formuliert
- Bis auf Datensatz, Feld und Aktion
- Vollständige Bereichstrennung
- SSO, LDAP, Zwei-Faktor
Granularität
Rechte lassen sich bis ins Detail festlegen
Bis zum Datensatz
Lesen, anlegen, bearbeiten, löschen
Grenzen je Datensatz-Typ, als Regel formuliert: Die Teamleitung im Einkauf sieht nur Anforderungen der eigenen Kostenstelle.
Bis zum Feld
Sichtbar, beschreibbar oder gar nicht da
Dieselbe Personalakte, zwei Ansichten: Die Führungskraft sieht die Abwesenheiten, die Gehaltsfelder bleiben der Personalabteilung vorbehalten.
Bis zur Aktion
Einzelberechtigungen für Schaltflächen und Abläufe
Den Antrag bearbeiten darf das Team. Die Freigabe auslösen darf nur, wer die Freigabeberechtigung hat.
Grundprinzip
Berechtigungen werden als Regeln formuliert
In vielen Systemen ist eine Berechtigung ein Kreuz in einer Matrix: Eine Rolle darf einen Datensatz-Typ lesen, ja oder nein. Das funktioniert, bis der erste Sonderfall auftritt.
„Die Teamleitung sieht die Anträge des eigenen Teams, im Vertretungsfall auch die des Nachbarteams, bei Eskalation alle des Bereichs, und die Personalabteilung sieht Anträge zu ihrer eigenen Person nicht.“ So sehen Berechtigungen in der Praxis häufig aus, und in einer Matrix lassen sie sich nicht abbilden.
In nexxcite ist eine Leseberechtigung ein Ausdruck, also eine Regel, die bei jedem Zugriff ausgewertet wird. Sie berücksichtigt Beziehungen, Rollen, Feldwerte und die anfragende Person. Der Sonderfall wird so zu einer Regel unter anderen.
- Lese-, Anlage-, Änderungs- und Löschrechte getrennt konfigurierbar
- Regeln kennen Beziehungen: nur Vorgänge der eigenen Kostenstelle
- Rollen können andere Rollen einschließen
- Bei mehreren Rollen entscheidet die Priorität
- Vertretungsregelungen im Modell vorgesehen, stellvertretende Anmeldung nachvollziehbar
- Rechte auch an der Konfiguration selbst, nicht nur an Datensätzen
Sicherheit
Eine Rechteprüfung für jeden Zugriff
Ob jemand über die Oberfläche oder das Kundenportal arbeitet, ob ein anderes System über die Schnittstelle zugreift, ein KI-Assistent eine Frage beantwortet oder nachts eine Automatisierung läuft: Jeder Zugriff durchläuft dieselbe Rechteprüfung. Das gilt auch für die KI.
Zentrale Rechteprüfung
- Rolle
- Bereich
- Datensatz
- Feld
- Aktion
Ihre Daten
Ein Bestand, sauber getrennt
KI ohne Sonderrechte
Ein Assistent sieht genau das, was sein Nutzer sehen darf. Was die Rechteprüfung ausfiltert, ist für die KI nicht vorhanden.
Anmeldung nach Ihrem Standard
Einmalige Anmeldung mit dem bestehenden Firmenkonto (Single Sign-on), Anbindung an Ihr Verzeichnis und Zwei-Faktor-Authentifizierung.
Isolation
Ein Bereich kann andere Bereiche nicht erkennen
Trennung bedeutet hier mehr als unsichtbare Daten: Für andere Bereiche ist nicht erkennbar, dass ein Bereich überhaupt existiert.
Was ein Bereich nicht sieht
Für die Personalabteilung gibt es keine IT-Tickets. Sie erscheinen weder ausgegraut noch gesperrt, sie sind schlicht nicht vorhanden.
- Keine Datensätze in Listen und Suche
- Keine fremden Datensatz-Typen in der Navigation
- Keine Treffer in der übergreifenden Suche
- Über die Schnittstelle: „nicht gefunden“ statt „nicht erlaubt“
Was daraus folgt
Fachbereiche arbeiten auf derselben Plattform, ohne einander Einblick geben zu müssen.
- Personalprozesse neben IT-Prozessen
- Externe Portalnutzer neben internen Mitarbeitenden
- Mehrere Tochtergesellschaften in einer Installation
- Getrennte Administration je Bereich möglich
KI ohne Sonderrechte
Was die Rechteprüfung ausfiltert, existiert für die KI nicht
Der Assistent sucht mit den Rechten der Person, die fragt, und nie mit mehr. Zusätzlich legen Sie je Assistent fest, welche Datenbereiche er überhaupt kennt.
KI im ArbeitsalltagWas dazugehört
Sicherheit, die Sie selbst prüfen können
Genau eine Stelle, an der Rechte durchgesetzt werden
Die Rechteprüfung ist Teil jeder Datenbankabfrage und sitzt nicht in der Oberfläche. Daten, die eine Person nicht sehen darf, werden nie geladen. Oberfläche, Kundenportal, REST-API, KI-Assistent, MCP und Automatisierung nutzen dieselbe Prüfung. Dass ein Zugangsweg die Prüfung umgeht, ist damit ausgeschlossen.
- Oberfläche
- Portal
- REST-API
- KI-Assistent
- MCP
- Automatisierung
Anmeldung nach Ihrem Standard
Single Sign-on über OpenID Connect, LDAP und Active Directory, Zwei-Faktor-Authentifizierung.
Rollen, die aufeinander aufbauen
Rollen schließen andere Rollen ein. Hat jemand mehrere, entscheidet die Priorität.
Zugangsdaten zentral
Schlüssel für andere Systeme werden an einer Stelle und mit eigenen Berechtigungen verwaltet, nicht verteilt über einzelne Abläufe.
Auch Hintergrundabläufe geprüft
Hintergrundläufe und zeitgesteuerte Abläufe laufen in einem festgelegten Sicherheitskontext, also mit klar definierten Rechten.
Keine Hinweise auf verborgene Daten
Verborgene Datensätze melden „nicht gefunden“ statt „nicht erlaubt“. Schon diese Unterscheidung würde verraten, dass es sie gibt.
Für Ihre Sicherheitsabteilung
So prüft Ihre Sicherheitsabteilung das Prinzip
Geprüft wird eine Aussage: Es gibt genau eine Stelle, an der Berechtigungen durchgesetzt werden, und alle Zugangswege führen durch sie hindurch. Das lässt sich testen, gern gemeinsam in einem technischen Termin.
-
01
Eine eingeschränkte Rolle anlegen
Etwa: Teamleitung Einkauf, sieht nur die eigene Kostenstelle, keine Personaldaten.
-
02
Über die Oberfläche abfragen
In Listen, Suche und Dashboards prüfen Sie, was erscheint und was nicht.
-
03
Über die Schnittstelle abfragen
Dieselben Daten per REST-API im Kontext derselben Rolle. Verborgenes meldet „nicht gefunden“.
-
04
Den Assistenten fragen
„Zeig mir alle offenen Anforderungen.“ Die Antwort enthält genau das, was die Rolle sehen darf.
-
05
Ergebnisse vergleichen
Alle drei Wege liefern dasselbe Ergebnis, weil sie dieselbe Rechteprüfung durchlaufen.
Häufige Fragen
Fragen aus Sicherheit und Datenschutz
Sieht die IT-Administration automatisch alle Bereiche?
Nicht zwangsläufig. Administration lässt sich je Bereich trennen, und Rechte gelten auch für die Konfiguration selbst. Wer welche Bereiche verwalten darf, legen Sie fest.
Was sieht ein externer Portalnutzer?
Nur, was seine Rolle zulässt, in der Regel die eigenen Vorgänge. Interne Strukturen, andere Kunden und andere Bereiche existieren für ihn nicht.
Kann ein KI-Assistent mehr sehen als die Person, die ihn nutzt?
Nein. Der Assistent arbeitet mit den Rechten seines Nutzers. Zusätzlich können Sie je Assistent festlegen, welche Datenbereiche er kennt. Damit wird sein Zugriff weiter eingeschränkt, nie erweitert.
Wie wird die Anmeldung an unsere Identitätsverwaltung angebunden?
Über OpenID Connect für Single Sign-on, dazu LDAP und Active Directory für Benutzer- und Gruppendaten. Zwei-Faktor-Authentifizierung wird unterstützt. Rollen und Berechtigungen führt nexxcite.
Lassen sich mehrere Gesellschaften in einer Installation trennen?
Ja. Mehrere Tochtergesellschaften können in einer Installation arbeiten, mit strikt getrennten Daten und auf Wunsch getrennter Administration.
Live-Demo
In der Demo prüfen wir Ihre Bereichstrennung
Bringen Sie einen konkreten Fall mit, etwa zwei Bereiche, die sich gegenseitig nicht sehen dürfen. Daran lässt sich das Berechtigungsmodell gut prüfen.
- Ihr Rollenmodell statt Beispiel
- Test über Oberfläche, API und KI
- Gern mit Ihrer Sicherheitsabteilung