Berechtigungskonzept im ERP: Rollen, Rechte und das Vier-Augen-Prinzip.
Ein Berechtigungskonzept legt fest, wer im ERP was sehen und tun darf, und zwar über Rollen statt über Einzelrechte pro Person. Jede Rolle bündelt die Rechte einer Aufgabe, jeder Mitarbeiter erhält Rollen statt Häkchen. Dazu kommt Funktionstrennung: Kritische Vorgänge wie Anlegen und Freigeben eines Lieferanten dürfen nie in einer Hand liegen.
Berechtigungen entscheiden über Datenschutz, Revisionssicherheit und die Frage, ob ein Fehler oder Betrug auffällt. Trotzdem entstehen sie in vielen Projekten in der letzten Woche vor dem Go-live. Besser nicht.
Vier Grundprinzipien.
01
Rollen statt Einzelrechte
Rechte werden an Aufgaben gebunden, nicht an Personen. Neue Mitarbeiter bekommen Rollen zugewiesen und sind in Minuten arbeitsfähig, statt dass jemand hundert Häkchen kopiert.
02
So wenig wie nötig
Jede Rolle erhält die Rechte, die die Aufgabe braucht, und keines mehr. Was fehlt, lässt sich ergänzen. Zu viel vergebene Rechte nimmt erfahrungsgemäß nie wieder jemand weg.
03
Funktionstrennung
Erfassen und Freigeben, Bestellen und Bezahlen, Stammdaten ändern und buchen: Kritische Schritte verteilen sich auf zwei Personen. Das Vier-Augen-Prinzip schützt vor Fehlern und Betrug.
04
Nachvollziehbarkeit
Wer hat wann welche Rechte erhalten, und wer hat es genehmigt. Ohne diese Dokumentation fällt jede Prüfung durch Wirtschaftsprüfer oder Datenschutz schwer.
Das Berechtigungskonzept gehört ins Lastenheft, nicht in die Schlussphase.
Fragen Sie Anbieter schon in der Ausschreibung, wie ihr System Rollen, Funktionstrennung und Protokollierung abbildet. Auf unserer Plattform schreiben Sie Ihr ERP-Projekt kostenlos aus und machen solche Anforderungen von Anfang an zum Vergleichskriterium.
Jetzt kostenlos ausschreibenBeispiel für ein einfaches Rollenkonzept.
Ein Mittelständler kommt häufig mit acht bis fünfzehn Rollen aus. Mehr Rollen als Mitarbeiter sind ein sicheres Zeichen, dass etwas schiefläuft.
| Rolle | Typische Rechte | Bewusste Grenzen |
|---|---|---|
| Vertrieb Innendienst | Angebote und Aufträge anlegen, Kundendaten pflegen, Preise im Rahmen einsehen | Keine Einkaufspreise, keine Gehaltsdaten, Rabatte nur bis zur definierten Grenze |
| Einkauf | Bestellungen anlegen, Lieferantendaten pflegen, Wareneingänge einsehen | Lieferanten-Bankverbindung ändern nur mit zweiter Freigabe |
| Buchhaltung | Belege buchen, Zahlläufe vorbereiten, Auswertungen erstellen | Zahllauf freigeben nur durch zweite Person, keine Stammdatenänderung an Lieferanten |
| Lager | Wareneingang, Kommissionierung, Inventur, Bestandskorrekturen im Rahmen | Keine Preise, größere Bestandskorrekturen nur mit Freigabe |
| Führungskraft | Auswertungen und Freigaben im eigenen Bereich | Freigaberechte ersetzen keine Erfassungsrechte, sonst kippt die Funktionstrennung |
Die Rollen sind Beispiele zur Orientierung. Ihr Konzept entsteht aus Ihren Prozessen, sinnvollerweise gemeinsam mit dem Einführungspartner.
Admin-Rechte im Griff behalten.
01
Wenige, persönliche Admins
Zwei bis drei benannte Personen mit Admin-Rechten reichen meist. Sammelkonten wie admin@firma sind tabu, weil hinterher niemand weiß, wer gehandelt hat.
02
Nicht im Adminkonto arbeiten
Admins brauchen ein normales Konto für die Tagesarbeit und nutzen das Adminkonto nur für Administration. Das begrenzt Schaden durch Fehler und durch kompromittierte Zugänge.
03
Notfallzugang regeln
Für den Fall, dass kein Admin erreichbar ist, gehört ein versiegelter Notfallzugang ins Konzept: dokumentiert, sicher verwahrt, jede Nutzung protokolliert.
04
Anbieterzugänge steuern
Auch Support und Einführungspartner arbeiten in Ihrem System. Deren Zugänge brauchen ein Ablaufdatum, eigene Konten und Protokollierung, keine Dauerrechte auf Zuruf.
Wartung nach dem Go-live: so bleibt das Konzept sauber.
Berechtigungskonzepte veralten schneller als jede andere Projektunterlage. Diese Routinen halten sie aktuell.
- 1Eintritt, Austritt, Abteilungswechsel als fester Prozess: Rollen werden am ersten Tag vergeben und am letzten Tag entzogen, automatisch angestoßen durch die Personalabteilung.
- 2Rezertifizierung ein- bis zweimal im Jahr: Führungskräfte bestätigen, dass die Rechte ihrer Teams noch stimmen. Was niemand bestätigt, wird entzogen.
- 3Ausnahmen befristen: Vertretungsrechte und Sonderfreigaben bekommen ein Ablaufdatum, sonst werden sie zur Regel.
- 4Rollen pflegen statt Häkchen setzen: Neue Anforderungen ändern die Rolle, nicht das Einzelkonto. Sonst zerfällt das Konzept in Einzelfälle.
- 5Änderungen dokumentieren: Wer, was, wann, warum, genehmigt von wem. Das ist die halbe Miete für jede Prüfung.
Häufige Fragen zum Berechtigungskonzept.
Wann sollte das Berechtigungskonzept entstehen?
Parallel zur Prozessaufnahme, nicht kurz vor dem Go-live. Wer Prozesse beschreibt, weiß bereits, welche Aufgaben es gibt, und Aufgaben sind die Basis der Rollen. In der Schlussphase entstehen sonst Sammelrollen mit zu vielen Rechten, die nie wieder aufgeräumt werden.
Wie viele Rollen sind sinnvoll?
Im Mittelstand erfahrungsgemäß acht bis fünfzehn, orientiert an Aufgabenbereichen wie Vertrieb, Einkauf, Lager und Buchhaltung. Deutlich mehr Rollen als Aufgabenbereiche deuten darauf hin, dass Einzelrechte in Rollen umetikettiert wurden. Weniger ist hier fast immer besser.
Was ist Funktionstrennung konkret?
Die Regel, dass kritische Vorgänge auf zwei Personen verteilt sind: Wer einen Lieferanten anlegt, gibt nicht dessen Zahlungen frei, wer bestellt, bucht nicht den Zahllauf. So braucht es für Betrug oder folgenschwere Fehler immer zwei. Gute ERP-Systeme können solche Regeln technisch erzwingen.
Wer sollte das Berechtigungskonzept verantworten?
Fachlich die Geschäftsführung oder eine benannte Person aus dem Fachbereich, technisch die IT oder der Systembetreuer. Reine IT-Verantwortung funktioniert schlecht, weil die IT nicht beurteilen kann, ob der Einkauf Einkaufspreise sehen muss. Bewährt ist ein Duo aus Fachverantwortlichem und Admin.
Wie prüfe ich in der Auswahl, ob ein ERP das kann?
Lassen Sie sich zeigen, wie Rollen angelegt, Funktionstrennung erzwungen und Rechteänderungen protokolliert werden, am System und nicht auf Folien. Fragen Sie auch nach Auswertungen: Wer hat worauf Zugriff. Wenn Sie Ihr Projekt kostenlos ausschreiben, nehmen Sie diese Punkte als Anforderung auf, dann müssen alle Anbieter konkret antworten.
Stand: August 2026. Dieser Beitrag informiert allgemein und ersetzt keine Rechts- oder Steuerberatung.
Rechte sind Prozessarbeit, keine IT-Fußnote.
Schreiben Sie Ihr ERP-Projekt kostenlos aus und machen Sie Rollen, Funktionstrennung und Protokollierung zum Auswahlkriterium. Anbieter, die das ernst nehmen, erkennen Sie an konkreten Antworten.