Berechtigungskonzept für Raum-, Arbeitsplatz- und Parkplatzbuchung: Rollen und Rechte richtig steuern

Was ist ein Berechtigungskonzept und warum braucht es eines bei der Ressourcenbuchung?

Wer darf Räume verwalten, Buchungsdaten auswerten oder für andere Personen buchen? Je größer ein Unternehmen und je vielfältiger seine Standorte, Gesellschaften und Verantwortlichkeiten, desto schwieriger wird die Beantwortung dieser Frage. Ein gutes Berechtigungskonzept gibt darauf nicht möglichst viele, sondern möglichst klare Antworten.

In einem kleinen Unternehmen ist die Rechtevergabe häufig noch überschaubar. Einige Mitarbeitende buchen Arbeitsplätze und Räume, wenige Personen übernehmen die Administration. Doch spätestens mit mehreren Standorten, Business Units, Gesellschaften oder unterschiedlichen Verantwortungsbereichen stößt ein eher simples Modell schnell an seine Grenzen.

Darf die Standortadministration in München auch Räume in Hamburg bearbeiten? Soll eine Führungskraft Buchungsdaten einzelner Mitarbeitender sehen können? Wer kann die Belegung von Sonderflächen verwalten? Und benötigt eine Person mit administrativen Aufgaben automatisch Zugriff auf personenbezogene Daten?

Die vermeintlich einfache Frage „Wer darf was?“ entwickelt sich damit zu einer grundlegenden organisatorischen Aufgabe.

Gingco Share löst sie mit einem dedizierten Rollen- und Rechtekonzept nach dem Need-to-know-Prinzip (auch bekannt als Erforderlichkeitsprinzip). Mit mehr als 150 Einzelrechten lassen sich dabei die drei zentralen Säulen – Benutzer, Objekte und Standorte – einschränken.

Die Technik ist allerdings nur ein Teil der Lösung. Entscheidend ist, wie Berechtigungen strukturiert werden, damit sie dauerhaft verständlich, wartbar und an Veränderungen im Unternehmen anpassbar sind.

Die drei Dimensionen eines Berechtigungskonzepts: für wen, wofür, wo

Viele Berechtigungskonzepte beginnen sehr einfach: Mitarbeitende dürfen buchen, Administratoren dürfen verwalten. In komplexeren Unternehmensstrukturen funktioniert dieser Aufbau nicht mehr. Ein Standortverantwortlicher benötigt möglicherweise umfassende Verwaltungsrechte, aber nur für seinen eigenen Standort. Eine Assistenz soll für bestimmte Personen buchen dürfen, aber keine Systemkonfiguration verändern. Und zentrale Administratoren benötigen systemweite Funktionen, ohne deshalb automatisch personenbezogene Informationen einsehen zu dürfen.

Genau hier beginnt ein professionelles Berechtigungskonzept. Es beantwortet nicht nur die Frage, welche Funktionen und welche Rolle jemand ausführen darf, sondern auch:

1. Für wen?
   Welche Benutzer oder Benutzergruppen umfasst die Berechtigung?
2. Wofür?
   Welche Objekte oder Objektgruppen dürfen verwaltet werden?
3. Wo?
   Für welche Standorte, Gebäude oder Bereiche gilt die Berechtigung?

Gingco Share kombiniert diese drei Dimensionen mit individuellen Rollen und Rechtegruppen. Dadurch können Berechtigungen gezielt an Aufgaben angepasst und für Verantwortungsbereiche entwickelt werden.

Need-to-know und Least Privilege: warum zu viele und zu wenige Rechte schaden

Bei einem Berechtigungskonzept gibt es zwei entgegengesetzte Risiken:

Zu wenige Berechtigungen erschweren die tägliche Arbeit. Mitarbeitende können Aufgaben nicht selbst erledigen, benötigen ständig Unterstützung durch die Administration und Prozesse werden unnötig kompliziert.

Zu viele Berechtigungen erhöhen dagegen das Risiko von Fehlbedienungen und unnötigen Zugriffen auf sensible Informationen.

Die Herausforderung besteht deshalb nicht darin, möglichst restriktiv oder möglichst großzügig zu konfigurieren. Es geht darum, genau die Berechtigungen bereitzustellen, die für eine konkrete Aufgabe erforderlich sind. Das entspricht dem Least-Privilege- beziehungsweise Need-to-know-Prinzip: Mitarbeitende erhalten nur Zugriff auf die Systembereiche, Funktionen und Informationen, die sie für ihre Tätigkeit benötigen.

Rollen und Rechte werden damit nicht zum Hindernis, sondern zu einem wichtigen Sicherheitsmechanismus. Sie reduzieren Fehlbedienungen, begrenzen unnötige Zugriffe und sorgen dafür, dass Verantwortlichkeiten auch in größeren Organisationsstrukturen eindeutig bleiben.

Berechtigungskonzept Beispiel: Rollenmatrix für ein Unternehmen mit 8 Standorten

Nehmen wir ein Unternehmen mit:

• 8 Standorten
• zentralem Facility Management
• lokalen Standortverantwortlichen
• Assistenzen
• mehreren Gesellschaften
• unterschiedlichen Ressourcen wie Arbeitsplätzen, Räumen und Parkplätzen

Ein globales Administrationsrecht wäre zwar einfach einzurichten, es würde lokalen Verantwortlichen jedoch Zugriff auf Bereiche geben, für die sie gar nicht zuständig sind.

Sinnvoller ist deshalb eine Trennung:

Genau solche organisatorischen Abgrenzungen lassen sich mit dem Rechte- und Rollenkonzept von Gingco Share abbilden. Verwaltungsrechte können beispielsweise auf Standorte, Gebäude, Bereiche, Objektgruppen oder einzelne Objekte begrenzt werden. Auch das Fremdbuchen für Mitarbeitende, Teams, externe Gäste oder Führungskräfte lässt sich über entsprechende Rollen steuern.

Rollenbasiertes Berechtigungskonzept: Rollen statt Einzelrechte

Theoretisch könnte jedes Recht für jede Person einzeln vergeben werden. In einem Unternehmen mit mehreren hundert oder tausend Mitarbeitenden wäre das jedoch kaum dauerhaft administrierbar. Deshalb werden Einzelrechte in Rollen beziehungsweise Rechtegruppen zusammengefasst.

Gingco Share stellt dafür vordefinierte globale, lokale und fachliche Rechtegruppen bereit, die individuell angepasst und erweitert werden können. Einzelrechte können zwischen Gruppen verschoben oder zu neuen Rollen kombiniert werden. Gleichzeitig ist ein hierarchischer Aufbau möglich: Übergeordnete Rollen übernehmen die Berechtigungen darunterliegender Rechtegruppen und ergänzen sie um zusätzliche Rechte.

Damit wird aus vielen Einzelentscheidungen ein strukturiertes Modell. Statt „Person A bekommt Recht 17, 22, 43, 65 und 84“ lautet die organisatorische Entscheidung beispielsweise: „Person A übernimmt die Rolle ‚Lokale Standortadministration Braunschweig‘“.

Das ist verständlicher, nachvollziehbarer und vor allem leichter zu pflegen.

Rollen automatisch vergeben: Rechte folgen der Organisation

Die nächste Herausforderung entsteht, sobald sich das Unternehmen verändert. Eine Mitarbeiterin wechselt die Abteilung. Ein Standortverantwortlicher übernimmt zusätzlich ein weiteres Gebäude. Ein Mitarbeitender verlässt das Unternehmen. Eine neue Gesellschaft wird integriert.

Müssen solche Veränderungen manuell in der Ressourcenmanagementsoftware nachvollzogen werden, entsteht schnell ein dauerhaftes Pflegeproblem. Gingco Share kann Rollen deshalb regelbasiert anhand verschiedener Attribute vergeben und wieder entziehen, beispielsweise über Abteilungszugehörigkeit, AD-Gruppenzugehörigkeit, Kostenstelle, Standort oder weitere individuelle aus Quellsystemen bereitgestellte Merkmale.

Über bestehende Dienste, Identity-Provider oder HR-Systeme lassen sich Mitarbeiter-, Organisations- und Standortdaten zentral übernehmen und synchronisieren. Änderungen der Organisation können so automatisch in die Benutzer- und Rollenverwaltung einfließen.

On- und Offboarding: Berechtigungen bei Eintritt, Wechsel und Austritt

Das ist besonders beim On- und Offboarding relevant.

• Onboarding: Eine neue Person wird im führenden System angelegt und erhält entsprechend ihrer organisatorischen Zuordnung die vorgesehenen Rollen und Zugriffsrechte.
• Interner Wechsel: Ändern sich Abteilung, Standort oder Verantwortungsbereich, können sich auch die zugehörigen Berechtigungen verändern.
• Offboarding: Beim Austritt werden Berechtigungen entzogen. Darüber hinaus lässt sich definieren, wann ein Benutzerkonto gelöscht wird und wie mit bestehenden Buchungen umgegangen werden soll.

Damit reduziert sich nicht nur der administrative Aufwand. Es sinkt auch das Risiko, dass alte Berechtigungen nach einem Rollenwechsel oder Austritt unbemerkt bestehen bleiben.

Führungskräfte und Admins: Mehr Verantwortung heißt nicht mehr Datenzugriff

Ein häufiger Denkfehler bei Berechtigungen lautet: Wer hierarchisch weit oben steht, darf automatisch alles sehen.

Für ein datenschutzorientiertes Berechtigungskonzept ist genau das problematisch. Eine Führungsposition oder hohe Sicherheitsfreigabe muss nicht zwingend einen Zugriff auf personenbezogene Buchungsinformationen rechtfertigen. Der Zugriff auf sensible Informationen kann auf tatsächlich erforderliche und zulässige Nutzerkreise beschränkt werden.

Das Prinzip lautet also: Nicht die Hierarchie entscheidet über den Zugriff, sondern Aufgabe, Zweck und Berechtigung.

Berechtigungskonzept nach DSGVO: Datenschutz und Betriebsrat von Anfang an einbinden

Bei einem Rollen- und Rechtekonzept geht es nicht ausschließlich um IT-Sicherheit. Besonders bei Arbeitsplatz-, Raum- und Ressourcenbuchungen können personenbezogene Informationen verarbeitet werden.

Deshalb sollte früh geklärt werden:

• Wer darf personenbezogene Buchungsinformationen sehen?
• Welche Auswertungen sind zulässig?
• Welche Daten benötigt eine Rolle tatsächlich?
• Wie lange bleiben Informationen personenbezogen?
• Wann werden sie anonymisiert oder gelöscht?
• Welche Regelungen enthält die Betriebsvereinbarung?

Gingco Share unterstützt dafür rollenbasierte Zugriffe, definierbare Aufbewahrungs- und Löschregeln sowie anonymisierte Belegungs- und Nutzungsdaten, Auslastungsanalysen und Statistiken. Auswertungsmöglichkeiten lassen sich entsprechend der jeweiligen Konfiguration und der betrieblichen Regelungen steuern.

Auch Mitarbeitende können im Rahmen entsprechender Konzepte zur Mitbestimmung eigenverantwortlich über die Sichtbarkeit ihrer eigenen Buchungsdaten entscheiden.

Mandantenfähiges Berechtigungskonzept für Konzerne mit mehreren Gesellschaften

Besonders anspruchsvoll wird das Berechtigungsmanagement in Enterprise-Umgebungen. Mehrere Gesellschaften teilen möglicherweise dasselbe Buchungssystem, sollen ihre Ressourcen und Daten aber organisatorisch voneinander trennen. Zentrale Teams benötigen übergreifende Funktionen, während lokale Verantwortliche ausschließlich ihre Region verwalten dürfen.

Gingco Share kann Berechtigungen nach Gesellschaften, Business Units und Organisationseinheiten trennen und bildet damit auch konzernweite Strukturen mit mehreren Standorten und Ländern ab.

So lässt sich beispielsweise ein Modell entwickeln, in dem:

• die Konzernadministration globale Stammdaten verwaltet,
• Länderorganisationen ihre Standorte administrieren,
• lokale Teams einzelne Gebäude verwalten,
• Fachverantwortliche nur bestimmte Ressourcentypen bearbeiten und
• Mitarbeitende ausschließlich die für sie freigegebenen Ressourcen sehen und buchen.

Ein Berechtigungskonzept, das mit der Organisation wächst und mit dem Unternehmen skaliert.

Berechtigungskonzept erstellen: 10 Bausteine, die es klären muss

Bevor Rechtegruppen technisch eingerichtet werden, lohnt sich der Blick auf das organisatorische Gesamtbild. Ein belastbares Berechtigungskonzept sollte mindestens klären:

1. Ziele: Welche Risiken und organisatorischen Anforderungen soll das Konzept lösen?
2. Rollen: Welche wiederkehrenden Aufgaben und Verantwortlichkeiten gibt es?
3. Rechte: Welche Funktionen benötigt eine Rolle tatsächlich?
4. Geltungsbereiche: Für welche Benutzer, Standorte und Objekte gelten diese Rechte?
5. Verantwortlichkeiten: Wer darf Rollen vergeben, verändern und entziehen?
6. Automatisierung: Welche Rollen lassen sich anhand organisatorischer Merkmale automatisch zuweisen?
7. Sonderrechte: Welche Ausnahmen sind notwendig und wer genehmigt sie?
8. Datenschutz: Wer darf personenbezogene Daten sehen und auswerten?
9. Lebenszyklus: Was passiert bei Eintritt, internem Wechsel und Austritt einer Person?
10. Nachvollziehbarkeit: Wie werden administrative Änderungen dokumentiert?

Diese Fragen sollten beantwortet werden, bevor aus historisch gewachsenen Einzelrechten ein kaum noch überschaubares Berechtigungsmodell entsteht.

Rollen und Rechte in Gingco Share: die Funktionen im Überblick

Ob Mitarbeitende, Assistenz, Standortverantwortliche oder zentrale Administration: Mit klar definierten Rollen und Rechten schaffen Sie transparente Zuständigkeiten und behalten auch bei komplexen Strukturen den Überblick. Gingco Share verbindet eine granulare Rechtevergabe mit organisatorischen Einschränkungen und Automatisierung.

Zu den zentralen Bausteinen gehören:

• mehr als 150 Einzelrechte, die verschiedenen Rollen und Rechtegruppen zugeordnet werden können
• Einschränkungen anhand der drei zentralen Säulen Benutzer, Objekte und Standorte (BOS)
• globale, lokale und fachliche Rechtegruppen
• hierarchisch aufgebaute Rollen mit Vererbung von Berechtigungen
• regelbasierte automatische Vergabe und Entziehung von Rollen
• Anbindung bestehender Identity-Provider und HR-Systeme
• automatisierte On- und Offboardingprozesse
• Trennung nach Gesellschaften, Business Units und Organisationseinheiten
• kontrollierte Zugriffe auf personenbezogene Informationen
• konfigurierbare Anonymisierung und Löschung von Buchungsdaten

Checkliste: Rollen- und Rechtekonzept vor der Einführung prüfen

Bevor Sie Rollen konfigurieren, sollten diese Fragen geklärt sein:

• Aufgaben: Welche wiederkehrenden Verantwortlichkeiten gibt es?
• Erforderlichkeit: Welche Rechte benötigt jede Rolle wirklich?
• Benutzer: Für welche Personen oder Gruppen darf eine Rolle handeln?
• Objekte: Welche Ressourcen darf sie sehen, buchen oder verwalten?
• Standorte: Gelten Rechte lokal, regional oder global?
• Gesellschaften: Müssen Business Units oder Mandanten voneinander getrennt werden?
• Personenbezogene Daten: Wer benötigt tatsächlich Zugriff darauf?
• Automatisierung: Welche Rollen können aus AD-, HR-, Standort- oder Kostenstellendaten abgeleitet werden?
• On-/Offboarding: Wie werden Rechte beim Eintritt, Wechsel und Austritt automatisch angepasst?
• Sonderrechte und Spezialrollen: Wie werden Ausnahmen vergeben und überprüft?
• Betriebsrat und Datenschutz: Welche Vorgaben müssen technisch und organisatorisch umgesetzt werden?
• Revision: Wie bleiben Änderungen an administrativen Berechtigungen nachvollziehbar?

Fazit: So viel Zugriff wie nötig, so wenig wie möglich

Klare Rollen, passende Rechte, weniger administrativer Aufwand. Ein durchdachtes Berechtigungskonzept wird nicht daran gemessen, wie viele Rollen und Rechte es enthält. Entscheidend ist, ob es klare Verantwortlichkeiten schafft und dafür sorgt, dass Personen genau die Zugriffe erhalten, die für die jeweilige Aufgabe benötigt werden.

Zu wenige Rechte behindern Prozesse. Zu viele Rechte schaffen unnötige Risiken. Die Qualität liegt dazwischen: in einem nachvollziehbaren Modell, das Aufgaben, Verantwortlichkeiten, Standorte und Organisationsstrukturen berücksichtigt und Veränderungen automatisiert abbilden kann.

Genau darauf ist das Rollen- und Rechtekonzept von Gingco Share ausgerichtet. Mehr als 150 Einzelrechte, rollenbasierte Berechtigungen, Einschränkungen nach Benutzern, Objekten und Standorten sowie automatisierte Vergabe- und Entzugsprozesse bilden die technische Grundlage. Somit lassen sich auch komplexe Organisationsstrukturen flexibel und sicher abbilden.

Sie möchten ein Berechtigungskonzept entwickeln, das zu Ihrer Organisation passt und mit Ihrem Unternehmen wächst?

Standorte, Gesellschaften und Verantwortlichkeiten verändern sich. Mit Gingco Share schaffen Sie eine flexible Grundlage, um Zugriffsrechte bedarfsgerecht zu steuern und neue Organisationsstrukturen effizient abzubilden.

Berechtigungskonzept besprechen Mehr zu Rollen und Rechten in Gingco Share