Was ist Funktionstrennung (Segregation of Duties)?
Unter Funktionstrennung, Segregation of Duties (SoD) bzw. Separation of Duties versteht man die organisatorische Anforderung, bestimmte Aufgaben nicht einer einzelnen Person anzuvertrauen, um Interessenskonflikte zu vermeiden und die unabhängige Kontrolle von Geschäftsprozessen sicherzustellen.
Was ist Segregation of Duties (SoD)?
Segregation of Duties (deutsch: Funktionstrennung) ist eine Sicherheitsrichtlinie zum Schutz vor Interessenskonflikten und dem Missbrauch von Privilegien innerhalb einer Organisation. Die Einhaltung von SoD sieht vor, bestimmte unvereinbare Aufgaben nicht an eine einzelne Person zu übertragen. Zum Beispiel die Einreichung eines Finanzberichts und dessen Kontrolle.
Segregation of Duties stellt sicher, dass Abläufe in einem Unternehmen durch mindestens eine weitere Person kontrolliert werden (Vier-Augen-Prinzip). Die Trennung von operativen Aufgaben und Kontrollfunktionen ist entscheidend, um betrügerisches und risikoreiches Verhalten zu verhindern. Besonders wichtig ist dies in Bereichen, die mit Finanzen und Auftragsdaten arbeiten.
Mögliche Probleme, die sich ohne die Einhaltung von SoD ergeben können, sind z.B. HR-Mitarbeiter, die ihr eigenes Gehalt anpassen können, oder Angestellte im Einkauf, die betrügerische Bestellungen tätigen und vertuschen (etwa um sich durch einen Kickback des Lieferanten zu bereichern). Gemeinsam mit Richtlinien gegen Beeinflussung und Geschenkannahme bildet Segregation of Duties somit einen wichtigen Baustein der Compliance in Unternehmen.
Beispiele für Segregation of Duties in der Praxis:
Mitarbeiter können Rechnungen und Spesenanträge nicht selbst freigeben.
Businesspläne und Risikobewertungen werden durch unterschiedliche Personen erstellt.
Überweisungen werden durch eine weitere Person überprüft.
Personaler können die eigene Gehaltsstufe nicht bearbeiten.
Ist Segregation of Duties verpflichtend?
Die Funktionstrennung in Unternehmen dient nicht nur dem Schutz vor Betrug, sondern ist in vielen Bereichen gesetzlich vorgegeben. Als Grundlage sauberer Geschäftspraktiken ist die unabhängige Kontrolle von Finanzberichten zum Beispiel durch den SOX Act geregelt. Von besonderer Bedeutung ist das Thema SoD für die Finanzbranche, wo die Trennung von operativem Geschäft und Risikobewertungen das Fundament für erfolgreiches Risikomanagement bildet. Die entsprechenden Anforderungen sind in der Verwaltungsvorschrift MaRisk und BAIT dokumentiert.
Darüber hinaus ist Segregation of Duties auch Bestandteil vieler IT-Sicherheitsstandards wie ISO 27001, dem BSI IT Grundschutz und dem NIST Cybersecurity Framework. Durch die Trennung kritischer Funktionen soll gemeinsam mit dem Least Privilege Prinzip verhindert werden, dass ein Angreifer durch die Übernahme eines einzelnen Kontos zu viel Kontrolle über das Netzwerk erlangt.
Berechtigungskonzept-Vorlage: Gratis Download
Segregation of Duties umsetzen
Zur Einhaltung von SoD in der Praxis, müssen Unternehmen sicherstellen, dass Aufgaben, die im Konflikt zueinander stehen, nicht ein und derselben Person übertragen werden. Funktionen, die grundsätzlich für Missbrauch anfällig sind (z.B. Überweisungen), müssen durch eine Kontrollinstanz abgesichert werden. Als grundlegende Anforderung müssen Organisationen dazu wissen:
welche Benutzerkonten es innerhalb der Organisation gibt
über welche IT-Berechtigungen diese verfügen
und welche IT-Rechte unvereinbar mit anderen Privilegien sind.
Segregation of Duties: Regeln und Konsequenzen
Die Durchsetzung der Funktionstrennung erfolgt in der Praxis durch sogenannte SoD-Regeln. In einer SoD-Regel wird dabei dokumentiert, welche Berechtigungen in Konflikt zueinander stehen und wie dieser Konflikt aufgelöst wird.
Der einfachste Weg auf einen Konflikt zu reagieren, liegt darin, die Vergabe auszuschließen. Organisationen können jedoch auch andere Konsequenzen für Verstöße festlegen, etwa die erforderliche Freigabe durch einen Vorgesetzten. Flexible Regeln und Konsequenzen helfen dabei, auch bei personellen Engpässen den Spagat zwischen Sicherheit und reibungslosem Arbeiten zu meistern.
Beispiel: Eine bestimmte Geschäftsanwendung wird von genau zwei Personen im Unternehmen betreut. Im Normalfall teilen diese operative Aufgaben und Kontroll-Aufgaben untereinander auf. Doch was passiert, wenn einer von beiden im Urlaub ist? Optionen wie befristete Akzeptanz bei vorheriger Freigabe erlauben es, flexibel auf solche Sonderfälle zu reagieren.
Segregation of Duties Matrix
Eine SoD Matrix bildet visuell ab, welche Aufgaben in Konflikt zueinander stehen, indem Prozesse in der Organisation horizontal und vertikal in einer Tabelle aufgelistet werden. Sehen wir uns als Beispiel eine einfache SoD-Matrix für die Beschaffung von Büro-Equipment an.
| Aufgabe | Antrag einreichen | Antrag freigeben | Bestellung anlegen | Bestellung freigeben |
|---|---|---|---|---|
| Antrag einreichen | ##### | Hohes Risiko | Niedriges Risiko | Niedriges Risiko |
| Antrag freigeben | Hohes Risiko | ##### | Niedriges Risiko | Niedriges Risiko |
| Bestellung anlegen | Niedriges Risiko | Niedriges Risiko | ##### | Hohes Risiko |
| Bestellung freigeben | Niedriges Risiko | Niedriges Risiko | Hohes Risiko | ##### |
Wie man sieht, werden in dieser Matrix zwei Szenarien als riskant eingestuft: Zum einen das die gleiche Person eine Materialanforderung einreicht und freigibt, zum anderen das die gleiche Person eine Bestellung anlegt und freigibt. Andere Überschneidungen haben ein geringeres Risiko, da sowohl der Antrag als auch die Bestellung von zwei Personen gegengecheckt wird.
Segregation of Duties mit tenfold umsetzen
Um Segregation of Duties auf IT-Ebene abzubilden, braucht es neben essenziellen Anforderungen wie einem Berechtigungskonzept mit klar definierten Rollen auch wirksame Schutzmaßnahmen, um die Vergabe nicht vereinbarer Rechte zu verhindern – automatisch und systemübergreifend!
tenfold bietet dazu die Möglichkeit, eigene SoD-Regeln zu erstellen und zu verwalten. Dabei lässt sich flexibel festlegen, welche Konstellation von Rechten in Konflikt zueinander stehen und welche Konsequenzen tenfold bei einem Verstoß ziehen soll. Die Möglichkeiten reichen hier vom Blockieren der Vergabe bis zur befristeten Akzeptanz bei Freigabe durch den Verantwortlichen. Beim Anlegen von Regeln werden auch bestehende Verstöße identifiziert und lassen sich so schnell beheben.
Mit tenfold ist es einfacher als je zuvor, die Funktionstrennung in Ihrer Organisation durchzusetzen, und das neben zahlreichen weiteren Governance-Features wie User Lifecycle Management, Freigaben per Self-Service oder regelmäßigen Access Reviews. Überzeugen Sie sich selbst bei einer persönlichen Demo oder einem kostenlosen Test unserer Software.