Was ist Funktionstrennung (Segregation of Duties)?

Segregation of Duties (deutsch: Funktionstrennung) ist eine Sicherheitsrichtlinie zum Schutz vor Interessenskonflikten und dem Missbrauch von Privilegien innerhalb einer Organisation. Die Einhaltung von SoD sieht vor, bestimmte unvereinbare Aufgaben nicht an eine einzelne Person zu übertragen. Zum Beispiel die Einreichung eines Finanzberichts und dessen Kontrolle.

Segregation of Duties stellt sicher, dass Abläufe in einem Unternehmen durch mindestens eine weitere Person kontrolliert werden (Vier-Augen-Prinzip). Die Trennung von operativen Aufgaben und Kontrollfunktionen ist entscheidend, um betrügerisches und risikoreiches Verhalten zu verhindern. Besonders wichtig ist dies in Bereichen, die mit Finanzen und Auftragsdaten arbeiten.

Mögliche Probleme, die sich ohne die Einhaltung von SoD ergeben können, sind z.B. HR-Mitarbeiter, die ihr eigenes Gehalt anpassen können, oder Angestellte im Einkauf, die betrügerische Bestellungen tätigen und vertuschen (etwa um sich durch einen Kickback des Lieferanten zu bereichern). Gemeinsam mit Richtlinien gegen Beeinflussung und Geschenkannahme bildet Segregation of Duties somit einen wichtigen Baustein der Compliance in Unternehmen.

Beispiele für Segregation of Duties in der Praxis:

Die Funktionstrennung in Unternehmen dient nicht nur dem Schutz vor Betrug, sondern ist in vielen Bereichen gesetzlich vorgegeben. Als Grundlage sauberer Geschäftspraktiken ist die unabhängige Kontrolle von Finanzberichten zum Beispiel durch den SOX Act geregelt. Von besonderer Bedeutung ist das Thema SoD für die Finanzbranche, wo die Trennung von operativem Geschäft und Risikobewertungen das Fundament für erfolgreiches Risikomanagement bildet. Die entsprechenden Anforderungen sind in der Verwaltungsvorschrift MaRisk und BAIT dokumentiert.

Darüber hinaus ist Segregation of Duties auch Bestandteil vieler IT-Sicherheitsstandards wie ISO 27001, dem BSI IT Grundschutz und dem NIST Cybersecurity Framework. Durch die Trennung kritischer Funktionen soll gemeinsam mit dem Least Privilege Prinzip verhindert werden, dass ein Angreifer durch die Übernahme eines einzelnen Kontos zu viel Kontrolle über das Netzwerk erlangt.

Zur Einhaltung von SoD in der Praxis, müssen Unternehmen sicherstellen, dass Aufgaben, die im Konflikt zueinander stehen, nicht ein und derselben Person übertragen werden. Funktionen, die grundsätzlich für Missbrauch anfällig sind (z.B. Überweisungen), müssen durch eine Kontrollinstanz abgesichert werden. Als grundlegende Anforderung müssen Organisationen dazu wissen:

Der einfachste Weg, Segregation of Duties auf IT-Ebene umzusetzen liegt darin, ein Berechtigungskonzept zu erstellen, welches auf den Geschäftsrollen innerhalb der Organisation aufbaut und mithilfe von Role-Based Access Control automatisch implementiert wird. Dazu benötigen Unternehmen Unterstützung in Form einer IAM-Software, die die Vergabe und Anpassung von IT-Privilegien automatisiert und dadurch sicherstellt, dass Mitarbeiter zu jeder Zeit nur genau über die Rechte verfügen, die sie für die Erfüllung ihrer Aufgaben benötigen.

Als zentrale Plattform für Identity Access Management verhindert tenfold nicht nur Sicherheitslücken durch verwaiste Konten und die Ansammlung nicht benötigter Rechte – Fachleute sprechen von Privilege Creep – sondern sorgt auch für die vollständige Dokumentation aller Anpassungen. Über unser Berechtigungsreporting lässt sich jederzeit nachvollziehen, welche Personen Zugriff auf welche Daten haben oder in der Vergangenheit hatten. So schützen Sie sensible Informationen und bestehen Compliance-Audits problemlos.