Business Central: GxP-Berechtigungen gezielt prüfen

Einordnung und Geltungsbereich

Der Beitrag behandelt die kundenspezifische Zugriffskontrolle. Lizenzrechte, Oberflächenprofile und fachliche Berechtigungen sind nicht gleichzusetzen. Welche Objekte und Zusatzfunktionen relevant sind, ergibt sich aus Ihrem installierten Anwendungsstand.

Quellen: [1] [2]

Prüfen Sie die tatsächliche Wirkung statt nur die Zuweisung

Mehrere Berechtigungssätze können gemeinsam weiter reichen als einzeln erwartet. Prüfen Sie daher die spätere Gesamtkonfiguration. Besondere Aufmerksamkeit verdienen breite Administrationsrechte und Funktionen aus Erweiterungen, die außerhalb der ursprünglichen Standardmatrix liegen.

Unternehmensgrenzen sind eigene Testfälle. Gleiche Benutzeroberflächen können Daten unterschiedlicher Unternehmen anzeigen. Ein Nutzer darf nicht allein deshalb einen kritischen Datensatz verändern können, weil sein Zugang in einem anderen Unternehmen für dieselbe Aufgabe berechtigt ist. Halten Sie im Nachweis Unternehmen, Benutzer und getestete Aktion fest.

Quellen: [1] [2]

Vom Geschäftsprozess zur erlaubten Aktion

Starten Sie mit den qualitätsrelevanten Tätigkeiten: Stammdaten ändern, Status setzen, Bestände buchen, Ergebnisse übernehmen oder einen Auftrag freigeben. Beschreiben Sie je Tätigkeit die benötigte Rolle und den erlaubten Datenumfang. Ein Rollenname wie „Qualität“ beantwortet noch nicht, ob ein Benutzer in allen Mandanten ändern oder nur in einem bezeichneten Bereich lesen darf.

Business Central unterscheidet unter anderem Berechtigungssätze und die tatsächlich wirksamen Berechtigungen. Microsoft beschreibt die Ansicht Effective Permissions einschließlich Herkunft und Sicherheitsfiltern. Berücksichtigen Sie auch den Einfluss der Lizenz. Eine Bildschirmrolle oder ein ausgeblendetes Menü ist nicht mit einer wirksamen Zugriffsbeschränkung gleichzusetzen. Prüfen Sie daher die Aktion selbst.

Erfassen Sie direkte und gruppenbasierte Zuweisungen, administrative Rechte und Zugänge von Implementierungspartnern. Dokumentieren Sie Mandantenbezug und Ausnahmen. Der Test eines künstlich eingeschränkten Beispielbenutzers kann gut ausfallen, obwohl ein realer Mitarbeiter durch zusätzliche Berechtigungssätze mehr darf. Verwenden Sie deshalb repräsentative tatsächliche Rollenkombinationen und kontrollierte Testkonten.

Quellen: [1] [2]

Eine Berechtigungsmatrix mit positiven und negativen Fällen

Die Matrix verbindet Aktion, Benutzer, Datenbereich und erwartete Reaktion. Formulieren Sie zunächst die fachliche Regel. Erst danach wird geprüft, welche Berechtigungseinstellung sie umsetzt. Eine zu weitgehende Rechtevergabe sollte nicht nachträglich durch eine passende Formulierung der Anforderung legitimiert werden.

Für kritische Aktionen ist ein negativer Test besonders aufschlussreich. Ein Benutzer soll einen Stammdatensatz lesen, aber dessen qualitätsrelevanten Parameter nicht verändern. Prüfen Sie erlaubte Anzeige und abgewiesene Änderung getrennt. Wenn API, Import oder Erweiterung weitere Schreibwege eröffnen, gehören diese in den betrachteten Umfang. Eine Prüfung der Oberfläche allein deckt sie nicht automatisch ab.

Quellen: [1] [2]

Beispiel: eine zusätzliche Gruppe erweitert unbemerkt den Zugriff

Das Szenario ist konstruiert. Benutzer U-17 soll in Mandant A qualitätsrelevante Artikel lesen. Ein zusätzlicher, gruppenbasierter Berechtigungssatz ermöglicht jedoch Änderungen. Der Rollentest mit einem isolierten Testbenutzer entdeckt diese Kombination nicht. Eine Prüfung der tatsächlichen Zuweisungen zeigt, aus welcher Quelle die zusätzliche Berechtigung stammt.

Für den Test wird U-17s repräsentative Kombination in einer geeigneten Testumgebung abgebildet. Zunächst gelingt der erlaubte Lesezugriff. Anschließend wird ein kritischer Parameteränderungsversuch ausgeführt. Die fachliche Sollreaktion ist Ablehnung. Gelingt die Änderung, wird ein Befund dokumentiert und die Ursache bewertet. Die Korrektur darf nicht ungeprüft andere notwendige Tätigkeiten blockieren.

Nach Anpassung werden positiver und negativer Fall wiederholt. Zusätzlich wird Mandant B geprüft, wenn dort keine Berechtigung vorgesehen ist. Der Nachweis verbindet Benutzerzuweisung, effektiven Rechteumfang, Aktion und tatsächliches Ergebnis. Ein Screenshot der korrigierten Gruppenzugehörigkeit allein beweist noch nicht die Wirkung auf den Geschäftsprozess.

Quellen: [1] [2]

Administratoren und technische Identitäten gesondert behandeln

Administratoren können für Einrichtung und Störungsbehebung weitergehende Rechte benötigen. Beschreiben Sie Zweck, Vergabe, Verwendung und Überprüfung dieser Zugänge. Ein administrativer Zugang sollte nicht die unerklärte Standardlösung für gewöhnliche Geschäftsaufgaben sein. Prüfen Sie, welche Aufzeichnungen und organisatorischen Kontrollen die Nutzung nachvollziehbar machen.

Technische Identitäten folgen dem zugehörigen Datenweg. Fragen Sie, welche Objekte eine Schnittstelle lesen oder schreiben muss und welche Aktionen sie nicht benötigt. Prüfen Sie auch den Wechsel von Zugangsdaten, Fehlermeldungen und Zuständigkeit bei Ausfall. Ein funktionsfähiger Import mit breitesten Rechten beweist nicht, dass der Zugriff angemessen begrenzt ist.

Beziehen Sie Erweiterungen und Partnerlösungen ein. Sie können zusätzliche Objekte oder Abläufe verwenden. Eine Änderung daran kann Berechtigungsbedarf und Testumfang beeinflussen. Dokumentieren Sie deshalb den geprüften Erweiterungsstand. Eine allgemeine Aussage über Standard-Business-Central deckt eine kundenspezifische Erweiterung nicht automatisch ab.

Quellen: [1] [2]

Rechte im laufenden Betrieb erhalten und prüfen

Verbinden Sie Eintritt, Rollenwechsel, Austritt und Vertretung mit einem geregelten Rechteprozess. Besonders Rollenwechsel können alte und neue Berechtigungen kumulieren lassen. Eine regelmäßige Überprüfung sollte deshalb tatsächliche Benutzer, ihre Aufgaben und wirksamen Rechte vergleichen. Ein unveränderter Rollenname ist kein ausreichender Nachweis eines unveränderten Rechteumfangs.

Bewerten Sie Änderungen an Berechtigungssätzen und Gruppen. Microsoft weist darauf hin, dass eine Änderung eines Berechtigungssatzes weitere zugeordnete Benutzer betrifft. Ermitteln Sie deshalb die betroffene Nutzung vor der Anpassung. Passende Regressionstests können kritische erlaubte und unerlaubte Aktionen abdecken, statt jede Oberfläche erneut vollständig zu prüfen.

Für die Übergabe eignen sich eine gepflegte Matrix, benannte Verantwortliche und nachvollziehbare Testbeispiele. Das interne Team sollte erklären können, weshalb eine Rolle eine Aktion ausführen darf und aus welcher Quelle die Berechtigung stammt. Damit wird die nächste Änderung kontrollierbar und die Prüfung hängt weniger von einem einzelnen Implementierungspartner ab.

Quellen: [1] [2]

Arbeitsvorlage: tatsächliche Berechtigungen eines Benutzers bewerten

Wählen Sie einen repräsentativen Benutzer und dokumentieren Sie seine reale Aufgabe. Erfassen Sie direkte Berechtigungssätze, relevante Gruppen, Mandantenbezug und Ausnahmen. Vergleichen Sie danach die wirksamen Rechte mit der Aufgabe. Die Prüfung sollte erklären, aus welcher Quelle eine kritische Berechtigung stammt und welche Aktion sie ermöglicht.

Benutzen Sie die Matrix als Gespräch zwischen Fachbereich und Administration. Der Fachbereich erklärt die benötigte Tätigkeit; die Administration zeigt die technische Umsetzung. Wenn beide Perspektiven getrennt bleiben, kann ein formal sauberer Export fachlich zu weitgehende Zugriffe enthalten. Dokumentieren Sie deshalb konkrete erlaubte und unerlaubte Aktionen.

Wenn eine Berechtigung entfernt wird, wiederholen Sie sowohl den negativen Fall als auch die benötigte Arbeit. Eine erfolgreiche Sperre kann sonst eine andere notwendige Aufgabe verhindern. Bewerten Sie weitere Benutzer mit derselben Zuweisungsquelle. Die Korrektur einer Gruppenregel kann einen größeren Personenkreis betreffen als den zuerst geprüften Benutzer.

Quellen: [1] [2]

Die nächsten Schritte

• Tätigkeiten, Unternehmen und kritische Daten abgrenzen.
• Effektive Rechte einschließlich Erweiterungen ermitteln.
• Positive und negative Tests mit realistischen Zuweisungen durchführen.
• Änderungen, Entzug und regelmäßige Rechtekontrolle organisieren.