Teil vier hat die Reihenfolge der Migration festgelegt: Stammdaten vor Transaktionen, Parallelbetrieb mit einem erklärten Enddatum statt einem offenen, und ein einziges Erfolgszeichen: Jemand hört auf, die alte Datei zu öffnen, ohne dass man es ihm sagt. Die Daten leben jetzt in ihrem neuen Zuhause.

Und mit ihnen kommt eine Frage, die es in der Welt der Dateien nicht gab, nicht weil jemand sie ignoriert hätte, sondern weil eine Datei keine Möglichkeit hat, sie zu stellen: Wer sieht was? Das ist keine Sicherheitsfrage für die IT. Es ist eine operative Frage für Sie, denn ihre Antwort entscheidet, was jeder Mitarbeiter über das Unternehmen, über seine Kollegen und über Ihre Kunden erfahren kann.

Eine Datei kennt nur eine Antwort: offen oder geschlossen

Eine Tabelle ist für vieles ein hervorragendes Werkzeug, für Berechtigungen jedoch nicht. Sie hat eine einzige Stufe: Wer sie erreicht, sieht alles. Es gibt keine Spalte, die für eine Person erscheint und vor einer anderen verborgen bleibt, keine Zeile, die der Buchhalter lesen darf und der Vertriebsmitarbeiter nicht. Selbst das Passwort, das manchmal auf eine Datei gelegt wird, ändert an der Gleichung nichts, denn es schützt die Tür und nicht den Inhalt: Wer durch die Tür geht, sieht alles, was dahinter liegt.

Noch wichtiger: Kopien vermehren sich. Sie schicken die Datei einem Kollegen, damit er einen einzelnen Posten prüft, und schon liegt eine vollständige Kopie dauerhaft auf seinem Rechner. Er leitet sie an jemanden weiter, der ihm hilft, sie wandert per E-Mail, Chat und USB-Stick und landet am Ende auf dem Laptop eines Mitarbeiters, der vor einem Jahr gegangen ist. Sie haben niemandem dauerhaften Zugriff gewährt, aber die Kopie gewährt ihn in Ihrem Namen, und es gibt keine Möglichkeit, ihn zurückzunehmen, sobald sie draußen ist.

Drei Dinge, die täglich offenliegen, ohne dass es jemand merkt

Fragen Sie einen Inhaber, was seine Dateien preisgeben, und er denkt meist an Umsatzzahlen. Drei andere Dinge wandern leiser und wiegen schwerer:

  • Gehaltsabrechnung. Die Gehaltsdatei beginnt normalerweise als Tabelle beim Buchhalter, dann braucht sie die Personalabteilung, dann prüft sie, wer die Banküberweisung ausführt. Drei Kopien, jede mit allen Gehältern im Unternehmen. Ein Leck braucht keine böse Absicht: Es genügt, dass jemand die Datei auf einem Bildschirm öffnet, den ein vorbeigehender Kollege lesen kann. Die Wirkung auf Ihr Team wiegt schwerer als jeder finanzielle Verlust, denn Gehaltsvergleiche beschädigen Arbeitsbeziehungen auf eine Weise, die sich nicht mehr rückgängig machen lässt.
  • Margen und Sonderpreise. Die Vertriebstabelle selbst enthält meist den Einstandspreis, den zulässigen Rabattrahmen oder den Sonderpreis für einen Großkunden. Ein Vertriebsmitarbeiter braucht den Preis, um zu verkaufen; die Kosten braucht er nicht. Sieht er beides zusammen, ändert sich sein Verhandlungsverhalten, und Ihre Sonderpreise gelangen über den ersten Mitarbeiter, der zu einem Wettbewerber wechselt, auf den Markt.
  • Kundendaten. Namen, Mobilnummern, Adressen und manchmal Bilder von Ausweisdokumenten und Registereinträgen. Das sind nicht nur Unternehmensinformationen; es sind die personenbezogenen Daten von Menschen, die sie Ihnen anvertraut haben. Es ist auch der Punkt, an dem eine gesetzliche Pflicht hängt und nicht nur eine interne Regel, und wir kommen gleich darauf zurück.

Beachten Sie, dass keiner der drei Punkte durch eine Entscheidung offengelegt wird. Niemand hat entschieden, dass der Vertriebsmitarbeiter die Kosten sehen soll: Die Spalte stand einfach in einer Datei, die er aus einem anderen Grund brauchte. Genau das ist das Problem: In einer Welt der Dateien ist die Offenlegung der Normalzustand, und die Ausnahme erfordert eine bewusste Anstrengung, die unter dem täglichen Druck niemand aufbringt.

Was ein System zuerst bietet, ist keine schönere Oberfläche

Wenn Sie auf ein System umsteigen, ist der erste echte Unterschied weder das Aussehen noch die Geschwindigkeit. Es ist, dass sich die Frage stellen und beantworten lässt: Wer sieht was? Es gibt vier praktische Unterschiede:

  • Die Berechtigung hängt an der Rolle, nicht an der Person. Sie legen einmal fest, was die Vertriebsrolle sehen darf, und alle, die diese Rolle innehaben, übernehmen das. Ein Neuzugang erfordert nicht, dass die Überlegung von vorn beginnt, und bei einem Mitarbeiter, der die Abteilung wechselt, ändert sich die Sichtbarkeit mit seiner Rolle und nicht dann, wenn sich zufällig jemand daran erinnert.
  • Die Berechtigung reicht bis auf das Feld. Ein Vertriebsmitarbeiter kann den vollständigen Kundendatensatz und dessen Bestellhistorie sehen, ohne die Marge in derselben Zeile zu sehen. In einer Datei ist das unmöglich, in einem gut gestalteten System selbstverständlich.
  • Es gibt ein Protokoll darüber, wer angesehen und wer bearbeitet hat. Dieses Protokoll ist weniger ein Werkzeug zur Überwachung der Mitarbeiter als ein Werkzeug, um Streit zu beenden. Wenn sich eine Zahl ändert und alle fragen, wer sie wann geändert hat, antwortet das System in einer Sekunde, statt dass die Frage in gegenseitige Vorwürfe ohne Bezugspunkt zur Klärung mündet, und genau das hat das vierte Warnsignal in Teil eins dieser Reihe beschrieben.
  • Der Zugriff wird sofort entzogen. Wenn ein Mitarbeiter geht, beendet die Deaktivierung seines Kontos seinen Zugriff sofort und vollständig. Die Kopien, die er über Jahre der Arbeit aus Ihren Dateien mitgenommen hat, bleiben bei ihm, und es gibt keine Möglichkeit, sie zurückzuholen oder auch nur zu wissen, wie viele es sind.

Die rechtliche Seite: Kundendaten sind keine Frage der Ordnung

Kundendaten unterscheiden sich von den beiden anderen Punkten, denn die Kosten eines falschen Umgangs damit sind keine interne Peinlichkeit, sondern eine gesetzliche Haftung. Das Gesetz zum Schutz personenbezogener Daten (PDPL), beaufsichtigt von der Saudischen Behörde für Daten und Künstliche Intelligenz (SDAIA), gilt für jede Organisation, die personenbezogene Daten von Personen im Königreich verarbeitet, ohne Ausnahme nach Größe. Es macht die Organisation dafür verantwortlich, diese Daten zu schützen, nicht mehr davon zu erheben, als der Zweck erfordert, und eine Verletzung zu melden, die sie gefährdet.

Stellen Sie diese Pflicht neben die tägliche Praxis: eine Datei mit Hunderten von Kundendatensätzen, über eine Chat-App an drei Mitarbeiter geschickt und automatisch auf deren privaten Telefonen gespeichert. In dieser Lage wissen Sie nicht, wo Kopien Ihrer Daten existieren, wer darauf zugreifen kann und wie Sie sie löschen, wenn ein Kunde darum bittet. Der Unterschied zwischen diesem Zustand und einem System, das die Daten an einem Ort unter festgelegten Berechtigungen hält, ist keine Frage der Eleganz: Es ist der Unterschied zwischen der Fähigkeit, das Gesetz einzuhalten, und der Unfähigkeit dazu.

Die Pflichten erläutern wir ausführlicher in unserem praktischen Leitfaden zum Gesetz zum Schutz personenbezogener Daten, und den häufigsten Fall, Kundendaten, die in Gesprächen weitergegeben werden, behandeln wir in Ihre Kundengespräche und das Gesetz. Für das größere Bild des Schutzes in einem kleineren Unternehmen lesen Sie unseren Leitfaden zur Cybersicherheit für KMU.

Die Sicht von Origami

Wenn wir ein individuelles System für ein Unternehmen bauen, das bisher mit Tabellen gearbeitet hat, gehört die Berechtigungsmatrix in die Entwurfsphase und nicht in die Übergabe. Der Grund ist praktisch: Eine Berechtigung ist keine Einstellung, die am Ende hinzugefügt wird, sondern eine Entscheidung, die bestimmt, wie Bildschirme aufgeteilt, wie Berichte aufgebaut und wo ein sensibles Feld von einem gewöhnlichen getrennt wird. Wer sie aufschiebt, bekommt ein System, das sich später nicht einschränken lässt, ohne Teile davon neu zu bauen.

Außerdem beginnen wir diese Matrix bei den Rollen, mit denen das Unternehmen heute tatsächlich arbeitet, und nicht bei einer theoretischen Liste, denn eine Berechtigung, die fern der betrieblichen Realität entworfen wurde, blockiert die Arbeit, und das Team umgeht sie mit dem schnellsten verfügbaren Mittel, meist durch den Export der Daten in eine Datei. An diesem Punkt sind Sie genau dort, wo Sie angefangen haben, nachdem Sie für ein System bezahlt haben, das niemand nutzt. Diese Logik zieht sich durch alles, was wir in unseren Leistungen bauen: Eine Kontrolle, die nicht respektiert, wie die Arbeit tatsächlich erledigt wird, hält nicht.

Berechtigungen festlegen, ohne die Arbeit lahmzulegen

Der häufige Fehler bei der ersten Einführung ist übertriebene Strenge: Alles ist gesperrt und wird auf Anfrage freigegeben, sodass das Team seine Woche mit dem Warten auf Freigaben verbringt und das System zu verabscheuen lernt, bevor es lernt, es zu nutzen. Diese Reihenfolge vermeidet das:

  • Beginnen Sie bei Rollen, nicht bei Namen. Schreiben Sie die Liste der Rollen auf, die Ihr Unternehmen tatsächlich hat: Buchhalter, Vertriebsmitarbeiter, Lagerist, Filialleiter. Weniger als zehn Rollen decken in der Regel alle Mitarbeiter ab, und eine Rollenliste ist weit leichter zu verwalten als eine Personenliste, die sich monatlich ändert.
  • Benennen Sie zuerst die sensiblen Felder. Gehalt, Kosten, Marge, zulässiger Rabatt, Ausweisdokumente von Kunden. In jedem Unternehmen ist das eine kurze Liste, und eine klare Entscheidung zu jedem Punkt löst den größten Teil des Problems.
  • Trennen Sie Ansehen von Bearbeiten. Nicht jeder, der eine Zahl sehen muss, muss sie auch ändern. Lesen ohne Bearbeiten ist die sicherste Berechtigung und die, die die Arbeit am wenigsten stört, und sie reicht in den meisten Fällen aus.
  • Machen Sie den Export zu einer eigenen Berechtigung. Diese wird immer vergessen: Wer Daten in eine Datei exportieren kann, kann alles oben Genannte mit einem einzigen Klick umgehen. Legen Sie fest, wer diese Berechtigung hat, und sorgen Sie dafür, dass jeder Export wie jede andere Aktion im Protokoll erscheint.
  • Überprüfen Sie die Liste bei jeder Teamveränderung. Ein Neuzugang, ein Wechsel zwischen Abteilungen oder ein endendes Arbeitsverhältnis. Eine regelmäßige Überprüfung alle paar Monate bringt normalerweise Konten von Personen ans Licht, die gegangen sind, und Berechtigungen, die von einer abgeschlossenen befristeten Aufgabe übrig geblieben sind.

Die übergeordnete Regel ist einfach: Jede Person sieht, was sie für ihre Arbeit braucht, und alles, was sie dafür braucht. Die erste Hälfte schützt Sie; die zweite Hälfte schützt das System davor, zu einem Hindernis zu werden, das das Team umgeht.

Als Nächstes

Wir haben geklärt, wer was sieht, und damit bleibt die Frage, was es zu sehen gibt. Der nächste Teil behandelt die Berichte, die Sie am Ende jedes Monats von Hand erstellt haben, und warum ein Bericht in einem System zu einer Ansicht des aktuellen Moments wird statt zu einer Sammelübung, die erst fertig ist, wenn der beschriebene Monat schon vorbei ist. Danach schließen wir die Reihe mit den ersten dreißig Tagen nach dem Umstieg und dem, was darin üblicherweise schiefgeht.

Quellen