RBAC mit Role Mining: Wie Unternehmen zu einem tragfähigen Rollenmodell kommen

• Strategie & Umsetzung
• Insights & Updates
• Sicherheit und Compliance

Viele Unternehmen wollen Berechtigungen automatisieren. Der Gedanke ist klar: Mitarbeiter sollen die Zugriffe erhalten, die sie für ihre Arbeit brauchen. Beim Eintritt. Beim Wechsel. Beim Austritt. 

In der Praxis scheitert die Umsetzung oft an einer Frage: Wer braucht eigentlich welche Berechtigungen? 

Genau hier beginnt die Schwierigkeit. Ein Rollenmodell lässt sich nicht einfach aus Stellenbeschreibungen ableiten. Funktionen, Abteilungen und Aufgaben stehen zwar im HR-System. Die tatsächlichen Zugriffe liegen aber in Active Directory, Microsoft Entra ID, Fachanwendungen, Dateisystemen oder ERP-Systemen. 

Role Mining verbindet diese beiden Welten. 

Es zeigt, welche Berechtigungen heute bereits vergeben sind, welche Muster sich daraus ableiten lassen und wo Abweichungen bestehen. Daraus entsteht die Grundlage für ein Rollenmodell, das nicht auf Vermutungen basiert, sondern auf vorhandenen Daten. 

Kurz erklärt: Was ist Role Mining?

Role Mining ist ein Analyseverfahren im Identity & Access Management. Dabei werden bestehende Benutzerkonten, Gruppenmitgliedschaften und Berechtigungen ausgewertet und mit organisatorischen Daten wie Funktion, Abteilung, Standort oder Vertragsart verglichen. 

Ziel ist es, wiederkehrende Berechtigungsmuster zu erkennen. Aus diesen Mustern können Regeln für automatisiertes Provisioning abgeleitet werden. 

Role Mining hilft Unternehmen dabei, ein Rollenmodell nicht am Reißbrett zu entwerfen, sondern aus der vorhandenen Berechtigungsstruktur heraus zu entwickeln. 

Wichtig dabei: Bestehende Berechtigungen werden nicht blind übernommen. Sie dienen als Datenbasis für eine fachliche Bewertung.

 

Warum braucht RBAC ein Rollenmodell? 

Role Based Access Control, kurz RBAC, bedeutet: Berechtigungen werden nicht mehr einzeln pro Benutzer vergeben, sondern anhand definierter Rollen. 

Ein Mitarbeiter in der Pflege erhält andere Zugriffe als ein Mitarbeiter in der Verwaltung. Ein Account Manager benötigt andere Anwendungen als ein Mitarbeiter in der Buchhaltung. Eine Führungskraft braucht zusätzliche Berechtigungen, aber nicht automatisch Zugriff auf alles. 

Die Grundlage dafür ist ein Rollenmodell. Darin wird festgelegt, welche Benutzergruppen welche Konten, Gruppenmitgliedschaften und Anwendungsrechte erhalten. 

In HelloID wird dieses Rollenmodell über Business Rules abgebildet. Eine solche Regel könnte lauten: 

Jeder Benutzer mit der Funktion „Account Manager“ erhält Zugriff auf das CRM-System und die dazugehörige Vertriebsgruppe in Microsoft Entra ID. 

Die Funktion ist die Bedingung. Die zugewiesenen Konten und Berechtigungen sind die Folge. 

Business Rules können jedoch nicht nur auf Funktionen basieren. Häufig werden mehrere Attribute kombiniert, zum Beispiel: 

• Abteilung 

• Standort 

• Kostenstelle 

• Vertragsart 

• Organisationseinheit 

• Qualifikation 

• Beschäftigungsart 

Damit bewegt sich die Praxis oft zwischen RBAC und ABAC, also Attribute Based Access Control. Entscheidend ist nicht die Abkürzung. Entscheidend ist, dass die Organisation nachvollziehbare Regeln für Zugriffe bekommt. 

Die wichtigsten Begriffe im Überblick 

Begriff	Bedeutung
RBAC	Berechtigungsvergabe auf Basis definierter Rollen
ABAC	Berechtigungsvergabe auf Basis von Attributen wie Abteilung, Standort oder Vertragsart
Role Mining	Analyse bestehender Berechtigungen zur Ableitung von Rollen und Regeln
Rollenmodell	Struktur, die festlegt, welche Benutzergruppen welche Berechtigungen erhalten
Business Rule	Regel, die Bedingungen mit Konten, Gruppen oder Berechtigungen verknüpft
Provisioning	Automatisierte Erstellung, Änderung oder Deaktivierung von Benutzerkonten und Berechtigungen
Geburtsrechte	Berechtigungen, die ein Benutzer aufgrund seiner organisatorischen Rolle automatisch erhält

Warum werden Rollenmodelle oft falsch aufgebaut? 

Viele Unternehmen starten mit einem Top-down-Ansatz. 

Führungskräfte, Fachabteilungen und IT werden gefragt, welche Berechtigungen bestimmte Mitarbeitergruppen benötigen. Theoretisch klingt das sinnvoll. Praktisch entstehen dabei oft Listen, die zu grob, zu lückenhaft oder zu widersprüchlich sind. 

Ein Abteilungsleiter weiß meistens, welche Aufgaben sein Team erfüllt. Er weiß aber nicht immer, welche AD-Gruppen, Applikationsrollen oder Dateiberechtigungen dafür technisch notwendig sind. 

Die IT kennt die Berechtigungen. Sie kennt aber nicht immer den fachlichen Grund dahinter. 

Das Ergebnis: Das Rollenmodell wird zur endlosen Abstimmungsrunde. Es dauert Monate, bis ein erstes Modell steht. Währenddessen ändern sich Abteilungen, Anwendungen, Aufgaben und Prozesse weiter. 

Das System erzeugt damit sein eigenes Problem: Man versucht Ordnung zu schaffen, indem man zuerst vollständige Klarheit verlangt. Diese Klarheit existiert aber selten vor dem Projekt. Sie entsteht erst während der Analyse. 

Role Mining setzt genau an diesem Punkt an. 

Wie funktioniert Role Mining im Identity & Access Management? 

Role Mining analysiert bestehende Benutzerkonten und Berechtigungen. Es zeigt, welche Zugriffe Benutzer heute besitzen und welche Muster sich aus diesen Daten ergeben. 

Der Ausgangspunkt ist pragmatisch: 

Auch ohne automatisiertes IAM hat die Organisation bereits versucht, Mitarbeitern passende Berechtigungen zu geben. Diese bestehende Berechtigungskonfiguration enthält Wissen. Nicht immer sauberes Wissen. Aber verwertbare Hinweise. 

Role Mining macht dieses Wissen sichtbar. 

Dazu werden Daten aus Quellsystemen und Zielsystemen zusammengeführt. 

Das Quellsystem ist meist die HR-Anwendung. Dort liegen Informationen wie Funktion, Abteilung, Standort, Vertragsart oder Kostenstelle. 

Die Zielsysteme sind die Systeme, in denen Berechtigungen tatsächlich vergeben werden. Typische Beispiele sind: 

• Active Directory 

• Microsoft Entra ID 

• Microsoft 365 

• ERP-Systeme 

• Fachanwendungen 

• Dateisysteme 

• Gruppen- und Rollenstrukturen 

Aus den Zielsystemen kommt die Berechtigungsrealität. Aus dem HR-System kommt die organisatorische Einordnung. 

Role Mining verbindet beides. 

So wird sichtbar, welche Berechtigungen mit welchen Funktionen, Abteilungen oder Standorten zusammenhängen. 

Wie werden aus Berechtigungsmustern konkrete Regeln? 

Ein Unternehmen beschäftigt 20 Account Manager. 18 davon haben Zugriff auf einen Ordner mit Markt- und Kundendaten. Zwei Account Manager haben diesen Zugriff nicht. 

Jetzt entstehen mehrere Fragen: 

• Fehlt den zwei Mitarbeitern der Zugriff versehentlich? 

• Haben sie andere Aufgaben? 

• Wurde der Zugriff früher manuell vergeben und später vergessen? 

• Ist der Zugriff für alle Account Manager notwendig? 

• Sollte daraus eine Regel entstehen? 

Wenn fachlich geklärt ist, dass alle Account Manager diesen Zugriff benötigen, kann daraus eine Business Rule entstehen: 

Jeder Benutzer mit der Funktion „Account Manager“ erhält Zugriff auf diesen Ordner. 

Ab diesem Moment muss die IT diesen Zugriff nicht mehr manuell prüfen und vergeben. Neue Account Manager erhalten ihn automatisch. Wechselt jemand die Funktion, kann der Zugriff wieder entzogen werden. 

So entsteht aus einem Berechtigungsmuster eine Regel. 

Warum ist Role Mining keine blinde Automatisierung? 

Hier liegt ein Punkt, der oft unterschätzt wird. 

Bestehende Berechtigungen sind keine Wahrheit. Sie sind ein Ausgangspunkt. 

Wenn ein System über Jahre manuell gepflegt wurde, enthält es Fehler, Ausnahmen, Altlasten und Sonderfälle. Role Mining darf diesen Zustand nicht blind automatisieren. Sonst wird Wildwuchs nur schneller verteilt. 

Der Nutzen entsteht erst durch Bewertung. 

Role Mining zeigt Muster und Abweichungen. Die Entscheidung, welche Muster fachlich legitim sind, treffen IT, Fachbereich und HR gemeinsam. 

Das macht den Prozess effizienter. Die Diskussion beginnt nicht mehr bei null. Sie beginnt mit Daten. 

Wie baut man ein Rollenmodell schrittweise auf? 

Beim Aufbau eines Rollenmodells sollte man nicht mit jeder Einzelberechtigung beginnen. 

Sinnvoller ist ein Vorgehen von großen Gruppen zu kleineren Benutzergruppen. 

Zuerst werden Berechtigungen betrachtet, die für fast alle Mitarbeiter gelten. Dazu gehören zum Beispiel: 

• Benutzerkonto 

• E-Mail 

• Microsoft 365 

• Standardgruppen 

• Basiszugriffe 

• Self-Service-Zugänge 

Danach folgen Berechtigungen auf Abteilungsebene. Zum Beispiel Zugriffe für Verwaltung, Vertrieb, Pflege, Produktion, Logistik oder IT. 

Erst anschließend werden kleinere Gruppen betrachtet: Spezialfunktionen, Projektrollen, Führungskräfte, Zusatzaufgaben oder standortbezogene Berechtigungen. 

Dieses Vorgehen verhindert, dass das Rollenmodell zu früh in Details zerfällt. 

Das Ziel ist nicht, jede Ausnahme in eine eigene Rolle zu pressen. Das Ziel ist ein Modell, das den Großteil der wiederkehrenden Berechtigungen abdeckt und Ausnahmen kontrollierbar macht. 

Welche Rolle spielt die 80/20-Regel im Berechtigungsmanagement? 

Viele Organisationen machen sich das Leben schwer, weil sie 100 Prozent Automatisierung anstreben. 

Das ist meist unnötig. 

In der Praxis lassen sich oft etwa 80 Prozent der Berechtigungen über Regeln automatisieren. Das betrifft vor allem sogenannte Geburtsrechte: Zugriffe, die ein Mitarbeiter aufgrund seiner Funktion, Abteilung, seines Standorts oder anderer Merkmale automatisch erhält. 

Die verbleibenden 20 Prozent können über Anträge, Genehmigungen oder Self-Service-Prozesse gesteuert werden. 

Gerade in Organisationen mit vielen operativen Rollen entsteht dadurch hoher Nutzen. Pflege, Produktion, Logistik, Verwaltung oder Filialstrukturen haben häufig wiederkehrende Zugriffsmuster. Dort lohnt sich Automatisierung besonders. 

Bei Projektrollen, Stabsfunktionen oder Einzelfällen ist ein Genehmigungsprozess oft sinnvoller als eine starre Regel. 

Wie funktioniert Role Mining in HelloID? 

In HelloID wird Role Mining genutzt, um aus bestehenden Berechtigungen konkrete Business Rules abzuleiten. 

Typischerweise wird zunächst das HR-System als Quellsystem angebunden. Danach folgen Zielsysteme wie Active Directory und Microsoft Entra ID. 

Damit entsteht eine Datenbasis: 

• Wer ist im Unternehmen beschäftigt? 

• Welche Funktion hat die Person? 

• Zu welcher Abteilung gehört sie? 

• Welche Konten besitzt sie? 

• Welche Gruppen und Berechtigungen sind vergeben? 

• Wo gibt es Muster? 

• Wo gibt es Abweichungen? 

Auf dieser Grundlage können IT, HR und ein HelloID-Consultant gemeinsam prüfen, welche Berechtigungen automatisiert werden sollten. 

Der erste Role-Mining-Scan konzentriert sich häufig auf Benutzerkonten, Gruppenmitgliedschaften und Grundberechtigungen. Daraus entsteht ein erstes Rollenmodell für automatisiertes Provisioning. 

Dieses Modell kann danach erweitert werden, sobald weitere Anwendungen angebunden werden. 

Warum müssen Rollenmodelle gepflegt werden? 

Ein Rollenmodell ist kein Projektdokument, das nach dem Go-live fertig ist. 

Organisationen verändern sich. Neue Anwendungen werden eingeführt. Abteilungen werden umgebaut. Funktionen ändern sich. Standorte kommen hinzu. Prozesse werden angepasst. 

Damit verändert sich auch der Berechtigungsbedarf. 

Deshalb reicht es nicht, ein Rollenmodell einmal zu erstellen. Es muss regelmäßig geprüft und weiterentwickelt werden. 

HelloID unterstützt diesen Prozess mit Role-Mining-Auswertungen im Provisioning-Modul. Administratoren erhalten Einblick in Benutzergruppen, Berechtigungen und Abweichungen. 

So lässt sich prüfen: 

• Welche Berechtigungen kommen in einer Einheit, zum Beispiel einer Abteilung, häufig vor? 

• Welche Benutzer weichen vom Muster ab? 

• Welche Zugriffe werden bereits über Regeln vergeben? 

• Welche Berechtigungen könnten künftig automatisiert werden? 

• Welche Regeln müssen angepasst werden? 

Damit wird Role Mining Teil eines laufenden Verbesserungsprozesses. 

Wie unterstützt Role Mining Audits und Governance (ISO 27001, DSGVO, NIS2, KRITIS oder DORA)? 

Role Mining ist nicht nur ein technisches Hilfsmittel für die IT. 

Es unterstützt auch Governance, weil Berechtigungen nachvollziehbarer werden. Wenn Zugriffe über Regeln vergeben werden, lässt sich erklären, warum ein Benutzer eine bestimmte Berechtigung besitzt. 

Die Antwort lautet dann nicht mehr: „Das wurde irgendwann manuell eingerichtet.“ Die Antwort lautet: „Dieser Zugriff ergibt sich aus Funktion, Abteilung, Standort oder einer genehmigten Regel.“ 

Das ist für Audits, ISO 27001, DSGVO, KRITIS, DORA-Umfelder und interne Kontrollen relevant. 

Role Mining unterstützt mehrere Governance-Ziele: 

• Nachvollziehbarkeit: Warum hat ein Benutzer Zugriff? 

• Least Privilege: Welche Berechtigungen passen nicht zum Muster? 

• Rezertifizierung: Welche Zugriffe sollten regelmäßig geprüft werden? 

• Offboarding: Welche Berechtigungen müssen beim Austritt entzogen werden? 

• Funktionwechsel: Welche Zugriffe müssen angepasst oder entfernt werden? 

• Auditfähigkeit: Welche Regel hat welche Berechtigung vergeben? 

• Risikoreduktion: Wo bestehen Überberechtigungen oder Altlasten? 

Unternehmen gewinnen damit mehr Transparenz über ihre Berechtigungsstruktur. Gleichzeitig sinkt die Abhängigkeit von Einzelwissen in der IT. 

Gerade für IT-Abteilungen mit knappen Ressourcen ist das entscheidend. Sie müssen weniger manuell pflegen, weniger nachfragen und weniger Altlasten kontrollieren. 

Fazit: Role Mining bringt Struktur in gewachsene Berechtigungen 

Viele Unternehmen wissen, dass ihre Berechtigungsstruktur gewachsen ist. Sie wissen auch, dass manuelle Verwaltung Risiken erzeugt. Was oft fehlt, ist ein praktikabler Einstieg in ein Rollenmodell. 

Role Mining liefert diesen Einstieg. 

Es analysiert bestehende Berechtigungen, erkennt Muster und zeigt Abweichungen. Daraus lassen sich Business Rules ableiten, mit denen Konten und Berechtigungen in HelloID automatisiert vergeben werden. 

Der Wert liegt nicht darin, bestehende Berechtigungen blind zu übernehmen. Der Wert liegt darin, aus vorhandenen Daten eine belastbare Entscheidungsgrundlage zu machen. 

So entsteht ein Rollenmodell, das zur Organisation passt, mit der Organisation wächst und die IT im Alltag entlastet, während die Berechtigungsvergabe nachvollziehbar wird.