Separation of Duties (Funktionstrennung): Definition, Nutzen und Umsetzung

Die Funktionstrennung, international als Separation of Duties (SoD) bzw. Segregation of Duties bekannt, ist ein grundlegendes Sicherheitsprinzip: Kritische Aufgaben werden bewusst auf mehrere Personen oder Rollen verteilt, sodass niemand einen sensiblen Vorgang allein und unkontrolliert von Anfang bis Ende durchführen kann. Gerade dort, wo IT-Systeme höchsten Schutz genießen müssen, ist Funktionstrennung ein zentraler Baustein für Sicherheit, Compliance und Nachvollziehbarkeit.

Was bedeutet Separation of Duties?

Separation of Duties beschreibt die organisatorische und technische Aufteilung von Verantwortlichkeiten, damit für risikoreiche Tätigkeiten immer mindestens zwei Beteiligte erforderlich sind. Das eng verwandte Vier-Augen-Prinzip ist die bekannteste Ausprägung dieses Konzepts: Eine Aktion – etwa eine Freigabe, eine Kontenänderung oder ein administrativer Eingriff – wird von einer zweiten, unabhängigen Instanz geprüft oder mitgetragen. So sinkt das Risiko für Fehler, Missbrauch und Betrug erheblich, weil einzelne Personen keine vollständige Kontrolle über einen kritischen Prozess behalten.

Ein praktisches Beispiel: Wer eine Rechnung erfasst, sollte sie nicht zugleich freigeben und auszahlen dürfen. Übertragen auf die Klinik-IT bedeutet das etwa, dass die Person, die Zugriffsrechte vergibt, nicht dieselbe sein sollte, die die Audit-Protokolle über diese Vergaben verwaltet. Genau diese Trennung von operativen, freigebenden und prüfenden Rechten ist der Kern der Funktionstrennung.

Funktionstrennung, Least Privilege und Berechtigungskonzept

Separation of Duties wirkt nicht isoliert, sondern greift eng mit weiteren Zugriffsprinzipien ineinander. Während die Funktionstrennung sicherstellt, dass unvereinbare Aufgaben getrennt bleiben, sorgt das Prinzip der minimalen Rechtevergabe (Least Privilege) dafür, dass jeder Nutzer nur genau die Berechtigungen erhält, die er für seine Aufgabe tatsächlich benötigt – nicht mehr. Beide Prinzipien ergänzen sich: Least Privilege begrenzt den Umfang der Rechte, Funktionstrennung verhindert gefährliche Rechtekombinationen.

Umgesetzt werden diese Prinzipien in der Praxis über ein strukturiertes Berechtigungskonzept – also ein durchdachtes Rollen- und Berechtigungskonzept, das festlegt, welche Rolle welche Rechte erhält. Technisch bildet häufig die rollenbasierte Zugriffskontrolle (RBAC) die Grundlage: Rechte werden nicht einzelnen Personen, sondern klar definierten Rollen zugewiesen. Eine sauber gepflegte SoD-Matrix (Segregation-of-Duties-Matrix) macht dabei sichtbar, welche Rollen sich gegenseitig ausschließen, und deckt kritische Berechtigungskonflikte frühzeitig auf.

Vorteile der Funktionstrennung

• Weniger Betrugs- und Manipulationsrisiko: Kein einzelner Nutzer kann kritische Prozesse allein und unbemerkt durchführen.
• Bessere Nachvollziehbarkeit: Klar getrennte Rollen und lückenlose Protokolle erleichtern Audits und interne Kontrollen.
• Geringere Angriffsfläche: Ein kompromittiertes Konto besitzt weniger kombinierte Rechte und richtet dadurch weniger Schaden an.
• Höhere Datensicherheit für Patienten: Zugriffe auf Patientendaten lassen sich enger und kontrollierter gestalten.

Ein besonders privilegierter Bereich sind administrative und externe Zugänge. Hier sorgt Privileged Access Management (PAM) dafür, dass hochprivilegierte Konten gezielt kontrolliert, zeitlich begrenzt und vollständig protokolliert werden – eine ideale technische Ergänzung zum Prinzip der Funktionstrennung.

Separation of Duties und Compliance

Funktionstrennung ist kein optionales „Nice-to-have“, sondern fester Bestandteil anerkannter Sicherheitsstandards. Ziel ist es, den Missbrauch berechtigter Privilegien zu verhindern und schädliche Aktivitäten ohne Absprache zwischen mehreren Beteiligten praktisch unmöglich zu machen. Insbesondere sollen Personen, die Zugriffsrechte administrieren, nicht zugleich die zugehörigen Audit-Funktionen verantworten.

Auch im europäischen und deutschen Kontext ist das Prinzip fest verankert, etwa in Anforderungen an interne Kontrollsysteme sowie in der NIS2-Richtlinie, die für viele Einrichtungen und Unternehmen verbindliche Vorgaben zu Zugriffskontrolle, Richtlinienkonformität und Auditfähigkeit macht. Eine konsequent umgesetzte Funktionstrennung ist damit ein wichtiger Baustein, um regulatorische Anforderungen nachweisbar zu erfüllen.

So wird Funktionstrennung praktisch umgesetzt

Eine wirksame Funktionstrennung entsteht aus dem Zusammenspiel von Organisation und Technik. Bewährt hat sich ein schrittweises Vorgehen:

• Kritische Prozesse identifizieren: Zunächst werden die Abläufe bestimmt, bei denen unvereinbare Aufgaben nicht in einer Hand liegen dürfen.
• Rollen und Berechtigungskonzept definieren: Rechte werden über klar geschnittene Rollen vergeben statt individuell – idealerweise auf RBAC-Basis.
• SoD-Matrix pflegen: Eine Matrix dokumentiert, welche Rollen sich gegenseitig ausschließen, und macht Berechtigungskonflikte sichtbar.
• Technisch durchsetzen: Zugriffs- und Identity-Lösungen setzen die Trennung automatisiert durch – inklusive Freigabe-Workflows und Mehr-Augen-Kontrollen.
• Kontinuierlich überprüfen: Regelmäßige Rezertifizierungen und lückenlose Protokolle stellen sicher, dass die Trennung dauerhaft wirksam bleibt.

Moderne Enterprise-Access-Management-Lösungen unterstützen genau diese Schritte: Sie verbinden schnelle, komfortable Anmeldung (etwa per Tap & Go oder SSO) mit granularer, richtlinienkonformer Rechtevergabe. So lässt sich Funktionstrennung umsetzen, ohne den klinischen Arbeitsablauf auszubremsen – Sicherheit und Benutzerfreundlichkeit gehen Hand in Hand.