Role Mining: Wie Sie aus vorhandenen Berechtigungen belastbare Business Roles ableiten

Edouard Jacques

Managing Director, Cyber Culture

Role Mining bedeutet, vorhandene Berechtigungsdaten so auszuwerten, dass wiederkehrende Bündel sichtbar werden: Rechte, die bestimmte Gruppen von Menschen fast immer gemeinsam haben. Diese Bündel sind Kandidaten für Geschäftsrollen. Wichtig ist der Unterschied in der Fragestellung. Role Mining zeigt, welche Rollen es in Ihren Daten faktisch schon gibt, nicht, welche es geben sollte. Dieser Artikel beschreibt, welche Daten Sie vorbereiten, wie die Analyse arbeitet, wie Sie Kandidaten bewerten und wo die typischen Fallen liegen.

Wie das fertige Rollenmodell aufgebaut ist, steht im Artikel zum Business Role Model. Wer über Rollen entscheidet, beschreibt der Beitrag über Business Role Owner und Application Owner.

Was Role Mining leisten kann und was nicht

Ein Ergebnis kann zum Beispiel so aussehen: Alle 23 Personen in der Kreditorenbuchhaltung haben dieselben 18 Berechtigungen, weitere sieben Rechte sind ungleich verteilt. Die 18 sind ein starker Rollenkandidat, die sieben eine Frage an die Leitung des Bereichs.

Was Role Mining nicht kann, ist zwischen richtig und gewachsen zu unterscheiden. Die Analyse bildet den Ist-Zustand ab, einschließlich aller Überberechtigungen und Fehler. Wer ungeprüft übernimmt, was der Algorithmus vorschlägt, gießt den heutigen Wildwuchs in Rollen und macht ihn damit offiziell. Deshalb gehören zwei Blickrichtungen zusammen: die Auswertung der Daten von unten (Bottom-up) und das Wissen der Fachbereiche über ihre Tätigkeiten von oben (Top-down).

Die Datenbasis vorbereiten

Die Vorbereitung dauert in der Regel länger als die eigentliche Analyse. Sie brauchen drei Datensätze.

Erstens die Identitäten aus dem HR-System: Personalnummer, Organisationseinheit, Kostenstelle, Stellenbezeichnung oder Stellenschlüssel, Standort, Führungskraft und Beschäftigungsart. Prüfen Sie die Stellenbezeichnungen. Wenn „Sachbearbeiter“, „Sachbearb.“ und „SB Einkauf“ dasselbe meinen, müssen sie vereinheitlicht werden, sonst zerfällt jede Gruppierung.

Zweitens die Berechtigungen je System: Gruppen im Active Directory mit aufgelöster Verschachtelung, also den tatsächlich wirksamen Mitgliedschaften, dazu Gruppen und Rollen in Entra ID, Rollen im ERP und Profile in CRM und Dokumentenmanagement. Jedes Konto muss eindeutig einer Person zugeordnet sein. Das klingt selbstverständlich und ist es bei abweichenden Kontonamen im ERP oft nicht.

Drittens, wo verfügbar, Nutzungsdaten: wann ein Recht zuletzt verwendet wurde. Damit trennen Sie Rechte, die gebraucht werden, von solchen, die nur zugewiesen sind.

Vor der Analyse nehmen Sie heraus, was das Ergebnis verfälscht: Dienst- und Admin-Konten, externe Personen, die eine eigene Auswertung bekommen, und die Basisrechte, die ohnehin alle haben. Diese landen direkt in der Basisrolle und würden sonst jede Gruppierung dominieren.

Wie die Analyse arbeitet

Der transparenteste Weg geht von den HR-Merkmalen aus. Sie bilden Gruppen, etwa alle Personen mit derselben Organisationseinheit und Stellenbezeichnung, und berechnen für jede Berechtigung, welcher Anteil der Gruppe sie hat. Rechte, die fast alle Mitglieder haben, zum Beispiel mindestens 80 Prozent, sind Rolleninhalt. Rechte bei einer kleinen Minderheit sind entweder Zusatzrechte oder Überberechtigungen. Dazwischen liegt der Bereich, über den Sie mit dem Fachbereich sprechen. Die Schwellen sind Stellschrauben, keine Norm. Für einige hundert Personen lässt sich das noch mit einer Tabellenkalkulation oder einem kurzen Skript erledigen.

Musterbasierte Verfahren gehen umgekehrt vor. Clustering-Algorithmen gruppieren Personen nach der Ähnlichkeit ihrer Rechte, ganz ohne HR-Daten. So finden Sie Rollen, die quer zur Organisation liegen, etwa eine Reklamationsbearbeitung, die sich auf Vertrieb, Qualität und Logistik verteilt. Der Nachteil: Die Ergebnisse sind schwerer zu erklären, und ein Cluster hat zunächst keinen fachlichen Namen.

In der Praxis bewährt sich die Kombination. Erst die merkmalsbasierte Auswertung für den Großteil, dann Clustering für die Personen, die nirgends sauber hineinpassen. Die großen IGA-Plattformen bringen Role-Mining-Funktionen mit, daneben gibt es spezialisierte Analysewerkzeuge. Für eine erste Auswertung brauchen Sie kein neues Werkzeug.

Rollenkandidaten bewerten

Nicht jeder Kandidat wird eine Rolle. Diese Fragen helfen bei der Entscheidung:

• Wie viele Personen umfasst der Kandidat? Ein Bündel für zwei Personen lohnt sich selten.
• Übersteht er die nächste Umstrukturierung, oder hängt er an einem Abteilungszuschnitt?
• Kann die fachlich verantwortliche Person in einem Satz sagen, welche Tätigkeit er abbildet? Wenn nicht, ist es ein technisches Bündel und keine Geschäftsrolle.
• Enthält er Kombinationen, die sich bei der Funktionstrennung (Segregation of Duties, kurz SoD) ausschließen? Gleichen Sie gegen Ihre Konfliktregeln ab; typische Paare finden Sie unter SoD-Konflikte auflösen.
• Enthält er Rechte, die niemand erklären kann? Die gehören nicht in die Rolle, sondern auf die Liste zum Entzug.

Danach validiert der Fachbereich. Bewährt hat sich ein Workshop je Bereich von 60 bis 90 Minuten mit vorbereiteten Listen: Rollenkandidat, Mitglieder, Ausreißer. Die verantwortliche Person entscheidet, was hineingehört, was Zusatzrecht wird und was entfällt.

Typische Fallen

• Verschachtelte AD-Gruppen werden nicht aufgelöst. Dann sieht die Analyse nur die direkten Mitgliedschaften und unterschätzt die tatsächlichen Rechte.
• Admin-Konto und normales Konto derselben Person werden zusammengeworfen. Die Rolle enthält danach Administrationsrechte.
• Langjährige Mitarbeitende mit Rechten aus drei früheren Positionen verzerren ihre Gruppe. Sie sind Aufräumfälle, kein Maßstab.
• Jeder Cluster wird als Rolle übernommen. Das Ergebnis ist eine Rollenexplosion. Fassen Sie Kandidaten mit kleinen Unterschieden zusammen und führen Sie den Rest als Zusatzrechte.
• Role Mining bleibt eine einmalige Übung. Eine Wiederholung nach sechs bis zwölf Monaten zeigt, ob sich neben den Rollen wieder Einzelrechte ansammeln.

Vom Kandidaten zur Rolle im Betrieb

Jede bestätigte Rolle wird nach einer festen Vorlage dokumentiert und bekommt eine verantwortliche Person. Dann wird sie zunächst parallel zu den bestehenden Einzelrechten zugewiesen. Erst wenn feststeht, dass nichts fehlt, entfernen Sie die direkt vergebenen Rechte, die durch die Rolle abgedeckt sind. Den Fortschritt messen Sie am Anteil der Berechtigungen, die über Rollen vergeben werden.

Wie wir Role Mining und die Prüfung auf Funktionstrennungskonflikte als Projekt aufsetzen, zeigt die Seite Role Mining und SoD. Wo Ihr Zugriffsmanagement insgesamt im Vergleich zu den Anforderungen der ISO 27001 steht, sehen Sie im Reifegrad-Check unter diesem Artikel.