Rollen, Berechtigungen und Sicherheit (2FA, Audit-Log): wer was sieht und wer was ändert

Für wen ist das Modul und welches Problem löst es?

Dieses Modul ist für jedes Unternehmen gedacht, in dem mehr als eine Person auf HR-Daten zugreift; entscheidend wird es, sobald sensible Daten wie Gehalt, Personalunterlagen und ärztliche Atteste nur für die Zuständigen sichtbar sein dürfen. Sind Berechtigungen nicht sauber definiert, entstehen zwei Extreme: Entweder sehen alle alles, oder niemand kann seine Arbeit erledigen. Konten ausgeschiedener Mitarbeitender bleiben offen, geteilte Passwörter kursieren, und die Frage „Wer hat diesen Datensatz geändert?“ bleibt unbeantwortet.

• Unternehmensinhaber und Systemadministration: verwalten Nutzer, Rollen und Sicherheitseinstellungen.
• HR und Lohnbuchhaltung: greifen auf die für ihre Arbeit nötigen Daten zu; das Ansehen sensibler Daten wird protokolliert.
• Führungskraft: sieht nur die arbeitsbezogenen Daten des eigenen Teams.
• Mitarbeitende: sehen nur ihren eigenen Datensatz, ihre Dokumente und Anträge.

Was leistet das Modul Rollen, Berechtigungen und Sicherheit?

Das Modul macht das Prinzip der minimalen Berechtigung umsetzbar: Jeder Nutzer greift nur auf die Datensätze zu, die er für seine Arbeit braucht, und sensible Zugriffe und Änderungen hinterlassen eine Spur.

• Fertige Rollen: Unternehmensinhaber, Systemadministration, HR, Führungskraft und Mitarbeitende. Die Standardberechtigungen jeder Rolle sind fest und in den Einstellungen in einer schreibgeschützten Tabelle zu sehen.
• Eigene Rollen: Durch Auswahl aus der Berechtigungsliste legen Sie unternehmensspezifische Rollen wie Lohnbuchhaltung, Steuerberater oder HR mit reinem Lesezugriff an; höchstens 50 Rollen je Unternehmen. Ein Nutzer mit eigener Rolle hat nur die Berechtigungen dieser Rolle; so lassen sich Berechtigungen ebenso einschränken wie erweitern. Voneinander abhängige Berechtigungen, etwa Ändern und Lesen, werden gemeinsam gewählt.
• Schutz vor Rechteausweitung: Außer dem Unternehmensinhaber kann niemand eine Berechtigung, die er selbst nicht hat, einer Rolle hinzufügen oder anderen geben; niemand kann sich selbst eine Rolle zuweisen oder eine ihm zugewiesene Rolle bearbeiten.
• Datenumfang: gesamtes Unternehmen, eigenes Team (direkt und indirekt; aus der Führungsbeziehung im Organigramm) oder nur der eigene Datensatz.
• Trennung sensibler Daten: Gehalt und Lohnabrechnung sowie Dokumente besonderer Art wie ärztliche Atteste und Führungszeugnisse werden über eigene Berechtigungen geöffnet. Die Identitätsnummer erscheint nicht in Listen und nicht für Personen ohne Berechtigung; wird die Identitätsnummer einer anderen Person im Klartext angezeigt, wird das protokolliert.
• Regel für den eigenen Datensatz: Außer dem Unternehmensinhaber kann niemand in der eigenen Personalakte Urlaubsbuchungen, PDKS-Einträge, Dokumente oder Gehalt erfassen; eigene Anträge und eigene Kommt- und Geht-Buchungen sind davon ausgenommen.
• Zwei-Faktor-Authentifizierung: zeitbasierter Einmalcode (TOTP) aus einer Authenticator-App und Wiederherstellungscodes; jeder Nutzer richtet sie selbst ein. Der Unternehmensinhaber kann sie für alle Nutzer des Unternehmens verpflichtend machen; eine Auswahl nach Rolle oder Nutzer gibt es nicht, und nur der Unternehmensinhaber ändert die Einstellung. Unternehmensinhaber und Systemadministration können die Einrichtung eines Nutzers gemäß Rollenhierarchie zurücksetzen; die Sitzungen des betroffenen Nutzers werden beendet.
• Passwortsicherheit: Passwörter werden mit dem Algorithmus argon2id gehasht gespeichert, nicht im Klartext.
• Konto-Lebenszyklus: Mitarbeitende werden im Onboarding-Prozess über die Personalakte zu Sora İK eingeladen; beim Ausscheiden wird das Konto bei der Erfassung des Austritts oder jederzeit von Hand geschlossen. Dass das Konto am Ende des Austrittstags automatisch geschlossen wird, folgt demnächst.
• Audit-Log: Anlegen, Ändern und Löschen von Datensätzen (mit den Namen der geänderten Felder), Ansehen von Identitätsnummer, Gehaltshistorie und Abrechnungsdetails, Dokument-Downloads, Exporte und Änderungen an eigenen Rollen; Änderungen an fertigen Rollen erscheinen in dieser Ansicht nicht. Die Ansicht lässt sich nach Datum, Nutzer, Aktion und Datensatzart filtern und als CSV herunterladen; über die Oberfläche lässt sie sich weder bearbeiten noch löschen.
• Anmeldeprotokoll: Erfolgreiche und fehlgeschlagene Anmeldeversuche werden gesondert erfasst; Unternehmensinhaber und Systemadministration sehen die letzten 90 Tage des Unternehmens.

Das Auflisten und Beenden offener Sitzungen, ein Zugriffsbericht, der die Frage „Wer kann das Gehalt dieser Person sehen?“ beantwortet, ein Datenumfang nach Abteilung oder Standort, Berechtigungen auf Feldebene und das Speichern von vorherigem und neuem Wert im Audit-Log gibt es derzeit nicht; sie folgen demnächst.

Wie funktioniert es?

Die Berechtigungsstruktur wird bei der Ersteinrichtung in fünf Schritten aufgebaut und danach mit den Personalbewegungen aktualisiert.

1. Rollen prüfen. Das bei der Unternehmensregistrierung angelegte erste Konto hat die Rolle Unternehmensinhaber; Paketvorgänge (Preise) laufen über diese Rolle. Prüfen Sie die Standardberechtigungen der fertigen Rollen in der Tabelle in den Einstellungen.
2. Nutzer einladen. Laden Sie die Person mit ihrer Rolle über die Personalakte ein. Einladungen versenden Unternehmensinhaber und Systemadministration; sobald im Unternehmen der erste Gehaltseintrag oder die erste Lohnabrechnung besteht, ist zusätzlich die Berechtigung zum Lesen der Lohnabrechnung nötig, und enthält die Akte Dokumente besonderer Art, auch die Berechtigung, diese zu sehen (die Systemadministration hat beides nicht; in diesem Fall versendet der Unternehmensinhaber die Einladung). Die Rolle Systemadministration vergibt nur der Unternehmensinhaber. Auch die HR-Rolle vergibt nur der Unternehmensinhaber.
3. Bei Bedarf eigene Rollen anlegen. Wo die fertigen Rollen nicht passen, legen Sie durch Auswahl von Berechtigungen eine eigene Rolle an und weisen sie Nutzern zu.
4. Zwei-Faktor-Authentifizierung verpflichtend machen. Der Unternehmensinhaber aktiviert die Einstellung für alle Nutzer des Unternehmens; auch ohne Pflicht sollten Nutzer mit Zugriff auf sensible Daten die Einrichtung in ihrem eigenen Konto vornehmen.
5. Protokolle regelmäßig prüfen. Sehen Sie das Audit-Log in festen Abständen durch und schließen Sie nicht genutzte Rollen und Konten.

Warum sind rollenbasierte Berechtigungen mit Blick auf den KVKK wichtig?

Das Gesetz Nr. 6698 zum Schutz personenbezogener Daten (KVKK, das türkische Datenschutzgesetz) verlangt vom Verantwortlichen (veri sorumlusu) geeignete technische und administrative Maßnahmen, um unrechtmäßigen Zugriff auf personenbezogene Daten zu verhindern; zu beschränken, wer auf Mitarbeiterdaten zugreifen darf, und Zugriffe zu überwachen, gehört zu den Kernbestandteilen dieser Maßnahmen. Rollenbasierte Berechtigungen und das Audit-Log helfen Ihnen, diese Maßnahmen umzusetzen und ihre Umsetzung nachweisen zu können; über ihre Angemessenheit entscheidet Ihr Unternehmen als Verantwortlicher.

Die Leitfäden des Kişisel Verileri Koruma Kurumu (türkische Datenschutzbehörde) zur Datensicherheit finden Sie auf der Seite Leitfäden der Behörde. Aufbewahrung und Vernichtung, Einwilligungsnachweise und Anträge betroffener Mitarbeitender werden zum KVKK-Compliance-Management gehören, das demnächst folgt. Infrastrukturangaben wie Verschlüsselung, Datensicherung, Serverstandort und Unterauftragsverarbeiter finden Sie auf der Seite Sicherheit, Plattformmodule, die demnächst folgen, wie Benachrichtigungszentrale und offene API, auf der Seite der Kategorie Plattform und Integrationen.