SH

Sascha Hess

xenosystems.de - IT-Consulting & Data Management

www.xenosystems.de

Strategische Wissens-Roadmap 2026

ERP-Sicherheit

Berechtigungs-konzepte

Zugriffsschutz, Rollenmodelle und Compliance für den Mittelstand

1

10 Sicherheits-Fallen

Die häufigsten Berechtigungsfehler in KMU-ERP-Systemen — mit Sofort-Korrekturen

2

Rollenmodell-Baukasten

Fertige Rollenstrukturen für Einkauf, Vertrieb, Buchhaltung und IT

3

Berechtigungs-Audit

SQL-Skripte für vollständige Transparenz über Zugriffsrechte in unter 1 Stunde

4

Compliance-Framework

DSGVO, GoBD, SOX-Analogie und AI Act — was KMU wirklich brauchen

5

30-Tage-Bereinigungsplan

Vom Berechtigungs-Wildwuchs zur sauberen, auditierbaren Struktur

DIE DREI HÄUFIGSTEN AUSLÖSER FÜR BERECHTIGUNGS-AUDITS

■  ERP-Migration: Berechtigungen aus dem Altsystem werden ungeprüft übernommen — inklusive aller historischen Fehler.

■  Externer Audit: Wirtschaftsprüfer oder Datenschutzbeauftragter fordert Nachweis über Zugriffskontrolle.

■  Sicherheitsvorfall: Ein Mitarbeiter hat auf Daten zugegriffen, auf die er keinen Zugriff hätte haben sollen.

-- Least-Privilege-Verletzungen in SQL Server erkennen

-- Benutzer mit mehr Rechten als ihre Rolle erfordert

SELECT

    dp.name                                  AS Benutzer,

    dp.type_desc                             AS Benutzertyp,

    o.name                                   AS Objekt,

    p.permission_name                        AS Berechtigung,

    p.state_desc                             AS Status,

    -- Flag: direkte Grants sind Least-Privilege-Verstöße

    CASE WHEN p.grantee_principal_id = dp.principal_id

         THEN 'DIREKT — prüfen!'

         ELSE 'Via Rolle' END                AS GrantTyp

FROM sys.database_permissions p

JOIN sys.database_principals dp ON p.grantee_principal_id = dp.principal_id

LEFT JOIN sys.objects o ON p.major_id = o.object_id

WHERE dp.type NOT IN ('R','A')              -- keine Rollen, nur Benutzer

  AND p.state_desc = 'GRANT'

  AND dp.name NOT IN ('dbo','guest','INFORMATION_SCHEMA','sys')

ORDER BY dp.name, o.name;

Lieferant anlegen

Zahlung freigeben

Phantomlieferant + Zahlung

Vier-Augen bei Lieferantenneuanlage

Rechnung erfassen

Rechnung buchen

Gefälschte Rechnungen

Unterschiedliche Buchhalter-Rollen

Gehalt pflegen

Lohnlauf starten

Gehaltsmanipulation

IT oder GF als zweite Instanz

Artikel anlegen

Preise pflegen

Preismanipulation

Einkauf ≠ Stammdatenpflege

-- RBAC-Struktur in SQL Server: Rollen statt Einzelrechte

-- Rolle anlegen

CREATE ROLE ERP_Buchhaltung_Sachbearbeiter;

CREATE ROLE ERP_Buchhaltung_Teamleiter;

CREATE ROLE ERP_Einkauf_Sachbearbeiter;

CREATE ROLE ERP_Vertrieb_Innendienst;

CREATE ROLE ERP_Lager_Mitarbeiter;

-- Rechte auf Rollen vergeben (nie direkt auf Benutzer)

GRANT SELECT, INSERT ON SCHEMA::Buchhaltung TO ERP_Buchhaltung_Sachbearbeiter;

GRANT EXECUTE ON dbo.SP_Rechnung_Erfassen   TO ERP_Buchhaltung_Sachbearbeiter;

GRANT EXECUTE ON dbo.SP_Rechnung_Freigeben  TO ERP_Buchhaltung_Teamleiter;  -- SoD!

-- Benutzer zu Rollen zuweisen

ALTER ROLE ERP_Buchhaltung_Sachbearbeiter ADD MEMBER [DOMAIN\a.mueller];

ALTER ROLE ERP_Buchhaltung_Sachbearbeiter ADD MEMBER [DOMAIN\b.schmidt];

ALTER ROLE ERP_Buchhaltung_Teamleiter     ADD MEMBER [DOMAIN\k.weber];

1. Linie

Fachbereich + IT

Berechtigungen pflegen, Prozesse einhalten, Anomalien melden

2. Linie

IT-Leitung + Datenschutzbeauftragter

Richtlinien definieren, regelmäßige Überprüfung, Schulung

3. Linie

Geschäftsführung + externer Auditor

Unabhängige Prüfung, Compliance-Nachweis, Eskalation

-- Sammelaccounts identifizieren: Accounts ohne zugehörigen AD-Benutzer

-- oder mit generischen Namen

SELECT

    name                AS Account,

    create_date         AS Erstellt,

    modify_date         AS GeaendertAm,

    is_disabled         AS Deaktiviert,

    -- Verdachtsmerkmale für Sammelaccounts

    CASE

        WHEN name LIKE '%allgemein%' THEN 'SAMMELACCOUNT-VERDACHT'

        WHEN name LIKE '%service%'   THEN 'SERVICE-ACCOUNT — prüfen'

        WHEN name LIKE '%test%'      THEN 'TESTACCOUNT in Produktion!'

        WHEN name LIKE '%admin%'     THEN 'ADMIN-ACCOUNT — berechtigt?'

        ELSE 'OK'

    END                 AS Bewertung

FROM sys.server_principals

WHERE type_desc = 'SQL_LOGIN'

  AND is_disabled = 0

ORDER BY Bewertung DESC, name;

-- Inaktive Accounts identifizieren — Logins seit > 60 Tagen

SELECT

    sp.name                                          AS Account,

    sl.last_successful_logon                         AS LetzterLogin,

    DATEDIFF(DAY, sl.last_successful_logon,

        GETDATE())                                   AS InaktivSeit_Tagen,

    sp.is_disabled                                   AS Deaktiviert,

    CASE

        WHEN sl.last_successful_logon IS NULL        THEN 'NIE EINGELOGGT'

        WHEN DATEDIFF(DAY, sl.last_successful_logon,

            GETDATE()) > 180                         THEN 'SOFORT DEAKTIVIEREN'

        WHEN DATEDIFF(DAY, sl.last_successful_logon,

            GETDATE()) > 60                          THEN 'PRÜFEN UND BEREINIGEN'

        ELSE 'AKTIV'

    END                                              AS Empfehlung

FROM sys.server_principals sp

LEFT JOIN sys.dm_exec_sessions sl ON sp.name = sl.login_name

WHERE sp.type_desc IN ('SQL_LOGIN','WINDOWS_LOGIN','WINDOWS_GROUP')

  AND sp.is_disabled = 0

  AND sp.name NOT LIKE '##%'           -- System-Accounts ausschließen

  AND sp.name NOT IN ('sa','NT AUTHORITY\SYSTEM')

GROUP BY sp.name, sl.last_successful_logon, sp.is_disabled

HAVING MAX(sl.last_successful_logon) < DATEADD(DAY,-60,GETDATE())

    OR MAX(sl.last_successful_logon) IS NULL

ORDER BY InaktivSeit_Tagen DESC;

-- Kritische Rollenüberschneidung: IT-Accounts mit Finanzzugriff

SELECT

    r.name                  AS Rolle,

    m.name                  AS Mitglied,

    -- Sicherheitskritische Rollen im ERP-Kontext

    CASE

        WHEN r.name IN ('db_owner','sysadmin') AND

             EXISTS (SELECT 1 FROM sys.schemas s

                     WHERE s.name IN ('Lohn','Fibu','Controlling'))

        THEN 'KRITISCH: Admin mit Finanzzugriff'

        WHEN r.name = 'db_owner'

        THEN 'HOCH: db_owner in Produktivdatenbank'

        ELSE 'PRÜFEN'

    END                     AS Risikobewertung

FROM sys.database_role_members rm

JOIN sys.database_principals r ON rm.role_principal_id = r.principal_id

JOIN sys.database_principals m ON rm.member_principal_id = m.principal_id

WHERE r.name IN ('db_owner','sysadmin','db_securityadmin')

ORDER BY Risikobewertung, r.name, m.name;

-- SoD-Verletzungs-Monitor: wer hat gleichzeitig Anlage- und Freigabe-Rechte?

SELECT

    u.Benutzername,

    MAX(CASE WHEN r.RollenName = 'Kreditoren_Anlage'   THEN 1 ELSE 0 END) AS Kann_Anlegen,

    MAX(CASE WHEN r.RollenName = 'Kreditoren_Buchen'   THEN 1 ELSE 0 END) AS Kann_Buchen,

    MAX(CASE WHEN r.RollenName = 'Zahlung_Freigabe'    THEN 1 ELSE 0 END) AS Kann_Freigeben,

    -- SoD-Verletzung wenn alle drei Flags = 1

    CASE

        WHEN MAX(CASE WHEN r.RollenName = 'Kreditoren_Anlage'  THEN 1 ELSE 0 END) = 1

         AND MAX(CASE WHEN r.RollenName = 'Zahlung_Freigabe'   THEN 1 ELSE 0 END) = 1

        THEN 'KRITISCH: Anlage + Freigabe in einer Hand!'

        WHEN MAX(CASE WHEN r.RollenName = 'Kreditoren_Buchen'  THEN 1 ELSE 0 END) = 1

         AND MAX(CASE WHEN r.RollenName = 'Zahlung_Freigabe'   THEN 1 ELSE 0 END) = 1

        THEN 'HOCH: Buchen + Freigabe in einer Hand'

        ELSE 'OK'

    END AS SoD_Status

FROM dbo.ERP_Benutzer u

JOIN dbo.ERP_Benutzer_Rollen ur ON u.BenutzerID = ur.BenutzerID

JOIN dbo.ERP_Rollen r ON ur.RollenID = r.RollenID

GROUP BY u.Benutzername

HAVING

    MAX(CASE WHEN r.RollenName = 'Kreditoren_Anlage' THEN 1 ELSE 0 END) = 1

    AND MAX(CASE WHEN r.RollenName = 'Zahlung_Freigabe' THEN 1 ELSE 0 END) = 1

ORDER BY SoD_Status;

-- Externe Accounts mit Ablaufdatum überwachen

SELECT

    name                        AS Account,

    create_date                 AS Erstellt,

    LOGINPROPERTY(name,'PasswordExpirationEnabled') AS AblaufAktiv,

    CAST(LOGINPROPERTY(name,'PasswordExpired') AS INT) AS Abgelaufen,

    -- Externe identifizieren (Namenskonvention: EXT_ Prefix)

    CASE WHEN name LIKE 'EXT_%' THEN 'EXTERN'

         WHEN name LIKE 'BERATER_%' THEN 'BERATER'

         ELSE 'INTERN' END      AS AccountTyp

FROM sys.server_principals

WHERE type_desc = 'SQL_LOGIN'

  AND is_disabled = 0

  AND name NOT LIKE '##%'

ORDER BY AccountTyp DESC, create_date ASC;

-- SQL Server Audit einrichten: privilegierte Zugriffe protokollieren

CREATE SERVER AUDIT ERP_Sicherheits_Audit

TO FILE (FILEPATH = 'C:\SQLAudit\ERP\', MAXSIZE = 100 MB,

         MAX_ROLLOVER_FILES = 12, RESERVE_DISK_SPACE = OFF)

WITH (QUEUE_DELAY = 1000, ON_FAILURE = CONTINUE);

CREATE DATABASE AUDIT SPECIFICATION ERP_DB_Audit

FOR SERVER AUDIT ERP_Sicherheits_Audit

ADD (SCHEMA_OBJECT_ACCESS_GROUP),    -- alle SELECT/INSERT/UPDATE/DELETE

ADD (DATABASE_ROLE_MEMBER_CHANGE_GROUP), -- Rollenänderungen

ADD (DATABASE_PERMISSION_CHANGE_GROUP),  -- Berechtigungsänderungen

ADD (BACKUP_RESTORE_GROUP)               -- Backups und Restores

WITH (STATE = ON);

ALTER SERVER AUDIT ERP_Sicherheits_Audit WITH (STATE = ON);

-- Audit-Log auswerten: Zugriffe außerhalb Regelarbeitszeit

SELECT

    event_time,

    server_principal_name   AS Benutzer,

    database_name           AS Datenbank,

    object_name             AS Objekt,

    statement,

    action_id

FROM sys.fn_get_audit_file('C:\SQLAudit\ERP\*.sqlaudit', DEFAULT, DEFAULT)

WHERE DATEPART(HOUR, event_time) NOT BETWEEN 7 AND 19   -- außerhalb Regelzeit

   OR DATEPART(WEEKDAY, event_time) IN (1,7)            -- Wochenende

ORDER BY event_time DESC;

-- Service-Accounts ohne Passwortrichtlinie identifizieren

SELECT

    name                    AS Account,

    create_date             AS Erstellt,

    LOGINPROPERTY(name, 'PasswordPolicyEnforced')  AS PolicyAktiv,

    LOGINPROPERTY(name, 'PasswordExpirationEnabled') AS AblaufAktiv,

    LOGINPROPERTY(name, 'BadPasswordCount')        AS FehlversuchtCount,

    -- Service-Accounts ohne Policy sind ein Risiko

    CASE

        WHEN LOGINPROPERTY(name,'PasswordPolicyEnforced') = 0

        THEN 'RISIKO: Keine Passwortrichtlinie'

        ELSE 'OK'

    END                     AS Bewertung

FROM sys.server_principals

WHERE type_desc = 'SQL_LOGIN'

  AND is_disabled = 0

  AND name NOT IN ('sa')

  AND name NOT LIKE '##%'

ORDER BY Bewertung DESC, name;

-- Akkumulierte Rechte erkennen: Benutzer mit zu vielen Rollen

SELECT

    m.name                          AS Benutzer,

    COUNT(DISTINCT r.name)          AS AnzahlRollen,

    STRING_AGG(r.name, ', ')        AS AlleRollen,

    CASE

        WHEN COUNT(DISTINCT r.name) > 5 THEN 'KRITISCH: Zu viele Rollen'

        WHEN COUNT(DISTINCT r.name) > 3 THEN 'WARNUNG: Rollen prüfen'

        ELSE 'OK'

    END                             AS Bewertung

FROM sys.database_role_members rm

JOIN sys.database_principals r ON rm.role_principal_id  = r.principal_id

JOIN sys.database_principals m ON rm.member_principal_id = m.principal_id

WHERE r.is_fixed_role = 0          -- keine System-Rollen

  AND m.type NOT IN ('R')          -- keine Rollen-in-Rollen

GROUP BY m.name

HAVING COUNT(DISTINCT r.name) > 3

ORDER BY AnzahlRollen DESC;

-- Automatisch generierte Berechtigungsmatrix für Dokumentation

SELECT

    SCHEMA_NAME(o.schema_id)    AS Schema,

    o.name                      AS Objekt,

    o.type_desc                 AS ObjektTyp,

    r.name                      AS Rolle,

    p.permission_name           AS Berechtigung,

    p.state_desc                AS Status,

    -- Direkter Grant (Least-Privilege-Verstoß) oder via Rolle

    CASE WHEN grantee.type = 'R' THEN 'Via Rolle'

         ELSE 'DIREKTER GRANT — prüfen!' END AS GrantTyp

FROM sys.database_permissions p

JOIN sys.database_principals grantee ON p.grantee_principal_id = grantee.principal_id

LEFT JOIN sys.objects o ON p.major_id = o.object_id

LEFT JOIN sys.database_role_members rm ON grantee.principal_id = rm.member_principal_id

LEFT JOIN sys.database_principals r ON rm.role_principal_id = r.principal_id

WHERE p.state_desc = 'GRANT'

  AND grantee.name NOT IN ('dbo','public','guest','INFORMATION_SCHEMA','sys')

ORDER BY Schema, Objekt, Rolle, Berechtigung;

-- SCHRITT 1 (10 Min): Benutzer-Inventar — wer hat überhaupt Zugang?

SELECT

    sp.name                     AS Login,

    sp.type_desc                AS LoginTyp,

    sp.is_disabled              AS Deaktiviert,

    sp.create_date              AS Erstellt,

    ISNULL(sl.last_successful_logon,

        sp.create_date)         AS LetzterLogin,

    dp.name                     AS DB_Benutzer,

    dp.default_schema_name      AS Standardschema

FROM sys.server_principals sp

LEFT JOIN sys.dm_exec_sessions sl

    ON sp.name = sl.login_name

LEFT JOIN sys.database_principals dp

    ON sp.sid = dp.sid

WHERE sp.type_desc IN ('SQL_LOGIN','WINDOWS_LOGIN','WINDOWS_GROUP')

  AND sp.name NOT LIKE '##%'

  AND sp.name NOT IN ('sa','NT AUTHORITY\SYSTEM',

      'NT SERVICE\SQLSERVERAGENT','NT SERVICE\MSSQLSERVER')

ORDER BY sp.is_disabled, sl.last_successful_logon DESC;

-- SCHRITT 2 (10 Min): Rollenmitgliedschaften — wer darf was?

SELECT

    r.name                      AS Rolle,

    m.name                      AS Mitglied,

    m.type_desc                 AS MitgliedTyp,

    -- Ampel-Bewertung kritischer Rollen

    CASE r.name

        WHEN 'db_owner'         THEN 'ROT: Vollzugriff auf Datenbank'

        WHEN 'sysadmin'         THEN 'ROT: Server-Vollzugriff'

        WHEN 'db_securityadmin' THEN 'ORANGE: Kann Rechte vergeben'

        WHEN 'db_ddladmin'      THEN 'ORANGE: Kann Schema ändern'

        WHEN 'db_datawriter'    THEN 'GELB: Schreibzugriff alle Tabellen'

        WHEN 'db_datareader'    THEN 'GRÜN: Nur Lesen'

        ELSE                         'PRÜFEN: Benutzerdefinierte Rolle'

    END                         AS Risikostufe

FROM sys.database_role_members rm

JOIN sys.database_principals r ON rm.role_principal_id  = r.principal_id

JOIN sys.database_principals m ON rm.member_principal_id = m.principal_id

ORDER BY Risikostufe, r.name, m.name;

-- SCHRITT 3 (10 Min): Direkte Grants — Least-Privilege-Verstöße

SELECT

    dp.name                     AS Benutzer,

    ISNULL(SCHEMA_NAME(o.schema_id) + '.' + o.name,

        p.class_desc)           AS Objekt,

    p.permission_name           AS Berechtigung,

    p.state_desc                AS Status

FROM sys.database_permissions p

JOIN sys.database_principals dp ON p.grantee_principal_id = dp.principal_id

LEFT JOIN sys.objects o ON p.major_id = o.object_id

WHERE dp.type NOT IN ('R','A')              -- nur Benutzer, keine Rollen

  AND p.state_desc = 'GRANT'

  AND dp.name NOT IN ('dbo','guest','INFORMATION_SCHEMA','sys')

ORDER BY dp.name, Objekt;

-- SCHRITT 4 (15 Min): SoD-Matrix — kritische Rollenkombinationen

WITH UserRoles AS (

    SELECT

        m.name AS Benutzer,

        r.name AS Rolle

    FROM sys.database_role_members rm

    JOIN sys.database_principals r ON rm.role_principal_id  = r.principal_id

    JOIN sys.database_principals m ON rm.member_principal_id = m.principal_id

)

SELECT DISTINCT

    a.Benutzer,

    a.Rolle                     AS Rolle_A,

    b.Rolle                     AS Rolle_B,

    'SoD-KONFLIKT: ' + a.Rolle + ' + ' + b.Rolle AS Konflikt

FROM UserRoles a

JOIN UserRoles b ON a.Benutzer = b.Benutzer AND a.Rolle < b.Rolle

WHERE

    -- Kritische Kombinationen

    (a.Rolle LIKE '%Anlage%'    AND b.Rolle LIKE '%Freigabe%') OR

    (a.Rolle LIKE '%Erfassen%'  AND b.Rolle LIKE '%Freigabe%') OR

    (a.Rolle LIKE '%Lohn%'      AND b.Rolle LIKE '%Admin%')    OR

    (a.Rolle LIKE '%Fibu%'      AND b.Rolle LIKE '%IT%')

ORDER BY a.Benutzer;

-- SCHRITT 5 (15 Min): Audit-Ampel — Gesamtübersicht

SELECT 'Aktive Benutzer gesamt'        AS Metrik,

       COUNT(*) AS Wert, 'INFO' AS Ampel

FROM sys.server_principals

WHERE type_desc IN ('SQL_LOGIN','WINDOWS_LOGIN') AND is_disabled = 0

  AND name NOT LIKE '##%'

UNION ALL

SELECT 'Inaktiv > 60 Tage',

    COUNT(*),

    CASE WHEN COUNT(*) > 5 THEN 'ROT' WHEN COUNT(*) > 0 THEN 'GELB' ELSE 'GRUEN' END

FROM sys.server_principals sp

LEFT JOIN sys.dm_exec_sessions sl ON sp.name = sl.login_name

WHERE sp.type_desc = 'SQL_LOGIN' AND sp.is_disabled = 0

  AND (sl.last_successful_logon < DATEADD(DAY,-60,GETDATE())

    OR sl.last_successful_logon IS NULL)

UNION ALL

SELECT 'db_owner Mitglieder',

    COUNT(*),

    CASE WHEN COUNT(*) > 2 THEN 'ROT' WHEN COUNT(*) > 1 THEN 'GELB' ELSE 'GRUEN' END

FROM sys.database_role_members rm

JOIN sys.database_principals r ON rm.role_principal_id = r.principal_id

WHERE r.name = 'db_owner'

UNION ALL

SELECT 'Direkte Grants (Least-Privilege-Verstöße)',

    COUNT(*),

    CASE WHEN COUNT(*) > 10 THEN 'ROT' WHEN COUNT(*) > 3 THEN 'GELB' ELSE 'GRUEN' END

FROM sys.database_permissions p

JOIN sys.database_principals dp ON p.grantee_principal_id = dp.principal_id

WHERE dp.type NOT IN ('R','A') AND p.state_desc = 'GRANT'

  AND dp.name NOT IN ('dbo','guest','INFORMATION_SCHEMA','sys');

Fibu_Leser

SELECT auf Fibu-Schema

Controller, GF, Revision

Fibu_Sachbearbeiter

SELECT + INSERT Buchungen, kein DELETE

Buchhalter

Fibu_Teamleiter

+ UPDATE Buchungen, Periodenabschluss vorbereiten

Buchhaltungsleitung

Fibu_Abschluss

+ Jahresabschluss buchen, Perioden sperren

Steuerberater, leitende Buchhaltung

Kreditor_Anlage

Lieferanten anlegen/ändern

Einkauf (NICHT Buchhaltung — SoD!)

Zahlung_Freigabe

Zahlungsläufe starten

GF oder bevollmächtigte Prokura

-- Buchhaltungs-Rollenstruktur anlegen

CREATE ROLE Fibu_Leser;

CREATE ROLE Fibu_Sachbearbeiter;

CREATE ROLE Fibu_Teamleiter;

CREATE ROLE Zahlung_Freigabe;

CREATE ROLE Kreditor_Anlage;

GRANT SELECT                                ON SCHEMA::Fibu       TO Fibu_Leser;

GRANT SELECT, INSERT                        ON SCHEMA::Fibu       TO Fibu_Sachbearbeiter;

GRANT EXECUTE ON dbo.SP_Buchung_Erfassen    TO Fibu_Sachbearbeiter;

GRANT EXECUTE ON dbo.SP_Buchung_Stornieren  TO Fibu_Teamleiter;

GRANT EXECUTE ON dbo.SP_Zahlung_Starten     TO Zahlung_Freigabe;

GRANT SELECT, INSERT, UPDATE                ON dbo.Lieferanten    TO Kreditor_Anlage;

-- SoD durchsetzen: Zahlung_Freigabe darf NICHT Kreditor_Anlage haben

-- Wird durch separate Rollen und Genehmigungsprozess sichergestellt

-- Technische Prüfung via SoD-Monitor (Kapitel 4)

Einkauf_Leser

SELECT Artikel, Lieferanten, Preise

—

Einkauf_Sachbearbeiter

+ Bestellungen anlegen und ändern

Darf NICHT Wareneingänge buchen

Einkauf_Teamleiter

+ Bestellungen freigeben, Preiskonditionen ändern

Darf NICHT Lieferanten anlegen

Wareneingang_Bucher

Wareneingänge erfassen und buchen

Darf NICHT Bestellungen anlegen

Vertrieb_Innendienst

Angebote, Aufträge anlegen und bearbeiten

Kein Zugriff auf Einkaufspreise

Vertrieb_Außendienst

Nur eigene Kunden und Angebote (RLS!)

Kein Zugriff auf Kreditlimit anderer

Vertrieb_Teamleiter

+ Rabatte > 10 % genehmigen, Kreditlimit erhöhen

—

Versand

Lieferscheine erstellen, Bestände buchen

Kein Zugriff auf Preise

-- Row-Level Security für Außendienst: nur eigene Kunden sichtbar

CREATE OR ALTER FUNCTION sec.FN_Vertrieb_RLS (@VertreterNr INT)

RETURNS TABLE WITH SCHEMABINDING

AS

RETURN

    SELECT 1 AS RLS_OK

    WHERE @VertreterNr = (

        SELECT VertreterNr FROM dbo.Mitarbeiter

        WHERE LoginName = USER_NAME()

    )

    OR IS_ROLEMEMBER('Vertrieb_Teamleiter') = 1

    OR IS_ROLEMEMBER('db_owner') = 1;

CREATE SECURITY POLICY sec.Policy_Kunden_Vertrieb

ADD FILTER PREDICATE sec.FN_Vertrieb_RLS(ZustaendigerVertreter)

ON dbo.Kunden WITH (STATE = ON);

-- Lohn-Schema: maximale Isolation, minimale Rollen

CREATE SCHEMA Lohn AUTHORIZATION dbo;

-- Nur zwei Rollen für Lohn — konsequente Trennung

CREATE ROLE Lohn_Sachbearbeiter;   -- Pflege Stammdaten, Lohnarten

CREATE ROLE Lohn_Freigabe;         -- Lohnlauf starten, Auszahlung freigeben

-- Alle anderen Rollen explizit ausschließen

DENY SELECT ON SCHEMA::Lohn TO Fibu_Leser;          -- Buchhaltung sieht keine Löhne

DENY SELECT ON SCHEMA::Lohn TO ERP_Buchhaltung_Sachbearbeiter;

-- Lohn-Freigabe: nur namentlich benannte Personen, GF oder HR-Leitung

ALTER ROLE Lohn_Freigabe ADD MEMBER [DOMAIN\hr.leitung];

ALTER ROLE Lohn_Freigabe ADD MEMBER [DOMAIN\gf.name];   -- GF als zweite Instanz

-- Audit für Lohn-Schema: jeder Zugriff wird protokolliert

CREATE DATABASE AUDIT SPECIFICATION Lohn_Vollaudit

FOR SERVER AUDIT ERP_Sicherheits_Audit

ADD (SELECT ON SCHEMA::Lohn BY PUBLIC),

ADD (INSERT ON SCHEMA::Lohn BY PUBLIC),

ADD (UPDATE ON SCHEMA::Lohn BY PUBLIC)

WITH (STATE = ON);

-- Dynamics 365 BC: Berechtigungsanalyse über SQL-Datenbank

-- (nur für On-Premise-Installationen mit Datenbankzugriff)

SELECT

    u.User_Name                 AS Benutzer,

    ups.Role_ID                 AS PermissionSet,

    -- Kritische Standard-Sets erkennen

    CASE ups.Role_ID

        WHEN 'SUPER'            THEN 'ROT: Vollzugriff — nur für Admins'

        WHEN 'SECURITY'         THEN 'ORANGE: Sicherheitsverwaltung'

        WHEN 'BASIC'            THEN 'GRUEN: Basisrechte'

        ELSE                         'PRÜFEN: Benutzerdefiniert'

    END                         AS Risikobewertung

FROM [CRONUS$User$...]  u       -- Tabellennamen je BC-Version anpassen

JOIN [CRONUS$User Permission Set$...] ups ON u.User_Security_ID = ups.User_Security_ID

WHERE u.State = 0               -- aktive Benutzer

ORDER BY Risikobewertung DESC, u.User_Name;

FK01

Kreditor anlegen

+ F110 (Zahlung) = SoD-Verstoß

F110

Automatische Zahlung

+ FK01 = SoD-Verstoß

PA30

Personaldaten pflegen

+ PC00 (Lohnlauf) = SoD-Verstoß

MM01

Material anlegen

+ ME21N (Bestellung) = prüfen

-- Transparent Data Encryption (TDE) aktivieren: Daten auf Disk verschlüsseln

-- Schutz bei physischem Datenträgerzugriff oder gestohlenen Backup-Dateien

USE master;

CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'SehrSicheresPasswort!2026';

CREATE CERTIFICATE TDE_Zertifikat WITH SUBJECT = 'ERP-Datenbank TDE';

USE ERP_Produktiv;

CREATE DATABASE ENCRYPTION KEY

WITH ALGORITHM = AES_256

ENCRYPTION BY SERVER CERTIFICATE TDE_Zertifikat;

ALTER DATABASE ERP_Produktiv SET ENCRYPTION ON;

-- Zertifikat sofort sichern — ohne es ist die Datenbank nach Disaster Recovery unlesbar!

BACKUP CERTIFICATE TDE_Zertifikat

TO FILE = 'E:\Sicherung\TDE_Zertifikat.cer'

WITH PRIVATE KEY (FILE = 'E:\Sicherung\TDE_PrivateKey.pvk',

    ENCRYPTION BY PASSWORD = 'AnderesSicheresPasswort!2026');

-- Always Encrypted: Felder werden nur auf dem Client entschlüsselt

-- Selbst DBA kann verschlüsselte Werte nicht lesen

-- Geeignet für: IBAN, Gehalt, Sozialversicherungsnummer, Gesundheitsdaten

-- Spalte nachträglich verschlüsseln (vereinfachtes Beispiel)

ALTER TABLE dbo.Mitarbeiter

ALTER COLUMN Gehalt DECIMAL(18,2)

ENCRYPTED WITH (

    COLUMN_ENCRYPTION_KEY = CEK_Lohn,

    ENCRYPTION_TYPE = Randomized,       -- Randomized: sicherer, kein Index möglich

    ALGORITHM = 'AEAD_AES_256_CBC_HMAC_SHA_256'

);

-- Gehaltsdaten sind nun für DBA unlesbar:

-- SELECT Gehalt FROM dbo.Mitarbeiter → gibt verschlüsselten Hex-Wert zurück

-- Nur Anwendung mit Zugriff auf Column Master Key kann entschlüsseln

-- Erzwingen dass alle Verbindungen verschlüsselt sind (SQL Server 2025)

-- In SQL Server Configuration Manager: "Force Encryption = Yes"

-- Überprüfung der verschlüsselten Verbindungen:

SELECT

    session_id,

    login_name,

    encrypt_option              AS Verschluesselt,

    auth_scheme                 AS Authentifizierung,

    net_transport               AS Protokoll,

    client_net_address          AS ClientIP,

    -- Unverschlüsselte Verbindungen sind ein Risiko

    CASE encrypt_option

        WHEN 'TRUE'  THEN 'OK'

        WHEN 'FALSE' THEN 'RISIKO: Verbindung unverschlüsselt!'

        ELSE              'PRÜFEN'

    END AS Sicherheitsstatus

FROM sys.dm_exec_sessions

WHERE is_user_process = 1

ORDER BY Sicherheitsstatus DESC;

Zugangskontrolle (Art. 32)

Starke Authentifizierung, Benutzer-individuelle Accounts

AD-Protokolle, Login-Logs

Zugriffskontrolle (Art. 32)

RBAC, Least Privilege, RLS für Kundendaten

Rollenmatrix, Audit-Berichte

Vertraulichkeit (Art. 5)

TDE, Always Encrypted für sensitive Felder

Verschlüsselungs-Zertifikate

Rechenschaftspflicht (Art. 5)

Vollständige Audit Logs, Änderungshistorie

SQL Server Audit-Dateien

Betroffenenrechte (Art. 15–22)

Auskunft, Löschung technisch umsetzbar

Lösch-Stored-Procedures

Datenpannen-Meldung (Art. 33)

Erkennbarkeit durch Audit Logs

Incident-Response-Prozess

-- GoBD-Konformitäts-Check: Buchungen ohne Benutzerzuordnung

SELECT COUNT(*) AS Buchungen_Ohne_Benutzer

FROM dbo.Buchungen

WHERE ErfasstVon IS NULL OR ErfasstVon = '';

-- Ergebnis > 0 ist ein GoBD-Verstoß

-- GoBD: Gelöschte Buchungen — darf nicht existieren

SELECT COUNT(*) AS Geloeschte_Buchungen

FROM dbo.Buchungen

WHERE IsDeleted = 1;

-- In GoBD-konformen Systemen: immer 0, nur Stornierungen erlaubt

-- AI Act: Automatisierte ERP-Aktionen protokollieren

CREATE TABLE dbo.AutomatisierungsLog (

    LogID               INT IDENTITY PRIMARY KEY,

    Zeitpunkt           DATETIME2 DEFAULT SYSUTCDATETIME(),

    ProzessName         NVARCHAR(200),

    AktionTyp           NVARCHAR(100),  -- 'BESTELLUNG_AUTO', 'ZAHLUNG_REGEL'

    ObjektID            INT,

    AusloeserRegel      NVARCHAR(MAX),  -- welche Regel hat die Aktion ausgelöst?

    ErgebnisBetrag      DECIMAL(18,2),

    MenschlichGeprueft  BIT DEFAULT 0,  -- Pflicht für Hochrisiko-Aktionen

    GeprueftVon         NVARCHAR(100),

    GeprueftAm          DATETIME2

);

-- Firefighter-Account einrichten

CREATE LOGIN ERP_Firefighter WITH PASSWORD = 'SehrKomplexesNotfallPasswort#2026!';

CREATE USER ERP_Firefighter FOR LOGIN ERP_Firefighter;

-- Vollständige Protokollierung ALLER Aktionen des Firefighter-Accounts

CREATE DATABASE AUDIT SPECIFICATION Firefighter_Vollaudit

FOR SERVER AUDIT ERP_Sicherheits_Audit

ADD (DATABASE_OBJECT_ACCESS_GROUP),

ADD (SCHEMA_OBJECT_ACCESS_GROUP),

ADD (SELECT     ON DATABASE::ERP_Produktiv BY ERP_Firefighter),

ADD (INSERT     ON DATABASE::ERP_Produktiv BY ERP_Firefighter),

ADD (UPDATE     ON DATABASE::ERP_Produktiv BY ERP_Firefighter),

ADD (DELETE     ON DATABASE::ERP_Produktiv BY ERP_Firefighter),

ADD (EXECUTE    ON DATABASE::ERP_Produktiv BY ERP_Firefighter)

WITH (STATE = ON);

-- Firefighter ist standardmäßig DEAKTIVIERT

ALTER LOGIN ERP_Firefighter DISABLE;

-- Aktivierungsprozedur: nur mit Ticket-Nummer und Genehmiger

CREATE OR ALTER PROCEDURE dbo.SP_Firefighter_Aktivieren

    @TicketNummer   NVARCHAR(50),

    @Genehmiger     NVARCHAR(100),

    @GueltigBis     DATETIME2

AS

BEGIN

    SET NOCOUNT ON;

    INSERT INTO dbo.Firefighter_Log

        (Zeitpunkt, TicketNummer, Genehmiger, AktiviertVon, GueltigBis)

    VALUES (SYSUTCDATETIME(), @TicketNummer, @Genehmiger,

            SUSER_SNAME(), @GueltigBis);

    ALTER LOGIN ERP_Firefighter ENABLE;

    -- Automatische Deaktivierung über SQL Agent Job einrichten

    EXEC msdb.dbo.sp_add_job @job_name = 'Firefighter_Deaktivieren_' + @TicketNummer;

    -- [Job-Konfiguration für automatische Deaktivierung zum GueltigBis-Zeitpunkt]

END

-- Temporäre Berechtigungen dokumentieren und automatisch entziehen

CREATE TABLE dbo.Temp_Berechtigungen (

    TempID          INT IDENTITY PRIMARY KEY,

    Benutzer        NVARCHAR(100),

    Rolle           NVARCHAR(100),

    Begruendung     NVARCHAR(500),

    Genehmiger      NVARCHAR(100),

    GueltigVon      DATETIME2 DEFAULT SYSUTCDATETIME(),

    GueltigBis      DATETIME2,

    Entzogen        BIT DEFAULT 0,

    EntzogenAm      DATETIME2

);

-- SQL Agent Job: abgelaufene temporäre Berechtigungen täglich entziehen

CREATE OR ALTER PROCEDURE dbo.SP_Temp_Berechtigungen_Bereinigen AS

BEGIN

    SET NOCOUNT ON;

    DECLARE @Benutzer NVARCHAR(100), @Rolle NVARCHAR(100), @TempID INT;

    DECLARE temp_cursor CURSOR FOR

        SELECT TempID, Benutzer, Rolle

        FROM dbo.Temp_Berechtigungen

        WHERE GueltigBis < SYSUTCDATETIME() AND Entzogen = 0;

    OPEN temp_cursor;

    FETCH NEXT FROM temp_cursor INTO @TempID, @Benutzer, @Rolle;

    WHILE @@FETCH_STATUS = 0

    BEGIN

        -- Rollenmitgliedschaft entziehen

        DECLARE @sql NVARCHAR(500) =

            N'ALTER ROLE ' + QUOTENAME(@Rolle) +

            N' DROP MEMBER ' + QUOTENAME(@Benutzer);

        EXEC sp_executesql @sql;

        UPDATE dbo.Temp_Berechtigungen

        SET Entzogen = 1, EntzogenAm = SYSUTCDATETIME()

        WHERE TempID = @TempID;

        -- Benachrichtigung

        EXEC msdb.dbo.sp_send_dbmail

            @profile_name = 'ERP_Monitoring',

            @recipients   = 'it-sicherheit@ihrunternehmen.de',

            @subject      = 'Temporäre Berechtigung automatisch entzogen',

            @body         = 'Benutzer: ' + @Benutzer + ' / Rolle: ' + @Rolle;

        FETCH NEXT FROM temp_cursor INTO @TempID, @Benutzer, @Rolle;

    END

    CLOSE temp_cursor; DEALLOCATE temp_cursor;

END

1

Betroffenen Account sofort sperren

IT-Administrator

Sofort

2

Audit Logs sichern (read-only Kopie)

IT-Administrator

< 30 Minuten

3

Datenschutzbeauftragten informieren

IT-Leitung

< 1 Stunde

4

Schadensausmaß durch Log-Analyse bestimmen

IT + Datenschutz

< 4 Stunden

5

DSGVO-Meldepflicht prüfen (72h-Frist)

Datenschutzbeauftragter

< 24 Stunden

6

Betroffene Personen informieren

Geschäftsführung

Gem. DSGVO

7

Ursache beseitigen, Berechtigungen bereinigen

IT-Team

< 48 Stunden

8

Post-Mortem und Maßnahmenplan

Alle

< 1 Woche

VOR DEM START

Führen Sie den 60-Minuten-Audit aus Kapitel 4 vollständig durch und dokumentieren Sie den Ist-Zustand. Sichern Sie die Datenbank vollständig. Kommunizieren Sie das Vorhaben an die Fachbereichsleiter — Berechtigungsänderungen werden ankündigt, nicht still durchgeführt. Legen Sie fest, wer im Eskalationsfall Entscheidungen treffen darf.

ERGEBNIS NACH 30 TAGEN

Ihr Ergebnis nach 30 Tagen: Kein aktiver Account eines ehemaligen Mitarbeiters, keine Sammelaccounts, saubere SoD-Trennung in Buchhaltung und Lohn, dokumentiertes Rollenmodell, aktives Audit-Logging, automatisches Monitoring und ein Krisenprotokoll für den Ernstfall. Das ist auditierbar — gegenüber Wirtschaftsprüfern, Datenschutzbehörden und Ihrem eigenen Gewissen.

ERP-Berechtigungs-Audit

Vollständige Analyse Ihres ERP-Berechtigungskonzepts — Risikobericht, SoD-Matrix, Maßnahmenplan und Compliance-Nachweis. Scope: 3-5 Tage.

SQL Server DB Health Check

Professioneller Audit Ihres SQL Servers — Performance, Sicherheit, Berechtigungen, Backup-Strategie. Scope: 3-5 Tage.

ERP-Einführungsberatung

Begleitung von ERP-Projekten (MACH, Dynamics NAV, APplus) — Datenmigration, Berechtigungskonzept, Go-Live-Support.

Datenschutz-Technologie-Beratung

Technische Umsetzung von DSGVO-Anforderungen im ERP und Datenbankumfeld — TDE, Verschlüsselung, Audit-Logging, Löschkonzepte.

Interim IT-Management

Übernahme der IT-Steuerung auf Zeit — Budgetplanung, Dienstleister-Management, strategische IT-Ausrichtung.