Manuelle Kontrolle bewusst erhalten

Kontrollbedarf aus der möglichen Fehlwirkung ableiten

Eine Freigabe wird nicht eingebaut, weil man Automatisierung grundsätzlich misstraut. Ausgangspunkt ist die Frage, welcher Schaden bei einer falschen oder unvollständigen Verarbeitung entstehen könnte und ob er später sicher erkennbar wäre. Besonders relevant sind irreversible Zahlungen, massenhafte Änderungen, Zugriffsvergaben oder Entscheidungen mit Folgen für Personen. Das Team beschreibt dafür konkrete Fehlerszenarien und ordnet ihnen eine Kontrollstelle zu. Für leicht rückholbare, eng begrenzte Schritte kann eine nachgelagerte Stichprobe angemessener sein als eine Freigabe jedes einzelnen Vorgangs.

Einordnung: Redaktioneller Arbeitsschritt; keine gesetzliche oder technische Vorgabe.

Die Entscheidung der prüfenden Person definieren

Eine wirksame Kontrolle braucht mehr als zwei Schaltflächen. Die prüfende Person muss erkennen können, welche Regel angewandt wurde, welche Eingaben vorlagen, welche Abweichungen bestehen und welche Folgen Freigabe oder Ablehnung haben. Vor der Umsetzung wird deshalb ein Kontrollauftrag formuliert: Was ist zu vergleichen, welcher Grenzwert gilt und wann muss eskaliert werden? Fehlt diese Beschreibung, entsteht leicht eine Scheinkontrolle, bei der Beschäftigte aus Zeitdruck alles bestätigen. Die Oberfläche sollte nur entscheidungsrelevante Informationen zeigen, zugleich aber den Weg zum vollständigen Vorgang offenhalten.

Einordnung: Redaktioneller Arbeitsschritt; keine gesetzliche oder technische Vorgabe.

Berechtigungen und Funktionstrennung passend gestalten

Das BSI behandelt Identitäts- und Berechtigungsmanagement als Bestandteil der Informationssicherheit. Daraus folgt für einen konkreten Betrieb nicht automatisch ein bestimmtes Vier-Augen-Prinzip; Rollen und Rechte müssen zum eigenen Schutzbedarf passen. Praktisch sollte die Person, die kritische Regeln ändert, nicht unbemerkt auch sämtliche Ergebnisse freigeben können. Zugriffe werden auf benötigte Funktionen begrenzt und nachvollziehbar vergeben. Vertretungen erhalten keine pauschalen Sammelkonten. Die gewählte Trennung, ihre Begründung und zulässige Ausnahmen werden dokumentiert und bei organisatorischen Änderungen erneut betrachtet.

Beleggrundlage: IT-Grundschutz-Kompendium · BSI-Standard 200-2: IT-Grundschutz-Methodik

Zeitpunkt und Stichprobe bewusst wählen

Kontrolle vor Ausführung verhindert bestimmte Folgen, kann aber den Ablauf blockieren. Eine Kontrolle nach Ausführung eignet sich nur, wenn Abweichungen rechtzeitig erkannt und korrigiert werden können. Das Team entscheidet daher je Fehlerbild über Zeitpunkt, Umfang und Reaktionsfrist. Bei Stichproben wird das Auswahlverfahren vorab festgelegt; nur auffällige Fälle zu prüfen unterschätzt unbemerkte Fehler. Eine kleine Zufallsstichprobe lässt sich mit risikobasierten Zusatzfällen kombinieren. Änderungen an Regeln oder Datenquellen können vorübergehend eine engere Prüfung auslösen, ohne daraus eine ewige Vollkontrolle zu machen.

Einordnung: Redaktioneller Arbeitsschritt; keine gesetzliche oder technische Vorgabe.

Warnzeichen gegen Kontrollmüdigkeit einbauen

Wenn fast jeder Vorgang freigegeben wird, sinkt die Aufmerksamkeit. Gemessen werden deshalb nicht nur Ablehnungen, sondern auch Bearbeitungszeit, Rückfragen, übersprungene Prüfungen und wiederkehrende Begründungen. Sehr kurze Freigaben können ein Signal sein, beweisen aber allein kein Fehlverhalten. Hilfreich sind begrenzte Arbeitsmengen, aussagekräftige Abweichungshinweise und eine Möglichkeit, unklare Fälle ohne Nachteil zurückzugeben. Wiederholt irrelevante Warnungen müssen an ihrer Quelle verbessert werden. Eine Kontrolle wird nicht dadurch sicherer, dass dieselbe Person mehr Meldungen in kürzerer Zeit abarbeitet.

Einordnung: Redaktioneller Arbeitsschritt; keine gesetzliche oder technische Vorgabe.

Wirksamkeit testen und Kontrollpunkt anpassen

Vor dem Regelbetrieb spielt das Team vorbereitete Normal-, Grenz- und Fehlerfälle durch. Der Test prüft, ob die verantwortliche Person den Unterschied erkennt und die vorgesehene Reaktion auslösen kann. Ergebnisse werden ohne personenbezogene Nebendaten protokolliert. Im Betrieb folgt eine regelmäßige Rückschau: Welche Fehler wurden verhindert, welche erst später entdeckt und welche Prüfungen lieferten keinen Erkenntnisgewinn? Daraus kann eine strengere, anders platzierte oder reduzierte Kontrolle folgen. Die Entscheidung einschließlich Datum und Verantwortlichem bleibt erhalten, damit eine spätere Änderung nicht als unbemerkte Sicherheitsabsenkung erscheint. Auch Vertretungen führen ausgewählte Tests aus, weil eine Kontrolle nicht allein vom Erfahrungswissen einer einzigen Person abhängen darf. Zeigt die Probe unklare Zuständigkeiten, wird zuerst der Kontrollauftrag verbessert und erst danach über zusätzliche Freigabestufen entschieden. Das Ergebnis erhält einen festen Wiedervorlagetermin.

Einordnung: Redaktioneller Arbeitsschritt; keine gesetzliche oder technische Vorgabe.

Im Zusammenhang weiterlesen

• Fehlerpfad vor dem Happy Path planen — Fehlerpfade werden beherrschbar, wenn Erkennung, sicherer Zwischenzustand, Verantwortlichkeit und Wiederaufnahme vorab feststehen.
• Protokolle für Abläufe definieren — Gute Ablaufprotokolle beantworten betriebliche Fragen mit möglichst wenigen, strukturierten Daten und klar geregeltem Zugriff.
• Zugriffsrechte regelmäßig rezertifizieren — Rezertifizierung ist eine begründete Entscheidung über einzelne Rechte, keine pauschale Bestätigung einer langen Berechtigungsliste.