Datensicherheit in Unternehmenssoftware: Was Sie vor einer Entscheidung prüfen sollten

Ein ERP-System bündelt alle wertvollen Informationen eines Unternehmens an einem Ort: Kundendaten, Preise, Margen, Lieferantenbedingungen und die Finanzlage. Diese Bündelung ist der Sinn des Systems – und zugleich sein größtes Risiko. Dieser Artikel behandelt die Kontrollmechanismen, deren Überprüfung sich lohnt, in der Reihenfolge ihrer Bedeutung.

Zugriffskontrolle

Die häufigste Schwachstelle ist kein ausgeklügelter Angriff, sondern die Tatsache, dass jeder alles einsehen kann. Praktische Anforderungen:

• Rollenbasierte Berechtigungen. Berechtigungen sind an Rollen gebunden, nicht an Einzelpersonen. Wenn jemand die Position wechselt, ändern Sie lediglich seine Rolle, anstatt Dutzende einzelner Einstellungen überprüfen zu müssen.
  
• Einschränkungen auf Feldebene. Ein Vertriebsmitarbeiter benötigt möglicherweise den Kundendatensatz, nicht jedoch den Einkaufspreis. Wenn Berechtigungen nur auf Bildschirmebene gelten, ist dies unmöglich.
  
• Gültigkeitsbereich auf Datensatzebene. Ein Regionalleiter sieht nur seine eigene Region. Ohne diese Einschränkung bedeutet „Lesezugriff“ Lesezugriff auf alles.
  
• Exportbeschränkungen. Die Möglichkeit, die vollständige Kundenliste in eine Tabellenkalkulation zu exportieren, ist der häufigste Weg, auf dem Daten das Unternehmen verlassen. Dies sollte eingeschränkt und protokolliert werden.
  
• Sofortige Deaktivierung. Konten ausgeschiedener Mitarbeiter werden noch am selben Tag geschlossen. Eine vierteljährliche Überprüfung inaktiver Konten deckt auf, was bei der Bearbeitung durch die Personalabteilung übersehen wurde.
  

Audit-Protokollierung

Zu wissen, wer was wann getan hat, ist sowohl für die Sicherheit als auch für die Beilegung interner Streitigkeiten von Bedeutung. Ein nützliches Audit-Protokoll erfasst bei Änderungen den alten und den neuen Wert, nicht nur die Tatsache, dass eine Änderung stattgefunden hat. Es sollte Preisänderungen, Rabattüberschreibungen, Bestandsanpassungen, Zahlungsaufzeichnungen und Berechtigungsänderungen umfassen – und es darf von den Personen, die darin erfasst sind, nicht bearbeitet werden können.

Sicherung und Wiederherstellung

Jeder Anbieter gibt an, dass Sicherungen durchgeführt werden. Die entscheidenden Fragen betreffen jedoch die Wiederherstellung:

• Wie oft werden Sicherungen durchgeführt, und wie viele Daten würden bei einem Ausfall verloren gehen? Nächtliche Sicherungen bedeuten, dass die Arbeit eines ganzen Tages gefährdet ist.
  
• Wie lange dauert eine Wiederherstellung? Diese Zeitspanne bestimmt Ihre Ausfallzeit und wird selten genannt, sofern nicht ausdrücklich danach gefragt wird.
  
• Werden Backups an einem separaten Ort aufbewahrt? Ein Backup auf derselben Infrastruktur übersteht kein Ereignis, das diese Infrastruktur beeinträchtigt.
  
• Wann wurde die Wiederherstellung zuletzt getestet? Ein ungetestetes Backup ist eine Annahme, keine Absicherung. Fragen Sie nach dem Datum des letzten erfolgreichen Wiederherstellungstests.
  
• Können Sie eine eigene Kopie anlegen? Unabhängig vom Verfahren des Anbieters.
  

Verschlüsselung und Datenübertragung

Daten während der Übertragung sollten durchgehend verschlüsselt sein – einschließlich etwaiger Integrationen mit Marktplätzen, Banken oder Logistikdienstleistern, die oft übersehen werden. Bei ruhenden Daten sollten Sie ausdrücklich erfragen, ob eine Verschlüsselung auf Datenbankebene angewendet wird und wo die Schlüssel aufbewahrt werden.

Datenaufbewahrungsort und Compliance

• Wo sich die Server physisch befinden und ob dies Ihren regulatorischen Verpflichtungen entspricht.
  
• Welche Unterauftragsverarbeiter der Anbieter einsetzt und wo diese tätig sind.
  
• Aufbewahrungsfristen für personenbezogene Daten und ob deren Löschung nach Ablauf tatsächlich durchgesetzt wird.
  
• Wie der Zugriffs- oder Löschantrag einer betroffenen Person in der Praxis bearbeitet wird – über ein Webformular oder durch das Eröffnen eines Support-Tickets.
  

Praktische Vorgehensweisen

• Aktivieren Sie die Multi-Faktor-Authentifizierung. Insbesondere für Administratorkonten und jeden externen Zugriff.
  
• Begrenzen Sie die Anzahl der Administratoren. Zwei oder drei Personen reichen in der Regel aus. Dass jeder Administrator ist, ist praktisch – bis es das nicht mehr ist.
  
• Überprüfen Sie die Berechtigungen regelmäßig. Berechtigungen häufen sich an; niemand entfernt sie. Eine zweimal jährlich stattfindende Überprüfung hält dies unter Kontrolle.
  
[*]Verwenden Sie separate Testdaten. Das Kopieren von Live-Kundendaten in eine Testumgebung erhöht unbemerkt Ihr Sicherheitsrisiko.

Kurz zusammengefasst

Bei der Sicherheit von Unternehmenssoftware geht es vor allem um Zugriffsdisziplin und überprüfte Wiederherstellung, nicht um exotische Bedrohungen. Weisen Sie Berechtigungen Rollen zu, schränken Sie Exporte ein, führen Sie ein Prüfprotokoll, das von den Administratoren nicht bearbeitet werden kann, und bestehen Sie auf Nachweisen dafür, dass Wiederherstellungen getestet wurden.

Gerne beantworten wir all diese Fragen schriftlich unter Mekjoy. Nehmen Sie Kontakt mit uns auf, um Ihre Anforderungen zu besprechen.