RBAC: Rollen definieren im KMU ohne Bürokratie

Role-Based Access Control klingt nach IT-Architektur-Karneval, ist im KMU aber ganz einfach: Schreib auf, welche 4–6 typischen Rollen du hast und welche Systeme jede Rolle standardmäßig erhält.

Nach deiner ersten Zugriffsmatrix fällt etwas auf: Jeder neue Sales-Mitarbeiter bekommt genau dieselben 6 Systeme. Jeder neue Developer auch. Dieses Muster lässt sich in einer Rolle abbilden. Das nennt sich RBAC — Role-Based Access Control. Im KMU muss man daraus keine Wissenschaft machen.

Wie viele Rollen brauchst du?

Weniger als du denkst. In einem KMU mit 20–60 Mitarbeitern kommst du selten über 8 Rollen hinaus:

1. Sales (AE + SDR)
2. Engineering / Developer
3. Operations / Support
4. Finance / Buchhaltung
5. Marketing
6. HR / People Ops
7. Management / Leadership
8. Extern / Consultant (oft eingeschränkter Zugriff)

Tipp: Orientiere deine Rollen an deiner bestehenden Abteilungsstruktur, nicht an abstrakten IAM-Kategorien. Wenn intern „Sales" draufsteht, nenn es auch im Zugriffsmanagement Sales.

Was gehört zu einer Rolle?

Pro Rolle legst du fest:

• Birthright-Zugriff: Systeme, die jeder in dieser Rolle standardmäßig erhält. Siehe auch Birthright-Richtlinie.
• Optionaler Zugriff: Systeme, die häufig benötigt werden, aber nicht automatisch vergeben werden. Wird pro Person beantragt.
• Verbotener Zugriff: Systeme, auf die diese Rolle ausdrücklich keinen Zugriff haben darf (z. B. Sales kein Zugriff auf das HR-Postfach).

Ein Beispiel: Rolle „Sales"

Birthright: M365 E3, Slack, Salesforce, LinkedIn Sales Nav, 1Password, Calendly. Optional: HubSpot (Content), Loom (Videos). Verboten: Exact (Buchhaltung), AWS.

Das war's. Schreib das auf, trag es in dein Zugriffsmanagement-Tool ein, und jede neue Sales-Einstellung bekommt innerhalb von 10 Minuten die richtigen Zugänge per Klick.

Die Stolperfalle: Role Creep

Nach zwei Jahren stehen da manchmal 18 Rollen, von denen 11 irgendwann für eine einzige Ausnahme angelegt wurden. So beugst du dem vor:

• Jede Rolle jährlich prüfen: Gibt es mehr als eine Person mit dieser Rolle? Nein → abschaffen.
• Ausnahmen NICHT als neue Rolle, sondern als individuelle Anpassung dokumentieren.
• Rollennamen kurz und generisch halten (Sales, nicht „Sales-Team-DE-Q4-2025").

Wie passt das zu M365 Security Groups?

Eine prima Kombination. In der Praxis definierst du deine Rollen als Security Groups in Entra ID; unser M365-Governance-Leitfaden zeigt, wie du diese automatisch als AccessProfiles per Directory-Sync einbindest. So sind Rollendefinitionen und Mitgliedschaften dasselbe System.

Wie Rollen mit Onboarding-Prozessen zusammenspielen, erfährst du in der Onboarding-IT-Checkliste.