Zugriff ist keine Vertrauensfrage: Least Privilege zwischen zwei Rollen
„Ich würde da schon nicht draufgreifen" ist kein Zugriffskonzept. Bei knowmetry bekommt jede Rolle genau die Rechte, die ihre Aufgabe braucht — nicht mehr, weil es bequemer wäre, nicht weniger, weil es misstrauisch wirken könnte. Am deutlichsten wird das zwischen zwei Rollen, die dasselbe System nutzen, aber nichts voneinander sehen sollen: Vertrieb & Marketing und Verwaltung & Finanzen.
Zwei Rollen, ein System, zwei Zugänge
Beide Rollen arbeiten mit demselben ERP-System, aber mit unterschiedlichen Konten und unterschiedlichen Rechten. Vertrieb sieht Kundenanfragen, Angebote, Geschäftschancen — und darf dort nichts final abschließen, nur vorbereiten. Verwaltung sieht Rechnungen, Zahlungsvorgänge, Buchhaltungsdaten — lesend, ohne etwas anzulegen oder zu verändern. Keine der beiden Rollen kommt an die Daten der anderen heran, nicht weil eine Regel es verbietet, sondern weil die Verbindung dorthin technisch nicht existiert.
Die Grenze verläuft am Profil, nicht an einer Regel im Kopf
Der Harness macht diese Trennung zur technischen Tatsache: Jedes Agentenprofil ist eine eigenständige Umgebung, in der ein Werkzeug erst erscheint, wenn es dort ausdrücklich eingetragen wird. Ein Systemzugang, der nur im Verwaltung-Profil eingetragen ist, ist im Vertrieb-Profil schlicht nicht vorhanden — kein „darf nicht", sondern ein „kann nicht". Das ist der Unterschied zwischen einer Zugriffsregel, die irgendwo dokumentiert ist, und einer Grenze, die gar nicht erst überschritten werden kann.
Least Privilege heißt: so wenig wie möglich, nicht so viel wie bequem
Für die Kostenaufstellung reicht Lesen. Also bekommt das zuständige Profil einen eigenen Systemzugang mit genau dieser einen Fähigkeit — Rechnungen und Buchungen einsehen, nichts anlegen, nichts löschen, keine Kundendaten erreichbar. Ein weiterreichender, ohnehin vorhandener Zugang wäre bequemer gewesen. Bequem war nicht das Ziel.
Behauptet reicht nicht — geprüft
Eine Rechtegrenze, die niemand getestet hat, ist eine Annahme. Vor der ersten produktiven Nutzung habe ich den neuen Zugang direkt gegen das System geprüft: Rechnungen lesen — erlaubt. Eine Rechnung anlegen — verweigert. Auf Kundendaten zugreifen — verweigert. Erst nach dieser Probe lief die erste echte Kostenaufstellung darüber, und das Ergebnis kam wie vorgesehen bei mir an, bereit zur Zustellung.
Status
| Grenze | Status |
|---|---|
| Getrennte Systemzugänge Vertrieb ↔ Verwaltung | ✅ live |
| Lesend-only-Zugang für Reporting-Aufgaben | ✅ live |
| Rechtegrenze vor Nutzung technisch geprüft (nicht nur dokumentiert) | ✅ live |
| Automatische Sperrung administrativer Befehle je Profil | 🧭 geplant |
Drei Beiträge, ein Bild: die Hülle trägt das Profil, das Profil trägt eine Grenze, die sich prüfen lässt statt nur versprochen zu werden. Genau darauf beruht, dass eine agentenbetriebene Firma vertrauenswürdig bleibt, während sie wächst.