Zugriffskontrollrichtlinie

Die ExactFlow-Plattform und der ExactFlow-Marktplatz sind mandantenfähige Systeme, in denen mehrere Kunden, Verkäufer und Käufer eine gemeinsame Infrastruktur nutzen, während ihre jeweiligen Daten einer strengen logischen Trennung unterliegen. Die Integrität dieser Trennung hängt von der Disziplin ab, mit der das Unternehmen den Zugriff auf seine Systeme steuert, einschließlich der Zugriffe, die Zahlungspartnern und Lieferpartnern gewährt werden, deren Systeme mit denen des Unternehmens interagieren.

Der Zweck dieser Richtlinie besteht darin, sicherzustellen, dass der Zugriff auf die Systeme und Informationswerte des Unternehmens auf der Grundlage des Prinzips der geringsten Rechte (Least Privilege) und des Kenntnisnahmeprinzips (Need-to-Know) gewährt, vor der Gewährung autorisiert, regelmäßig überprüft und unverzüglich entzogen wird, sobald er nicht mehr erforderlich ist, um die Verpflichtung zur Sicherheit der Verarbeitung gemäß Artikel 32 der DSGVO zu erfüllen.

Diese Richtlinie gilt für jedes System, jede Anwendung, jede Datenbank und jeden Datenspeicher, die die Plattform und den Marktplatz unterstützen; für menschliche Benutzer und nicht-menschliche Identitäten, einschließlich Dienstkonten (Service Accounts), Automatisierungsanmeldedaten und Anwendungsprogrammierschnittstellen-Schlüsseln (API-Schlüsseln); sowie für Zugriffe, die Dritten, einschließlich Zahlungs- oder Lieferpartnerن, gewährt werden, wenn die Systeme dieser Dritten mit den Systemen des Unternehmens interagieren.

Der Zugriff auf Informationswerte wird durch die Prinzipien der geringsten Rechte, des Need-to-Know und der Standard-Ablehnung (Default-Deny) geregelt. Diese Prinzipien gelten gleichermaßen für menschliche Benutzer wie für Dienstkonten und andere nicht-menschliche Identitäten.

Der Zugriff muss über einen zentralen Identitätsanbieter unter Verwendung von Single Sign-On (SSO) authentifiziert werden, wo immer das zugrunde liegende System dies unterstützt.

Die Multi-Faktor-Authentifizierung (MFA) ist obligatorisch für alle administrativen und privilegierten Zugriffe auf die Produktionsinfrastruktur und die Konsolen der Cloud-Anbieter, für alle Remote-Zugriffe auf Unternehmens- oder Produktionsnetzwerke, für alle Zugriffe auf Systeme, die personenbezogene Daten enthalten, und, wo immer die Plattform oder der Marktplatz dies unterstützt, für Konten von Verkäufern und Käufern.

Ein anwendungsbasierter Authentifizierungsfaktor oder ein Hardware-Sicherheitsschlüssel ist einem per SMS übermittelten Authentifizierungsfaktor vorzuziehen.

Jedes Konto muss durch eine starke, einzigartige Anmeldeinformation geschützt werden, die über den vom Unternehmen genehmigten Passwort-Manager generiert und gespeichert wird.

Administrative Sitzungen unterliegen Inaktivitäts-Timeouts, und Sitzungs-Token müssen bei einer Rechteausweitung rotiert und bei Abmeldung oder Änderung der Anmeldedaten ungültig gemacht werden.

Der Zugriff wird über eine rollenbasierte Zugriffskontrolle (RBAC) gewährt, wobei Berechtigungen an eine definierte Rolle geknüpft sind, die einer Arbeitsfunktion entspricht, und eine Einzelperson einer Rolle zugewiesen wird, anstatt im Laufe der Zeit individuell Berechtigungen anzusammeln.

Privilegierter Zugriff ist auf eine benannte, minimale Gruppe von Einzelpersonen beschränkt, wird detaillierter protokolliert und, wo das zugrunde liegende System es zulässt, nur für den erforderlichen Zeitraum gewährt.

Wo praktikabel, darf keine einzelne Person die unkontrollierte End-to-End-Kontrolle über eine sensible Aktion besitzen; ist eine solche Funktionstrennung nicht erreichbar, ist eine kompensierende Maßnahme anzuwenden und das Restrisiko im Risikoregister zu erfassen.

Zugriffskontrollen müssen eine Strenge logische Trennung zwischen den Mandanten der Plattform sowie zwischen einzelnen Verkäufern und Käufern auf dem Marktplatz durchsetzen, sodass kein Benutzer, Prozess oder administrative Maßnahme auf die Daten einer anderen Partei zugreifen kann, außer durch einen dokumentierten und geprüften Support-Prozess.

Der Zugriff muss angefordert und genehmigt werden, bevor er gewährt wird, wobei der Antragsteller, das System, die angestrebte Zugriffsebene und die geschäftliche Begründung anzugeben sind. Die Bereitstellung von Zugriffen ohne eine solche Anforderung und Genehmigung stellt unabhängig von der Hierarchieebene des Antragstellers einen Kontrollfehler dar.

Eine Einzelperson, die ein Arbeits- oder Auftragsverhältnis beginnt, erhält einen Zugriff, der dem Standardprofil für ihre Rolle entspricht, und muss vor dem ersten Zugriff die Registrierung für die Multi-Faktor-Authentifizierung abschließen.

Bei einem Rollenwechsel wird der mit der vorherigen Rolle verbundene Zugriff entzogen und der für die neue Rolle angemessene Zugriff gewährt; eine Kumulierung von Zugriffen ist nicht gestattet.

Bei Beendigung des Arbeits- oder Auftragsverhältnisses wird der Zugriff innerhalb von zwei Stunden nach Benachrichtigung der IT-Funktion durch die Personalabteilung (HR) für jedes System entzogen, auf das die Einzelperson Zugriff hatte, und alle geteilten Anmeldedaten, auf die die Einzelperson Zugriff hatte, werden rotiert.

Benutzerzugriffe und privilegierte Zugriffe werden mindestens vierteljährlich überprüft, um die Notwendigkeit und die angemessene Stufe zu bestätigen; ein Abgleich der aktiven Konten mit der aktuellen Personalliste wird mindestens wöchentlich durchgeführt.

Ein Dienstkonto oder ein API-Schlüssel muss auf die für seinen spezifischen Zweck erforderlichen Mindestrechte beschränkt sein und darf nicht in Quellcode oder Konfigurationsdateien eingebettet werden.

Der einem Zahlungspartner oder Lieferpartner gewährte Zugriff ist strikt auf die Daten beschränkt, die zur Erfüllung der Funktion erforderlich sind, für die der Zugriff gewährt wird.

Ein Inventar von Dienstkonten, API-Schlüsseln und Zugriffsanmeldedaten Dritter ist zu führen und zusammen mit der gemäß Abschnitt 4.4 durchgeführten Überprüfung zu überprüfen.

Der administrative Fernzugriff auf Produktionssysteme ist nur über authentifizierte, durch Multi-Faktor-Authentifizierung geschützte Kanäle gestattet.

Die direkte Exposition einer administrativen Schnittstelle gegenüber dem öffentlichen Internet ist unter keinen Umständen gestattet.

Die Einhaltung dieser Richtlinie ist verbindlich. Die Sicherheitsfunktion ist verantwortlich für regelmäßige Zugriffsüberprüfungen und die Überwachung der Nutzung privilegierter Zugriffe; die IT-Funktion ist verantwortlich für die Bereitstellung und den Entzug von Zugriffen gemäß den genehmigten Anträgen.

Eine Ausnahme von dieser Richtlinie muss im Voraus vom Chief Information Security Officer (CISO) dokumentiert und genehmigt werden, wobei der Grund und gegebenenfalls eine Befristung festzuhalten sind.

Diese Richtlinie ist zusammen mit der Informationssicherheitsrichtlinie, der Kryptografie- & Schlüsselverwaltungsrichtlinie, der Drittanbieter- & Partner-Risikomanagementrichtlinie sowie der HR-Sicherheits- & Vertraulichkeitsrichtlinie zu lesen.

"Zugriffskontrolle" bezeichnet die Mittel, durch die das Recht zur Nutzung, Anzeige oder anderweitigen Interaktion mit einem Informationswert gewährt, eingeschränkt oder entzogen wird.

"Minimalprinzip / Least Privilege" bezeichnet den Grundsatz, dass der Zugriff auf das für die Ausübung einer Rolle erforderliche Minimum beschränkt sein muss.

"Privilegierter Zugriff" bezeichnet Zugriffsrechte, die über die eines Standardbenutzers hinausgehen, einschließlich des administrativen Zugriffs auf Infrastruktur, Datenbanken oder Sicherheitswerkzeuge.

"Multi-Faktor-Authentifizierung" bezeichnet eine Authentifizierung, die zwei oder mehr unabhängige Faktoren zum Nachweis der Identität erfordert.

"Dienstkonto (Service Account)" bezeichnet eine nicht-menschliche Identität, die von einem System oder automatisierten Prozess verwendet wird, um auf ein anderes System zuzugreifen.

Version 1.0 — Juli 2026