Compliance-Lexikon · Governance
Segregation of Duties
[ˌsɛɡrɪˈɡeɪʃən əv ˈdjuːtɪz] · auch: Funktionstrennung, Vier-Augen-Prinzip
Segregation of Duties (SoD) ist das Prinzip, dass sicherheitsrelevante oder finanziell kritische Aufgaben auf mindestens zwei unabhängige Personen oder Rollen verteilt werden, sodass eine einzelne Person keinen unkontrollierten Prozess von Anfang bis Ende durchführen kann.
Warum SoD wichtig ist
Ohne Segregation of Duties kann eine einzelne Person Transaktionen initiieren, genehmigen und verbuchen – oder Sicherheitskonfigurationen ändern und die Änderung gleichzeitig aus dem Log löschen. SoD ist die strukturelle Antwort auf dieses Risiko: nicht Vertrauen als Kontrolle, sondern Prozessdesign.
Wo SoD gefordert wird
| Framework | Referenz | Anforderung |
|---|---|---|
| ISO 27001:2022 | A.8.2 | Unvereinbare Aufgaben müssen getrennt werden, um Interessenkonflikte und unkontrollierte Handlungen zu vermeiden. |
| NIS-2 / BSIG | § 30 Abs. 2 | Organisatorische Maßnahmen zur Reduzierung menschlicher Fehler und Missbrauchsrisiken, implizit SoD-Anforderung. |
| DORA | Art. 9 | Klare Rollentrennungen im IKT-Risikomanagement und bei der Genehmigung kritischer Änderungen. |
| SOX / HGB | § 91 AktG | Interne Kontrollpflicht impliziert SoD als Standard-Kontrollprinzip in Finanz- und IT-Prozessen. |
BAM-Objektreferenz
Häufige Audit-Fehler
- Administrator hat gleichzeitig Audit-Log-Zugriff
- Entwickler können Code in Produktion deployen ohne zweite Freigabe
- Keine dokumentierte SoD-Matrix
- SoD-Konflikte in ERP-Rollen nicht analysiert
SoD in der IT: Kritische Konflikte
Besonders kritisch sind in der IT: Entwicklung und Deployment (ein Entwickler sollte nicht ohne Review in Produktion deployen), Administration und Audit (ein Admin sollte keine Audit-Logs eigenständig löschen können), und Finanztransaktionen (Initiierung und Genehmigung müssen getrennt sein). Diese Konflikte sind in einer SoD-Matrix zu dokumentieren und durch kompensatorische Kontrollen zu adressieren, wenn eine vollständige Trennung nicht möglich ist.
Kompensatorische Kontrollen
In kleinen Organisationen ist vollständige SoD oft nicht umsetzbar – zu wenig Personal für alle Rollentrennungen. In diesem Fall sind kompensatorische Kontrollen akzeptiert: verstärkte Logging-Anforderungen, regelmäßige Vier-Augen-Reviews von Aktivitäten und klare Eskalationspfade. Diese müssen aber explizit dokumentiert und begründet sein.
Nächste Ebene
SoD implementieren: Matrix, Konflikte und kompensatorische Kontrollen
Wie eine SoD-Matrix aufgebaut wird, welche Konflikte kritisch sind und wie sie adressiert werden.