Schlüsselwort: IT-Sonderprüfungen

Die Anforderung, ein IT-Berechtigungsmanagement zu betreiben, bleibt in den ( neuen) MaRisk im AT 7.2 Technisch-organisatorische Ausstattung explizit aufgeführt. In Tz.2 heißt es: „(…) insbesondere sind Prozesse für eine angemessene IT-Berechtigungsvergabe einzurichten, die sicherstellen, dass jeder Mitarbeiter nur über die Rechte verfügt, die er für seine Tätigkeit benötigt (…)“. Aus aufsichtsrechtlicher Sicht bedeutet das, dass nur die Personen Zugriff auf sensible Bankdaten erhalten sollen, die diesen auch wirklich benötigen (Prinzip der minimalen Rechtevergabe – „need-to-know“) und dass die hierfür von der Bankenaufsicht erwartete Funktionstrennung sowohl organisatorisch als auch technisch gewährleistet werden muss. Der Rechtevergabe-Prozess muss deswegen im Zusammenhang mit der Schutzbedarfs- analyse und im Zusammenwirken mehrerer, nicht immer IT-bezogener Organisationsfunktionen wie z. B. Orga/Personal, definiert, prüfungssicher dokumentiert und vor allem im Alltag prozessual „gelebt“ werden. Mit der fortschreitenden Digitalisierung unterschiedlicher Prozesse in den Finanzinstituten und dem zunehmenden Schutzbedarf der Bankdaten steigen die Anforderungen an dieses Zusammenwirken, insbesondere an die Berechtigungssysteme und das Berechtigungsmanagement. Zunehmende (IT-Sonder-)Prüfungen und daraus resultierende Feststellungen zeigen jedoch, dass hier bei nicht wenigen Instituten immer noch (enormer) Handlungsbedarf besteht. Eingerichtete Rechte stimmen oftmals nicht mit dem Rechtekonzept überein, die Rezertifizierung erfolgt nur auf Rollenebenen und vernachlässigt die Analyse von Sonderrechten oder die regelmäßige und anlassbezogene Überprüfung kritischer IT-Berechtigungen findet unzureichend statt. Im Mittelpunkt dieses praxisbezogenen Leitfadens stehen daher: • Aufsichtsrechtliche Aspekte zur Implementierung eines IT-Berechtigungsmanagements • Aktuelle gesetzliche und regulatorische Anforderungen für Kreditinstitute • Diverse Konzepte zur Rechtevergabe in Finanzinstituten • Vergabe, Entzug und Überprüfung von Kompetenzen • Software-gestützte Vergabe und Kontrolle von IT-Berechtigung