Warum das Thema bei Projekten heikel ist
Projekte bringen Menschen mit sehr unterschiedlichen Rollen zusammen: eigene Leute, Subunternehmer, Fachplaner, den Auftraggeber. Nicht alle sollen alles sehen. Die Kalkulation gehört dem Einkauf und der Projektleitung, die Einschätzung zur Zuverlässigkeit eines Lieferanten bleibt intern, Personalthemen gehören gar nicht ins Projekt. Wird der Zugang zentralisiert, wächst die Gefahr, dass solche Inhalte versehentlich für einen größeren Kreis sichtbar werden.
Die typische Lücke: die Kopie
Am häufigsten entstehen Lücken durch Kopien. Eine vertrauliche Mail wird als Datei in den gemeinsamen Projektordner gelegt, und plötzlich können sie alle lesen, die Zugriff auf diesen Ordner haben – auch externe Partner. Ein Export aus dem ERP landet im Projektraum und zeigt Preise, die dort nicht hingehören. Die Berechtigung des Ursprungssystems gilt für die Kopie nicht mehr. Deshalb ist das Prinzip, zu verweisen statt zu kopieren, auch eine Frage der Vertraulichkeit.
Rechte der Quelle weiter gelten lassen
Ein tragfähiger Grundsatz lautet: Die Berechtigungen der Quellsysteme gelten weiter. Ein Verweis im Projekt ist nur für die Person nutzbar, die das Ziel auch im Ursprungssystem öffnen darf. Fasst ein System Inhalte zusammen, darf es dafür nur verwenden, was die fragende Person ohnehin sehen kann. Bei KheepU ist das die Grundhaltung: Es liest aus den bestehenden Systemen im Rahmen der dort vergebenen Rechte und legt keine eigene Parallelwelt an. Einzelheiten zum technischen Schutz stehen auf unserer Sicherheitsseite.
Was vor der Anbindung zu klären ist
Bevor Quellen verbunden werden, lohnt eine nüchterne Bestandsaufnahme: Sind die Rechte in den Quellsystemen heute sauber gesetzt, oder haben viele Personen aus Bequemlichkeit Vollzugriff? Gibt es gemeinsame Postfächer, auf die mehr Personen zugreifen, als es für das Projekt nötig wäre? Welche Inhalte sollen ausdrücklich nicht einbezogen werden? Ein zentraler Zugang macht bestehende Rechte sichtbarer – auch die, die zu großzügig vergeben sind.
Grenzen und Verantwortung
Ein System kann nur so genau sein wie die Rechte, die es vorfindet. Sind diese zu weit gefasst, wird es Inhalte zeigen, die nach Absicht des Betriebs nicht sichtbar sein sollten. Die Verantwortung für die Vergabe von Rechten bleibt bei der Organisation. Ob eine bestimmte Gestaltung rechtlich ausreicht, ist eine Frage für die eigene Datenschutz- oder Rechtsberatung, nicht für diese Seite.