Zugriff auf Unternehmenssysteme

Der Umfang der benötigten Unternehmenssysteme hängt von Rolle, Standortverantwortung, Abteilung, Tätigkeit und Berechtigungsniveau ab. Nicht alle Mitarbeitenden benötigen Zugriff auf dieselben Anwendungen. Facility Management sollte deshalb gemeinsam mit IT, Datenschutz, Informationssicherheit, HR und den jeweiligen Systemverantwortlichen definieren, welche Systeme für welche Nutzergruppen erforderlich sind.

Für hybride Arbeitsmodelle ist besonders wichtig, dass alle kritischen FM-Systeme remote nutzbar sind, sofern dies sicherheitstechnisch zulässig ist. Dazu zählen Systeme für Gebäudebetrieb, Nutzerkommunikation, Dienstleistersteuerung, Arbeitsplatzmanagement, Dokumentation, Finanzen und Reporting. Der Zugriff muss so gestaltet sein, dass operative Arbeit möglich bleibt, ohne unnötige Sicherheitsrisiken zu schaffen.

Jedes System sollte einer klaren Risikokategorie zugeordnet werden. Systeme mit sicherheitskritischen Inhalten, wie Zutrittsdaten, Gebäudepläne, technische Infrastrukturinformationen oder Notfallverfahren, müssen strengeren Zugriffskontrollen unterliegen als allgemeine Serviceportale. Ebenso muss definiert sein, welche Funktionen innerhalb eines Systems genutzt werden dürfen. Ein Nutzer kann zum Beispiel berechtigt sein, Tickets anzulegen, aber nicht, Stammdaten, Kostenstellen oder Dienstleisterinformationen zu verändern.

Für den FM-Betrieb ist es empfehlenswert, eine System- und Berechtigungsmatrix zu führen. Diese Matrix sollte mindestens das System, den Systemverantwortlichen, die Nutzergruppen, die zulässigen Rollen, die Genehmigungsinstanzen, die Kritikalität und die Review-Frequenz enthalten. Dadurch entsteht Transparenz darüber, welche Zugriffe notwendig, genehmigt und regelmäßig zu überprüfen sind.

Die rollenbasierte Zugriffskontrolle ist ein Grundprinzip für sicheres und effizientes Systemzugriffsmanagement. Nicht jede Person benötigt dieselben Rechte. Berechtigungen sollten sich nach Funktion, Verantwortungsbereich, Standort, Prozessbeteiligung und tatsächlichem betrieblichen Bedarf richten.

Facility Management sollte dafür definierte Nutzerrollen verwenden. Jede Rolle erhält ein standardisiertes Berechtigungsprofil. Dieses Profil beschreibt, welche Systeme genutzt werden dürfen, welche Daten sichtbar sind und welche Aktionen ausgeführt werden können. So wird verhindert, dass Berechtigungen individuell, uneinheitlich oder zu umfangreich vergeben werden.

Ein wirksames Rollenmodell folgt dem Prinzip der minimal erforderlichen Berechtigung. Mitarbeitende erhalten nur die Zugriffsrechte, die sie für ihre Aufgabe benötigen. Administrative Rechte, Zugriff auf vertrauliche Dokumente, Vertragsdaten, Sicherheitsinformationen oder technische Infrastrukturunterlagen dürfen nur an Personen vergeben werden, die dafür ausdrücklich autorisiert sind.

Die Rollen sollten regelmäßig überprüft und bei organisatorischen Änderungen angepasst werden. Wenn Mitarbeitende ihre Funktion wechseln, in ein anderes Team übergehen oder neue Projektaufgaben übernehmen, muss der Zugriff entsprechend verändert werden. Ebenso wichtig ist die sofortige Entfernung nicht mehr benötigter Rechte.

Besondere Aufmerksamkeit erfordern privilegierte Berechtigungen. Administratoren, Super-User und Personen mit Zugriff auf sicherheitsrelevante Informationen müssen streng kontrolliert werden. Ihre Aktivitäten sollten nachvollziehbar protokolliert werden. Außerdem sollten solche Rechte zeitlich begrenzt oder separat genehmigt werden, wenn sie nur für bestimmte Aufgaben benötigt werden.

Der Zugriff auf Unternehmenssysteme sollte immer über einen definierten Genehmigungsprozess erfolgen. Ein informeller Zugriff, der nur auf persönlicher Absprache beruht, ist im professionellen Facility Management nicht ausreichend. Gerade im Homeoffice ist ein klarer Prozess wichtig, weil spontane persönliche Unterstützung vor Ort weniger verfügbar ist und Mitarbeitende stärker von funktionierendem Systemzugriff abhängig sind. Der Genehmigungsprozess sollte standardisiert, dokumentiert und für alle Beteiligten verständlich sein. Er sollte sicherstellen, dass Zugriffsanfragen fachlich geprüft, sicherheitstechnisch bewertet und technisch korrekt umgesetzt werden.

• Antragstellung: Die anfragende Person oder die verantwortliche Führungskraft stellt einen Zugriffsantrag über das definierte Serviceportal oder Berechtigungsmanagementsystem. Der Antrag muss System, gewünschte Rolle, geschäftlichen Zweck, Standortbezug und gewünschte Gültigkeitsdauer enthalten.

• Prüfung durch die Führungskraft: Die zuständige Führungskraft bestätigt, dass der Zugriff für die Aufgabe erforderlich ist und zum Verantwortungsbereich der Person passt.

• Freigabe durch den Systemverantwortlichen: Der System Owner oder Prozessverantwortliche prüft, ob die beantragte Rolle angemessen ist und keine unzulässige Ausweitung von Berechtigungen entsteht.

• Sicherheits- oder Compliance-Prüfung: Bei kritischen Systemen, externen Dienstleistern oder Zugriffen auf vertrauliche Informationen kann eine zusätzliche Prüfung durch Informationssicherheit, Datenschutz oder Compliance erforderlich sein.

• Technische Umsetzung durch IT oder Systemadministration: Die genehmigten Rechte werden eingerichtet. Dabei muss sichergestellt werden, dass nur die freigegebenen Rollen und Berechtigungen aktiviert werden.

• Bestätigung an den Nutzer: Die betroffene Person erhält eine Information über den eingerichteten Zugriff sowie Hinweise zur sicheren Nutzung.

• Dokumentation und Review-Termin: Die Freigabe wird dokumentiert. Bei zeitlich begrenzten oder kritischen Zugriffen wird ein Ablaufdatum oder eine regelmäßige Überprüfung festgelegt.

Zugriffsänderungen sind genauso wichtig wie Erstzugriffe. Wenn Mitarbeitende ihre Rolle wechseln, den Standort wechseln, an einem Projekt teilnehmen oder ein Projekt verlassen, müssen Berechtigungen angepasst werden. Dies gilt auch bei Abwesenheiten, Vertretungsregelungen und temporären Sonderaufgaben.

Beim Austritt aus dem Unternehmen oder beim Ende einer Dienstleisterbeziehung müssen Zugriffe unverzüglich entzogen werden. Dieser Offboarding-Prozess darf nicht manuell und zufällig erfolgen, sondern muss klar mit HR-, Einkaufs-, Vertrags- und IT-Prozessen verbunden sein. Besonders bei externen Dienstleistern ist sicherzustellen, dass Zugriffe nicht über das Vertragsende hinaus bestehen bleiben.

Authentifizierung und sicherer Remote-Zugriff sind zentrale Schutzmaßnahmen für Unternehmenssysteme. Mitarbeitende im Homeoffice greifen über private oder externe Netzwerke auf Unternehmensdaten zu. Dadurch steigt die Bedeutung verlässlicher Identitätsprüfung, geschützter Verbindungen und kontrollierter Endgeräte.

• Mehr-Faktor-Authentifizierung: Der Zugriff sollte nicht ausschließlich auf einem Passwort beruhen. Ein zusätzlicher Faktor, zum Beispiel eine Authenticator-App, ein Sicherheitstoken oder eine biometrische Prüfung, erhöht den Schutz deutlich.

• Single Sign-On mit zentraler Identitätsverwaltung: Wo möglich, sollten Nutzer über eine zentrale Identitätsplattform authentifiziert werden. Dies erleichtert die Verwaltung, verbessert die Nachvollziehbarkeit und reduziert unsichere Mehrfachpasswörter.

• Sichere Remote-Verbindungen: Der Zugriff sollte über freigegebene und gesicherte Verbindungswege erfolgen. Dies kann über VPN, Zero-Trust-Zugriffsmodelle oder andere kontrollierte Remote-Access-Lösungen umgesetzt werden.

• Geräte-Compliance: Unternehmenssysteme sollten nur von freigegebenen oder geprüften Geräten erreichbar sein. Das Gerät sollte aktuelle Sicherheitsupdates, Virenschutz, Gerätesperre und Verschlüsselung erfüllen.

• Passwortrichtlinien und Sitzungsmanagement: Passwörter müssen den internen Sicherheitsvorgaben entsprechen. Inaktive Sitzungen sollten automatisch beendet werden, besonders bei Zugriff auf vertrauliche FM-Daten.

• Zugriffsbeschränkung nach Risiko: Systeme mit sicherheitskritischen Inhalten sollten zusätzliche Anforderungen haben, etwa eingeschränkte IP-Bereiche, stärkere Authentifizierung oder separate Freigaben.

Für Facility Management ist dies besonders relevant, weil FM-Systeme häufig Informationen enthalten, die nicht nur geschäftlich, sondern auch physisch sicherheitsrelevant sind. Dazu gehören Grundrisse, Zutrittsinformationen, Wartungspläne, Evakuierungsunterlagen, Lieferantenverträge, technische Anlageninformationen und Notfallprozeduren. Ein unbefugter Zugriff auf solche Informationen kann Auswirkungen auf Gebäudesicherheit, Betriebsstabilität und Unternehmensschutz haben.

Sicherer Remote-Zugriff bedeutet nicht, dass Mitarbeitende unnötig behindert werden sollen. Ziel ist eine ausgewogene Lösung: autorisierte Personen müssen schnell und zuverlässig arbeiten können, während unbefugte oder riskante Zugriffe verhindert werden.

Mitarbeitende im Homeoffice sind stark auf die Verfügbarkeit digitaler Systeme angewiesen. Wenn der Zugriff ausfällt, können FM-Prozesse unmittelbar beeinträchtigt werden. Dies gilt besonders für dringende Serviceanfragen, Störungen, Eskalationen, Freigaben, geplante Wartungen, Lieferantenkoordination und gebäudebezogene Kommunikation. Facility Management sollte deshalb gemeinsam mit IT und den Systemverantwortlichen festlegen, welche Systeme kritisch sind und welche Wiederherstellungszeiten gelten. Ein Ticketsystem für Störungsmeldungen oder ein CAFM-System für Wartungsaufträge hat eine höhere operative Bedeutung als ein System, das nur für langfristige Auswertungen genutzt wird.

Für kritische Systeme sollten Ersatzverfahren definiert werden. Diese können zum Beispiel eine alternative Kontaktstelle, eine Notfall-E-Mail-Adresse, telefonische Eskalationswege, manuelle Ticketlisten oder eingeschränkte Notfallfreigaben umfassen. Solche Verfahren müssen vorab festgelegt und getestet werden. Sie dürfen nicht erst im Ausfallmoment improvisiert werden.

Wichtig ist auch eine klare Priorisierung. Nicht jeder Zugriffsausfall hat dieselbe Dringlichkeit. Ein Ausfall, der sicherheitsrelevante Störungen, Notfälle oder kritische Gebäudetechnik betrifft, muss höher priorisiert werden als ein Ausfall bei routinemäßigen Berichten. FM sollte deshalb Eskalationsregeln definieren, die nach Kritikalität, Standort, Nutzergruppe und Prozessauswirkung unterscheiden.

Die Verfügbarkeit von Systemzugriffen sollte regelmäßig überwacht werden. Wiederkehrende Störungen, lange Reaktionszeiten oder häufige Login-Probleme müssen analysiert und behoben werden. Ein zuverlässiger Zugriff ist ein wesentlicher Bestandteil der Servicequalität im modernen Facility Management.

Viele FM-Prozesse werden gemeinsam mit externen Dienstleistern ausgeführt. Dazu gehören Wartungsunternehmen, Reinigungsdienstleister, Sicherheitsdienste, technische Prüfer, Berater, Projektpartner, Umzugsdienstleister und spezialisierte Fachfirmen. Diese Partner benötigen teilweise Zugriff auf Systeme, Dokumente oder Aufgabenlisten, damit sie ihre Leistungen effizient erbringen können.

Der Zugriff externer Dienstleister muss jedoch besonders streng geregelt werden. Externe Personen sollten nur auf die Informationen und Funktionen zugreifen können, die für ihren konkreten Auftrag erforderlich sind. Eine allgemeine oder dauerhafte Berechtigung ohne klaren Zweck ist zu vermeiden.

• Der Zugriff muss vorab beantragt und genehmigt werden.

• Der Zweck des Zugriffs muss eindeutig beschrieben sein.

• Die Berechtigung muss auf bestimmte Systeme, Projekte, Standorte oder Aufträge begrenzt sein.

• Die Gültigkeit sollte zeitlich beschränkt sein.

• Vertraulichkeits- und Datenschutzpflichten müssen vertraglich geregelt sein.

• Aktivitäten sollten protokolliert und bei Bedarf überprüft werden.

• Nach Abschluss der Leistung muss der Zugriff entzogen werden.

Ein Dienstleister für technische Wartung benötigt beispielsweise Zugriff auf zugewiesene Arbeitsaufträge, Anlageninformationen und Wartungsdokumente. Er benötigt jedoch in der Regel keinen Zugriff auf Finanzdaten, interne Managementberichte, allgemeine Vertragsarchive oder personenbezogene Informationen, die nicht für seine Leistung erforderlich sind.

Besonders kritisch sind Dienstleisterzugriffe auf Zutrittskontrollsysteme, Sicherheitsdokumente, technische Infrastrukturpläne oder Notfallunterlagen. Diese Zugriffe sollten nur nach zusätzlicher Prüfung vergeben werden und müssen jederzeit nachvollziehbar sein.

Facility Management sollte eine aktuelle Übersicht aller externen Zugriffe führen. Diese Übersicht sollte Dienstleistername, verantwortliche interne Kontaktperson, System, Berechtigungsumfang, Vertragsbezug, Gültigkeitsdauer und letztes Review-Datum enthalten. So lässt sich verhindern, dass veraltete oder nicht mehr benötigte Dienstleisterzugriffe bestehen bleiben.

Systemzugriff muss immer mit Datenschutz- und Vertraulichkeitsanforderungen übereinstimmen. FM-Systeme enthalten häufig sensible Informationen. Dazu gehören personenbezogene Daten, Lieferantendaten, Vertragsinformationen, Kosteninformationen, Sicherheitsdokumente, Gebäudepläne, Betriebsprotokolle, Prüfberichte und Störungsdokumentationen.

Remote-Zugriff darf die Vertraulichkeit dieser Informationen nicht schwächen. Mitarbeitende müssen im Homeoffice dieselben Schutzstandards einhalten wie am Unternehmensstandort. Dazu gehört, dass vertrauliche Dokumente nicht unkontrolliert heruntergeladen, lokal gespeichert, privat weitergeleitet oder auf nicht freigegebenen Geräten verarbeitet werden.

• Vertrauliche Dokumente dürfen nur über freigegebene Systeme genutzt werden.

• Lokale Speicherung sensibler Dateien sollte vermieden oder technisch eingeschränkt werden.

• Ausdrucke im Homeoffice sind nur zulässig, wenn dies ausdrücklich erlaubt und sicher handhabbar ist.

• Bildschirmansichten mit vertraulichen Informationen sollten vor unbefugter Einsicht geschützt werden.

• Dateien dürfen nicht über private E-Mail-Konten, private Cloud-Speicher oder nicht genehmigte Kommunikationskanäle geteilt werden.

• Zugriff auf personenbezogene oder sicherheitskritische Daten muss auf berechtigte Personen begrenzt bleiben.

• Verdächtige Zugriffe, Fehlversendungen oder Datenverluste müssen unverzüglich gemeldet werden.

Im Facility Management ist der Schutz von Informationen auch mit physischer Sicherheit verbunden. Gebäudepläne, technische Anlageninformationen, Sicherheitskonzepte oder Zutrittsdaten können missbraucht werden, wenn sie in falsche Hände geraten. Deshalb sollten solche Daten klassifiziert, besonders geschützt und nur nach dem Need-to-know-Prinzip bereitgestellt werden.

Datenschutz und Vertraulichkeit sind nicht nur technische Themen. Sie hängen auch vom Verhalten der Nutzer ab. Mitarbeitende müssen wissen, welche Informationen sensibel sind, wie sie diese handhaben dürfen und welche Konsequenzen unsachgemäßer Umgang haben kann.

Zugriffsmanagement muss nachvollziehbar und auditierbar sein. Facility Management, IT, Compliance, Datenschutz und Systemverantwortliche müssen prüfen können, wer Zugriff auf welche Systeme hat, welche Berechtigungen vergeben wurden, wann der Zugriff eingerichtet wurde, wer ihn genehmigt hat und ob er weiterhin gerechtfertigt ist. Ein professionelles Monitoring dient nicht der allgemeinen Überwachung von Mitarbeitenden, sondern dem Schutz von Systemen, Daten und betrieblichen Prozessen. Es hilft, unberechtigte Zugriffe, veraltete Berechtigungen, verdächtige Aktivitäten oder fehlerhafte Rollenvergabe zu erkennen.

Berechtigungsreviews sollten in regelmäßigen Intervallen stattfinden. Die Häufigkeit richtet sich nach der Kritikalität des Systems. Zugriffe auf allgemeine Serviceportale können weniger häufig überprüft werden als Zugriffe auf Zutrittskontrollsysteme, sicherheitsrelevante Dokumente oder administrative Funktionen.

Die Verantwortung für die Prüfung sollte klar festgelegt sein. Fachverantwortliche bestätigen, ob der Zugriff operativ benötigt wird. Systemverantwortliche prüfen die technische Rolle. IT und Informationssicherheit bewerten Risiken und kontrollieren die Einhaltung der Vorgaben.

Auditierbarkeit bedeutet auch, dass Entscheidungen dokumentiert werden. Es muss nachvollziehbar sein, warum ein Zugriff genehmigt wurde, wann er überprüft wurde und warum er weiterhin bestehen darf. Dies ist besonders wichtig bei internen Audits, externen Prüfungen, Sicherheitsvorfällen oder Compliance-Untersuchungen.

Mitarbeitende müssen wissen, wie sie Unternehmenssysteme im Homeoffice sicher, korrekt und effizient nutzen. Technische Schutzmaßnahmen allein reichen nicht aus, wenn Nutzer unsicher sind, falsche Systeme verwenden, vertrauliche Informationen falsch teilen oder Zugriffsprobleme nicht richtig melden.

Schulungen sollten praxisnah aufgebaut sein und sich an den jeweiligen Rollen orientieren. Allgemeine Mitarbeitende benötigen andere Informationen als FM-Koordinatoren, technische FM-Teams, Standortverantwortliche oder externe Dienstleister.

• sicherer Login und Nutzung der Mehr-Faktor-Authentifizierung

• Umgang mit Passwörtern und Endgeräten

• Erkennen und Melden von verdächtigen Aktivitäten

• richtiger Umgang mit vertraulichen FM-Daten

• Nutzung genehmigter Kommunikations- und Dokumentenkanäle

• Meldewege bei Zugriffsproblemen oder Systemausfällen

• Grundregeln für Remote-Arbeit mit Unternehmenssystemen

Für FM-Nutzer sollten zusätzlich operative Inhalte vermittelt werden. Dazu gehören korrekte Ticketklassifizierung, Priorisierung von Störungen, Dokumentation von Wartungsmaßnahmen, Nutzung von CAFM- oder IWMS-Funktionen, Pflege von Stammdaten, Ablage von Gebäudedokumenten, Anwendung von Raumbuchungssystemen und Durchführung digitaler Freigaben.

Externe Dienstleister sollten ebenfalls eingewiesen werden, bevor sie Zugriff erhalten. Sie müssen verstehen, welche Systeme sie nutzen dürfen, welche Informationen vertraulich sind, welche Dokumentationspflichten gelten und an wen sie sich bei Problemen wenden müssen.

Schulungen sollten nicht einmalig bleiben. Bei Systemänderungen, neuen Sicherheitsanforderungen, Prozessanpassungen oder wiederkehrenden Fehlern sollten Auffrischungen durchgeführt werden. Kurze Anleitungen, klare Prozessbeschreibungen und rollenbezogene Hilfeseiten unterstützen eine sichere und einheitliche Nutzung.

Das erwartete Ergebnis ist ein sicherer, rollenbasierter, zuverlässiger und auditierbarer Zugriff auf Unternehmenssysteme. Facility Management soll in der Lage sein, den Gebäudebetrieb, Serviceprozesse, Dienstleisterkoordination, Dokumentation, Reporting und Nutzerunterstützung auch bei Homeoffice- und Hybridarbeitsmodellen stabil aufrechtzuerhalten. Ein erfolgreiches Zugriffskonzept stellt sicher, dass Mitarbeitende genau die Systeme und Berechtigungen erhalten, die sie für ihre Arbeit benötigen. Gleichzeitig schützt es sensible Daten, technische Informationen, Gebäudeunterlagen, Sicherheitsdokumente und geschäftskritische Prozesse vor unbefugtem Zugriff.

• schnellere Bearbeitung von Serviceanfragen und Störungen

• bessere Steuerung von Wartungs- und Instandhaltungsprozessen

• verlässliche digitale Zusammenarbeit mit internen Teams und externen Dienstleistern

• höhere Transparenz über Berechtigungen und Verantwortlichkeiten

• geringere Sicherheits-, Datenschutz- und Compliance-Risiken

• bessere Nachvollziehbarkeit von Entscheidungen, Zugriffen und Aktivitäten

• stabilere Unterstützung hybrider Arbeitsmodelle

Ein professionell gesteuerter Zugriff auf Unternehmenssysteme ist damit ein wesentlicher Bestandteil moderner Facility-Management-Organisationen. Er verbindet operative Leistungsfähigkeit mit Sicherheit, Kontrolle und Compliance. Nur wenn Zugriff, Berechtigungen, Verfügbarkeit und Nutzerverhalten konsequent gemanagt werden, kann Facility Management seine Aufgaben im digitalen und hybriden Arbeitsumfeld zuverlässig erfüllen.