Ein CRM-System schützt Kundendaten nicht allein durch ein Passwort. Entscheidend ist, welche Mitarbeiter welche Datensätze sehen, bearbeiten, exportieren oder löschen dürfen. Legen Sie deshalb zuerst ein Rollenmodell fest, das Aufgaben und Verantwortlichkeiten abbildet. Prüfen Sie anschließend, ob jede Berechtigung für die tägliche Arbeit erforderlich ist, und dokumentieren Sie Änderungen an den Zugriffsrechten.
Für kleine Unternehmen ist ein stufenweises Modell meist sinnvoller als eine Vielzahl individueller Sonderrechte. Vertrieb, Kundenservice, Verwaltung und externe Dienstleister benötigen häufig unterschiedliche Zugänge. Je genauer diese Unterschiede abgebildet werden, desto leichter lassen sich Fehlzugriffe, unkontrollierte Exporte und spätere Nachweisprobleme vermeiden.
Warum die Rechtevergabe im CRM eine Geschäftsaufgabe ist
Erhalten zu viele Personen Zugriff, steigt das Risiko, dass Daten versehentlich verändert, außerhalb des Unternehmens gespeichert oder an nicht zuständige Empfänger weitergegeben werden. Zu restriktive Einstellungen führen dagegen dazu, dass Mitarbeiter mit Umgehungslösungen arbeiten, Daten lokal kopieren oder wichtige Vorgänge nicht dokumentieren. Ziel ist daher nicht der größtmögliche Entzug von Rechten, sondern ein nachvollziehbarer Zugriff nach Aufgaben.
Die Geschäftsleitung sollte festlegen, wer für das CRM verantwortlich ist. Diese Person oder Stelle koordiniert Rollen, Freigaben, regelmäßige Prüfungen und die Entfernung nicht mehr benötigter Zugänge. In einem kleinen Betrieb kann diese Aufgabe bei der Geschäftsführung, der IT-Verantwortung oder der Verwaltung liegen. Wichtig ist eine eindeutige Zuständigkeit, nicht eine bestimmte Organisationsform.
Rollen, Einzelrechte und Datensicht sauber trennen
Eine Rolle fasst mehrere Berechtigungen für eine bestimmte Funktion zusammen. Ein Vertriebsmitarbeiter darf beispielsweise eigene Kontakte pflegen und Verkaufschancen bearbeiten. Ein Teamleiter benötigt zusätzlich Einblick in die Vorgänge seiner Gruppe. Die Administration verwaltet Einstellungen und Benutzer, sollte aber nicht automatisch alle fachlichen Daten bearbeiten können.
Daneben gibt es Einzelrechte, etwa für den Export, die Löschung oder die Änderung von Pflichtfeldern. Diese Rechte sollten nicht pauschal an jede Rolle vergeben werden. Besonders sensible Funktionen gehören in einen eng begrenzten Verantwortungsbereich und sollten, soweit das System es erlaubt, zusätzlich protokolliert oder freigegeben werden.
Die Datensicht beschreibt, auf welche Datensätze eine Person zugreifen kann. Übliche Varianten sind:
- nur selbst angelegte Datensätze,
- alle Datensätze des eigenen Teams,
- alle Datensätze einer Abteilung,
- bestimmte Regionen, Kundengruppen oder Geschäftsbereiche,
- vollständiger Zugriff für eine ausdrücklich benannte Administrations- oder Leitungsfunktion.
Diese Ebenen dürfen nicht miteinander verwechselt werden. Ein Mitarbeiter kann etwa Kontakte seines Teams sehen, aber keine Kundendaten löschen. Eine Person kann Datensätze lesen, ohne Notizen oder Verkaufsphasen bearbeiten zu dürfen.
So erfassen Sie die tatsächlichen Aufgaben im Betrieb
Beginnen Sie nicht mit den vorhandenen Rollenbezeichnungen des Anbieters. Ermitteln Sie zunächst, welche Aufgaben im Unternehmen stattfinden und welche Daten dafür benötigt werden. Eine kurze Bestandsaufnahme verhindert, dass technische Standardrollen unkritisch übernommen werden.
Notieren Sie die Arbeitsbereiche, die das CRM nutzen. Dazu können Vertrieb, Kundenservice, Projektleitung, Buchhaltung, Marketing und Geschäftsführung gehören.
Beschreiben Sie für jede Funktion die notwendigen Tätigkeiten. Dazu zählen beispielsweise Anlegen, Lesen, Ändern, Zuordnen, Abschließen, Exportieren und Löschen.
Ordnen Sie jeder Tätigkeit die benötigten Datenobjekte zu. Kontakte, Firmen, Leads, Angebote, Aktivitäten und Supportfälle müssen nicht für alle Nutzer gleich behandelt werden.
Prüfen Sie, ob der Zugriff auf eigene Datensätze, auf ein Team oder auf das gesamte Unternehmen begrenzt werden kann.
Halten Sie Ausnahmen schriftlich fest und begründen Sie sie. Eine Sonderberechtigung ohne dokumentierten Zweck wird bei späteren Prüfungen schnell zum Risiko.
Beziehen Sie die jeweiligen Fachverantwortlichen ein, aber lassen Sie die endgültige Freigabe bei einer dafür benannten Stelle. Mitarbeiter kennen ihre Arbeitsabläufe gut, entscheiden jedoch nicht immer über Datenschutz, Vertragsrisiken oder interne Kontrollanforderungen.
Ein praktikables Rollenmodell für kleine Unternehmen
Ein überschaubares Unternehmen kommt häufig mit wenigen Grundrollen aus. Die Bezeichnungen können je nach CRM anders lauten, die Aufgabenverteilung bleibt jedoch vergleichbar.
Vertrieb
Der Vertrieb benötigt Zugriff auf zugeordnete Kunden, Interessenten, Aktivitäten und Verkaufschancen. Das Anlegen und Bearbeiten dieser Datensätze gehört meist zum Arbeitsbereich. Der Export großer Datenmengen, die endgültige Löschung und die Änderung systemweiter Einstellungen sollten davon getrennt bleiben.
Kundenservice
Der Kundenservice muss relevante Kontaktdaten und Vorgänge einsehen können. Für die Bearbeitung von Supportfällen sind häufig eigene Status- und Notizrechte erforderlich. Interne Margen, vertrauliche Vertragsdetails oder nicht zuständige Verkaufschancen sollten nur sichtbar sein, wenn der Arbeitsablauf dies verlangt.
Teamleitung
Eine Teamleitung benötigt oft einen erweiterten Überblick über die zugeordneten Mitarbeiter und Vorgänge. Zusätzlich können Auswertungen, Umverteilungen oder Freigaben dazugehören. Die Rolle sollte dennoch nicht automatisch Systemadministration und uneingeschränkten Datenexport umfassen.
Administration
Administratoren verwalten Benutzer, Rollen, Schnittstellen und Systemeinstellungen. Für diese Tätigkeit ist ein erweiterter technischer Zugriff häufig notwendig. Aus Gründen der internen Kontrolle sollte festgelegt werden, wer fachliche Daten exportieren oder löschen darf und ob administrative Tätigkeiten regelmäßig überprüft werden.
Externe Dienstleister
Agenturen, Berater oder technische Supportpartner brauchen meist einen zeitlich begrenzten Zugang mit möglichst engem Umfang. Verwenden Sie persönliche Benutzerkonten statt gemeinsamer Zugangsdaten. Nach Abschluss des Auftrags müssen diese Zugänge deaktiviert und die ausgegebenen Berechtigungen geprüft werden.
Besonders sensible Berechtigungen absichern
Einige Funktionen haben größere Auswirkungen als das bloße Lesen eines Datensatzes. Dazu gehören Datenexporte, Massenänderungen, Löschungen, Rollenänderungen und die Einrichtung von Schnittstellen. Vergeben Sie solche Rechte nur an Personen, die sie für ihre Aufgabe benötigen.
Beim Export sollte feststehen, welche Daten exportiert werden dürfen, zu welchem Zweck dies geschieht und wo die Datei gespeichert werden darf. Ein CRM-Export auf einen privaten USB-Stick oder in einen nicht freigegebenen Cloud-Speicher kann die Kontrolle über Kundendaten erheblich erschweren. Legen Sie deshalb interne Vorgaben für Speicherort, Weitergabe und Löschung von Exportdateien fest.
Für Löschungen empfiehlt sich, wenn technisch möglich, ein Vier-Augen-Prinzip oder zumindest eine nachvollziehbare Freigabe. Prüfen Sie außerdem, ob eine Deaktivierung, Archivierung oder Einschränkung der Sichtbarkeit ausreicht. Eine endgültige Löschung kann Auswirkungen auf laufende Aufträge, Nachweise und Auswertungen haben.
Rollenänderungen sollten nicht ausschließlich über Zuruf erfolgen. Nutzen Sie einen dokumentierten Antrag mit Name, bisheriger Rolle, gewünschter Änderung, Begründung, Startdatum und verantwortlicher Freigabe. So bleibt auch später nachvollziehbar, weshalb ein Zugriff eingerichtet oder erweitert wurde.
Benutzerkonten, Anmeldung und Offboarding
Jede Person sollte ein eigenes Benutzerkonto besitzen. Gemeinsame Konten verhindern eine zuverlässige Zuordnung von Änderungen und erschweren die Untersuchung von Vorfällen. Außerdem kann bei einem Austritt nicht sauber festgestellt werden, welche Handlungen welchem Benutzer zuzuordnen sind.
Aktivieren Sie eine starke Anmeldung, sofern das CRM entsprechende Funktionen anbietet. Dazu können Mehrfaktor-Authentifizierung, zentrale Anmeldung über den Unternehmensdienst und Richtlinien für sichere Zugangsdaten gehören. Prüfen Sie auch, ob Sitzungen automatisch beendet werden und ob Anmeldungen aus ungewöhnlichen Umgebungen erkennbar sind.
Das Offboarding muss Bestandteil des Austrittsprozesses sein. Sobald ein Arbeitsverhältnis oder ein externer Auftrag endet, sollten Verantwortliche den CRM-Zugang deaktivieren, aktive Sitzungen prüfen und verbundene Anwendungen berücksichtigen. Eine bloße Änderung des Passworts reicht nicht immer aus, wenn persönliche Zugänge, API-Schlüssel oder mobile Sitzungen bestehen bleiben.
Bei einem internen Wechsel ist nicht nur der neue Zugang einzurichten. Die bisherige Rolle muss entfernt und die Datensicht an die neue Aufgabe angepasst werden. Eine Person, die aus dem Vertrieb in die Verwaltung wechselt, benötigt möglicherweise andere Funktionen und darf nicht automatisch weiterhin auf frühere Kundengruppen zugreifen.
Regelmäßige Kontrolle statt einmaliger Einrichtung
Eine Rollenstruktur ist nur dann belastbar, wenn sie regelmäßig überprüft wird. Teams ändern sich, Projekte enden, Zuständigkeiten wechseln und neue Schnittstellen kommen hinzu. Ein einmaliger Abgleich bei der Einführung des CRM reicht deshalb nicht aus.
Planen Sie wiederkehrende Zugriffsprüfungen ein. Der Abstand sollte zu Unternehmensgröße, Datenumfang und Veränderungsgeschwindigkeit passen. Bei jeder Prüfung sollten mindestens aktive Benutzer, zugewiesene Rollen, Sonderrechte, externe Konten, Exportmöglichkeiten und Administrationszugänge betrachtet werden.
Fordern Sie von den jeweiligen Führungskräften eine Bestätigung an, dass die Zugriffe ihrer Mitarbeiter noch erforderlich sind. Nicht mehr benötigte Rechte sollten entfernt und die Prüfung dokumentiert werden. Bei kritischen Funktionen ist zusätzlich sinnvoll, Protokolle auf ungewöhnliche Exporte, Massenänderungen oder fehlgeschlagene Anmeldungen zu kontrollieren.
Ein einfaches Prüfprotokoll kann folgende Angaben enthalten:
- Prüfdatum und geprüfter Systembereich,
- Name der prüfenden Person,
- Benutzerkonto und zugewiesene Rolle,
- bestätigte oder geänderte Datensicht,
- festgestellte Sonderrechte,
- erforderliche Maßnahmen mit Verantwortlichkeit und Termin,
- Abschluss der Umsetzung.
Typische Fehler bei der Rechtevergabe
Ein häufiger Fehler ist die Verwendung einer Administratorrolle für alltägliche Aufgaben. Sie spart kurzfristig Abstimmungsaufwand, vergrößert aber den Kreis der Personen mit weitreichenden Befugnissen. Besser ist eine fachliche Rolle mit den benötigten Rechten und ein getrenntes Administrationskonto für technische Tätigkeiten.
Auch die nachträgliche Erweiterung von Rechten ohne Rücknahme alter Berechtigungen ist problematisch. Im Laufe der Zeit entstehen dadurch Nutzerprofile, die mehrere frühere Aufgabenbereiche abdecken. Prüfen Sie bei jeder Änderung nicht nur den neuen Bedarf, sondern entfernen Sie auch nicht mehr erforderliche Zugriffe.
Ein weiterer Schwachpunkt sind Rollen, die zwar Lesen und Bearbeiten trennen, aber die Datensicht zu großzügig einstellen. Wenn ein Mitarbeiter nur seine eigenen Kunden betreut, ist ein unternehmensweiter Zugriff möglicherweise nicht erforderlich. Ob eine Begrenzung praktikabel ist, muss anhand der tatsächlichen Vertretungs- und Übergabeprozesse geprüft werden.
Unklare Zuständigkeiten führen ebenfalls zu Lücken. Wenn niemand für neue Benutzer, Austritte und regelmäßige Kontrollen verantwortlich ist, bleiben Konten oft länger aktiv als nötig. Benennen Sie daher eine Vertretung und hinterlegen Sie den Ablauf an einer Stelle, die im Unternehmen erreichbar ist.
CRM-Schnittstellen und mobile Zugriffe einbeziehen
Die Rechteprüfung darf nicht am CRM-Login enden. E-Mail-Programme, Telefonanlagen, Marketingdienste, Buchhaltungssysteme und Automatisierungen können ebenfalls auf Kundendaten zugreifen. Prüfen Sie, welche Informationen übertragen werden, welche technischen Konten dafür eingesetzt werden und ob die Verbindung noch benötigt wird.
Technische Zugänge sollten einem Zweck und einer verantwortlichen Person zugeordnet sein. Verwenden Sie keine persönlichen Konten für dauerhafte Automatisierungen, wenn das System eigene Dienstkonten oder Zugriffsschlüssel anbietet. Werden Schnittstellen abgeschaltet, müssen auch zugehörige Schlüssel und Berechtigungen widerrufen werden.
Mobile Nutzung erhöht die Flexibilität, bringt aber zusätzliche Anforderungen an Geräte, Sperrbildschirm, Updates und lokale Speicherung mit sich. Prüfen Sie, ob Daten offline verfügbar bleiben, ob das Gerät zentral verwaltet wird und wie ein verlorenes Smartphone gesperrt werden kann. Die passende Einstellung hängt vom CRM, den eingesetzten Geräten und Ihren internen Vorgaben ab.
Wenn Rechtefehler oder ein verdächtiger Zugriff auffallen
Reagieren Sie nicht mit einer ungezielten Löschung von Konten oder Protokollen. Sichern Sie zunächst die verfügbaren Informationen, begrenzen Sie den betroffenen Zugriff und klären Sie, welche Daten und Funktionen betroffen sein könnten. Die nächsten Schritte sollten mit der zuständigen Datenschutz-, IT- oder Geschäftsverantwortung abgestimmt werden.
Dokumentieren Sie Zeitpunkt, Benutzerkonto, betroffene Datensätze, erkennbare Aktionen und bereits ergriffene Maßnahmen. Ändern Sie keine Protokolle und vermeiden Sie unnötige Zugriffe auf weitere Daten. Je nach Art des Vorfalls können interne Meldewege, vertragliche Pflichten oder datenschutzrechtliche Bewertungen erforderlich sein.
Wenn die Ursache in einer falsch konfigurierten Rolle liegt, reicht eine technische Korrektur allein nicht aus. Prüfen Sie auch, ob Exporte erstellt, Daten weitergegeben oder Änderungen vorgenommen wurden. Anschließend sollte festgelegt werden, wie die Rollenprüfung, Freigabe oder Schulung angepasst wird, damit sich der Fehler nicht wiederholt.
Wie Sie die Umsetzung im Alltag verankern
Ein Rollenmodell funktioniert nur, wenn Mitarbeiter wissen, warum Zugriffe begrenzt sind und an wen sie sich bei fehlenden Rechten wenden. Kommunizieren Sie deshalb einen einfachen Prozess für neue Berechtigungen. Der Antrag sollte die Aufgabe, den benötigten Datenbereich und die gewünschte Dauer enthalten.
Schulen Sie nicht nur die Bedienung des CRM, sondern auch den Umgang mit Exporten, Notizen, privaten Speichern und gemeinsam genutzten Geräten. Kurze, auf die jeweiligen Rollen zugeschnittene Hinweise sind meist hilfreicher als eine allgemeine Schulung ohne Bezug zum Arbeitsablauf.
Für ein Einzelunternehmen genügt oft eine schlanke Dokumentation mit Benutzerübersicht und Prüfdatum. In einem kleinen Onlinehandel kann zusätzlich die Trennung zwischen Kundenservice, Versand und Zahlungsinformationen wichtig sein. Ein Handwerksbetrieb sollte prüfen, welche mobilen Nutzer während eines Kundentermins benötigen und welche vertraulichen kaufmännischen Angaben verborgen bleiben. Eine Agentur muss bei Kundenprojekten besonders auf Mandantentrennung und zeitlich begrenzte Zugänge achten.
Bei komplexen Rollenmodellen, mehreren Standorten, sensiblen Datenbeständen oder einem vermuteten Sicherheitsvorfall sollten Sie fachkundige Unterstützung einbeziehen. Lassen Sie dabei nicht nur die Softwarekonfiguration, sondern auch Prozesse, Verantwortlichkeiten, Verträge und Dokumentation betrachten. So wird aus einer technischen Einstellung ein belastbarer betrieblicher Kontrollprozess.
Häufige Fragen zu CRM-Rollen und Rechten
Wie oft sollten CRM-Berechtigungen überprüft werden?
Prüfen Sie die Benutzerkonten und Rollen regelmäßig sowie zusätzlich bei Personalwechseln, Aufgabenänderungen und neuen Schnittstellen. Entscheidend ist, dass die Prüfung dokumentiert wird und erkennbar bleibt, welche Rechte bestätigt, angepasst oder entzogen wurden.
Was sollte eine Berechtigungsanfrage für das CRM enthalten?
Die Anfrage sollte die konkrete Aufgabe, den benötigten Datenbereich, die erforderlichen Aktionen und gegebenenfalls eine zeitliche Begrenzung nennen. Eine solche Begründung erleichtert die Entscheidung und verhindert, dass pauschal eine umfassende Standardrolle vergeben wird.
Wie lassen sich gemeinsame CRM-Zugänge und geteilte Passwörter vermeiden?
Vergeben Sie persönliche Benutzerkonten mit individuellen Rollen, damit Aktionen einer bestimmten Person zugeordnet werden können. Gemeinsame Zugänge erschweren die Nachvollziehbarkeit und verhindern häufig eine saubere Anpassung, wenn sich Zuständigkeiten ändern.
Welche CRM-Rechte benötigt ein externer Dienstleister typischerweise?
Ein externer Dienstleister sollte nur die Daten und Funktionen erhalten, die für den vereinbarten Auftrag erforderlich sind. Legen Sie den Zweck, die verantwortliche interne Stelle und das Ende des Zugangs fest und prüfen Sie nach Abschluss, ob Konten, Schlüssel und Schnittstellen deaktiviert wurden.
Kann ein günstiges CRM ausreichenden Schutz durch Rollen und Rechte bieten?
Der Preis allein sagt wenig über die Eignung aus. Prüfen Sie vor der Auswahl, ob das System persönliche Konten, differenzierte Datensichten, Protokollierung, Exportkontrollen, Rollenverwaltung und geeignete Datenexporte für Ihre betrieblichen Nachweise unterstützt.
