Im Namen des Nutzers: wie AskEdda mit Berechtigungen umgeht
In jeder Sicherheitsprüfung kommt dieselbe Frage: Findet über das neue System jemand Dinge, die er vorher nicht sehen durfte? Wer darauf nicht knapp und eindeutig antworten kann, bekommt keine Freigabe. Die Antwort von AskEdda lautet: Nein. Direktabfragen in Ihren Systemen laufen im Namen der fragenden Person, und abgelegtes Wissen bekommt Zugriffsregeln, die Ihre IT festlegt.
AskEdda holt Daten direkt aus den Quellsystemen, über delegierte Zugriffe per OAuth2 mit den Rechten der fragenden Person. Ein Dokument, das jemand in SharePoint nicht öffnen darf, wird für seine Anfrage nicht gelesen und erscheint nicht in der Antwort. Wissen, das AskEdda für einen Anwendungsfall ablegt, liegt in einem Wissenspool mit eigenen Zugriffsregeln, die Ihre IT festlegt.
Wie das technisch funktioniert
Für Daten, die AskEdda direkt aus Ihren Systemen holt, nutzt es delegierte Zugriffe über OAuth2: Die Abfrage läuft mit den Berechtigungen der Person, die fragt. Ein Dokument, das diese Person in SharePoint nicht öffnen kann, wird für ihre Anfrage gar nicht erst gelesen und kann deshalb nicht in ihrer Antwort auftauchen. Für einen Anwendungsfall legt AskEdda zusätzlich Wissen in einem eigenen Wissenspool ab, etwa aufbereitete Serviceberichte. Für diesen Pool legt Ihre IT die Zugriffsregeln fest. AskEdda fragt dafür nicht bei jeder Frage das Quellsystem.
Was gepflegt werden muss und was nicht
Für Direktabfragen gibt es nichts nachzupflegen: Ändert Ihre IT eine Berechtigung im Quellsystem, gilt sie ab der nächsten Frage. Der Wissenspool braucht ein eigenes, kleines Regelwerk: welche Rolle welchen Bereich des Pools sieht. Es ist bewusst klein gehalten und steht in der Rechtekonzept-Skizze aus der IT-Checkliste, damit es gepflegt wird und in der Prüfung vorliegt.
Die Geschichte: die Antwort, die zwei Kollegen unterschiedlich sehen
Zwei Mitarbeitende stellen dieselbe Frage zu einem Kundenprojekt. Der Projektleiter bekommt die vollständige Antwort inklusive Konditionen aus dem Vertragsordner. Der Werkstudent bekommt die technische Auskunft ohne die kaufmännischen Teile, weil die Vertragsdokumente für seine Anfrage nicht lesbar waren.
Bei Direktabfragen gilt: Was nicht gelesen werden darf, gelangt gar nicht erst in die Verarbeitung. Im Wissenspool greift die Regel Ihrer IT, bevor eine Antwort entsteht.
Was das Projekt trotzdem sichtbar macht
In fast jedem Betrieb fördert die Einführung ein bestehendes Problem zutage: historisch gewachsene Ablagen, in denen faktisch alle alles dürfen, oder alte Integrationskonten mit Vollzugriff. AskEdda verursacht das nicht, es macht es sichtbar. Unangenehm, aber deutlich besser als die Alternative, es weiterhin nicht zu wissen.
Häufige Fragen
Sieht jemand über AskEdda mehr als vorher?
Nein. Direktabfragen laufen mit den Berechtigungen der fragenden Person aus Ihren Quellsystemen. Wer ein Dokument heute nicht öffnen darf, bekommt seinen Inhalt auch über eine Antwort nicht zu sehen. Für den Wissenspool legt Ihre IT fest, welche Rolle welchen Bereich sieht. Beides zusammen ist die Antwort für die Sicherheitsprüfung.
Was ist der Unterschied zu einem Filter?
Ein Filter entfernt Inhalte nachträglich aus einem Ergebnis, das bereits erzeugt wurde und jede Lücke im Filter ist ein Datenabfluss. Bei Direktabfragen mit delegiertem Zugriff gelangt unzulässiges Material gar nicht erst in die Verarbeitung. Das ist strukturell sicherer und deutlich leichter zu prüfen.
Was passiert, wenn wir Rechte ändern?
Bei Direktabfragen wirkt die Änderung ab der nächsten Anfrage, ohne zweite Rechteverwaltung. Für den Wissenspool pflegt Ihre IT ein kleines Regelwerk je Rolle. Eine Änderung dort tragen Sie selbst ein, und das Aktivitätsprotokoll zeigt, wer was gelesen hat.
Wie erklären wir das dem Betriebsrat?
Mit demselben Satz wie der IT, ergänzt um zwei Punkte: das Aktivitätsprotokoll, das nachvollziehbar macht, was wann gelesen wurde, und die Zusage, dass keine Leistungs- oder Verhaltenskontrolle stattfindet. Frühe Einbindung ist erfahrungsgemäß deutlich günstiger als eine nachträgliche Klärung.
Sie wollen das Thema im eigenen Betrieb angehen? Die KI-Beratung für den Mittelstand führt von der Prozessanalyse zum messbaren Pilot.
