Rollen- und Rechtemanagement in der Fertigung (RBAC)

Was ist Rollen- und Rechtemanagement (RBAC)?

Rollen- und Rechtemanagement, häufig als RBAC (Role-Based Access Control) bezeichnet, beschreibt die strukturierte Steuerung, wer in einem Produktionsumfeld was sehen, ändern oder ausführen darf. Statt einzelnen Personen direkt Berechtigungen zuzuweisen, werden Rollen definiert: "Maschinenbediener", "Schichtführer", "Qualität", "Instandhaltung", "Produktionsleitung", "IT-Administrator". Jede Rolle besitzt genau die Rechte, die für ihre Aufgaben notwendig sind.

In der Fertigung betrifft RBAC nicht nur IT-Systeme und Passwörter. Es betrifft produktionskritische Entscheidungen: Wer darf einen Auftrag starten? Wer darf eine Rezeptur ändern? Wer darf einen Stillstandsgrund korrigieren? Wer darf eine Qualitätsfreigabe erteilen? Wer darf OEE-Berichte exportieren? Wer darf ein Dashboard konfigurieren?

Wenn diese Fragen nicht systematisch beantwortet sind, passieren zwei Dinge: Entweder hat jeder Zugriff auf alles (Risiko: unkontrollierte Änderungen, Audit-Findings, Bedienfehler) oder der Zugriff ist so restriktiv, dass die tägliche Arbeit behindert wird (Risiko: Workarounds, geteilte Passwörter, Umgehung des Systems). Beides ist schlecht. RBAC löst beide Probleme gleichzeitig.

Warum RBAC in der Fertigung anders funktioniert als in der IT

In der klassischen IT bedeutet RBAC: Wer darf welche Dateien öffnen, welche Software starten, welche E-Mails lesen. In der Fertigung geht es um physische Konsequenzen: Falsch gesetzte Maschinenparameter erzeugen Ausschuss. Unautorisierte Rezepturänderungen gefährden die Produktqualität. Versehentliche Auftragsfreigaben verursachen Materialverschwendung. Nicht dokumentierte Stillstandskorrekturen verfälschen die OEE.

Typische Rollen in einem MES

In der Praxis hat ein Werk mit 50-200 MES-Benutzern typischerweise 5-8 Rollen. Bei Multi-Werk-Rollouts kommt eine zusätzliche Dimension hinzu: Welche Rolle sieht welche Werke? Ein Produktionsleiter in Werk A sieht die Daten von Werk A. Ein COO sieht alle Werke. Ein externer Dienstleister sieht nur die Maschinen, die er betreut.

RBAC im MES: Wie es technisch funktioniert

Bei SYMESTIC wird RBAC auf mehreren Ebenen umgesetzt: Unbegrenzte Benutzeranzahl in allen Paketen, Azure Active Directory Integration im Enterprise-Paket für Single Sign-On und zentrale Benutzerverwaltung, Login Control am Shopfloor-Client über elektronisches Schlüsselsystem (EKS), Login-Dialog oder Barcode-Scan mit Autorisierungsprüfung und benutzerspezifischer Sprache, und Operator-Level-Dokumentation in der Traceability (jedes Teil wird mit Bediener und Security Level erfasst).

RBAC und Compliance in der Fertigung

In regulierten Industrien verlangen Normen und Auditoren, dass nur autorisierte Personen produktionsrelevante Daten ändern oder freigeben dürfen. RBAC ist die technische Grundlage dafür:

Bei Klocke hat SYMESTIC den Einsatz im regulierten GMP-Umfeld ermöglicht: Erfassung von Stückzahlen und Stillständen über DI-Gateway, unidirektionale Anbindung an das Navision ERP, und rollenbasierter Zugriff, der sicherstellt, dass nur autorisierte Personen produktionsrelevante Daten sehen und ändern können. Die Skalierung innerhalb von nur 3 Wochen auf alle Linien am Standort Weingarten zeigt, dass RBAC bei SYMESTIC kein Implementierungsaufwand ist, sondern in der Plattform eingebaut.

RBAC bei Multi-Werk-Rollouts

Die eigentliche Komplexität von RBAC entsteht nicht im Einzelwerk, sondern beim Multi-Werk-Rollout. Wenn dasselbe MES in 3, 5 oder 10 Werken läuft, braucht das Rollenmodell eine zusätzliche Dimension: den Datenscope.

Bei Meleghy Automotive hat SYMESTIC das MES innerhalb von 6 Monaten auf 6 Werke skaliert (Wilnsdorf, Gera, Brandys CZ, Bernsbach, Reinsdorf, Miskolc HU). Jedes Werk hat lokale Rollen (Bediener, Schichtführer, Werksleiter), und die Konzernleitung hat werksübergreifenden Zugriff auf OEE-Vergleiche und Konzern-KPIs. Der modulare Baukasten ermöglicht eigenständige Skalierung durch Meleghy, ohne dass bei jedem neuen Werk die Rollendefinition von Grund auf neu erstellt werden muss.

Bei Carcoustics wurde die Skalierung auf 500+ Anlagen in allen Werken (Deutschland, Polen, Slowakei, Tschechien, Mexiko, USA, China) umgesetzt. "Konzernweite Analyse zu Performance Kennzahlen" funktioniert nur, wenn das RBAC-Modell sauber definiert ist: Jedes Werk verwaltet seine lokalen Benutzer, die Konzernebene hat lesenden Zugriff auf alle Werke.

Typische Fehler beim RBAC in der Fertigung

Fehler 1: Jeder hat Admin-Rechte. Um Reibung zu vermeiden, bekommen alle Benutzer volle Rechte. Konsequenz: Bediener ändern versehentlich Rezepturen, Stillstandsgründe werden überschrieben, Audit-Findings bei jeder Prüfung. Die Lösung: 5-8 sauber definierte Rollen statt einer Einheitsrolle.

Fehler 2: Geteilte Logins. Ein Login pro Schicht statt pro Person. "Bediener_Frühschicht" statt "Max Müller". Konsequenz: Keine Nachvollziehbarkeit. Im Rückruffall nicht rekonstruierbar, wer welche Freigabe erteilt hat. In regulierten Umgebungen ein schweres Finding.

Fehler 3: RBAC nur in der IT, nicht am Shopfloor. Die ERP-Berechtigungen sind sauber definiert, aber am MES-Shopfloor-Client kann jeder alles. Das ist der kritische Punkt: Am Shopfloor werden die produktionsrelevanten Entscheidungen getroffen.

Fehler 4: Rollen nie überprüft. Ein Mitarbeiter wechselt von der Instandhaltung in die Qualität, behält aber seine alten Rechte. Über Jahre sammeln sich Berechtigungen an. Die Lösung: Vierteljährlicher Review der Rollenzuweisungen.

Fehler 5: Kein Audit-Trail. Das System hat Rollen, aber dokumentiert nicht, wer was wann geändert hat. Bei einem Qualitätsproblem ist nicht rekonstruierbar, welcher Benutzer welche Änderung vorgenommen hat. RBAC ohne Audit-Trail ist wirkungslos.

Häufige Fragen zum Rollen- und Rechtemanagement

Was ist der Unterschied zwischen RBAC und individuellen Berechtigungen?

Bei individuellen Berechtigungen wird jedem Benutzer direkt zugewiesen, was er darf. Bei 100 Benutzern sind das 100 individuelle Konfigurationen. Bei RBAC werden Rollen definiert (z.B. "Bediener", "Qualität", "Instandhaltung"), und jeder Benutzer wird einer Rolle zugewiesen. Neue Mitarbeiter bekommen sofort die richtigen Rechte, indem sie einer Rolle zugeordnet werden. Änderungen an einer Rolle wirken sofort für alle Benutzer dieser Rolle. RBAC ist wartbar, individuelle Berechtigungen nicht.

Wie funktioniert Login am Shopfloor, wenn Bediener Handschuhe tragen?

Moderne MES-Systeme bieten mehrere Login-Methoden für den Shopfloor: elektronische Schlüsselsysteme (EKS), Barcode-Scan des Mitarbeiterausweises, RFID-Badge oder einfacher Login-Dialog mit großen Tasten. Welche Methode passt, hängt von der Umgebung ab. In sauberen Montagelinien funktioniert ein Badge. In öligen Metallbearbeitungsumgebungen ist ein EKS robuster. Das MES muss alle Varianten unterstützen.

Brauche ich RBAC auch in einem kleinen Werk mit 20 Benutzern?

Ja, aber mit weniger Komplexität. Auch in einem kleinen Werk sollten mindestens drei Rollen existieren: Bediener (Shopfloor-Funktionen), Engineering/KVP (Konfiguration, Analyse), und Admin (Benutzerverwaltung). Das verhindert, dass der Bediener versehentlich Stammdaten ändert, und stellt sicher, dass bei Audits die Verantwortlichkeiten dokumentiert sind.

Wie funktioniert RBAC bei Multi-Werk-Rollouts?

Bei Multi-Werk-Rollouts wird das Rollenmodell um den Datenscope erweitert: Dieselbe Rolle "Produktionsleiter" existiert in jedem Werk, aber der Datenscope ist auf das jeweilige Werk begrenzt. Konzernrollen (COO, KVP-Manager) haben werksübergreifenden Zugriff. Cloud-native MES-Systeme mit zentraler Benutzerverwaltung (z.B. Azure Active Directory) machen das technisch einfach, weil Benutzer und Rollen zentral verwaltet und werksspezifisch zugewiesen werden.

Welche Verbindung besteht zwischen RBAC und Rückverfolgbarkeit?

Direkte Verbindung. Wenn das MES bei jedem Produktionsschritt den Bediener mit Rolle und Security Level dokumentiert, entsteht eine teilebezogene Benutzerhistorie: Welcher Bediener hat an welcher Station welches Teil bearbeitet, mit welcher Qualifikation, zu welchem Zeitpunkt. Im Rückruffall oder bei Qualitätsproblemen ist das der Nachweis, dass die richtige Person mit der richtigen Berechtigung die richtige Aktion ausgeführt hat.

Über den Autor:

Mark Kobbert

CTO der symestic GmbH. Verantwortet die Cloud-MES-Architektur seit 2014. B.Sc. Wirtschaftsinformatik.
LinkedIn