9.3 Genehmigungen und Freigabeverfahren

Kurz erklärt

Nicht jeder Service Request darf sofort ausgeführt werden.

Viele Leistungen verursachen Kosten, verändern Berechtigungen oder beeinflussen Sicherheit und Compliance.

Deshalb benötigen bestimmte Requests vor der Bearbeitung eine oder mehrere Genehmigungen.

Ziel ist es, Risiken zu reduzieren, Verantwortlichkeiten eindeutig festzulegen und gleichzeitig unnötige Wartezeiten zu vermeiden.

Warum Genehmigungen notwendig sind

Genehmigungen stellen sicher, dass eine angeforderte Leistung berechtigt, sinnvoll und zulässig ist.

Sie helfen dabei:

unberechtigte Zugriffe zu verhindern,

Kosten zu kontrollieren,

Sicherheitsrichtlinien einzuhalten,

gesetzliche Vorgaben umzusetzen,

Verantwortlichkeiten nachzuweisen,

Änderungen nachvollziehbar zu dokumentieren.

Eine Genehmigung bedeutet dabei nicht automatisch eine lange Bearbeitungszeit.

Gut definierte Standardprozesse können Genehmigungen weitgehend automatisieren.

Was ist eine Genehmigung?

Eine Genehmigung ist die formelle Zustimmung einer berechtigten Person oder Stelle zur Durchführung eines Service Requests.

Die Genehmigung bestätigt beispielsweise:

der Benutzer darf die Leistung erhalten,

Budget steht zur Verfügung,

Sicherheitsanforderungen sind erfüllt,

Unternehmensrichtlinien werden eingehalten,

Risiken sind akzeptiert.

Erst danach beginnt – sofern erforderlich – die eigentliche Bearbeitung.

Nicht jeder Request benötigt eine Genehmigung

Viele Standardleistungen können ohne zusätzliche Freigabe bereitgestellt werden.

Beispiele:

Passwort zurücksetzen

Entsperren eines Benutzerkontos

Abrufen eines Knowledge-Artikels

Installation bereits freigegebener Standardsoftware

Download eines Druckertreibers

Hier würde eine zusätzliche Genehmigung lediglich den Prozess unnötig verzögern.

Wann Genehmigungen sinnvoll sind

Eine Genehmigung ist häufig erforderlich bei:

neuer Software

kostenpflichtigen Lizenzen

zusätzlicher Hardware

erweiterten Berechtigungen

Administratorrechten

VPN-Zugängen

Cloud-Ressourcen

neuen Benutzerkonten

Zugriff auf sensible Daten

Änderungen an sicherheitskritischen Systemen

Je höher Risiko oder Kosten, desto wichtiger wird eine Freigabe.

Typische Genehmigungsstellen

Je nach Organisation können unterschiedliche Stellen beteiligt sein.

Beispiele:

Anfrage	Genehmigung
Notebook	Vorgesetzter
Softwarelizenz	Lizenzmanagement
Administratorrechte	Informationssicherheit
SAP-Berechtigung	Fachbereich
Cloud-Ressourcen	Kostenstellenverantwortlicher
VPN-Zugang	Vorgesetzter oder IT-Sicherheit
Mobiltelefon	Einkauf oder Kostenstelle

Die zuständige Stelle sollte im Request Model eindeutig definiert sein.

Einfacher Genehmigungsprozess

Ein typischer Ablauf:

Benutzer stellt Request
          │
          ▼
Genehmigung erforderlich?
          │
     ┌────┴────┐
     │         │
    Nein      Ja
     │         │
     ▼         ▼
Bearbeitung   Genehmigung
     │         │
     └────┬────┘
          ▼
Bereitstellung
          │
          ▼
Request schließen

Nicht jeder Request durchläuft denselben Ablauf.

Mehrstufige Genehmigungen

Komplexere Requests können mehrere Freigaben benötigen.

Beispiel:

Ein Administratorzugang wird beantragt.

Mögliche Reihenfolge:

Vorgesetzter

Informationssicherheit

Systemverantwortlicher

Erst nach allen Genehmigungen beginnt die technische Umsetzung.

Parallele Genehmigungen

Nicht alle Freigaben müssen nacheinander erfolgen.

Sind Genehmigungen unabhängig voneinander, können sie parallel eingeholt werden.

Vorteile:

kürzere Bearbeitungszeit,

weniger Wartezeiten,

bessere Planbarkeit.

Dies wird von vielen ITSM-Systemen unterstützt.

Genehmigungsregeln

Ein Request Model sollte eindeutig festlegen:

Wer genehmigt?

Wann wird genehmigt?

Welche Kriterien gelten?

Wann entfällt eine Genehmigung?

Was passiert bei einer Ablehnung?

Gibt es Vertretungsregelungen?

Welche Fristen gelten?

Klare Regeln vermeiden Rückfragen und Verzögerungen.

Genehmigung ist keine technische Prüfung

Die Genehmigung beantwortet in erster Linie organisatorische Fragen.

Beispiele:

Ist die Software notwendig?

Ist Budget vorhanden?

Darf der Benutzer den Zugriff erhalten?

Ist die Anfrage nachvollziehbar?

Die technische Umsetzung erfolgt anschließend durch die zuständigen IT-Teams.

Ablehnung eines Requests

Nicht jeder Request wird genehmigt.

Mögliche Gründe:

fehlendes Budget,

unzureichende Begründung,

Sicherheitsrisiko,

fehlende Berechtigung,

Lizenz nicht verfügbar,

Richtlinie verbietet die Leistung,

falscher Antrag.

Eine Ablehnung sollte dokumentiert und nachvollziehbar begründet werden.

Vertretungsregelungen

Genehmigungen dürfen nicht von einzelnen Personen abhängig sein.

Deshalb sollten Vertretungen definiert werden.

Beispiele:

Abwesenheit wegen Urlaub,

Krankheit,

Dienstreise,

organisatorische Änderungen.

Fehlende Vertretungen führen häufig zu langen Bearbeitungszeiten.

Fristen für Genehmigungen

Viele Organisationen definieren Zielzeiten.

Beispiele:

Genehmigung	Zielzeit
Vorgesetzter	1 Arbeitstag
Lizenzmanagement	4 Stunden
Informationssicherheit	2 Arbeitstage
Einkauf	3 Arbeitstage

Werden Fristen überschritten, kann eine Erinnerung oder Eskalation erfolgen.

Automatische Genehmigungen

Einige Requests können automatisch genehmigt werden.

Beispiele:

Standardsoftware innerhalb einer Abteilung

zweiter Monitor nach Unternehmensrichtlinie

Passwort zurücksetzen

Druckertreiber installieren

Voraussetzung ist, dass alle Regeln bereits definiert wurden.

Bedingte Genehmigungen

Manche Genehmigungen hängen von Bedingungen ab.

Beispiele:

Hardwarewert über 1.000 Euro

Administratorrechte länger als 24 Stunden

Zugriff auf personenbezogene Daten

Software außerhalb des Standardportfolios

Sind die Bedingungen nicht erfüllt, entfällt die zusätzliche Freigabe.

Genehmigungen dokumentieren

Jede Genehmigung sollte nachvollziehbar gespeichert werden.

Typische Informationen:

Genehmiger

Datum

Entscheidung

Bemerkung

Version des Requests

eventuelle Auflagen

Dadurch bleibt später nachvollziehbar, warum eine Leistung bereitgestellt wurde.

Genehmigungen und Compliance

Viele gesetzliche oder interne Vorgaben verlangen dokumentierte Genehmigungen.

Beispiele:

ISO/IEC 27001

Datenschutz

Informationssicherheitsrichtlinien

interne Compliance-Vorgaben

Lizenzmanagement

Finanzvorgaben

Eine fehlende Dokumentation kann später zu Problemen bei Audits führen.

Genehmigungen und Least Privilege

Das Prinzip der minimalen Berechtigung spielt eine wichtige Rolle.

Benutzer sollen nur die Rechte erhalten,

die sie tatsächlich benötigen.

Deshalb benötigen insbesondere folgende Requests häufig zusätzliche Genehmigungen:

Administratorrechte

Datenbankzugriffe

Domänenadministration

Firewall-Änderungen

Cloud-Administrationsrechte

Zugriff auf personenbezogene Daten

Temporäre Berechtigungen

Nicht jede Berechtigung muss dauerhaft vergeben werden.

Beispiele:

Administratorrechte für einen Tag

Projektzugriff für vier Wochen

Testumgebung bis Projektende

externer Zugriff bis Wartungsende

Nach Ablauf sollte die Berechtigung automatisch entzogen werden.

Genehmigungen regelmäßig überprüfen

Genehmigungsprozesse sollten regelmäßig bewertet werden.

Fragen dabei:

Gibt es unnötige Freigaben?

Entstehen lange Wartezeiten?

Werden Genehmigungen häufig abgelehnt?

Können Schritte automatisiert werden?

Stimmen Verantwortlichkeiten noch?

Haben sich Richtlinien geändert?

Ein effizienter Prozess schützt die Organisation, ohne die Benutzer unnötig auszubremsen.

Praxisbeispiel

Ein Entwickler benötigt Administratorrechte auf seinem Notebook.

Der Ablauf:

Entwickler stellt Request.

Vorgesetzter bestätigt die Notwendigkeit.

Informationssicherheit prüft das Risiko.

IT vergibt die Berechtigung.

Die Rechte gelten nur für zwei Wochen.

Nach Ablauf werden sie automatisch entfernt.

So bleiben Sicherheit und Nachvollziehbarkeit gewährleistet.

Typische Fehler

Fehler 1

Jeder Request benötigt dieselben Genehmigungen.

Fehler 2

Genehmigungen sind nicht dokumentiert.

Fehler 3

Vertretungen fehlen.

Fehler 4

Genehmigungen verzögern Standardleistungen unnötig.

Fehler 5

Ablehnungen werden nicht begründet.

Fehler 6

Administratorrechte werden dauerhaft vergeben.

Fehler 7

Genehmigungsregeln sind unklar.

Fehler 8

Abgelaufene Berechtigungen werden nicht entfernt.

Fehler 9

Genehmigungen erfolgen außerhalb des ITSM-Systems und sind später nicht nachvollziehbar.

Fehler 10

Genehmigungsprozesse werden nie überprüft oder verbessert.

Checkliste Genehmigungen

Checkliste Berechtigungs-Requests

Benutzer eindeutig identifiziert

Berechtigung notwendig

Least-Privilege-Prinzip eingehalten

Genehmigung dokumentiert

Ablaufdatum definiert (falls erforderlich)

Protokollierung aktiviert

regelmäßige Überprüfung geplant

Entzug nach Ablauf vorgesehen

Bedeutung für Fachinformatiker für Systemintegration

Fachinformatiker setzen viele genehmigte Service Requests technisch um.

Typische Aufgaben:

Benutzerkonten erstellen,

Gruppenberechtigungen vergeben,

Administratorrechte einrichten,

Software bereitstellen,

Hardware ausgeben,

Dokumentationen pflegen,

Genehmigungen prüfen,

zeitlich begrenzte Berechtigungen verwalten.

Dabei müssen technische Umsetzung und dokumentierte Genehmigung immer zusammenpassen.

Zusammenfassung

Benutzer stellt Request

↓

Genehmigung erforderlich?

↓

Genehmiger prüfen Anfrage

↓

Freigabe oder Ablehnung

↓

Bereitstellung der Leistung

↓

Dokumentation

↓

Benutzer informieren

↓

Request abschließen

Merksätze

Nicht jeder Service Request benötigt eine Genehmigung.

Genehmigungen schützen Sicherheit, Budget und Compliance.

Standardleistungen sollten möglichst automatisiert freigegeben werden.

Administratorrechte sollten zeitlich begrenzt vergeben werden.

Genehmigungen müssen nachvollziehbar dokumentiert sein.

Verwandte Seiten

9.1 Ziele und Grundlagen des Service Request Management

9.2 Request Model und Standard Requests

9.4 Erfüllung, Automatisierung und Self-Service

9.5 Zusammenspiel mit Incident, Change, Knowledge und Service Level Management

Information Security Management

Service Level Management

Knowledge Management

Quellen und Versionsstand

Offizielle Grundlagen

PeopleCert – ITIL Practice Guide: Service Request Management

PeopleCert – ITIL Practice Guide: Information Security Management

ITIL Foundation – Version 5

Einordnung

Die dargestellten Genehmigungsprozesse, Beispiele und Rollen sind herstellerneutrale Praxisempfehlungen. ITIL schreibt keine festen Genehmigungsstufen oder Freigabeworkflows vor. Organisationen definieren diese anhand ihrer Sicherheitsrichtlinien, Compliance-Anforderungen und Geschäftsprozesse.

Behandelter Framework-Stand: ITIL Version 5
Zusätzlich berücksichtigt: aktuelle ITIL-4-Practice-Guidance
Fachlicher Stand: August 2026