Kurz gesagt: Ein Berechtigungskonzept legt fest, wer in der Lernplattform was sehen und ändern darf. Für die meisten Organisationen reichen drei Bausteine: wenige Rollen, Gruppen je Kurs oder Jahrgang und Rechte je Inhalt. Vergeben Sie Rechte so knapp wie möglich und prüfen Sie sie regelmäßig, spätestens nach jedem Kursende.
Warum Lernplattformen ein Berechtigungskonzept brauchen
In einer Lernplattform liegen Kursunterlagen, Prüfungsfragen und Ergebnisse von Lernenden. Nicht jeder soll alles sehen: Prüfungsfragen gehören nicht in die Hände der Prüflinge, Ergebnisse nicht in die ganze Organisation. Die DSGVO verlangt, dass personenbezogene Daten durch Voreinstellungen nicht einer unbestimmten Zahl von Personen zugänglich werden (Art. 25 DSGVO). Das BSI empfiehlt, Rechte nur so zu vergeben, wie es für die jeweilige Aufgabe notwendig ist, und die Dokumentation der Rechte mindestens alle sechs Monate zu prüfen (BSI, Umsetzungshinweise zu ORP.4).
Die drei Bausteine
Rollen: Sie bündeln Rechte nach Aufgabe, etwa Lernende, Autorinnen und Autoren sowie Administration. Wenige Rollen sind leichter zu überblicken als viele Sonderfälle.
Gruppen: Sie bündeln Personen, etwa alle Teilnehmenden eines Lehrgangs oder Jahrgangs. Rechte gehen an die Gruppe statt an jede einzelne Person.
Rechte je Inhalt: Für jeden Kurs oder jede Lerneinheit wird festgelegt, wer lesen und wer bearbeiten darf.
Lese- und Bearbeitungsrechte trennen
Leserechte erlauben, Inhalte zu nutzen. Bearbeitungsrechte erlauben, sie zu ändern oder zu löschen. Lernende brauchen fast immer nur Leserechte, Bearbeitungsrechte gehören zu den wenigen Personen, die einen Kurs pflegen. Ein häufiger Fehler sind Bearbeitungsrechte für alle Lehrenden, weil es bequem ist: Dann kann jede Person jede Prüfung ändern, und später lässt sich kaum nachvollziehen, wer was angepasst hat.
Ein Beispiel aus der Weiterbildung
Rollen: Teilnehmende lernen, Lehrende erstellen und pflegen Inhalte, die Verwaltung kümmert sich um Zugänge.
Gruppen: eine Gruppe je Lehrgang und Starttermin, zum Beispiel „Fachwirt Herbst 2026“.
Rechte: Jede Lerneinheit ist für die Gruppe ihres Lehrgangs lesbar, bearbeiten dürfen nur die zuständigen Lehrenden.
Kursende: Die Gruppe verliert den Zugriff, statt dass jemand Konten einzeln anpasst.
Regelmäßig prüfen
Konten ausgeschiedener Personen entfernen: Mit Single Sign-on endet der Zugang automatisch, sobald das Konto der Organisation gesperrt wird.
Gruppen nach Kursende auflösen: oder ihre Rechte entziehen, wenn die Gruppe für Nachweise bestehen bleiben soll.
Administration klein halten: Diese Rolle sieht in vielen Systemen alles, deshalb sollten nur wenige Personen sie haben.
Öffentliche Inhalte gezielt prüfen: Was ohne Anmeldung erreichbar ist, braucht einen guten Grund.
So sind Rollen und Rechte in Tarsus aufgebaut
Tarsus kennt vier Rollen. Teilnehmende nutzen Inhalte und lernen, ändern aber nichts. KI-Manager erstellen und verwalten Inhalte, Kurse und Produkte. Administratoren können alles, auch Nutzende verwalten und das Erscheinungsbild anpassen, und haben Zugriff auf alle Inhalte. Besitzer verwalten ebenfalls alles, sehen aber nur Inhalte, für die sie Rechte haben, etwa wenn jemand aus Sicherheitsgründen verwalten, aber nicht in Inhalte schauen soll.
Für jedes Nugget lassen sich Lese- und Bearbeitungsrechte getrennt vergeben: an die ganze Organisation, an Gruppen, an eine Rolle, an einzelne Personen oder nur an sich selbst. Teilnehmende erhalten nie Bearbeitungsrechte. Leserechte können auch öffentlich sein, damit ein LMS ein Nugget als Remote-SCORM-Paket anzeigen kann; ein Passwort schützt solche Inhalte zusätzlich. Gruppen lassen sich schon in Einladungen festlegen, sodass neue Teilnehmende automatisch in der richtigen Gruppe landen. Darf der KI-Lerncoach Fragen auch mit Wissen aus anderen Nuggets beantworten, berücksichtigt er nur Nuggets, für die die jeweilige Person Leserechte hat. Den Zugriff auf Originaldokumente können Kursverantwortliche sperren, etwa aus Urheberrechtsgründen.
Häufige Fragen
Was gehört in ein Berechtigungskonzept?
Die Rollen und ihre Rechte, die Gruppen, die Zuständigkeiten für das Vergeben und Entziehen von Rechten, die Prüfintervalle und eine Dokumentation, wer wann welche Rechte erhalten hat.
Was bedeutet das Prinzip der minimalen Rechte?
Jede Person erhält nur die Rechte, die sie für ihre Aufgabe braucht, und nur so lange, wie sie sie braucht. Fachlich spricht man auch vom Need-to-know-Prinzip.
Wie oft sollte man Berechtigungen prüfen?
Das BSI nennt für die Dokumentation mindestens alle sechs Monate. Für Lernplattformen bieten sich zusätzlich feste Anlässe an: jedes Kursende und jeder Personalwechsel.
Darf eine KI auf alle Inhalte der Lernplattform zugreifen?
Sie sollte denselben Regeln folgen wie die Person, mit der sie spricht. Sonst könnte ein KI-Assistent Inhalte aus Kursen wiedergeben, die die Person gar nicht sehen darf.
