Prozessautomatisierung · RPA
RPA Governance
Strukturiertes Governance-Framework für RPA-Bots: Identitätsmanagement, Least-Privilege-Prinzip, 2FA, Secrets-Management, SIEM-Monitoring und Incident Response.
Hinweis: Diese Seite ist eine Umsetzungshilfe und ersetzt keine Rechtsberatung oder verbindliche aufsichtsrechtliche Auslegung.
Management-Zusammenfassung
- RPA-Bots benötigen eigene Identitäten mit Least-Privilege-Prinzip und 2FA.
- Keine Secrets (Passwörter, API Keys, Zertifikate) in Bot-Skripten oder Konfigurationsdateien.
- SIEM-Monitoring, Incident-Response und regelmäßige Code-Reviews sind verbindlich.
Governance-Register
| Feld | Anforderung | Status |
|---|---|---|
| Bot-Identitätsmanagement | Jeder Bot erhält eine eigene, nicht-personalisierte Identität (Service Account) mit eindeutiger ID und Purpose-Dokumentation. | Pflicht |
| Least Privilege | Bots erhalten ausschließlich die minimal notwendigen Berechtigungen für ihre Aufgabe. Regelmäßige Berechtigungsreviews (90-Tage-Zyklus). | Pflicht |
| Zwei-Faktor-Authentifizierung | Bot-Konten mit erhöhten Berechtigungen benötigen 2FA, entweder über Zertifikate (mTLS) oder Hardware-Token. | Pflicht |
| Keine Secrets in Skripten | Passwörter, API Keys, Zertifikate und andere Secrets werden ausschließlich über einen Secrets-Manager (Vault, HSM, KMS) bezogen. | Pflicht |
| SIEM-Monitoring | Alle Bot-Aktivitäten werden protokolliert und in das zentrale SIEM eingespeist. Alerting bei Anomalien und fehlgeschlagenen Ausführungen. | Pflicht |
| Incident Response | Definierter Incident-Response-Prozess für Bot-Fehlverhalten, inklusive Sofort-Stopp, Forensik und Root-Cause-Analyse. | Pflicht |
| Code-Reviews | Jeder Bot durchläuft vor Produktivsetzung ein verbindliches Code-Review durch eine zweite qualifizierte Person (Vier-Augen-Prinzip). | Pflicht |
| Schulung und Training | RPA-Entwickler erhalten verpflichtende Sicherheitsschulungen zu Secrets-Management, Least-Privilege und sicherem Coding. | Empfohlen |