Vier-Augen-Prinzip: Warum zwei Freigaben noch keine Kontrolle sind

Ein Mitarbeiter ändert die Bankverbindung eines Lieferanten. Eine Kollegin gibt die Änderung frei. Zwei Namen stehen im Protokoll, der Vorgang ist erledigt. Wenige Tage später stellt sich heraus, dass die neue Kontonummer nicht zum Lieferanten gehörte.

Der Fall ist hypothetisch. Er zeigt aber ein sehr reales Problem im Kontrollalltag: Das Vier-Augen-Prinzip kann technisch vollständig eingehalten werden, obwohl niemand den kritischen Sachverhalt geprüft hat. Zwei Beteiligte ergeben noch keine wirksame zweite Kontrolle.

Was die zweiten Augen eigentlich leisten sollen

Das Vier-Augen-Prinzip soll eine Entscheidung oder Veränderung einer zweiten, geeigneten Person zur Prüfung vorlegen. Eng verwandt ist die Funktionstrennung: Wer einen kritischen Vorgang auslöst, soll nicht zugleich allein über dessen Freigabe und Ausführung bestimmen können. Der Sicherheitskontrollkatalog NIST SP 800-53 behandelt diese Trennung unter AC-5 „Separation of Duties“. Er verlangt im jeweiligen Anwendungskontext, zu trennende Aufgaben zu identifizieren und Berechtigungen entsprechend zu gestalten.

Das ist zunächst eine Architekturentscheidung. Sie regelt, wer etwas darf. Ob die zweite Person einen Fehler tatsächlich bemerkt, steht auf einem anderen Blatt. Die beiden Fragen werden im Alltag erstaunlich oft vermischt: Ist die Kontrolle eingerichtet? Und funktioniert sie?

NIST trennt in seiner ergänzenden Publikation SP 800-53A genau zwischen dem Vorhandensein von Sicherheitskontrollen und der Bewertung ihrer Umsetzung beziehungsweise Wirksamkeit. Ein aktivierter Freigabeschritt beantwortet daher noch nicht, wie zuverlässig der Schritt Risiken begrenzt. Aus dem NIST-Katalog folgt übrigens keine allgemeine gesetzliche Pflicht für jedes Unternehmen, jede Entscheidung doppelt unterschreiben zu lassen.

Die Unterschrift dokumentiert eine Entscheidung. Nicht ihren Inhalt.

Ein Freigabelog kann belegen, dass Person B am Dienstag um 10:42 Uhr auf „Genehmigen“ geklickt hat. Es sagt für sich genommen wenig darüber aus, was B gesehen oder verglichen hat. Waren die ursprünglichen Rechnungsdaten einsehbar? Lag eine unabhängige Rückbestätigung der neuen Bankverbindung vor? War erkennbar, was sich gegenüber der freigegebenen Vorversion geändert hatte?

Das Problem ist aus dem internen Kontrollsystem bekannt. Eine Fachanalyse in der Zeitschrift BC beschreibt Konstellationen, in denen die zweite Person nur unterschreibt oder ihr das Fachwissen für eine materielle Prüfung fehlt. Die formale Funktionstrennung ist dann vorhanden, der beabsichtigte Kontrollgewinn aber fraglich. Der Beitrag ist eine fachliche Einordnung, keine experimentelle Messung einer allgemeinen Fehlerquote.

Der Unterschied liegt nicht im Design des Buttons, sondern in der Aufgabe davor. Ein sinnvoller Workflow beschreibt deshalb nicht bloß, wer genehmigt, sondern auch, was diese Person anhand welcher Informationen feststellen soll.

Eine gute Freigabe braucht einen eigenen Prüfauftrag

Bei der Änderung einer Bankverbindung kann das beispielsweise der Abgleich mit einer bereits bekannten Kontaktstelle sein. Bei einer neuen Arbeitsanweisung geht es um fachliche Richtigkeit, Gültigkeit und Freigabeberechtigung. Bei einer verpflichtenden Schulung kann die entscheidende Frage lauten, ob Inhalt, Zielgruppe und Nachweisregeln zur aktuellen Anforderung passen. Das sind unterschiedliche Risiken. Deshalb sollten auch die Prüfaufträge unterschiedlich aussehen.

Eine zweite Person muss dafür den relevanten Ausgangsstand sehen können. Sonst prüft sie nur die Zusammenfassung, die der Antragsteller selbst geschrieben hat. Besonders kritisch wird es, wenn eine Freigabe für einen bestimmten Inhalt erteilt wurde, dieser danach aber noch verändert werden kann. Dann beziehen sich Prüfung und ausgeführter Vorgang möglicherweise auf verschiedene Versionen.

Praktisch gehört zur Kontrolle daher eine stabile Referenz: Welcher Stand wurde eingereicht, welcher Stand genehmigt und welche Fassung anschließend wirksam? Wer geregelte Dokumente und Arbeitsanweisungen verwaltet, kennt diesen Unterschied aus der Dokumentenlenkung von SOPs. Eine bloße Ablage oder eine einzelne Bestätigung ersetzt dort ebenfalls keine nachvollziehbare Version.

Genauso wichtig ist das Recht zum Nein. Wenn die prüfende Person eine Freigabe nur verzögern, aber nicht wirklich zurückweisen kann, handelt es sich eher um eine Benachrichtigung als um Kontrolle. Ein belastbarer Prozess definiert Rückfragen, Ablehnungsgründe und den Weg zur Korrektur, bevor eine Aktion endgültig ausgeführt wird.

Unabhängigkeit ist mehr als ein anderer Benutzeraccount

Eine zweite Anmeldung garantiert keine zweite Perspektive. Wenn die Prüferin direkt für die beantragende Person arbeitet, die Änderung fachlich nicht versteht oder im Alltag unter massivem Zeitdruck steht, kann sie sich auf deren Vorarbeit verlassen. Das ist menschlich nachvollziehbar. Für den Kontrollzweck kann es fatal sein.

Hier hilft die Unterscheidung zwischen laufender Prozesskontrolle und unabhängiger Prüfung. Das Institute of Internal Auditors (IIA) hat sein Three Lines Model im Juli 2026 aktualisiert. Es beschreibt verschiedene Rollen bei Risikosteuerung, Unterstützung und unabhängiger Prüfung. Eine zweite operative Freigabe innerhalb eines Teams ist damit nicht automatisch eine unabhängige Revision. Beides kann sinnvoll sein, erfüllt aber unterschiedliche Aufgaben.

Für den Freigabeschritt selbst sind drei Fragen nützlich: Ist die prüfende Person fachlich in der Lage, Abweichungen zu erkennen? Darf sie unabhängig vom Antragsteller entscheiden? Und entsteht ihr ein realistischer zeitlicher Rahmen für die Prüfung? Fehlt eine dieser Voraussetzungen, sollte der Prozess nicht allein auf der zweiten Unterschrift beruhen.

Wo zwei Freigaben zu viel sind

Es wäre allerdings falsch, daraus eine Pflicht zur doppelten Prüfung jedes Arbeitsschritts abzuleiten. Jede zusätzliche Freigabe kostet Aufmerksamkeit und Zeit. Bei häufigen, risikoarmen Routinevorgängen kann sie Menschen mit Anträgen überfluten, deren Inhalt sie bald nur noch überfliegen. Diese mögliche Gewöhnung lässt sich nicht mit einer pauschalen Schwelle für „zu viele Genehmigungen“ beziffern. Sie muss am konkreten Prozess untersucht werden.

Eine strengere Kontrolle ist vor allem dort plausibel, wo ein Fehler schwer rückgängig zu machen ist, unbemerkt bleibt oder erheblichen Schaden auslösen kann: etwa bei Berechtigungen mit hohem Zugriff, Stammdaten mit Zahlungswirkung oder der verbindlichen Freigabe sicherheitskritischer Anweisungen. Andere Vorgänge lassen sich möglicherweise besser durch automatische Plausibilitätsprüfungen, Grenzwerte, Stichproben oder nachgelagerte Kontrollen absichern.

Auch Personalmangel ist ein ernsthafter Einwand. Kleine Teams können Funktionen nicht beliebig aufteilen. Das macht Funktionstrennung nicht sinnlos, verlangt aber Ersatz- oder ergänzende Maßnahmen, deren Eignung vom Risiko abhängt. Eine automatische Sperre gegen Selbstfreigabe, dokumentierte Stichproben durch eine andere Rolle und eine klar geregelte Ausnahme können sinnvoller sein als ein zweiter Pflichtklick ohne Fachprüfung. Das ist eine Gestaltungsempfehlung, kein Nachweis, dass diese Kombination in jedem Unternehmen gleich gut wirkt.

Die Ausnahme ist Teil des Kontrollsystems

Was passiert, wenn die zweite Person krank ist oder eine Freigabe außerhalb der Geschäftszeiten dringend gebraucht wird? Ein Prozess ohne Antwort darauf provoziert informelle Abkürzungen. Deshalb gehören Vertretungsregeln, zeitlich begrenzte Sonderberechtigungen und eine spätere unabhängige Sichtung von Ausnahmen zum Design.

Besonders gefährlich ist die stille Ausnahme: Ein Administrator überspringt die Freigabe, weil es technisch möglich ist, und der Vorgang verschwindet im normalen Protokoll. Eine kontrollierte Ausnahme benennt dagegen den Grund, die verantwortliche Person, die tatsächlich ausgelöste Aktion und die erforderliche Nachprüfung. Die Ausnahme darf nicht heimlich zum neuen Standardprozess werden.

Wie man prüft, ob die Kontrolle etwas bringt

Die Zahl genehmigter Anträge ist dafür ein schwacher Indikator. Selbst hundert Prozent dokumentierte Freigaben beweisen nur, dass das Verfahren benutzt wurde. Aussagekräftiger ist eine Stichprobe abgeschlossener Fälle: Konnten die Prüfer die entscheidende Abweichung sehen? Gibt es nachvollziehbare Rückfragen oder Ablehnungen? Wurden nach der Freigabe noch Änderungen vorgenommen? Sind Ausnahmefälle sichtbar und später geprüft worden?

Für eine solche Stichprobe braucht es keinen künstlichen Erfolgsprozentsatz. Oft reicht zunächst die qualitative Rekonstruktion weniger kritischer Vorgänge. Wenn sich bei keinem Fall feststellen lässt, was die zweite Person überhaupt kontrollieren sollte, liegt das Problem bereits im Design. Wenn Ablehnungen ausbleiben, ist das dagegen allein noch kein Beweis für eine unwirksame Kontrolle: Möglicherweise waren die eingereichten Vorgänge schlicht korrekt.

Die nützlichste Kontrollfrage lautet deshalb nicht: „Haben zwei Personen unterschrieben?“ Sondern: „Welchen konkreten Fehler hätte die zweite Person erkennen und verhindern können – und was im Prozess hätte ihr dabei geholfen?“ Wer darauf keine Antwort findet, hat vermutlich einen Freigabeschritt. Ob er eine Kontrolle hat, bleibt offen.