B2B-Bestellrecht getrennt vom Preiszugriff planen
Wer Firmenpreise sehen und einen Bedarf vorbereiten darf, benötigt nicht automatisch das Recht, die Bestellung abzusenden.
Die Rechteplanung eines B2B-Portals sollte mit einzelnen Tätigkeiten beginnen: Firmenpreise ansehen, einen Bedarf zusammenstellen, eine Bestellung absenden. Diese Aufgaben können bei derselben Person liegen. Aus der Anmeldung allein darf sich diese Gleichsetzung jedoch nicht ergeben.
Meine Empfehlung: Entscheiden Sie über Preiszugriff und Bestellrecht ausdrücklich, bevor Sie eine pauschale Rolle „Firmenkunde“ einführen. Sonst bekommt die Person, die lediglich ein Projekt kalkulieren soll, womöglich auch den Zugang zum Absenden von Bestellungen.
Ein Firmenkonto, unterschiedliche Aufgaben
Ein fiktiver Veranstaltungsbetrieb möchte Materialien für Messestände über ein Portal beschaffen. Die Projektplanung soll die vereinbarten Preise sehen und einen Warenkorb vorbereiten. Der Einkauf soll den Bedarf prüfen und die Bestellung absenden. Die folgende Tabelle beschreibt die gewünschte Regel dieses Beispiels, keine zugesicherte Standardfunktion eines Shopprodukts.
Zuordnung | Firmenpreise sehen | Warenkorb vorbereiten | Bestellung absenden |
|---|---|---|---|
Projektplanung der Firma | ja | ja | nein |
Einkauf der Firma | ja | ja | ja |
Ohne Zuordnung zur Firma | nein | nein | nein |
Die Projektplanung braucht einen verständlichen Weg zur Übergabe: etwa einen gespeicherten Entwurf, den der berechtigte Einkauf öffnen kann. Ein gemeinsam genutztes Passwort ersetzt diese Übergabe nicht. Vor dem Absenden muss der Einkauf die aktuelle Auswahl und die geltenden Preise sehen.
Die Plattform muss die benötigten Aktionen abbilden
Rollennamen allein reichen für die Auswahl nicht aus. Shopify beschreibt beispielsweise zwei B2B-Kundenrollen mit unterschiedlichem Umfang, die beide Bestellungen aufgeben können. Daraus lässt sich keine Rolle mit reinem Preiszugriff für unser Beispiel ableiten. Prüfen Sie beim vorgesehenen System die tatsächlichen Rechte und den unterstützten Übergabeweg; eine notwendige Erweiterung gehört in den Projektumfang.
Die Entscheidung muss auch auf dem Server gelten. Ein fehlender Bestellbutton verhindert eine direkte Anfrage nicht. OWASP empfiehlt Berechtigungsprüfungen bei jeder Anfrage. Ein geplanter Test muss daher auch zeigen, dass die Projektplanung keine Bestellung absenden kann und nach entzogenem Firmenzugriff keine geschützten Preise mehr erhält. Eine bereits geöffnete Ansicht allein ist kein Nachweis für weiterbestehende Rechte.
Wann eine gemeinsame Rolle genügt
Kauft im Kundenbetrieb eine einzige Person ein und darf sie auch Preise prüfen, Bedarf zusammenstellen und bestellen, kann eine gemeinsame Rolle passen. Zusätzliche Abstimmungsstufen ohne betrieblichen Grund würden den Einkauf erschweren. Der Maßstab ist die tatsächliche Aufgabenverteilung: Erst wenn sie feststeht, lässt sich die passende Rechtevergabe wählen.
Quellen
Weiterlesen
Alle Beiträge
E-Commerce mit ASES
Onlineshops, Marktplätze und B2B-Portale