Zugriffskontrolle: Rechte sicher vergeben

Eine Berechtigung ist die Erlaubnis, etwas Bestimmtes zu tun. Die drei Kontrollarten unterscheiden sich danach, worauf sich diese Erlaubnis bezieht.

Die Zutrittskontrolle regelt das körperliche Betreten eines geschützten Bereichs, etwa eines Computerraums. Die Zugangskontrolle regelt hier den Beginn der Nutzung eines Computers oder Informationssystems. Die Zugriffskontrolle regelt den Umgang mit Daten: Darfst du eine Datei beispielsweise lesen, schreiben, ändern oder löschen?

Diese Dreiteilung dient hier als technische Lernhilfe. Du darfst sie nicht unverändert auf Rechtsbegriffe übertragen, denn dort können die Begriffe anders abgegrenzt sein. Eine Erlaubnis auf einer Ebene ersetzt außerdem keine Erlaubnis auf einer anderen: Wer einen Raum betreten darf, darf deshalb noch keine darin gespeicherte Datei löschen.

Ein Benutzerkonto ordnet einem Benutzer eine digitale Identität zu. Bei der Authentifizierung prüft das System einen Nachweis für die behauptete Identität. In unserem vereinfachten Anmeldemodell ist ein korrekt geprüfter persönlicher Anmeldenachweis die Voraussetzung dafür, dass die Identität als bestätigt gilt.

Die Autorisierung betrifft die Berechtigung für eine Handlung: Darfst du etwa einen Text lesen, ändern oder löschen? Rechte für verschiedene Handlungen werden getrennt betrachtet. Ein Leserecht enthält deshalb kein Änderungs- oder Löschrecht.

In unserem personenbezogenen Anmeldebeispiel geschieht zuerst die Authentifizierung. Danach prüft das System bei einer gewünschten Handlung die zugehörige Berechtigung. Eine bestätigte Identität allein erlaubt diese Handlung noch nicht. Die Reihenfolge beschreibt dieses Anmeldemodell; sie ist keine Behauptung, dass jede öffentlich lesbare Information eine Anmeldung voraussetzt.

Eine Rolle bündelt Berechtigungen für eine bestimmte Funktion oder Aufgabe. Bei der rollenbasierten Zugriffskontrolle erhält ein Benutzer die Berechtigungen einer ihm zugewiesenen Rolle. Eine Rolle kann einem Benutzer oder mehreren Benutzern zugeordnet sein. Dadurch lassen sich Rechte für eine Funktion gemeinsam festlegen, statt sie für jeden Benutzer einzeln zusammenzustellen.

Das Need-to-know-Prinzip bedeutet „Kenntnis nur, wenn nötig“. Es beschreibt ein Sicherheitsziel für geheime Informationen: Auch eine grundsätzlich berechtigte Person darf Informationen nicht einsehen, wenn sie diese für ihre konkrete Aufgabe nicht unmittelbar benötigt. In unseren Beispielen gilt das Prinzip ausdrücklich auch für vertrauliche Daten, also Daten, die nicht allgemein zugänglich sind.

Eine Rolle beschreibt häufig mehrere Tätigkeiten. Deshalb können ihre technischen Berechtigungen weiter reichen als der Informationsbedarf einer einzelnen Aufgabe. Gelten Rollenrechte und Need-to-know gemeinsam, musst du beides prüfen: Erlaubt die Rolle den Zugriff, und brauchst du die Information für die konkrete Aufgabe? Need-to-know allein verschafft dir umgekehrt kein fehlendes Zugriffsrecht.

DAC steht für „Discretionary Access Control“. Gemeint ist Zugriffskontrolle mit einem Entscheidungsspielraum des Eigentümers einer Datei oder eines anderen dazu Berechtigten. Diese Person darf im vorgesehenen Rahmen bestimmen, wer welche Rechte an der Datei erhält.

MAC steht für „Mandatory Access Control“. Dabei bestimmt eine zentrale Stelle verbindliche Zugriffsregeln. Gewöhnliche Dateieigentümer dürfen diese Regeln nicht nach eigener Wahl lockern oder Rechte weitergeben, die ihnen die Richtlinie nicht zur Weitergabe erlaubt. Die zentrale Richtlinie kann jedoch ausdrücklich ausgewählten vertrauenswürdigen Benutzern besondere Rechte gewähren. Solche festgelegten Ausnahmen sind mit MAC vereinbar; sie bedeuten keine freie Entscheidung für gewöhnliche Eigentümer.

RBAC steht für „Role-Based Access Control“, also rollenbasierte Zugriffskontrolle. Die Berechtigungen für den betrachteten Zugriff ergeben sich aus der zugewiesenen Rolle. Entscheidend ist diese Zuordnung, nicht allein, dass irgendeine zentrale Stelle die Rollen verwaltet. Eine zentrale Rollenverwaltung genügt deshalb nicht als Begründung für die Einordnung als MAC.

Achte beim Vergleich auf die maßgebliche Entscheidungsgrundlage: den erlaubten Entscheidungsspielraum einer Person, eine verbindliche zentrale Richtlinie oder die Rechte einer Rolle.