Autorisierung

Was ist Autorisierung in einfachen Worten

Autorisierung ist der Prozess der Überprüfung der Zugriffsrechte eines Benutzers, nachdem er die Authentifizierung (die Bestätigung seiner Identität) erfolgreich bestanden hat. Wenn die Authentifizierung die Frage „Wer sind Sie?“ beantwortet, dann beantwortet die Autorisierung die Frage „Was dürfen Sie tun?“.

Stellen Sie sich ein Büro mit verschiedenen Räumen vor. Die Authentifizierung ist der Moment, in dem Sie am Eingang einen Ausweis vorzeigen (Sie beweisen, dass Sie ein Mitarbeiter sind). Die Autorisierung ist der Moment, in dem das System prüft, welche Räume Sie betreten dürfen: die Buchhaltung, den Serverraum oder nur Ihre eigene Abteilung. Selbst wenn Sie ein Mitarbeiter sind, können Sie unterschiedliche Rechte haben.

Lesen Sie darüber, wie die Identitätsprüfung abläuft, im Artikel Authentifizierung.

Wie die Autorisierung funktioniert

Der Autorisierungsprozess umfasst drei Hauptstufen:

1. Identitätsprüfung (bereits erfolgt): Der Benutzer hat die Authentifizierung erfolgreich bestanden.
2. Zugriffsanfrage: Der Benutzer versucht, eine Aktion auszuführen (eine Datei öffnen, eine E-Mail senden, Einstellungen ändern).
3. Rechteprüfung: Das System vergleicht die angeforderte Aktion mit den Rechten des Benutzers (Rolle, Gruppe, Zugriffsrichtlinien).
4. Erlaubnis oder Verweigerung: Wenn die Rechte vorhanden sind, wird die Aktion ausgeführt. Wenn nicht, erhält der Benutzer eine Zugriffsfehlermeldung.

Der Unterschied zwischen Autorisierung und Authentifizierung

Lesen Sie über Methoden der Identitätsbestätigung im Artikel Multi-Faktor-Authentifizierung (MFA).

Autorisierungsmodelle

• RBAC (Role-Based Access Control): Zugriff auf Basis von Rollen. Die Rechte werden nicht jedem Benutzer einzeln, sondern Rollen zugewiesen (Administrator, Manager, Mitarbeiter). Ein Benutzer erhält die Rechte seiner Rolle. Das beliebteste Modell.
• ABAC (Attribute-Based Access Control): Zugriff auf Basis von Attributen. Die Rechte hängen von den Merkmalen des Benutzers ab (Position, Abteilung, Zugriffszeit, Geolokalisierung). Ein flexibleres, aber komplexeres Modell.
• DAC (Discretionary Access Control): Diskrete Zugriffskontrolle. Der Eigentümer der Ressource entscheidet selbst, wem er Zugriff gewährt.
• MAC (Mandatory Access Control): Obligatorische Zugriffskontrolle. Die Rechte werden zentral vergeben (in der Regel in staatlichen Systemen).

Lesen Sie über die Konfiguration von Zugriffsrechten im Artikel Zugriffskontrolle.

Wo die Autorisierung verwendet wird

• Websites und Anwendungen: Bestimmung, welche Inhalte der Benutzer sieht. Ein normaler Benutzer sieht seine Seite, ein Administrator sieht das Bedienfeld.
• Unternehmenssysteme: Zugriff auf Dokumente, Ordner, Programme. Ein Buchhalter sieht die Finanzen, ein Entwickler sieht den Code.
• Cloud-Dienste: Abgrenzung des Zugriffs auf Cloud-Speicher, Projekte, Datenbanken.
• API: Prüfung der Zugriffsrechte auf Endpunkte (zum Beispiel ist eine öffentliche API für alle verfügbar, eine private nur für autorisierte Benutzer).
• Betriebssysteme: Rechte zum Lesen, Schreiben und Ausführen von Dateien.

Beispiel für Autorisierung im Alltag

Sie melden sich im Unternehmensportal an:

1. Identifikation: Sie geben Ihren Login ein (zum Beispiel ivanov).
2. Authentifizierung: Sie geben Ihr Passwort ein – das System prüft, dass wirklich Sie es sind.
3. Autorisierung: Das System prüft Ihre Rolle in Active Directory. Wenn Sie ein „Administrator“ sind, sehen Sie alle Bereiche. Wenn ein „Mitarbeiter“ – nur Ihr persönliches Konto und freigegebene Dokumente.

Lesen Sie über Unternehmenssysteme im Artikel AFIS.