Unter Autorisierung versteht man die Genehmigung, Erlaubnis oder Befugnis, die jemandem oder etwas erteilt wird, um eine bestimmte Handlung auszuführen. Mit anderen Worten: Es ist der Prozess, durch den eine Person oder eine Entität das Recht erhält, eine spezifische Aktion durchzuführen, auf eine Ressource zuzugreifen oder einen Dienst zu nutzen.

Unterschied zwischen Authentifizierung und Autorisierung

Es ist wichtig, Autorisierung nicht mit Authentifizierung zu verwechseln. Die Authentifizierung ist der Prozess der Überprüfung der Identität eines Benutzers oder Systems, in der Regel durch Anmeldedaten wie Benutzername und Passwort. Erst nachdem die Identität überprüft wurde, kommt die Autorisierung ins Spiel, die festlegt, auf welche Ressourcen oder Dienste der authentifizierte Benutzer zugreifen darf.

Arten der Autorisierung

Rollenbasierte Zugriffskontrolle (RBAC)

Die rollenbasierte Zugriffskontrolle (Role-Based Access Control, RBAC) ist eine Methode, bei der der Zugriff auf Ressourcen basierend auf der Rolle des Benutzers innerhalb der Organisation gewährt wird. Die Rollen werden anhand der beruflichen Funktionen bestimmt, und jede Rolle verfügt über eine Reihe zugehöriger Berechtigungen.

Attributbasierte Zugriffskontrolle (ABAC)

Die attributbasierte Zugriffskontrolle (Attribute-Based Access Control, ABAC) verwendet spezifische Attribute von Benutzern, Ressourcen und der Umgebung, um den Zugriff zu bestimmen. Zu den Attributen können Faktoren wie die Benutzerrolle, die Tageszeit, die Sensibilitätsstufe der Daten und andere kontextbezogene Kriterien gehören.

Diskretionäre Zugriffskontrolle (DAC)

Die diskretionäre Zugriffskontrolle (Discretionary Access Control, DAC) ermöglicht es den Eigentümern von Ressourcen, selbst zu entscheiden, wer auf ihre Ressourcen zugreifen darf und mit welchen Berechtigungen. Diese Art der Kontrolle ist flexibel, kann aber in großen Umgebungen komplex in der Verwaltung werden.

Bedeutung der Autorisierung

Die Autorisierung ist eine entscheidende Komponente der Cybersicherheit. Sie stellt sicher, dass nur berechtigte Benutzer auf sensible Ressourcen zugreifen können, und schützt Informationen sowie Systeme vor unbefugtem Zugriff und potenziellem Missbrauch. Ohne einen angemessenen Autorisierungsmechanismus wäre ein System anfällig für Sicherheitsverletzungen und Datenverlust.

Beispiele für Autorisierung

• Dokumentenzugriff: Ein Dokumentenmanagementsystem kann einen Mitarbeiter dazu autorisieren, bestimmte Dokumente basierend auf seiner Rolle im Unternehmen einzusehen und zu bearbeiten.
• Nutzung von Anwendungen: Ein Benutzer kann nur dann zur Nutzung einer spezifischen Softwareanwendung autorisiert werden, wenn er die entsprechende Lizenz erworben hat.
• Physischer Zugang: Im Bereich der physischen Sicherheit kann sich die Autorisierung auf den Zugang zu Gebäuden oder reservierten Bereichen innerhalb einer Organisation beziehen.

Fazit

Die Autorisierung ist ein grundlegendes Element, um die Sicherheit und Integrität von Ressourcen und Daten in jeder Organisation zu gewährleisten. Die korrekte Umsetzung von Autorisierungsrichtlinien trägt dazu bei, unbefugte Zugriffe zu verhindern und die Kontrolle darüber zu behalten, wer innerhalb eines Systems welche Aktionen ausführen darf.