Authentifizierung und Autorisierung sind zwei grundlegende, aber häufig verwechselte Konzepte der Cybersicherheit. Authentifizierung beantwortet die Frage „Wer bist du?“, während Autorisierung bestimmt „Was darfst du tun?“. Das Verständnis des Unterschieds ist entscheidend für die Entwicklung und den Betrieb sicherer Systeme. Die OWASP-Richtlinien beschreiben den Missbrauch beider Mechanismen als eine der häufigsten Ursachen für sicherheitskritische Schwachstellen in Webanwendungen.
Was ist Authentifizierung in der Cybersicherheit?
Authentifizierung ist der Prozess, die Identität eines Benutzers oder Systems zu überprüfen. Das System stellt sicher, dass der Benutzer tatsächlich derjenige ist, der er behauptet zu sein — noch bevor jeglicher Zugriff gewährt wird. Ein alltägliches Beispiel: Beim Online-Banking geben Sie Ihr Passwort ein (Wissensnachweis) und bestätigen anschließend mit einem einmaligen Code per SMS (Besitznachweis). Erst nach diesem zweistufigen Prozess erhalten Sie Zutritt zum Konto.
Arten von Authentifizierungsmethoden
- Passwortbasierte Authentifizierung: Die gebräuchlichste Form — ein geheimes Passwort wird mit einem gespeicherten Hash verglichen.
- Biometrische Authentifizierung: Verwendet einzigartige biologische Merkmale wie Fingerabdrücke, Gesichtserkennung oder Iris-Scan.
- Token-basierte Authentifizierung: Verwendet ein physisches oder digitales Token, wie einen Hardware-Sicherheitsschlüssel (FIDO2) oder ein zeitbasiertes Einmalpasswort (TOTP).
- Zertifikatsbasierte Authentifizierung: Verwendet digitale X.509-Zertifikate — besonders verbreitet in Unternehmensumgebungen und VPN-Lösungen.
Vorteile der Mehrfaktor-Authentifizierung (MFA)
- Erhöhte Sicherheit: Selbst bei kompromittiertem Passwort bleibt das Konto durch den zweiten Faktor geschützt.
- Geringeres Betrugsrisiko: Phishing- und Credential-Stuffing-Angriffe werden erheblich erschwert.
- Einhaltung von Compliance-Anforderungen: MFA ist Pflichtbestandteil in Standards wie PCI DSS, ISO 27001 und der NIS2-Richtlinie.
- Erhöhtes Benutzervertrauen: Nutzer erkennen, dass der Dienst ihre Sicherheit ernst nimmt.
Praktische Anwendungen der Authentifizierung
Beim Online-Shopping werden Sie vor der Zahlungsabwicklung aufgefordert, Ihre Identität zu bestätigen — etwa durch ein Einmalpasswort (OTP) per SMS oder eine Push-Benachrichtigung in der Authenticator-App. Auf Unternehmensseite setzen viele Organisationen auf Single Sign-On (SSO) mit SAML oder OpenID Connect, sodass Mitarbeiter sich einmalig authentifizieren und auf mehrere Systeme zugreifen können, ohne sich mehrfach einloggen zu müssen.
Was ist Autorisierung und worin liegt der Unterschied?
Autorisierung findet nach der erfolgreichen Authentifizierung statt. Sie legt fest, auf welche Ressourcen und Aktionen ein authentifizierter Benutzer zugreifen darf. Ein Buchhaltungsmitarbeiter kann sich am Firmensystem anmelden (Authentifizierung), aber nur Rechnungsdaten einsehen — nicht das HR-System (Autorisierung). Ein Systemadministrator hat dagegen erweiterte Berechtigungen.
Der entscheidende technische Unterschied: Authentifizierung prüft Identitätsnachweise (Passwort, Biometrie, Token), Autorisierung prüft Zugriffsrechte anhand von Richtlinien (ACLs, Rollen, Policies).
Effektive Strategien für sichere Autorisierung
- Rollenbasierte Zugriffskontrolle (RBAC): Berechtigungen werden Rollen zugewiesen (z. B. „Administrator“, „Buchhalter“), nicht einzelnen Benutzern — einfacher zu verwalten und zu auditieren.
- Attributbasierte Zugriffskontrolle (ABAC): Feinkörnigere Kontrolle basierend auf Attributen wie Abteilung, Standort oder Gerätestatus.
- Least Privilege-Prinzip: Benutzer erhalten nur die Mindestberechtigungen, die für ihre Aufgaben erforderlich sind — ein Kernprinzip der OWASP Security-Checkliste.
- Regelmäßige Zugriffsaudits: Quartalsweise Überprüfung, ob alle Benutzerberechtigungen noch aktuell und notwendig sind.
Typische Sicherheitsfehler und ihre Folgen
Schwachstellen in der Autorisierung (Broken Access Control) belegen seit Jahren Platz 1 der OWASP Top 10. Häufige Fehler sind fehlende Überprüfungen auf Serverseite, unsichere direkte Objektreferenzen (IDOR) und zu weit gefasste Berechtigungen. Ein authentifizierter Benutzer, der durch Manipulation einer URL auf Daten anderer Nutzer zugreifen kann, ist ein klassisches Broken-Access-Control-Problem — die Authentifizierung war korrekt, die Autorisierung fehlerhaft.
Allgemeine Berechtigungsstufen in einer Organisation
- Administrativer Zugriff: Volle Systemkontrolle — für IT-Verantwortliche mit entsprechendem Bedarf und nachgewiesener Identität.
- Redaktioneller Zugriff: Erstellung und Bearbeitung von Inhalten — typisch für Content-Manager oder Redakteure.
- Lese-Zugriff: Anzeigen von Daten ohne Änderungsmöglichkeit — geeignet für Mitarbeitende im operativen Betrieb.
- Kein Zugriff: Bestimmte Systeme oder Datenbereiche sind für bestimmte Rollen vollständig gesperrt.
Authentifizierung und Autorisierung in modernen Architekturen
In Cloud-nativen und Microservice-Architekturen trennen Entwickler Authentifizierung (oft über einen zentralen Identity Provider wie Keycloak oder Azure AD) und Autorisierung (über Policy-Engines wie Open Policy Agent) bewusst. OAuth 2.0 und OpenID Connect sind heute die dominierenden Standards: OAuth 2.0 delegiert die Autorisierung (Zugriff auf Ressourcen im Namen des Nutzers), während OpenID Connect die Authentifizierungsschicht darüber legt. Das Verständnis beider Standards ist für Entwickler und Sicherheitsverantwortliche unerlässlich, um sicher aufgebaute APIs und Anwendungen zu bauen.
Aufkommende Trends und was Unternehmen jetzt tun sollten
Passkeys — ein auf FIDO2 basierendes, passwortloses Verfahren — setzen sich zunehmend als sichere Alternative zu klassischen Passwörtern durch. Gleichzeitig gewinnt Zero-Trust-Architektur an Bedeutung: das Prinzip „never trust, always verify“ bedeutet, dass Authentifizierung und Autorisierung kontinuierlich und kontextbezogen erfolgen, nicht einmalig beim Login. Unternehmen sollten:
- MFA für alle privilegierten Konten und nach Möglichkeit für alle Nutzer einführen
- Zugriffsrechte nach dem Least-Privilege-Prinzip vergeben und regelmäßig überprüfen
- Authentifizierungs- und Autorisierungsereignisse zentral protokollieren und überwachen
- Passwortlose Authentifizierung (Passkeys) für neue Dienste prüfen
