Autorisierung ist der Vorgang, bei dem entschieden wird, was ein identifizierter Nutzer, ein Gerät oder eine Anwendung tun darf – welche Daten gelesen, welche Aktionen ausgeführt und welche Ressourcen genutzt werden dürfen.
Wie Autorisierung funktioniert
Autorisierung folgt auf die Authentifizierung: Die Authentifizierung beantwortet „Wer bist du?“, die Autorisierung „Was darfst du?“. Systeme setzen sie über Zugriffskontrollmodelle durch:
- Access Control Lists (ACLs) – Berechtigungen, die an jede Datei oder jedes Objekt geknüpft sind;
- rollenbasierte Zugriffskontrolle (RBAC) – Rechte werden Rollen wie „Buchhaltung“ oder „Helpdesk“ zugewiesen;
- attributbasierte Zugriffskontrolle (ABAC) – Entscheidungen anhand von Attributen wie Abteilung, Gerätezustand, Standort oder Uhrzeit;
- beziehungsbasierte Zugriffskontrolle – von Cloud-Diensten genutzt, um Dokumente mit bestimmten Personen zu teilen.
Im Web ist OAuth 2.0 (RFC 6749) ein Autorisierungs-Framework: Es lässt Nutzer einer Anwendung begrenzten Zugriff auf ihre Daten gewähren, ohne das Passwort weiterzugeben – mittels Access Tokens mit festgelegten Scopes.
Warum Autorisierung wichtig ist
Autorisierungsfehler gehören zu den häufigsten schweren Schwachstellen. „Broken Access Control“ steht auf Platz eins der OWASP Top 10 (2021), und Broken Object Level Authorization (BOLA) führt die OWASP API Security Top 10 an. Katalogisiert sind die Schwächen als CWE-862 (fehlende Autorisierung) und CWE-863 (fehlerhafte Autorisierung). Ein typisches Beispiel ist eine unsichere direkte Objektreferenz (IDOR): Wer eine ID in der URL ändert, sieht die Rechnung eines anderen Kunden. Solche Bugs haben Millionen Datensätze offengelegt, und Fehler, die Nutzern Admin-Funktionen ermöglichen, führen direkt zur Rechteausweitung.
Best Practices
- Berechtigungen bei jeder Anfrage auf dem Server prüfen, nie nur in der Benutzeroberfläche.
- Standardmäßig verweigern und das Least-Privilege-Prinzip befolgen.
- Autorisierungslogik zentralisieren und Rollen und Berechtigungen regelmäßig überprüfen.
- Zugriffskontrollfälle in automatisierte Tests und Penetrationstests aufnehmen.
