Was bedeuten Authentifi­zie­rung und Autori­sie­rung?

Authentifi­zie­rung und Autori­sie­rung: der Unterschied

Die beiden Begriffe werden oft verwechselt, beantworten aber verschiedene Fragen. Authentifizierung klärt: Wer ist das? Autorisierung klärt: Was darf diese Person? Am Flughafen entspricht die Ausweiskontrolle der Authentifizierung, die Bordkarte mit Flug und Sitzplatz der Autorisierung. Erst beides zusammen lässt Sie an Bord.

In Software gilt dieselbe Reihenfolge. Zuerst weist sich ein Nutzer aus, dann prüft die Anwendung bei jeder Aktion, ob seine Rolle sie erlaubt. Eine korrekte Anmeldung allein bedeutet noch keinen Zugriff auf alles – und umgekehrt nützt die beste Rechteverwaltung nichts, wenn die Identität nicht verlässlich geprüft wird.

So funktioniert es

Authentifiziert wird über etwas, das man weiß (Passwort), besitzt (Smartphone, Sicherheitsschlüssel) oder ist (Fingerabdruck, Gesichtserkennung). Werden mindestens zwei dieser Faktoren kombiniert, spricht man von Zwei-Faktor- oder Multi-Faktor-Authentifizierung. Passkeys auf Basis von FIDO2 und WebAuthn ersetzen Passwörter durch kryptografische Schlüssel und schützen besser vor Phishing.

Die Autorisierung folgt Regeln. Beim rollenbasierten Modell (RBAC) erhält jeder Nutzer eine Rolle wie „Buchhaltung“ oder „Außendienst“ mit festen Rechten. Flexiblere Modelle berücksichtigen Attribute wie Abteilung oder Standort. Leitprinzip ist die minimale Rechtevergabe: Jeder bekommt nur die Rechte, die er für seine Aufgabe braucht.

Praxis­bei­spiel: Kundenportal eines Zulieferers

Ein Zulieferer richtet ein Portal ein, in dem Kunden Rechnungen und Lieferscheine abrufen. Die Anmeldung per E-Mail, Passwort und Einmalcode ist die Authentifizierung. Danach darf jeder Kunde nur die Dokumente seiner eigenen Firma sehen, Mitarbeiter im Vertrieb dagegen alle Kunden – das ist die Autorisierung.

Eine typische Schwachstelle: Die Rechnung ist über eine Adresse wie /rechnung/4711 erreichbar, und die Anwendung prüft nur, ob der Nutzer angemeldet ist, nicht ob die Rechnung ihm gehört. Durch Ändern der Nummer sähe er fremde Dokumente. Die Prüfung muss deshalb bei jedem Zugriff auf dem Server erfolgen.

Typische Fehler und Grenzen

Fehlerhafte Zugriffskontrolle (Broken Access Control) stand in der Ausgabe 2021 der OWASP Top 10 auf Platz 1 der Risiken für Webanwendungen. Meist liegt es nicht an der Anmeldung, sondern an unvollständigen Rechteprüfungen, die bei neuen Funktionen schlicht vergessen werden. Häufige Fehler:

• Rechte nur in der Oberfläche ausblenden, aber serverseitig nicht prüfen
• Gemeinsame Konten, sodass Handlungen niemandem zuzuordnen sind
• Zu viele Administratoren und Rechte, die nie wieder entzogen werden
• Schwache Passwörter ohne zweiten Faktor bei sensiblen Zugängen
• Keine Protokollierung von Anmeldungen und Rechteänderungen

Worauf Unternehmen achten sollten

Legen Sie Rollen und Rechte schon in der Konzeption fest, vergeben Sie nur das Nötige und überprüfen Sie Zugriffe regelmäßig. Sensible Zugänge gehören mit Zwei-Faktor-Authentifizierung geschützt. Nano Concepts plant und programmiert Anmeldung, Rollenmodell und Rechteprüfung für Portale, Apps und Webanwendungen und testet sie gezielt auf typische Schwachstellen.