Authorization
Definition: Authorization bezeichnet im Kontext von Access Management den formalen Prozess der Erteilung spezifischer Zugriffsrechte an Subjekte. Nach erfolgreicher Authentifizierung definiert sie, welche Ressourcen, Daten oder Funktionen ein Nutzer nutzen darf. Rechtlich verankert ist sie in der DSGVO als Grundlage für rechtmäßige Datenverarbeitung.
Definition und Abgrenzung zur Authentifizierung
Authorization ist der zweite Schritt eines zweistufigen Sicherheitsmodells. Während die Authentifizierung die Identität eines Nutzers verifiziert („Wer bist du?“), beantwortet die Authorization die Frage: „Was darfst du tun?“. Ein Nutzer kann sich erfolgreich authentifizieren, aber dennoch keine Autorisierung für bestimmte Datenbestände besitzen. Dieses Prinzip folgt dem Least-Privilege-Modell, wonach jedes Subjekt nur die minimal notwendigen Rechte erhält, um seine Aufgaben zu erfüllen. Die technische Umsetzung erfolgt typischerweise über Access Control Lists, Role-Based Access Control (RBAC) oder Attribute-Based Access Control (ABAC).
Ohne Autorisierung ist Authentifizierung nur eine Tür ohne Schloss – sie bestätigt die Identität, gewährt aber noch keinen Zutritt.
Rechtliche Verankerung und Compliance-Anforderungen
Im Kontext der DSGVO ist Authorization kein rein technisches Konzept. Sie bildet die operative Grundlage für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten. Artikel 32 DSGVO verlangt angemessene technische und organisatorische Maßnahmen, wozu ein funktionierendes Autorisierungskonzept zwingend gehört. Unternehmen müssen nachweisen können, dass nur autorisierte Personen Zugriff auf personenbezogene Daten haben. Dies erfordert eine lückenlose Dokumentation von Berechtigungsvergaben, regelmäßige Reviews und die unverzügliche Entziehung von Rechten bei Rollenwechseln oder Austritten. Verstöße können Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des globalen Jahresumsatzes nach sich ziehen.
Interdisziplinäre Perspektive: Authorization in verschiedenen Fachdomänen
Der Begriff Authorization trägt in unterschiedlichen Kontexten abweichende Bedeutungen. Im Sales- und Vertriebskontext bezeichnet er die formale Genehmigung von Rabatten oder Sonderkonditionen durch eine übergeordnete Instanz. Im Finanzwesen meint er die Freigabe von Zahlungstransaktionen oder Budgetüberschreitungen. In der Softwareentwicklung und bei APIs beschreibt er die Erteilung von Zugriffstokens, etwa OAuth 2.0, die einem Client den Zugriff auf geschützte Ressourcen ermöglichen. Diese Mehrdeutigkeit erfordert eine präzise Kontextualisierung. Die hier behandelte Bedeutung fokussiert auf den rechtlichen und compliance-relevanten Aspekt im Access Management.
Technische Umsetzung und Best Practices
| Modell | Funktionsweise | Typische Anwendung |
|---|---|---|
| RBAC | Rechte werden an Rollen gebunden, Nutzer erhalten Rollen | Enterprise-Software, HR-Systeme |
| ABAC | Zugriff basiert auf Attributen (Abteilung, Standort, Zeit) | Cloud-Umgebungen, dynamische Berechtigungen |
| ReBAC | Beziehungsbasierte Autorisierung (z. B. „Manager von“) | Kollaborationsplattformen, Dokumentenfreigaben |
Die Implementierung sollte stets dem Prinzip der Defense in Depth folgen. Mehrere unabhängige Kontrollschichten erhöhen die Sicherheit. Regelmäßige Berechtigungsaudits und automatisierte Zugriffsreviews sind unverzichtbar. Die Separation of Duties verhindert, dass eine einzelne Person kritische Prozesse allein kontrollieren kann. Für Compliance-relevante Systeme empfiehlt sich die Vier-Augen-Prinzip bei der Vergabe besonders sensibler Rechte.
Praktische Implikationen für Unternehmen
Ein robustes Autorisierungskonzept ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Unternehmen sollten eine zentrale Identity- und Access-Management-Plattform etablieren, die alle Systeme integriert. Die Verantwortung für Berechtigungsvergaben muss klar definiert sein – idealerweise durch die jeweiligen Fachbereichsleiter, nicht durch die IT-Abteilung. Schulungen sensibilisieren Mitarbeiter für die Bedeutung von Zugriffsrechten. Die Dokumentation aller Autorisierungsentscheidungen schafft die notwendige Nachvollziehbarkeit für Audits und behördliche Prüfungen. Ein etabliertes Autorisierungsmanagement reduziert nicht nur rechtliche Risiken, sondern auch die Gefahr von Insider-Bedrohungen und Datenlecks.
« Back to Glossary Index