RBAC
RBAC ist ein Verfahren, mit dem Organisationen festlegen, wer in einem Computersystem was tun darf. Rechte hängen dabei nicht an einzelnen Personen, sondern an Rollen wie „Buchhaltung" oder „Praktikant", denen Personen zugeordnet werden.
In jeder größeren Firma arbeiten viele Menschen mit denselben Computerprogrammen. Nicht jeder darf dort alles sehen oder ändern. Eine Person aus der Buchhaltung braucht Zugriff auf Gehaltsdaten, eine Person aus dem Lager nicht. RBAC ist eine Methode, diese Erlaubnisse zu ordnen. Statt jedem Mitarbeiter einzeln Rechte zu geben, definiert man Rollen: “Buchhaltung”, “Lager”, “Geschäftsführung”. Jede Rolle hat einen festen Satz an Erlaubnissen, und jede Person bekommt eine oder mehrere Rollen zugewiesen. Die Abkürzung steht für Role-Based Access Control, auf Deutsch rollenbasierte Zugriffskontrolle.
Warum Firmen ohne Rollen den Überblick verlieren
Stell dir eine Firma mit 2.000 Angestellten und 50 Programmen vor. Ohne Rollen müsste jemand für jede Person in jedem Programm einzeln entscheiden, was erlaubt ist. Das sind zehntausende Einzelentscheidungen. Niemand könnte sie noch überblicken oder überprüfen.
Besonders heikel wird es, wenn Leute die Abteilung wechseln. Ohne klares System sammeln sie über die Jahre immer mehr Rechte an, ohne alte je zu verlieren. Fachleute nennen das Rechte-Wildwuchs. Ein Mitarbeiter, der irgendwann fast überall hineinsehen darf, ist ein Sicherheitsrisiko. Wird sein Passwort gestohlen, steht dem Angreifer die halbe Firma offen.
Dazu kommt der rechtliche Druck. Datenschutzgesetze und Prüfungsvorschriften verlangen, dass eine Firma nachweisen kann, wer Zugriff auf sensible Daten hatte. Mit Rollen ist diese Frage in Minuten beantwortet. Ohne Rollen wird sie zur wochenlangen Suche.
Rollen, Rechte und das Prinzip der geringsten Rechte
Technisch besteht RBAC aus drei Ebenen. Ganz unten stehen einzelne Erlaubnisse, etwa “Rechnungen lesen” oder “Rechnungen löschen”. Diese Erlaubnisse werden zu Rollen gebündelt. Ganz oben werden Personen den Rollen zugeordnet. Wer eine Rolle hat, erbt automatisch alle darin enthaltenen Erlaubnisse.
Der Vorteil zeigt sich beim Ändern. Soll die Buchhaltung künftig auch Zahlungen freigeben, ergänzt man diese Erlaubnis einmal in der Rolle. Alle 40 Personen mit dieser Rolle haben sie sofort. Umgekehrt genügt beim Abteilungswechsel ein Rollentausch, und die alten Rechte sind weg.
Ein Leitsatz begleitet fast jedes RBAC-Projekt: das Prinzip der geringsten Rechte. Jede Rolle bekommt nur, was für die Arbeit wirklich nötig ist, und nichts darüber hinaus. Verwandt, aber nicht dasselbe ist ABAC, die attributbasierte Zugriffskontrolle. Dort entscheiden zusätzliche Merkmale mit, etwa Uhrzeit, Standort oder Gerät. RBAC ist gröber, dafür deutlich einfacher zu verstehen und zu prüfen.
Von der Schulcloud bis zum KI-Chatbot der Firma
Du bist RBAC vermutlich schon begegnet, ohne den Namen zu kennen. In einer Schulplattform sind Lehrkräfte, Schüler und Verwaltung getrennte Rollen mit unterschiedlichen Ansichten. In einem Gruppenchat gibt es Administratoren und normale Mitglieder. In Cloud-Diensten wie Amazon Web Services oder Microsoft Azure ist RBAC ein zentraler Baustein der Verwaltung.
In Wirtschaftsnachrichten taucht der Begriff meist nach Datenpannen auf. Oft lautet die Erklärung, dass ein Konto zu weitreichende Rechte hatte. Auch Anbieter von Unternehmenssoftware werben aktiv damit, dass ihr Produkt feine Rollenmodelle unterstützt. Für Firmenkunden ist das ein echtes Kaufargument.
Neu ist das Thema bei KI-Assistenten im Unternehmen. Ein Chatbot, der Firmendokumente durchsucht, darf einem Praktikanten keine Gehaltslisten vorlesen. Deshalb muss die Rechteprüfung auch für die KI gelten, und zwar für jede einzelne Anfrage. Ein häufiger Irrtum ist, RBAC sei damit ein Schutz gegen Hacker von außen. Das ist es nicht. Es begrenzt nur, wie viel Schaden ein einzelnes übernommenes Konto anrichten kann.
