Zugriffskontrolle

In jedem größeren Computersystem arbeiten viele Menschen mit denselben Daten. Nicht jeder soll aber alles sehen oder verändern dürfen. Zugriffskontrolle ist die Technik, die genau das regelt. Sie beantwortet zwei Fragen nacheinander: Wer bist du? Und was darfst du damit machen? Die erste Frage klärt ein Anmeldevorgang, etwa mit Passwort oder Fingerabdruck. Die zweite Frage beantwortet eine hinterlegte Liste von Rechten, die zu deinem Konto gehört.

Was passiert, wenn die Rechte zu weit gefasst sind

Die meisten großen Datenpannen entstehen nicht durch geniale Hacker. Sie entstehen, weil jemand Zugriff auf Daten hatte, die ihn nichts angingen. Ein Praktikant mit vollen Verwaltungsrechten, eine Datenbank ohne Passwort im Internet, ein alter Mitarbeiterzugang, den niemand gelöscht hat: solche Fälle stehen regelmäßig in den Wirtschaftsnachrichten. Der Schaden reicht von Bußgeldern bis zum Vertrauensverlust bei Kunden.

Deshalb gilt in der Sicherheitstechnik das Prinzip der geringsten Rechte. Jeder bekommt genau so viele Berechtigungen, wie er für seine Arbeit braucht, und keine einzige mehr. Das klingt selbstverständlich, ist im Alltag aber unbequem. Rechte anzufordern kostet Zeit, also vergibt man sie gern großzügig und vergisst, sie später wieder zu entziehen. Über Jahre sammeln Mitarbeiter so Berechtigungen an, die längst niemand mehr überblickt.

In Europa kommt ein rechtlicher Druck dazu. Die Datenschutz-Grundverordnung verlangt, dass Unternehmen personenbezogene Daten vor unbefugtem Zugriff schützen. Wer nicht nachweisen kann, dass nur berechtigte Personen an Kundendaten kommen, riskiert empfindliche Strafen. Zugriffskontrolle ist damit nicht nur ein technisches, sondern auch ein juristisches Thema.

Rollen, Regeln und das Türsteher-Prinzip

Man kann sich eine Zugriffskontrolle wie einen Türsteher vor jedem einzelnen Raum eines Gebäudes vorstellen. Er prüft zuerst deinen Ausweis. Dann schaut er auf einer Liste nach, ob dein Name für diesen Raum eingetragen ist. Der erste Schritt heißt Authentifizierung, der zweite Autorisierung. Beide werden oft verwechselt, sind aber klar getrennt: Ein korrekt angemeldeter Nutzer darf trotzdem fast nichts dürfen.

Rechte einzeln pro Person zu pflegen, wäre bei tausenden Mitarbeitern unmöglich. Deshalb arbeitet man meist mit Rollen. Eine Rolle wie « Buchhaltung » oder « Support » bündelt einen festen Satz von Rechten. Neue Mitarbeiter bekommen eine Rolle zugewiesen und erben damit alle passenden Berechtigungen. Beim Wechsel der Abteilung tauscht man die Rolle aus. Dieses Verfahren heißt rollenbasierte Zugriffskontrolle.

Modernere Systeme gehen einen Schritt weiter und entscheiden anhand von Eigenschaften. Dann fließen Uhrzeit, Standort oder Gerät in die Entscheidung ein. Ein Zugriff auf Gehaltsdaten um drei Uhr nachts aus einem fremden Land wird blockiert, derselbe Zugriff aus dem Büro erlaubt. Wichtig ist außerdem die Protokollierung: Das System schreibt mit, wer wann worauf zugegriffen hat. Ohne solche Protokolle lässt sich nach einem Vorfall nicht rekonstruieren, was passiert ist.

Von der Schul-Cloud bis zum KI-Chatbot im Unternehmen

Der Begriff begegnet dir längst im Alltag, meist ohne dass er genannt wird. In einer Schul-Cloud siehst du deine Noten, aber nicht die deiner Mitschüler. Auf einem geteilten Dokument darf ein Teil der Gruppe schreiben, ein anderer nur lesen. Dein Handy fragt, ob eine App auf Kamera und Kontakte zugreifen darf. All das sind Zugriffskontrollen.

Besonders aktuell ist das Thema bei KI-Systemen in Firmen. Ein Chatbot, der Fragen zu internen Dokumenten beantwortet, muss die Rechte des Fragenden respektieren. Sonst erzählt er einem Praktikanten aus der Personalakte des Chefs. Fachleute nennen das ein Leck durch die Hintertür: Die Datei selbst war geschützt, ihr Inhalt floss aber über die KI-Antwort ab. Anbieter werben deshalb ausdrücklich damit, dass ihre Systeme bestehende Berechtigungen übernehmen.

In Börsen- und Techmeldungen taucht der Begriff meist in zwei Zusammenhängen auf. Entweder ist eine Zugriffskontrolle gescheitert und Daten sind abgeflossen. Oder ein Unternehmen kauft einen Anbieter für Identitäts- und Rechteverwaltung, weil dieser Markt seit Jahren wächst. Ein verwandtes Schlagwort ist Zero Trust: die Haltung, keinem Zugriff automatisch zu vertrauen, auch nicht aus dem eigenen Firmennetz.