Wie funktioniert die rollenbasierte Zugriffskontrolle (RBAC)?

Kurzfassung

Die rollenbasierte Zugriffskontrolle (RBAC) ist ein Sicherheitsmodell, das Systemberechtigungen an Jobrollen statt an Einzelpersonen bindet. Als 2004 eingeführter Branchenstandard vereinfacht RBAC die Verwaltung, indem es Organisationen ermöglicht, den Zugriff für ganze Gruppen gleichzeitig zu gewähren, zu aktualisieren oder zu widerrufen. Zu den Hauptkomponenten gehören Administrator:innen, Rollen und Berechtigungen (die Zugriff, Lesen, Schreiben, Freigabe und Finanzen abdecken). RBAC reduziert die Komplexität, senkt die Kosten und erleichtert das Onboarding. Für Organisationen, die eine granularere Kontrolle benötigen, bietet die attributbasierte Zugriffskontrolle (ABAC) eine Alternative. Eine erfolgreiche Implementierung erfordert eine sorgfältige Bestandsaufnahme, Rollendefinition, die Zusammenarbeit der Stakeholder und einen schrittweisen Rollout.

Rollenbasierte Zugriffskontrolle verstehen 

RBAC-Systeme (Role-based Access Control, rollenbasierte Zugriffskontrolle) weisen Zugriffe und Aktionen basierend auf der Rolle einer Person innerhalb des Systems zu, sodass alle Mitarbeiter mit der gleichen Rolle über die gleichen Berechtigungen verfügen und Personen mit anderen Rollen andere Berechtigungen zugewiesen werden.

Warum benötigt ein System RBAC?

In jedem Unternehmen gibt es sensible Dokumente, Programme und Aufzeichnungen. Wenn Sie diese zu streng schützen, bremst das Ihre Prozesse aus. Wenn sie offen verfügbar sind, kann dies katastrophale Folgen für die Sicherheit Ihres Unternehmens haben. 

Hier kommt rollenbasierte Zugriffskontrolle (RBAC) ins Spiel.

Mit dieser Methode können Sie Personen, die auf sensible Daten zugreifen müssen, Zugriffsrechte gewähren und allen anderen den Zugriff verweigern. Bei diesem Ansatz nehmen Sie Veränderungen basierend auf der Rolle einer Person vor. Die individuellen Attribute spielen keine Rolle. Dadurch ist es einfach, die Zugriffsberechtigungen für eine bestimmte Rolle anzupassen.

Wenn Sie in der Informationstechnologie (IT) arbeiten, ist es unerlässlich, die Details der rollenbasierten Zugriffskontrolle zu verstehen. Im Jahr 2004 verabschiedete das American National Standards Institute die RBAC-Prinzipien als branchenweiten Konsens-Standard. Höchstwahrscheinlich müssen Sie entweder RBAC anwenden oder erklären, warum Sie dies für Ihr Unternehmen für eine schlechte Idee halten.

Was genau ist rollenbasierte Zugriffskontrolle?

Alle rollenbasierten Zugriffskontrollsysteme verwenden die gleichen Kernelemente:

• Administratoren. Sie identifizieren Rollen, gewähren Berechtigungen und sind für die Wartung des Sicherheitssystems verantwortlich.
• Rollen. Mitarbeiter werden entsprechend ihren Aufgaben gruppiert.
• Berechtigungen. Jeder Rolle sind Zugriffsrechte und Aktionen zugewiesen, die bestimmen, was Personen mit dieser Rolle tun dürfen – und was nicht.

RBAC-Systeme erfordern Folgendes nicht:

• Unterscheidung individueller Freiheiten. Der Zugriff wird anhand der Rolle einer Person definiert, unabhängig von ihren persönlichen Präferenzen oder Wünschen. Das vereinfacht die Verwaltung der Berechtigungen.
• Intensive Wartung. Berechtigungen folgen Rollen. Wenn eine neue Position im Unternehmen eingeführt wird, muss eine neue Rolle erstellt werden, die anschließend mit wenig Aufwand aufseiten des Administrators auf Dutzende (oder Hunderte oder Tausende) Mitarbeiter angewendet werden kann. Nach einer Beförderung wird die Rolle des Mitarbeiters geändert. Die Berechtigungen selbst müssen nicht angepasst werden.

Wie entstand RBAC?

RBAC-Systeme werden bereits seit Jahrzehnten verwendet. Bei einer National Computer Security Conference im Jahr 1992 wurde das RBAC-Konzept erstmals vorgestellt. Die Entwickler waren der Meinung, dass für private Unternehmen und Zivilisten weder vorgeschriebene noch benutzerbestimmbare Zugriffskontrollen geeignet sind, da sich die konkreten Bedürfnisse und Sicherheitsanforderungen so stark unterscheiden. Sie argumentierten, dass die neue Methode für nicht-militärische bzw. zivile Zwecke erheblich besser funktioniert. 

Seitdem haben Tausende Unternehmen RBAC-Konzepte angewendet, um die Sicherheit ihrer sensibelsten Dokumente zu gewährleisten. 

Wie funktionieren Rollen innerhalb von RBAC?

Rollen legen die Autorisierung innerhalb eines RBAC-Systems fest. Es ist wichtig, sie korrekt zu definieren, da große Gruppen von Mitarbeitern innerhalb des Unternehmens andernfalls nicht ihre Aufgaben erledigen können. 

Regeln können nach folgenden Kriterien definiert werden:

• Autorität. Leitende Führungskräfte benötigen Zugriff auf Dateien, die Praktikanten niemals sehen sollten.
• Verantwortung. Ein Vorstandsmitglied und ein Chief Executive Officer (CEO) haben innerhalb eines Unternehmens möglicherweise eine ähnliche Autorität, aber sie sind jeweils für unterschiedliche Kernfunktionen verantwortlich.
• Kompetenz. Einer Fachkraft kann man vertrauen, dass sie fehlerfrei in sensiblen Dokumenten arbeitet, während ein:e Anfänger:in katastrophale Fehler machen könnte. Es ist wichtig, den Zugriff entsprechend anzupassen.

Die Verantwortlichkeiten und Berechtigungen können sich bei Rollen auch überschneiden. Wenn einem Mitarbeiter die Rolle eines „Chirurgen“ zugewiesen wurde, kann er auch gleichzeitig als „Arzt“ oder „Radiologe“ arbeiten. Mit einer Rollenhierarchie wird eine Person definiert, die verschiedene Attribute vieler anderer Personen in sich vereint. Mit anderen Worten: Eine Rolle kann zahlreiche weitere Rollen enthalten. 

Was sind Berechtigungen der rollenbasierten Zugriffskontrolle?

Berechtigungen legen fest, welche Personen zugreifen dürfen und welche Aktionen sie im System durchführen können. Stellen Sie sich Berechtigungen als Regeln vor, die Personen entsprechend den definierten Rollen befolgen.

Zu den Berechtigungen können gehören:

• Zugreifen. Wer kann ein bestimmtes Laufwerk, ein Programm, eine Datei oder einen Datensatz öffnen? Wer sollte nicht einmal wissen, dass diese Dinge existieren? Mit der Zugriffsberechtigung schränken Sie ein, was die Benutzer sehen können.
• Lesen. Wer kann diese Dokumente lesen und durchsuchen, selbst wenn die Person möglicherweise nicht berechtigt ist, irgendeine Änderung vorzunehmen? Einige Rollen erhalten möglicherweise die Erlaubnis, bestimmte Dokumente ausschließlich als Referenzmaterial zu verwenden.
• Schreiben. Wer kann Dokumente ändern? Muss jemand anderes die Änderungen genehmigen, oder sind sie dauerhaft? Sie definieren dies mit Ihren Berechtigungen.
• Weitergeben. Wer kann ein Dokument herunterladen oder als E-Mail-Anhang versenden? Ebenso wie bei anderen Berechtigungen, dürfen einige Benutzer bestimmte Materialien nicht weitergeben, auch wenn sie sie als Referenzmaterial nutzen können.
• Finanzen. Wer kann Rechnungen stellen? Wer kann Rückerstattungen anbieten? Berechtigungen können sich darauf beziehen, ob eine Person Rechnungen oder Rückerstattungen auslösen, Kreditkonten einrichten oder Zahlungen stornieren kann.

Warum Berechtigungen an Rollen gebunden sein müssen, nicht an Einzelpersonen

Bedenken Sie dabei, dass Berechtigungen Rollen folgen – nicht umgekehrt. Legen Sie fest, was jede Rolle tun darf, und wenden Sie die Berechtigungen entsprechend an.

Erlauben Sie Ihren Mitarbeitern nicht, Berechtigungen jenseits ihrer aktuellen Rolle anzufragen. Wenn Sie zulassen, dass Berechtigungen auf individueller Basis geändert werden können, wird das System schnell unübersichtlich. 

Welche Vorteile bietet die rollenbasierte Zugriffskontrolle?

Es gibt zahlreiche Sicherheitsoptionen, doch mitunter ist es schwer, die beste Wahl für Ihr Unternehmen zu treffen. RBAC bietet zahlreiche bewährte Vorteile, die diesen Ansatz deutlich von alternativen Optionen unterscheiden.

Zu den Vorteilen eines RBAC-Systems gehören:

• Geringe Komplexität. Neue Mitarbeiter erhalten Zugriff basierend auf ihren Rollen und nicht basierend auf einer langen Liste mit Server- und Dokument-Anforderungen. Das vereinfacht die Erstellung, Wartung und Überprüfung von Richtlinien.
• Globale Verwaltung. Sie können die Zugriffe für zahlreiche Mitarbeiter in einem Schritt ändern, indem Sie die Berechtigungen für eine Rolle anpassen.
• Vereinfachtes Onboarding. Wenn neue Mitarbeiter eingestellt werden, ihre Position innerhalb des Unternehmens wechseln oder befördert werden, müssen Sie sich keine Gedanken über die Berechtigungen der Einzelperson machen, sondern lediglich die richtige Rolle zuweisen. Die Rollen übernehmen den Rest.
• Fehler reduzieren. Die herkömmliche Sicherheitsverwaltung ist fehleranfällig. Das Hinzufügen von Berechtigungen für Einzelpersonen bietet Ihnen viele Möglichkeiten, einen Fehler zu machen. Wenn Sie den Zugriff einer Rolle ändern, laufen Sie weniger Gefahr, jemandem zu viele (oder zu wenige) Befugnisse zu erteilen.
• Geringe Gesamtkosten. Wenn die Aufgaben für Administratoren zurückgehen, sparen Unternehmen Kosten für die Sicherheitsadministration und damit Zeit und Geld.

RBAC vs. attributbasierte Zugriffskontrolle (ABAC): Was ist besser?

Bevor wir genauer auf die Details zur Umsetzung eines RBAC-Modells eingehen, sehen wir uns eine Alternative an: ABAC ist eines der bekanntesten Modelle für Unternehmen und kann in bestimmten Situationen sehr hilfreich sein.

Mit ABAC (Attribute-based Access Control, attributbasierte Zugriffskontrolle) explodiert die Vielzahl der möglichen Rollen förmlich, da Sie nicht nur Positionen, Stellenebenen/Dienstgrade und ähnliche Attribute, sondern auch folgende Faktoren berücksichtigen können:

Zum Durchsetzen der Sicherheitsmaßnahmen setzt ein solches System auf Richtlinien statt auf statische Berechtigungstypen. Es ist etwas schwieriger, das richtige Gleichgewicht zu finden, da mehr Variablen involviert sind. Je nach Ihrer Sicherheitsumgebung kann dies ein smarter Ansatz für Ihr Unternehmen sein.

So implementieren Sie ein RBAC-System

Wie bei den meisten Sicherheitsaufgaben, ist die Erstellung eines RBAC-Systems ein methodischer Prozess, wobei Sie für die Schritte die richtigen Reihenfolge einhalten müssen. Möglicherweise benötigen Sie etliche Informationen, um diese Aufgabe richtig durchführen zu können.

Zum Erstellen des richtigen Systems müssen Sie wie folgt vorgehen:

1. Inventarisieren Sie Ihr System. Ermitteln Sie die Programme, Server, Dokumente, Dateien und Datensätze, die Teil Ihrer Unternehmenslandschaft sind. Nehmen Sie sich etwas Zeit, um dies zu durchdenken, da Sie nichts auslassen möchten.
2. Identifizieren Sie die Rollen. Arbeiten Sie mit dem Management und der Personalabteilung zusammen, um zu bestimmen, wie viele Rollen für Ihr Unternehmen sinnvoll sind und welche Berechtigungen diese Rollen benötigen.
3. Entwickeln Sie einen Zeitrahmen für die Integration. Stellen Sie fest, wie viel Zeit Sie für die Umsetzung des Programms benötigen. Geben Sie Ihren Kollegen Zeit, sich darauf vorbereiten. Wenn Sie die Änderungen ohne rechtzeitige Vorankündigung umsetzen, könnte das Programm ins Stocken geraten.
4. Seien Sie offen für Rückmeldungen. Stellen Sie Ihre Pläne für Rollen und Berechtigungen dem Management vor und fragen Sie sie, ob Ihre Annahmen zutreffend sind. Nehmen Sie bei Bedarf Anpassungen vor.
5. Setzen Sie den Plan um. Nachdem die Rollen und Berechtigungen identifiziert wurden, können Sie den Plan umsetzen. Beobachten Sie das Netzwerk genau und korrigieren Sie Fehler, sobald diese auftreten.

Befolgen Sie Best Practices, um den Erfolg Ihres Projekts zu gewährleisten.

Best Practices für einen erfolgreichen RBAC-Rollout

• Nehmen Sie sich Zeit. Selbst in kleinen Unternehmen kann es Hunderte Kombinationen aus Rollen und Berechtigungen geben. Gehen Sie bei der Planung sorgfältig vor und nehmen Sie sich Zeit, die Pläne vor der Umsetzung bestmöglich anzupassen.
• Bleiben Sie standhaft. Höchstwahrscheinlich werden Nutzer:innen auf Sie zukommen und Berechtigungen außerhalb ihrer Rollen anfordern. Prüfen Sie jede Anfrage sorgfältig, bevor Sie einzelnen Benutzer:innen zusätzliche Berechtigungen erteilen. Notieren Sie sich diese Anfragen und klären Sie mit dem Management, ob alle Personen in der Rolle Zugriff auf die angeforderten Dateien haben sollten. Sie möchten vermeiden, dass Benutzer:innen mit denselben Rollen über drastisch unterschiedliche Zugriffsstufen verfügen.
• Arbeiten Sie mit den Benutzern zusammen. Zu eng gefasste Sicherheitsregeln verringern die Produktivität der Endbenutzer. Prüfen Sie Anfragen in Absprache mit Benutzern und Managern genau, bevor Sie sie ablehnen. Versuchen Sie, ein Gleichgewicht zu finden, um sichere Arbeitsabläufe zu ermöglichen.

Arbeiten Sie mit einem Experten zusammen

Die Implementierung eines solchen Programms kann wie eine unlösbare Aufgabe wirken. Mit ein wenig Unterstützung lässt sie sich jedoch sehr gut umsetzen. Eine Plattform wie die von Okta vereinfacht den Prozess. Okta integriert mehr als 6.500 Anwendungen. Dadurch können Sie alles zentral verwalten, was den Prozess deutlich vereinfacht.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einer Rolle und einer Berechtigung in RBAC?

Eine Rolle ist eine Gruppierung von Mitarbeiter:innen basierend auf den Aufgaben, die sie ausführen – wie etwa „Chirurg:in“ oder „Vorstandsmitglied“ –, während eine Berechtigung festlegt, welche Aktionen diese Rolle ausführen kann, wie etwa das Lesen, Schreiben, Teilen oder der Zugriff auf bestimmte Dateien. Berechtigungen folgen Rollen, nicht Einzelpersonen.

Kann ein:e Benutzer:in in einem RBAC-System mehr als eine Rolle innehaben?

Ja. RBAC unterstützt überschneidende Verantwortlichkeiten und Berechtigungen über verschiedene Rollen hinweg. Beispielsweise kann eine Person, der die Rolle „Chirurg:in“ zugewiesen wurde, gleichzeitig die Rollen „Ärzt:in“ oder „Röntgenauswerter:in“ innehaben. Rollenhierarchien ermöglichen es einer einzelnen Rolle, die Attribute mehrerer anderer zu umfassen.

Was passiert, wenn ein:e Mitarbeiter:in Berechtigungen außerhalb der zugewiesenen Rolle anfordert?

Administrator:innen sollten jede Anfrage sorgfältig prüfen, bevor sie individuelle Ausnahmen gewähren. Es ist Best Practice, sich mit dem Management abzustimmen und zu prüfen, ob alle Personen in dieser Rolle den angeforderten Zugriff erhalten sollten, anstatt inkonsistente Berechtigungsstufen für Benutzer:innen mit derselben Rolle zu schaffen.

Wie unterscheidet sich RBAC von der attributbasierten Zugriffskontrolle (ABAC)?

RBAC gewährt Zugriff basierend auf beruflichen Rollen, Befugnissen und Verantwortlichkeiten. ABAC baut darauf auf, indem es zusätzliche Variablen wie Benutzertyp, Tageszeit und Standort einbezieht. ABAC bietet eine granularere Kontrolle, ist aber komplexer zu konfigurieren und zu warten.

Wie lange dauert es, ein RBAC-System zu implementieren?

Die Zeitpläne für die Implementierung variieren je nach Größe und Komplexität der Organisation. Der Prozess umfasst die Inventarisierung von Systemen, die Identifizierung von Rollen, die Zusammenarbeit mit dem Management und der Personalabteilung (HR), die Kommunikation von Änderungen an die Mitarbeiter:innen und die Iteration basierend auf Feedback. Selbst kleine Unternehmen können Hunderte von Rollen- und Berechtigungskombinationen aufweisen, weshalb eine sorgfältige Planung und ausreichend Zeit unerlässlich sind.

Was sind die wichtigsten Kostenvorteile bei der Nutzung von RBAC?

RBAC reduziert den administrativen Aufwand bei der Verwaltung einzelner Berechtigungen, was die Kosten für die Sicherheitsverwaltung senkt. Zudem vereinfacht es das Onboarding und Rollenänderungen, sodass weniger Zeit für manuelle Berechtigungsaktualisierungen aufgewendet werden muss – was dem Unternehmen sowohl Zeit als auch Geld spart.

Referenzen

Role Based Access Control (RBAC), (Juni 2020), National Institute of Standards and Technology, U.S. Department of Commerce. 

Conference Proceedings: Role-Based Access Controls, (November 1992), National Institute of Standards and Technology, U.S. Department of Commerce.

An Introduction to Role-Based Access Control, (Dezember 1995), National Institute of Standards and Technology, U.S. Department of Commerce.

Role-Based Access Control (RBAC): Permissions vs. Roles, (Februar 2018), Medium.

Role-Based Access Control Project Overview, (Juni 2020), National Institute of Standards and Technology, U.S. Department of Commerce.

Role-Based Access Control (Presentation), National Institute of Standards and Technology.

An Evolution of Role-Based Access Control Towards Easier Management Compared to Tight Security, (Juli 2017), ICFNDS '17: Proceedings of the International Conference on Future Networks and Distributed Systems.

Authorization and Access Control, (2014), The Basics of Information Security (Second Edition).

Security for Distributed Systems: Foundations of Access Control, (2008), Information Assurance: Dependability and Security in Networked Systems.

Access Controls, (2013), Computer and Information Security Handbook (Third Edition).

How to Implement Role-Based Access Control, (Oktober 2007), Computer Weekly.

Role-Based Access Control: Meek or Monster, Wired.

Guide to Role-Based Access Control (RBAC), IBM Support.

Extending RBAC for Large Enterprises and Its Quantitative Risk Evaluation, Mitsubishi Electric Corporation.

Restricting Database Access Using Role-Based Access Control (Built-In Roles), Amazon Web Services (AWS).

An Enhancement of the Role-Based Access Control Model to Facilitate Information Access Management in Context of Team Collaboration and Workflow, (Dezember 2012), Journal of Biomedical Informatics.

Identify Governance and Role-Based Access Control, University of Michigan Information and Technology Services.