AuthentisierungAutorisierung

AuthentisierungAutorisierung beschreibt in der Informationstechnik zwei zentrale,einander verbundene Aufgaben zur sicheren Nutzung von Systemen: die Authentisierung prüft die Identität eines Subjekts, während die Autorisierung festlegt, welche Ressourcen oder Aktionen diesem Subjekt gestattet sind. Die Unterscheidung ist grundlegend: Authentisierung beantwortet die Frage "Wer bist du?", Autorisierung die Frage "Was darfst du tun?".

Authentisierung erfolgt anhand von verschiedenen Nachweisen, sogenannten Credentials, wie Passwörtern, biometrischen Merkmalen, Zertifikaten oder Tokens. Moderne Systeme setzen oft mehrstufige Authentisierung (MFA) ein, um Identitäten gegen Missbrauch zu schützen. Nach erfolgreicher Authentisierung wird in der Praxis häufig ein Token oder eine Sitzung etabliert, die als Beweis der Identität dient.

Autorisierung basiert auf Richtlinien, Rollen oder Attributen und steuert den Zugriff auf Ressourcen. Typische Modelle sind RBAC (rollenbasierte Zugriffskontrolle), ABAC (attributbasierte Zugriffskontrolle) sowie ACLs (Access Control Lists). In verteilten und cloudbasierten Architekturen werden Berechtigungen oft in Token-Claims oderpolicy-Plugins codiert, sodass Ressourcenserver Entscheidungen treffen können, ob eine Aktion zulässig ist.

Standards und Protokolle wie OAuth 2.0, OpenID Connect, SAML und Kerberos unterstützen die Trennung von Authentisierung und Autorisierung. IdP (Identity Provider) übernehmen die Authentisierung, während Ressourcenserver Zugriff basierend auf Autorisierungsprinzipien gewähren. Tokens wie Access Tokens oder ID Tokens transportieren Authentifizierungs- und Autorisierungsinformationen sicher zwischen Partnern und Diensten.

Wichtige Sicherheitsaspekte sind das Prinzip der geringsten Privilegien, robuste Credential-Verwaltung, sichere Token-Lebensdauer, Schutz gegen Replay-Attacken und saubere Session-Management-Strategien. Eine klare Trennung von Authentisierung und Autorisierung hilft, Risiken zu reduzieren und flexible, skalierbare Zugriffskontrollen zu ermöglichen.