RBAC (Role-Based Access Control)

Die Zwischenebene der Rolle entkoppelt die Rechtevergabe von der einzelnen Person. Wechselt jemand die Aufgabe, wird die Rolle getauscht statt Dutzende Einzelrechte nachgepflegt.

Aufbau

Eine Rolle bündelt die Berechtigungen, die für eine Aufgabe erforderlich sind, etwa Buchhaltung oder Systemadministration. Rollen können hierarchisch aufgebaut sein und Rechte übergeordneter Rollen erben. Über Funktionstrennung lässt sich festlegen, dass bestimmte Rollen nicht gleichzeitig an dieselbe Person vergeben werden dürfen, etwa Rechnungserfassung und Zahlungsfreigabe.

Abgrenzung

ABAC (Attribute-Based Access Control) entscheidet stattdessen anhand von Attributen wie Abteilung, Gerät, Standort oder Uhrzeit und ist feingranularer, aber aufwändiger zu betreiben. In der Praxis werden beide Modelle häufig kombiniert.

Typische Schwachstelle

Ohne Pflege wachsen Rollen über die Zeit an Rechten. Regelmäßige Rezertifizierung und ein am Prinzip der minimalen Rechte ausgerichteter Rollenschnitt verhindern diese Rechteanhäufung.