Autorisierung

Autorisierung: Was bedeutet Autorisierung in der IT?

Die Autorisierung (engl. Authorization) ist ein sicherheitsrelevanter Prozess in der IT, bei dem festgelegt wird, welche Rechte oder Zugriffsberechtigungen ein Benutzer, System oder Dienst innerhalb eines Netzwerks oder einer Anwendung besitzt. Autorisierung ist ein zentraler Bestandteil der Zugriffskontrolle und erfolgt typischerweise nach einer erfolgreichen Authentifizierung (also der Identitätsprüfung).

Technische Funktion der Autorisierung

Während die Authentifizierung die Identität eines Benutzers überprüft (z. B. durch Passwort oder Token), entscheidet die Autorisierung darüber, auf welche Ressourcen dieser Benutzer zugreifen darf und mit welchen Rechten (z. B. Lesen, Schreiben, Löschen, Admin-Zugriff). Die Autorisierungsentscheidung basiert auf zuvor definierten Regeln, Rollen oder Richtlinien im System.

Typische Anwendungsbereiche der Autorisierung

• Zugriffskontrolle in Betriebssystemen (z. B. Datei- und Benutzerrechte)
• Benutzerverwaltung in Webanwendungen (z. B. Admin-, Redakteurs- und Leserrollen)
• Firewall- und Netzwerkregeln (z. B. Zugriff auf Ports oder Protokolle)
• Datenbankzugriffe (z. B. Lese- oder Schreibrechte pro Datenbank)
• Cloud-Dienste und APIs (z. B. OAuth2-basierte Autorisierung per Access Token)

Methoden der Autorisierung

Beispiel: Autorisierung in einer Webanwendung

// PHP-Beispiel für rollenbasierte Zugriffskontrolle
if ($user_role === 'admin') {
    show_admin_dashboard();
} else {
    show_access_denied();
}

Zusammenhang mit Authentifizierung

Die Autorisierung erfolgt immer nach der Authentifizierung. Nur wer seine Identität erfolgreich nachgewiesen hat (z. B. durch Login), kann autorisiert werden. Beide Prozesse sind Teil des Konzepts AAA (Authentication, Authorization, Accounting) in der IT-Sicherheit.

Risiken bei fehlender oder fehlerhafter Autorisierung

• Unbefugter Zugriff auf sensible Daten oder Funktionen
• Missbrauch von Adminrechten (z. B. durch Eskalation von Benutzerrechten)
• Verletzung von Datenschutzvorgaben und Compliance-Regeln
• Angriffsfläche für Privilege Escalation und Session Hijacking

Autorisierung im Zusammenhang mit Domains und Hosting

• Domainverwaltung: Nur autorisierte Benutzer können DNS-Einträge ändern, Transfers bestätigen (ACK), Nameserver setzen oder die Domain kündigen.
• SSL-Zertifikate: Nur autorisierte Personen dürfen Zertifikate für eine Domain beantragen – z. B. über CAA-Records gesteuert.
• Plesk/Webhosting: Benutzerrollen (z. B. Kunde, Reseller, Administrator) definieren, welche Hosting-Optionen sichtbar oder änderbar sind.

Tools und Standards zur Autorisierung

• OAuth 2.0: Standard zur tokenbasierten Autorisierung bei APIs und Webanwendungen
• LDAP: Verzeichnisdienste mit feingranularer Rechtevergabe
• IAM-Systeme (Identity and Access Management): Zentrale Steuerung von Benutzerrechten über Unternehmensgrenzen hinweg
• Plesk-Rollenverwaltung: Benutzer- und Rechtemanagement im Hostingbereich

Empfehlungen zur Autorisierung

• Vergeben Sie Rechte nach dem Prinzip der minimalen Berechtigung („least privilege“)
• Trennen Sie Benutzerrollen klar und dokumentieren Sie Berechtigungen nachvollziehbar
• Setzen Sie auf bewährte Systeme wie OAuth2, RBAC oder ACLs statt individueller Lösungen
• Überprüfen Sie regelmäßig vorhandene Berechtigungen und passen Sie diese an aktuelle Anforderungen an

Fazit zur Autorisierung

Autorisierung ist ein zentraler Bestandteil jeder sicheren IT-Architektur. Sie regelt, was ein Benutzer oder System nach erfolgter Authentifizierung tun darf. Ob im Webhosting, bei der Domainverwaltung oder in Cloud-Anwendungen – nur eine klar strukturierte und konsequent umgesetzte Autorisierung schützt vor unberechtigten Zugriffen und Datenmissbrauch.

Alle Angaben ohne Gewähr.