Was ist rollenbasierte Zugriffskontrolle (RBAC)?

In einem RBAC-System müssen Unternehmen zunächst bestimmte Rollen erstellen und dann definieren, welche Berechtigungen und Privilegien diesen Rollen gewährt werden. Unternehmen beginnen oft mit einer groben Unterteilung der Rollen in drei Kategorien: Administratoren, Spezialisten oder Experten, und Endbenutzer.

Um die verschiedenen Rollen für bestimmte Benutzergruppen weiter zu konfigurieren, werden detailliertere Faktoren wie Befugnisse, Zuständigkeiten und Qualifikationsniveau berücksichtigt. Manchmal kann eine Rolle direkt einer Berufsbezeichnung entsprechen. In anderen Fällen könnte die Rolle eine Sammlung von Berechtigungen sein, die einem Benutzer zugewiesen werden können, der bestimmte Bedingungen erfüllt, unabhängig von seiner Berufsbezeichnung.

Benutzern werden oft mehrere Rollen zugewiesen oder sie werden einer Rollengruppe zugewiesen, die mehrere Zugriffsebenen umfasst. Einige Rollen sind hierarchisch aufgebaut und bieten Managern einen kompletten Satz von Berechtigungen, während die darunter liegenden Rollen nur eine Teilmenge dieser Rollenberechtigungen erhalten. So könnte beispielsweise die Rolle eines Vorgesetzten diesem Benutzer Schreibzugriff auf ein Dokument gewähren, während Teammitglieder nur Lesezugriff haben.

Ein Beispiel für RBAC in Aktion

1. Ein IT-Administrator in einem Krankenhaus erstellt eine RBAC-Rolle für „Pflegepersonal“.
2. Der Administrator legt die Berechtigungen für die Rolle „Pflegepersonal“ fest, z. B. für die Einsichtnahme in Medikamente oder die Eingabe von Daten in ein elektronisches Gesundheitssystem (EHR).
3. Den Mitgliedern des Pflegepersonals des Krankenhauses wird die Rolle „RBAC-Pflegepersonal“ zugewiesen.
4. Wenn sich Benutzer, denen die Pflegepersonal-Rolle zugewiesen ist, anmelden, prüft RBAC, auf welche Berechtigungen sie Anspruch haben, und gewährt ihnen Zugriff für die jeweilige Sitzung.
5. Andere Systemberechtigungen, wie etwa das Verschreiben von Medikamenten oder das Anordnen von Tests, sind diesen Benutzern nicht gestattet, da sie für die Rolle „Pflegepersonal“ nicht autorisiert sind. 

Viele Unternehmen verwenden eine Lösung für das Identity und Access Management (IAM), um RBAC in ihrem Unternehmen zu implementieren. IAM-Systeme können sowohl bei der Authentifizierung als auch bei der Autorisierung in einem RBAC-Schema helfen:

• Authentifizierung: IAM-Systeme können die Identität eines Benutzers überprüfen, indem sie seine Anmeldeinformationen mit einem zentralen Benutzerverzeichnis oder einer Datenbank abgleichen.
  
  
• Autorisierung: IAM-Systeme können Benutzer autorisieren, indem sie ihre Rollen im Benutzerverzeichnis überprüfen und die entsprechenden Berechtigungen auf der Grundlage der jeweiligen Rolle im RBAC-Schema des Unternehmens gewähren.

Das National Institute of Standards and Technology (NIST), das das RBAC-Modell entwickelt hat, stellt drei Grundregeln für alle RBAC-Systeme auf.  

1. Rollenzuweisung: Einem Benutzer muss eine oder mehrere aktive Rollen zugewiesen werden, um Berechtigungen oder Privilegien ausüben zu können.
   
   
2. Rollenautorisierung: Der Benutzer muss autorisiert sein, die ihm zugewiesene Rolle(n) zu übernehmen.
   
   
3. Berechtigungsautorisierung: Berechtigungen oder Privilegien werden nur den Benutzern gewährt, die durch ihre Rollenzuweisung autorisiert wurden.

Es gibt vier verschiedene Modelle für die Implementierung von RBAC, wobei jedes Modell mit der gleichen Kernstruktur beginnt. Jedes nachfolgende Modell baut neue Funktionen und Features auf dem Vorgängermodell auf.  

• Kern-RBAC
• Hierarchische RBAC
• Eingeschränkte RBAC
• Symmetrische RBAC

Kern-RBAC
Dieses Modell, das manchmal auch als Flat RBAC bezeichnet wird, ist die erforderliche Grundlage für jedes RBAC-System. Es folgt den drei Grundregeln von RBAC. Benutzern werden Rollen zugewiesen, und diese Rollen berechtigen zum Zugriff auf bestimmte Gruppen von Berechtigungen und Privilegien. Core RBAC kann als primäres Zugriffskontrollsystem oder als Grundlage für weitergehende RBAC-Modelle verwendet werden.

Hierarchische RBAC
Dieses Modell fügt Rollenhierarchien hinzu, die die Berichtsstruktur eines Unternehmens nachbilden. In einer Rollenhierarchie erbt jede Rolle die Berechtigungen der darunter liegenden Rolle und erhält neue Berechtigungen.

Eine Rollenhierarchie könnte zum Beispiel Führungskräfte, Manager, Vorgesetzte und Sachbearbeiter umfassen. Eine Führungskraft an der Spitze der Hierarchie wäre für einen vollständigen Satz von Berechtigungen autorisiert, während Managern, Vorgesetzten und Sachbearbeitern jeweils sukzessive kleinere Teilmengen dieses Berechtigungssatzes gewährt würden.  

Eingeschränkte RBAC
Zusätzlich zu den Rollenhierarchien bietet dieses Modell Funktionen zur Durchsetzung der Aufgabentrennung (Separation Of Duties, SOD). Die Aufgabentrennung hilft, Interessenkonflikte zu vermeiden, indem bestimmte Aufgaben von zwei Personen erledigt werden müssen.

Ein Benutzer, der zum Beispiel die Erstattung einer Geschäftsausgabe beantragt, sollte nicht dieselbe Person sein, die diesen Antrag genehmigt. Eine eingeschränkte RBAC-Richtlinie stellt sicher, dass die Benutzerrechte für diese Art von Aufgaben getrennt sind.

Symmetrische RBAC
Dieses Modell ist die fortschrittlichste, flexibelste und umfassendste Version von RBAC. Zusätzlich zu den Funktionen der Vorgängermodelle bietet dieses Modell einen tieferen Einblick in die Berechtigungen im gesamten Unternehmen.

Unternehmen können überprüfen, wie jede Berechtigung jeder Rolle und jedem Benutzer im System zugeordnet wird. Sie können auch die mit Rollen verknüpften Berechtigungen anpassen und aktualisieren, wenn sich die Geschäftsprozesse und die Verantwortlichkeiten der Mitarbeiter weiterentwickeln.

Diese Funktionen sind besonders wertvoll für große Unternehmen, die sicherstellen müssen, dass jede Rolle und jeder Benutzer nur genau so viele Zugriffsrechte hat, wie für die Ausführung von Aufgaben erforderlich sind.