Was ist rollenbasierte Zugriffssteuerung (RBAC)?

Die rollenbasierte Zugriffssteuerung (RBAC) basiert auf genau definierten Rollen und Privilegien, um den Zugriff auf Systeme ausschließlich auf autorisierte Benutzer zu beschränken. RBAC ist der Grundstein für das Least-Privilege-Zugriffsmodell und kann eingesetzt werden, um andere Zugriffssteuerungsmodelle wie attributbasierte Zugriffssteuerung (attribute-based access control, ABAC) zu implementieren.

Wie funktioniert die rollenbasierte zugriffssteuerung?

Der Gedanke hinter RBAC ist ganz einfach: Der Zugriff von Benutzern auf Systeme und Daten ist beschränkt auf das absolut nötige Minimum, damit die Benutzer ihre Arbeit ausführen können. Diesen Ansatz nennt man Least-Privilege-Prinzip (oder das Prinzip der geringst möglichen Zugriffsberechtigungen).

In einer Arbeitsumgebung mit rollenbasierter Zugriffssteuerung bestimmt die Rolle/Position eines Benutzers in einer Organisation, welche Netzwerkzugriffsberechtigungen gewährt werden. So wird Mitarbeitenden in niedrigen Positionen zum Beispiel kein Zugriff auf hochsensible Informationen und Ressourcen gewährt. Doch RBAC kann auch sehr viel detailliertere Berechtigungsregeln haben, wenn es richtig implementiert wird. Dann sollten Benutzer keinen Zugriff auf irgendwelche Ressourcen bekommen, die außerhalb ihres direkten Arbeitsbereichs liegen. Das heißt beispielsweise, dass das Personal aus der Werbeabteilung keinen Zugriff auf Arbeitsumgebungen für Entwickler haben und umgekehrt.

Weiterhin kann man mit RBAC auch einschränken, was Benutzer mit einem System oder Daten anstellen können, auf die sie Zugriff haben. Benutzer können ausschließlich Lesezugriff auf bestimmte Dateien und Systeme wie Datenbanken bekommen, aber Schreib- und Lesezugriff auf andere.

RBAC verglichen mit ABAC

Rollenbasierte und attributbasierte Zugriffssteuerung werden häufig synonym verwendet. Beide unterscheiden sich aber, doch sie werden oft zusammen eingesetzt.

ABAC bietet viel feinere Einstellungsmöglichkeiten als RBAC und kann als Erweiterung oder Verbesserung der rollenbasierten Zugriffssteuerung verstanden werden. RBAC stützt sich auf die Rollen von Benutzern in einer Organisation. In einer ABAC-Arbeitsumgebung werden hingegen bestimmte Attributskombinationen genutzt, um Benutzern Zugriffsberechtigungen zu geben. Dazu zählen unter anderem die Benutzerrollen in der Organisation, von wo aus sie auf Ressourcen zugreifen dürfen, welche Geräte für den Zugriff erlaubt sind und Attribute von Systemen oder Anwendungen, auf die sie zugreifen wollen. Das ermöglicht es Organisationen, basieren auf Risikoprofilen einzelner Benutzer Zugriffsberechtigungen zu erteilen und Einschränkungen durchzusetzen.

Ein Beispiel wäre, wenn Sie Ihren IT-Administratoren den Fernzugriff auf Back-End-Systeme nur dann erlauben wollen, wenn diese VPN oder einen Remote-Desktop-Verbindungsmanager nutzen. Oder wenn Sie allen Mitarbeitenden den Zugriff auf Unternehmensressourcen nur von Geräten erlauben, die vom Unternehmen ausgegeben wurden.

RBAC verglichen mit Zugriffssteuerungslisten (ACL)

Zugriffssteuerungslisten (access control list, ACL) sind Listen mit Benutzern, die Zugriff auf bestimmte Ressourcen haben und welche Berechtigungen die einzelnen Benutzer für die Ressourcen haben (Lesezugriff, Lese- und Schreibzugriff usw.). ACL sind die Grundlage für das benutzerbestimmbare Zugriffskontrollmodell (discretionary access control, DAC).

Das geläufigste Beispiel für ACL und DAC in Aktion ist das Dateisystem von Windows. Es erlaubt Benutzern und Administratoren, individuelle ACL für einzelne Objekte wie Textdokumente oder Ordner anzulegen.

Zugriffssteuerungslisten, die hauptsächlich IP-Adressen enthalten, werden von Netzwerkadministratoren auch eingesetzt, um den Traffic zu VPN, Webanwendungsfirewalls (WAF) und Netzwerkroutern und -Switches zu filtern. Die ACL kann eine Erlaubt-Liste mit zulässigen IP-Adressen und eine Blockiert-Liste mit verbotenen IP-Adressen enthalten.

Sollten Sie sich jetzt danken, dass das nach sehr viel Arbeit klingt, dann haben Sie recht. Die Wartung von umfangreichen Erlaubt- und Blockiert-Listen ist zeitaufwendig und fehleranfällig. Aus dem Grund sind ACL (und das DAC-Modell allgemein) häufig nur in Fällen sinnvoll, wo kleine Benutzergruppen verwaltet werden müssen.

Zusammenfassend kann man sagen: RBAC definiert den Zugriff auf Gruppenebene, ACL definieren ihn für einzelne Benutzer oder auf IP-Adressenebene. Dadurch ist RBAC weitaus weniger aufwendig und fehleranfällig und somit viel praktikabler für Organisationen mit Dutzenden, Hunderten oder Tausenden von Benutzern.

Welche vorteile bietet RBAC?

Die Einführung der rollenbasierten Zugriffssteuerung bringt viele Vorteile mit sich:

Verbesserte Sicherheit

Mitarbeitende erhalten nur Zugriff auf die Ressourcen, die sie für ihre Arbeit benötigen. So wird verhindert, dass fahrlässige Beschäftigte oder bösartige Akteure Dateien und andere digitale Objekte wie Datenbanken oder Quellcode von innerhalb der Organisation löschen oder entwenden können oder deren Integrität kompromittieren können.

Zudem verhindert RBAC, dass sich böswillige Akteure horizontal durch das Netzwerk bewegen und weitere Berechtigungen erlangen, sollten diese doch einmal an gültige Zugangsdaten gelangen.

RBAC und Least-Privilege-Zugriff sind Schlüsselkomponenten in modernen Zero-Trust-Netzwerkzugriffssteuerungsmodellen.

Unterstützung von Konformitätseinhaltungsinitiativen

Die rollenbasierte Zugriffssteuerung erlaubt es Unternehmen, Industrie- und gesetzliche Vorschriften und Standards einzuhalten, darunter HIPAA und DSGVO und andere Datenschutzrahmenwerke, die die Vertraulichkeit und den Datenschutz für personenbezogene Daten und andere sensible Daten vorschreiben. Das ist von besonderer Bedeutung in stark regulierten Branchen wie dem Gesundheitswesen, der Finanzindustrie oder in Regierungsbehörden.

Senkung von Kosten und Verwaltungsaufwand

Die vordefinierten Benutzerrollen im RBAC-Modell minimieren den Verwaltungsaufwand bei der Einbindung und Entfernung von Mitarbeitenden, wenn diese zum Beispiel neue Rollen oder Verantwortlichkeiten im Unternehmen übernehmen oder wenn die Organisation externen Partnern und Drittanbietern Zugriff auf Systeme gewähren muss. Das Gewähren von Benutzerzugriffsrechten oder die Änderungen solcher Rechte bei bestehenden Benutzern ist ganz einfach durch das Zuweisen der entsprechenden, richtigen Rolle(n) möglich. Verlässt ein Mitarbeitender die Organisation, können IT- und Sicherheitsadministratoren so auch ganz leicht die Systemzugriffsberechtigungen entfernen.

Indem Administratoren umfangreiche Einblicke in das Benutzerzugriffsverhalten und ihre Aktivitäten erhalten, ermöglicht es RBAC Organisationen, Bereiche zu identifizieren, in denen sie Netzwerkressourcen wie Bandbreite oder Speicher kosteneffektiver einsetzen können.

Implementierung von rollenbasierter zugriffssteuerung

1. Entwickeln Sie eine Strategie, die zu den Bedürfnissen Ihrer Organisation passt.

Bevor Sie loslegen und Rollen definieren, sollten Sie Ihre Systeme genau analysieren, um herauszufinden, für welche Ressourcen Sie Zugriffseinschränkungen festlegen wollen. Identifizieren Sie Systeme, die sensible Informationen wie Kundendatenbanken und Entwicklungsumgebungen verarbeiten oder speichern. Achten Sie auch auf Systeme, auf die alle Personen zugreifen müssen, darunter Unternehmens-E-Mail-Dienste oder Ticketsysteme für technische Unterstützung.

Analysieren Sie auch Geschäftsprozesse, Technologien, Konformitätsanforderungen und aktuelle Sicherheitsvorkehrungen Ihres Unternehmens. Identifizieren Sie bestehende Lücken wie inkonsistente Richtlinienumsetzung im Unternehmen.

Behalten Sie im Hinterkopf, dass Sie RBAC möglicherweise zusammen mit ABAC oder anderen Modellen implementieren wollen, wenn Sie die Zero-Trust-Netzwerkzugriffssteuerung einrichten.

2. Benutzerrollen definieren

Jetzt geht es daran, Ihre Arbeitskräfte und Benutzergruppen zu analysieren und sie in Rollen zu unterteilen, die ähnliche Zugriffsberechtigungen haben. Beginnen Sie mit groben Einteilungen, zum Beispiel mit Benutzern derselben Abteilung, und verfeinern Sie die Rollen dann.

Achten Sie darauf, nicht zu viele Rollen anzulegen, denn das würde den Sinn hinter RBAC verfehlen. Prüfen Sie den Einsatz von Teamrollenzuweisung , mit dem Sie Benutzer direkt in Teams einteilen und diesen dann spezifische Rollen zuweisen können. Damit sparen Sie Zeit, verbessern die Richtlinienkohärenz, vermeiden Fehler und erleichtern Administratoren die Implementierung rollenbasierter Zugriffsrichtlinien.

Achten Sie auch auf häufige Stolpersteine wie unzureichende Granularität der Rollen, überlappende Rollen und übertriebene Ausnahmen von RBAC-Berechtigungen.

3. Etablieren Sie eine angemessene Regulierungsstruktur.

Nachdem Sie Ihre RBAC-Strategie und die Benutzerrollen definiert haben, benötigen Sie Möglichkeiten, um die neuen Richtlinien auch umzusetzen, und Verwaltungsprozesse für Veränderungen, die Änderungen Ihres Unternehmens umsetzen können.

Entwickeln Sie festgeschriebene Zugriffssteuerungsrichtlinien, die Regeln und Anleitungen für Ihr RBAC-Modell enthalten, etwa Leistungsindikatoren, Risikoverwaltungsstrategien, Rollenneubewertungsprozeduren und Umsetzungsmechanismen. Klare Regeln helfen bei der Verhinderung von ausufernden Rollen und gegen interne Konflikte zwischen Abteilungen und einzelnen Benutzern.

4. Implementieren Sie Ihr RBAC-Modell.

In einer großen Organisation ohne vorheriges rollenbasiertes Zugriffssteuerungsmodell sollte die Einführung eines solchen Modells in Stufen geschehen, um Verwirrung bei Ihren Benutzern und Störungen im alltäglichen Geschäftsbetrieb zu vermeiden. Rechnen Sie damit, dass es Probleme im Implementierungsprozess geben wird, einschließlich solcher, die eine Anpassung Ihres ursprünglichen Plans erfordern können. Das ist normal. Indem Sie Ihren Plan in mehreren Schritten umsetzen, können Sie diese leichter angehen und beheben.

5. Pflegen Sie Ihr RBAC-Modell.

Benutzer kommen und gehen. Unternehmenstätigkeiten ändern sich. Technologien ändern sich. Die Märkte befinden sich im steten Wandel. Deshalb müssen Sie Ihr RBAC-Modell richtig pflegen und verwalten. Sammeln Sie Rückmeldungen und Anregungen von Ihren Benutzern, überwachen Sie kontinuierlich Ihre Sicherheitsvorkehrungen und führen Sie regelmäßig Überprüfungen von Rollen, Rollenzuweisungen und Zugriffsprotokollen durch, um besser zu verstehen, was funktioniert und wo Verbesserungen und Anpassungen nötig sind.