Definieren von Authentifizierung und Autorisierung

Das Sichern des Zugriffs auf digitale Ressourcen erfordert zwei unterschiedliche, aber verwandte Prozesse: bestätigen, wer Zugriff anfordert, und dann entscheiden, was diese Person, das Gerät oder die Anwendung tun darf. Diese beiden Prozesse – Authentifizierung und Autorisierung – sind grundlegend für identitäts- und zugriffsverwaltung. Das Verständnis des Unterschieds zwischen ihnen ist unerlässlich, da jede Zugriffsentscheidung in einer modernen Organisation von beiden abhängt.

Schauen Sie sich das folgende Video an, um mehr über Authentifizierung und Autorisierung zu erfahren.

Authentifizierung

Die Authentifizierung ist der Prozess, um zu beweisen, dass Sie die Person sind, die Sie sind. Jedes Mal, wenn Sie sich bei einer Anwendung anmelden, Ihr Telefon entsperren oder auf ein Unternehmenssystem zugreifen, erfolgt die Authentifizierung. Das System fordert Sie auf, einen Nachweis Ihrer Identität bereitzustellen, und überprüft dann diesen Nachweis, bevor Sie entscheiden, ob der Zugriff zugelassen werden soll. Die Authentifizierung beantwortet die Frage: Wer sind Sie?

Die Authentifizierung erfordert Anmeldeinformationen – Nachweise, die Ihre Identität überprüfen. Ein Benutzername allein beweist keine Identität – es kann von anderen bekannt oder erraten werden. Das Hinzufügen eines Kennworts bietet eine grundlegende Überprüfungsstufe, aber Kennwörter können gestohlen, erraten oder phished werden , wodurch sie zu einer der schwächsten Authentifizierungsformen allein werden. Das Hinzufügen eines stärkeren Faktors, z. B. ein biometrisches oder physisches Gerät, erhöht das Vertrauen erheblich.

Authentifizierungsmethoden basieren auf drei Kategorien von Nachweisen, die als Authentifizierungsfaktoren bezeichnet werden:

• **Etwas, das Sie kennen – ein Kennwort, eine PIN oder eine Sicherheitsfrage
• **Etwas, das Sie haben – ein mobiles Gerät, ein Hardwaresicherheitsschlüssel oder eine Smartcard
• **Etwas, das Sie sind – ein biometrisches Merkmal wie ein Fingerabdruck oder Gesichtsscan

Die Verwendung nur eines Faktors , z. B. eines Kennworts, wird als einzelstufige Authentifizierung bezeichnet. Die einzelstufige Authentifizierung ist häufig, aber anfällig. Wenn dieser einzelne Faktor kompromittiert wird – z. B. ein Kennwort, das durch Phishing gestohlen wird – hat ein Angreifer alles, was er zum Identitätswechsel des Benutzers benötigt.

Die mehrstufige Authentifizierung (Multifactor Authentication, MFA) stärkt die Authentifizierung, indem zwei oder mehr Faktoren aus unterschiedlichen Kategorien erforderlich sind. Melden Sie sich beispielsweise mit einem Kennwort (etwas, das Sie kennen) an und genehmigen dann eine Benachrichtigung auf Ihrem Smartphone (etwas, das Sie haben). Da ein Angreifer mehrere unabhängige Anmeldeinformationen kompromittieren muss, reduziert MFA das Risiko einer Kontoübernahme erheblich.

Nachdem das System die Anmeldeinformationen ausgewertet hat, ist die Authentifizierung erfolgreich oder schlägt fehl. Die erfolgreiche Authentifizierung bestätigt die Identität und ermöglicht es dem Prozess, den Vorgang fortzusetzen. Fehler bei der Authentifizierung verweigert den Zugriff, bevor Ressourcen verfügbar gemacht werden. Die Authentifizierung allein bestimmt jedoch nicht, was Sie tun können – sie bestätigt nur, wer Sie sind. Hier kommt die Autorisierung ins Spiel.

Autorisierung

Die Autorisierung ist der Prozess der Ermittlung, was eine authentifizierte Identität tun darf. Sobald die Authentifizierung Ihre Identität bestätigt hat, bewertet die Autorisierung Ihre Berechtigungen und entscheidet, ob der Zugriff auf bestimmte Ressourcen gewährt oder verweigert werden soll – Anwendungen, Dateien, Daten oder Systemfeatures. Die Autorisierung beantwortet die Frage: Was dürfen Sie tun?

Autorisierungsentscheidungen basieren in der Regel auf Rollen (z. B. Mitarbeiter, Vorgesetzter oder Administrator), Berechtigungen (Lesen, Schreiben oder Löschen) und Attribute (Abteilung, Standort oder Jobfunktion). Das System wertet diese Regeln für jede Zugriffsanforderung aus und gewährt oder beschränkt den Zugriff entsprechend.

Ein Schlüsselautorisierungskonzept ist das Prinzip der geringsten Rechte: Benutzer sollten nur über den minimalen Zugriff verfügen, den sie benötigen, um ihre Arbeit auszuführen, und nicht mehr. Das Einschränken des Zugriffs reduziert den potenziellen Schaden eines kompromittierten Kontos, minimiert das Risiko eines versehentlichen Datenverlusts und hilft Organisationen dabei, ihre Sicherheits- und Complianceanforderungen zu erfüllen.

Wie Authentifizierung und Autorisierung zusammenarbeiten

Authentifizierung und Autorisierung sind unterschiedliche Prozesse, arbeiten jedoch zusammen, um Ressourcen zu schützen. Sie treten immer in einer bestimmten Reihenfolge auf: Die Authentifizierung erfolgt zuerst – bei der Anmeldung – und richtet fest, wer Sie sind. Die Autorisierung erfolgt nach der Authentifizierung und bestimmt, auf was Sie zugreifen können.

Denken Sie daran, wie das Einchecken in ein Hotel. Sie stellen Ihre ID an der Rezeption vor, und der Empfangsmitarbeiter überprüft, wer Sie sind – das ist die Authentifizierung. Sie erhalten dann eine Keycard, die Ihren Raum und das Fitness-Center öffnet, aber nicht die Räume oder Mitarbeiterbereiche anderer Gäste – dies ist die Autorisierung.

Die Autorisierung kann nur nach erfolgreicher Authentifizierung erfolgen. Sie können nicht ermitteln, was jemand tun darf, ohne zuerst seine Identität zu bestätigen. Und die Bestätigung der Identität allein – ohne Berechtigungen zu überprüfen – lässt Ressourcen ungeschützt. Gemeinsam stellen Authentifizierung und Autorisierung sicher, dass die richtigen Identitäten den richtigen Zugriff erhalten und nichts mehr.