Vertraulichkeit als Basis des Zusammenlebens
Der Artikel Schutzziele der Kryptographie beschreibt die Vertraulichkeit als wichtige Aufgabe der Kryptographie neben der Integrität und der Authentizität. Vertraulichkeit garantiert die Lesbarkeit und Verwendung von Daten und Nachrichten ausschließlich für befugte Personen bzw. Rollen.
Eine gut geplante Rechteverwaltung unterstützt dieses Ziel nachhaltig. Eine Rolle entspricht hierbei dem digitalen Abbild einer realen Verwaltungseinheit. Das hört sich kompliziert an, ist aber in Wirklichkeit ganz einfach: Jedes größere Unternehmen verfügt vermutlich über eine Buchhaltung. Die Rolle Buchhaltung umfasst nun die Benutzerkonten aller Mitglieder der Buchhaltungsabteilung, also aller Buchhalter des Unternehmens. Es kann nun festgelegt werden, auf welche Daten und IT-Systeme die Rolle Buchhaltung zugreifen kann und darf.
Zwar lässt sich Vertraulichkeit auch durch Verschlüsselung erreichen, jedoch konzentrieren wir uns in diesem Artikel auf eine Vertraulichkeit durch Rechteverwaltung. (Im Englischen wird Rechteverwaltung auch als Rights bzw. Privilege Management bezeichnet.)
Drei Amigos: Subjekte, Objekte und Rechte
Grundsätzlich lassen sich Rollen als Subjekt interpretieren, welches Zugriff auf Objekte wie Daten oder IT-Systeme erhält. Weitere Subjekte können einzelne Personen, Gruppen und auch Maschinen sein. Denken Sie bei letzterem bitte an an eine (voll-)automatisierte Produktion im Rahmen der Industrie 4.0 bzw. von IoT (Internet of Things). Tatsächlich kann eine Maschine in diesem Fall sowohl Subjekt als auch Objekt sein: Sie greift auf Objekte zu und auf sie wird als Objekt ebenfalls zugegriffen.
Die Rechte regeln den Umfang des Zugriffs eines Subjekts auf ein Objekt. Bezogen auf Daten können beispielsweise folgende Zugriffsrechte existieren: Erzeugen, lesen, schreiben, ändern, sperren, löschen, auflisten und ausführen von Daten. Liegen alle Rechte gleichzeitig vor, spricht man von einem Vollzugriff.
Die Rolle Buchhaltung kann über einen Vollzugriff auf Rechnungsdaten, Zahlungsaufforderungen und Mahnungen haben. Sie darf daher neue Rechnungen erstellen, bestehende bearbeiten oder sie wahlweise sperren oder löschen. Der Kantinenplan liegt als PDF-Dokument auf dem Intranet-Server und lässt sich durch die Buchhaltung ausschließlich lesend abrufen. Veränderungen daran sind durch die Buchhaltung nicht möglich. Weiterhin verfügt sie über keinerlei Rechte an Dateien der Personalabteilung. Keine Rechte sind dennoch Rechte!
Bühnenreife Rollen und ihre Vorteile
Der Vorteil des rollenbasierten Ansatzes liegt in der zentralisierten Manipulation von Zugriffsrechten. Man stelle sich vor, die Buchhaltung solle auf einen neu erstellten Dateiordner mit Kundenbewertungen zugreifen können. Ohne ein Rollenkonzept müsste diese Berechtigung jedem Mitglied der Buchhaltung individuell verliehen werden. Ein Riesenaufwand und fehleranfälliger Prozess noch dazu!
Stattdessen wird die Berechtigung der Rolle selbst zugewiesen, die sie jetzt an alle ihre Mitglieder vererbt. Ebenso lassen sich einem Subjekt mehrere Rollen gleichzeitig zuweisen. Dem Leiter der Buchhaltung und seinem Stellvertreter werden daher sowohl die Rolle Leiter_Buchhaltung als auch die Rolle Buchhaltung selbst zugeordnet sein. Sie sind quasi Häuptling und Indianer in einer Person.
Ihro Majestät, der Rechtekönig
Wer verfügt in einem gewöhnlichen Unternehmen eigentlich über die weitreichendsten Zugriffsrechte? Na klar, die IT-Administratoren! Die Beantwortung der Frage war jetzt ungefähr so schwierig, wie den Ball aus 50 Zentimetern Entfernung per Dropkick unter die Latte zu ballern! Wer hat jedoch die zweitmeisten Rechte? Die Unternehmensleitung? Die Personalabteilung? Der Betriebsrat? Leider falsch! Unsere Vizekönige sind die Auszubildenden und Praktikanten!
Azubis und Praktikanten wechseln in der Regel in einem festgelegten Rhythmus von beispielsweise acht Wochen die Abteilung. Sie erhalten zur Erledigung ihrer Aufgaben in der neuen Abteilung entsprechende Rechte zugewiesen. Leider wird gerne versäumt, bereits zugestandene Rechte für die alte Abteilung wieder zu entziehen.
Oft besteht auch die ehemalige Abteilung wegen Personalmangels oder hohem Krankenstandes auf eine inoffizielle Weiterbeschäftigung des Azubis, obwohl er bereits in die nächste Organisationseinheit gewechselt ist. Dementsprechend sammelt der brave Bub mehr und mehr Berechtigungen an, bis er letztlich in ernsthafte Konkurrenz mit den IT-Administratoren treten kann.