Was bedeutet Autorisierung?
Eine Anmeldung beantwortet noch nicht, ob ein Zugriff erlaubt ist. Die Autorisierung berücksichtigt beispielsweise Aufgaben, Rollen und die Zugehörigkeit zu einem Unternehmen oder Kundenkonto.
Die Prüfung muss auch den konkret angefragten Datensatz einbeziehen. Wer eine Rechnung sehen darf, erhält dadurch nicht automatisch Zugriff auf alle anderen Rechnungen. Versteckte Schaltflächen allein reichen als Schutz nicht aus.
So sieht das in der Praxis aus
Beispiel: Ein Sachbearbeiter darf Aufträge des eigenen Kundenbereichs lesen, aber keine Rechnungen anderer Kunden abrufen.
Häufige Fragen
Genügt ein gültiger Zugangsnachweis für jeden Datenzugriff?
Nein. Zusätzlich ist zu prüfen, ob der Zugriff auf die konkrete Funktion und den konkreten Datensatz erlaubt ist.
Warum müssen Rechte auf dem Server geprüft werden?
Anfragen lassen sich auch ohne die vorgesehene Oberfläche senden. Deshalb muss der Server unzulässige Zugriffe selbst ablehnen, selbst wenn eine Schaltfläche verborgen ist.
Wie bleiben Berechtigungen bei Personalwechseln passend?
Rechte sollten bei Aufgabenwechseln angepasst und beim Ausscheiden entzogen werden. Regelmäßige Überprüfungen helfen, nicht mehr benötigte Zugriffe zu erkennen.