Authentifizierung klärt, wer jemand ist; Autorisierung, was er darf. Beide Schritte sind die Grundlage jeder Zugriffskontrolle – und ein häufiger Angriffspunkt.
Authentifizierung und Autorisierung sind zwei Schritte, die oft verwechselt werden, aber unterschiedliche Fragen beantworten. Die Authentifizierung (englisch Authentication, AuthN) klärt: Wer ist jemand? Sie prüft die Identität, etwa durch Passwort, Token oder Biometrie. Die Autorisierung (englisch Authorization, AuthZ) klärt anschließend: Was darf diese Identität? Sie entscheidet über Zugriffe auf Ressourcen und Aktionen.
Beide zusammen bilden das Fundament jeder Zugriffskontrolle und sind der Kern eines jeden Identity and Access Managements. Fehler in einem der beiden Schritte heben den Schutz des jeweils anderen oft aus den Angeln.
Die beiden Schritte im Detail
- Authentifizierung stützt sich auf Faktoren: Wissen (Passwort), Besitz (Token, Schlüssel) und Inhärenz (Biometrie). Mehrere Faktoren ergeben MFA.
- Autorisierung arbeitet meist mit Rollen und Berechtigungen (RBAC) und sollte stets serverseitig erfolgen.
- Moderne Verfahren wie Passkeys stärken vor allem die Authentifizierung gegen Phishing.
Bedeutung für Unternehmen
Die meisten erfolgreichen Angriffe nutzen Schwächen in einem dieser beiden Schritte: schwache oder gestohlene Zugangsdaten bei der Authentifizierung, zu weitreichende Rechte bei der Autorisierung. Ein typischer Fehler ist, die Autorisierung nur in der Oberfläche umzusetzen, während die Schnittstelle dahinter ungeprüft bleibt. Für Entscheider gilt: Eine starke Anmeldung nützt wenig, wenn jedes Konto anschließend zu viel darf. Umgekehrt nützt eine saubere Rechtevergabe wenig, wenn sich Anmeldungen leicht übernehmen lassen – beide Schritte müssen gemeinsam betrachtet werden.
Härtung und Prüfung aus Red-Team-Sicht
Wir prüfen beide Schritte getrennt: ob sich Anmeldungen umgehen oder übernehmen lassen und ob Berechtigungen sauber greifen, auch an APIs und in der Tiefe der Anwendung. Empfohlene Maßnahmen:
- phishing-resistente MFA für die Authentifizierung, besonders bei privilegierten Konten,
- Autorisierung konsequent serverseitig und auf jeder Ebene prüfen,
- Least Privilege und regelmäßige Rezertifizierung der Rechte,
- zentrale Protokollierung aller Anmeldungen und Zugriffsentscheidungen,
- klare Trennung von Rollen und Verantwortlichkeiten.
Wir prüfen Authentifizierung und Autorisierung in unserer Active-Directory- und Cloud-Leistung. Mehr zu Identitätsangriffen im Ratgeber Cloud Red Teaming: Identitäten im Fokus.