Eine Kollegin übernimmt die Urlaubsvertretung. Welche Vorgänge darf sie sehen und bearbeiten? Und wann endet dieser Zugriff wieder?
An solchen Fragen zeigt sich für mich, ob ein Berechtigungskonzept im Alltag verständlich ist.
Welche Aufgabe braucht welchen Zugriff
Nehmen wir eine hypothetische Anwendung zur Bearbeitung von Kundenanliegen im ÖPNV. Ein Team nimmt die Anliegen entgegen und bearbeitet sie. Für eine fachliche Rückmeldung wird ein anderes Verkehrsunternehmen einbezogen. Die Teamleitung benötigt einen Überblick über offene Vorgänge.
Alle arbeiten am selben Prozess. Daraus folgt aber nicht, dass alle dieselben Informationen und Funktionen brauchen. Für eine Stellungnahme können ausgewählte Angaben zu einem zugewiesenen Vorgang ausreichen. Ein Überblick über die Auslastung muss nicht automatisch Zugriff auf sämtliche persönlichen Angaben bedeuten.
Ein Berechtigungskonzept beschreibt, welche Zugriffe erlaubt sind. Eine Rolle wie „Sachbearbeitung“ bündelt dabei bestimmte Rechte. Verständlich wird diese Rolle erst, wenn klar ist, welche Aufgabe sie unterstützt, welche Vorgänge sie umfasst und ob jemand lesen, ändern oder freigeben darf.
Eine Rolle allein erklärt also noch nicht jede Zugriffsentscheidung. Bei der Zusammenarbeit mehrerer Organisationen muss beispielsweise auch geklärt sein, auf welche zugewiesenen Vorgänge sich die Rechte beziehen. Diese Grenzen gehören in den fachlichen Entwurf der Anwendung.
Vertretungen brauchen ein Ende
Die Urlaubsvertretung macht deutlich, warum Rechte im laufenden Betrieb Aufmerksamkeit brauchen. Die Kollegin soll ihre Vertretungsaufgabe erfüllen können. Dafür ist zu klären, welche zusätzlichen Zugriffe sie benötigt, wer diese genehmigt und für welchen Zeitraum sie gelten.
Ein solcher Zugriff sollte begründet, zeitlich begrenzt und nach seinem Ende wieder entzogen werden. Wie das zuverlässig geschieht, muss organisatorisch und technisch geregelt sein. Ebenso braucht ein Aufgabenwechsel eine Prüfung der bisherigen Rechte: Passen sie noch zur neuen Tätigkeit?
Zusätzlich sollten die vergebenen Rechte regelmäßig überprüft werden. Dabei hilft eine verständliche Beschreibung der jeweiligen Aufgabe. So lässt sich beurteilen, ob ein Zugriff weiterhin erforderlich ist.
Arbeitsfähigkeit und begrenzte Rechte gemeinsam klären
Zu enge Rechte können die Bearbeitung behindern. Zu weit gefasste Rechte geben mehr Zugriff, als für die Aufgabe nötig ist. Diese Abwägung gehört für mich ins Gespräch zwischen Fachbereich, Entwicklung und Betrieb.
Der Fachbereich kann erklären, welche Informationen und Aktionen für einen Arbeitsablauf erforderlich sind. Die Entwicklung muss die vereinbarten Grenzen im Anwendungsentwurf berücksichtigen. Im Betrieb braucht es klare Zuständigkeiten dafür, wer Rechte genehmigt, umsetzt und überprüft.
Der Maßstab bleibt die konkrete Aufgabe. Eine Einschränkung, die eine notwendige Vertretung unmöglich macht, muss ebenso besprochen werden wie ein Zugriff auf Vorgänge, die mit dieser Vertretung nichts zu tun haben.
Die Anwendung muss die Regeln durchsetzen
Ein verständliches Konzept muss technisch umgesetzt werden. Eine ausgeblendete Schaltfläche allein schützt die dahinterliegende Funktion nicht. Die Anwendung muss bei jedem angeforderten Zugriff prüfen, ob die betreffende Aktion auf den jeweiligen Daten erlaubt ist.
Ein Beispiel: Dass eine Person einen ihr zugewiesenen Vorgang bearbeiten darf, bedeutet nicht, dass sie auch jeden anderen Vorgang öffnen oder ändern darf. Die Prüfung muss die vereinbarten Grenzen abbilden.
Zugriffe müssen sich erklären lassen
Mein Anspruch ist, dass die Beteiligten erklären können, warum ein Zugriff erforderlich ist und wo seine Grenze liegt. So wird aus einer Rollenbezeichnung eine nachvollziehbare Entscheidung für den Arbeitsalltag.
Das unterstützt die Nutzung und einen sicheren Betrieb. Ein verständliches Berechtigungskonzept allein garantiert allerdings noch keine sichere Anwendung. Dazu gehören auch die wirksame technische Umsetzung und die fortlaufende Pflege der vergebenen Rechte.
Wie stellt ihr sicher, dass Vertretungsrechte nach dem Einsatz wieder enden?
Fachlicher Hintergrund: OWASP Authorization Cheat Sheet zu begrenzten Berechtigungen, ihrer regelmäßigen Überprüfung und der technischen Prüfung von Zugriffen.