AuthN vs. AuthZ erklärt

Jeder Login und jede geschützte Funktion führt im Hintergrund eine Sicherheitsüberprüfung durch. Sie basiert auf zwei Konzepten: Authentifizierung und Autorisierung.

Stellen Sie sich ein Gebäude vor: Zuerst beweisen Sie, wer Sie sind, dann bestimmt Ihre Rolle, welche Räume Sie betreten dürfen. Das ist Authentifizierung (AuthN) im Vergleich zu Autorisierung (AuthZ).

Authentifizierung bestätigt, dass Sie der sind, für den Sie sich ausgeben – die Frage „Sind Sie wirklich Sie?“ Wenn diese fehlschlägt, wird der Zugriff verweigert, bevor irgendetwas anderes passiert.

Sie stoßen täglich auf Authentifizierung: Passwörter, die Sie kennen, Biometrie wie ein Fingerabdruck, Einmalcodes aus einer App oder digitale Zertifikate.

Sobald Sie angemeldet sind, entscheidet die Autorisierung darüber, was Sie tun dürfen – also die Frage: „Welche Ressourcen und Aktionen sind Ihnen gestattet?“

In einem Online-Shop stöbert und kauft ein Kunde; ein Administrator kann außerdem Produkte hinzufügen und Berichte einsehen. Ihre Rolle und Berechtigungen setzen hierbei die Grenzen.

Stellen Sie sich einen Club vor: Der Türsteher, der Ihren Ausweis prüft, ist die Authentifizierung; Ihr Mitgliedsstatus, der darüber entscheidet, ob Sie in den VIP-Bereich gelangen, ist die Autorisierung.

Die Reihenfolge ist wichtig: Authentifizierung kommt immer vor Autorisierung. Sie können nicht entscheiden, was jemand tun darf, bis Sie wissen, wer er ist.

Keines von beiden funktioniert für sich allein: Authentifizierung ohne Autorisierung weiß, wer Sie sind, aber nicht, worauf Sie zugreifen dürfen; die Autorisierung benötigt eine Identität, um überhaupt Rechte zu vergeben. Zusammen bilden sie eine Sicherheitsbarriere.

Stellen Sie sich einen Benutzer vor, der versucht, auf ein sicheres Dokument auf einem Server zuzugreifen.

Zusammenfassung: Authentifizierung beantwortet die Frage „Wer bist du?“ und Autorisierung beantwortet die Frage „Was darfst du tun?“ – das Fundament eines sicheren Zugangs. Als Nächstes: die Entwicklung des Identitätsmanagements.