Autorisierung legt fest, ob eine bereits bekannte Person, ein Programm oder ein technischer Prozess eine konkret angefragte Aktion ausführen darf. Gemeint sein kann sowohl das gewährte Zugriffsrecht als auch die Entscheidung, einen Antrag auf Zugriff zu erlauben oder abzulehnen. Das NIST beschreibt Autorisierung unter anderem als Prüfung, ob eine angeforderte Aktion oder ein Dienst für eine bestimmte Entität genehmigt ist.NIST: authorization
Autorisierung ist damit keine allgemeine Vertrauensvermutung. Sie beantwortet immer eine präzise Frage: Darf dieses Subjekt diese Ressource auf diese Weise und zu diesem Zeitpunkt nutzen? Ein Konto kann beispielsweise eine Datei lesen, aber nicht löschen; ein Dienstkonto kann Bestellungen abrufen, aber keine Preise ändern. Welche Entscheidung richtig ist, ergibt sich aus Regeln und dem Kontext der Anfrage.
Vor einer Rechteentscheidung braucht ein System meist eine Zuordnung zu einem Benutzerkonto, einer Anwendung oder einem Dienst. Danach wertet es Merkmale der Anfrage aus: Wer oder was fordert den Zugriff an, welche Ressource ist gemeint, welche Aktion soll erfolgen und welche Regeln gelten? In der Fachsprache wird der Anfragende oft als Subjekt und das Ziel als Objekt oder Ressource bezeichnet.
Die Entscheidung kann erlauben oder verweigern. NIST fasst Zugriffskontrolle ausdrücklich als Prozess, spezifische Anfragen auf Informationen, Verarbeitungsdienste oder auch physische Einrichtungen zu gewähren oder abzulehnen.NIST: authorization Eine verweigerte Anfrage ist daher nicht automatisch ein technischer Fehler: Sie kann die korrekte Umsetzung einer Richtlinie sein.
Eine verbreitete Umsetzung ordnet Rechte nicht jedem Konto einzeln zu, sondern bündelt sie in Rollen. Eine Rolle wie „Buchhaltung“ kann das Lesen von Rechnungen erlauben, während „Freigabe“ zusätzlich das Bestätigen einer Zahlung erlaubt. Das macht die Regel nachvollziehbarer, verlangt aber Pflege: Wechselt eine Person die Aufgabe, müssen Rollen und einzelne Sonderrechte überprüft werden.
Andere Modelle treffen die Entscheidung mit Attributen. Dann können etwa Abteilung, Projektzuordnung, Schutzklasse eines Dokuments, Standort, Uhrzeit oder der Sicherheitszustand eines Geräts relevant sein. NIST beschreibt attributbasierte Zugriffskontrolle als eigenes Access-Control-Modell und ordnet die Veröffentlichung SP 800-162 den Themen access authorization und access control zu.NIST SP 800-162 Ein Attributmodell ersetzt Rollen nicht zwingend; Organisationen kombinieren beides, wenn ihre Regeln es erfordern.
Eine Policy ist die formulierte Regel hinter der Entscheidung. Sie sollte nicht nur positive Rechte enthalten, sondern auch Grenzen: Welche Aktion ist verboten, welche Datenklasse ist ausgenommen und wann läuft eine Berechtigung ab? Das Prinzip der geringsten Rechte ist dabei eine praktische Leitlinie: Es werden nur die Rechte vergeben, die für die jeweilige Aufgabe erforderlich sind. Ob ein konkretes System dieses Prinzip korrekt umsetzt, lässt sich jedoch nur anhand seiner Regeln und Protokolle beurteilen.
In einem Projektportal meldet sich eine Mitarbeiterin an. Das Portal ordnet die Sitzung ihrem Konto zu; erst danach fordert sie den Download einer vertraulichen Projektdatei an. Die Autorisierung prüft beispielsweise ihre Projektrolle, ob die Datei zum Projekt gehört und ob das Konto noch aktiv ist. Sind die Bedingungen erfüllt, liefert das Portal die Datei. Fehlt die Projektzuordnung, wird der Download abgelehnt, obwohl die Anmeldung selbst erfolgreich war.
Das Beispiel zeigt auch, warum Rechte nicht allein an Namen hängen sollten. Ein befristet eingebundener externer Dienstleister kann für einen bestimmten Ordner Leserechte erhalten, ohne automatisch Zugriff auf andere Projektbereiche zu bekommen. Nach Ende des Auftrags muss die Regel oder Mitgliedschaft entfernt werden; sonst bleibt ein technisch gültiger, fachlich aber nicht mehr gewünschter Zugriff bestehen.
Bei Webschnittstellen kann eine Anwendung im Auftrag eines Nutzers begrenzten Zugriff erhalten, ohne dessen Passwort direkt an den Zielservice weiterzugeben. Das OAuth-2.0-Framework beschreibt, dass eine Drittanwendung begrenzten Zugriff auf einen HTTP-Dienst erhalten kann, entweder im Namen eines Resource Owners nach dessen Zustimmung oder im eigenen Namen.RFC 6749 Ein ausgestelltes Zugriffstoken steht dabei für einen erteilten Zugriff mit Eigenschaften wie Umfang und Dauer.
Ein Token ist aber nicht gleichbedeutend mit unbegrenzter Erlaubnis. Der Ressourcendienst muss die vorgelegte Berechtigung im passenden Kontext akzeptieren und die erlaubten Operationen begrenzen. Bei Bearer Tokens kann jede Partei, die den Token besitzt, ihn für den zugehörigen Zugriff verwenden; deshalb müssen diese Tokens bei Speicherung und Übertragung geschützt werden.RFC 6750 Das ist ein Sicherheitsgrund, Berechtigungen eng zu fassen und Laufzeiten bewusst zu wählen.
Authentifizierung beantwortet die Frage, ob ein Nachweis zu einer behaupteten Identität passt. Autorisierung beantwortet danach, was diese Identität oder dieser Prozess darf. Eine erfolgreiche Anmeldung ist folglich keine Zusage für jede weitere Aktion. Umgekehrt kann eine gut formulierte Berechtigungsregel ohne verlässliche Zuordnung der Anfrage zu einem Konto oder Dienst nicht sinnvoll greifen.
Zugriffskontrolle ist der größere Rahmen aus Regeln, Entscheidungslogik und technischen Durchsetzungen. Autorisierung ist darin die konkrete Gewährungs- oder Ablehnungsentscheidung. Identity and Access Management, kurz IAM, verbindet die Verwaltung von Identitäten, Zugriffsrechten und ihren Lebenszyklen. NIST fasst das Ziel von IAM verständlich zusammen: die richtigen Personen und Dinge sollen zur richtigen Zeit den richtigen Zugriff auf die richtigen Ressourcen erhalten.NIST: Identity and access management
Nicht verwechselt werden sollte Autorisierung außerdem mit einer organisatorischen Freigabe oder einer behördlichen Betriebszulassung. Solche Begriffe können im jeweiligen Rechts- oder Managementkontext ebenfalls „Autorisierung“ heißen. Dieser Artikel verwendet den Begriff für die technische Rechteentscheidung beim Zugriff auf digitale Ressourcen.
Stand: 13. September 2026.