Authentifizierung und Autorisierung: Wer bist du und was darfst du?

Du meldest dich morgens am Firmenrechner an und öffnest danach einen Ordner mit Kundenunterlagen. Gleich zwei Prüfungen laufen ab. Erst fragt das System: Wer bist du? Dann: Was darfst du hier? Beide Fragen klingen ähnlich und sind doch verschieden. Wer sie verwechselt, baut Sicherheitslücken.

Im Beitrag IT-Sicherheit Grundlagen wurde das Prinzip der geringsten Rechte erwähnt. Hier siehst du, wie Systeme Benutzer erkennen und Rechte verteilen.

Vier Begriffe

Ein Vergleich aus dem Alltag hilft: Am Flughafen zeigst du deinen Reisepass. Die Kontrolle prüft, ob du die Person bist, die du vorgibst zu sein. Die Bordkarte erlaubt dir dann den Zugang zu einem bestimmten Flug, aber nicht zu allen. Danach bleibt ein Protokoll, wann du wo durchgegangen bist.

Begriff	Frage	Beispiel
Identifikation	Wer behauptest du zu sein?	Du gibst den Benutzernamen „anna“ ein
Authentifizierung	Kannst du es beweisen?	Du gibst das richtige Passwort ein
Autorisierung	Was darfst du tun?	Anna darf im Ordner „Finanzen“ lesen, aber nicht löschen
Accounting (Nachvollziehbarkeit)	Was hast du getan?	Das System protokolliert, wann Anna welche Datei geöffnet hat

Man fasst diese Aufgaben auch unter dem Kürzel AAA zusammen: Authentication, Authorization, Accounting. Die Reihenfolge ist wichtig. Ohne sichere Authentifizierung nützt die schönste Rechtevergabe nichts, denn dann gibt sich ein Angreifer einfach als Anna aus und bekommt deren Rechte.

Die drei Faktoren der Authentifizierung

Einen Beweis für deine Identität kannst du auf drei Arten führen:

Faktor	Was ist das?	Beispiele	Schwäche
Wissen	Etwas, das nur du weißt	Passwort, PIN	Kann erraten, ausgespäht oder verraten werden
Besitz	Etwas, das nur du hast	Smartphone, Chipkarte, Hardware-Schlüssel	Kann verloren gehen oder gestohlen werden
Inhärenz (Eigenschaft)	Etwas, das du bist	Fingerabdruck, Gesicht, Iris	Lässt sich nicht ändern, wenn es einmal kompromittiert ist

Jeder Faktor allein hat Schwächen. Kombiniert man zwei verschiedene, ist die Sicherheit viel höher. Das ist das Prinzip der Mehr-Faktor-Authentifizierung, die der nächste Beitrag MFA verstehen behandelt.

Passwörter: Wie Systeme sie speichern

Ein sauberes System speichert dein Passwort nicht im Klartext. Es speichert einen Hashwert: das Ergebnis einer Einwegfunktion, die aus dem Passwort eine feste Zeichenfolge macht. Aus dem Hash lässt sich das Passwort nicht zurückrechnen. Bei der Anmeldung berechnet das System den Hash der Eingabe und vergleicht ihn mit dem gespeicherten.

Wie ein Hash aussieht, siehst du mit dem Hashverfahren SHA-256 (hier unter Linux). Der Parameter -n verhindert einen Zeilenumbruch:

echo -n "Passwort1" | sha256sum
b2f6e9ba526bad0f8fe12b94ade8002243877a3be636b4f21c2a37074ae67f5c

echo -n "Passwort2" | sha256sum
a2c582923fa7567767a95d8b54b8df95dbc2ba8f5c3c30d3a9a3c78d075636d1

Zwei Eigenschaften fallen auf. Der Hash hat immer dieselbe Länge, hier 64 Hexadezimalzeichen, das sind 256 Bit (die Umrechnung kennst du aus dem Beitrag Zahlensysteme). Und eine winzige Änderung am Passwort, hier eine einzige Ziffer, ergibt einen völlig anderen Hash. In diesem Beispiel unterscheiden sich 121 von 256 Bit.

Salt und langsame Verfahren

Zwei Passwörter, die gleich sind, würden denselben Hash ergeben. Ein Angreifer, der eine Liste fertig berechneter Hashes besitzt, könnte sie vergleichen. Dagegen hilft der Salt: ein zufälliger Zusatz pro Benutzer, der vor dem Hashen an das Passwort gehängt wird. So hat jedes Passwort einen eigenen Hash, auch wenn zwei Benutzer dasselbe gewählt haben.

Außerdem verwendet man für Passwörter bewusst langsame Verfahren wie bcrypt, scrypt, Argon2 oder PBKDF2. SHA-256 allein ist für die Passwortspeicherung zu schnell, denn Angreifer könnten Milliarden Versuche pro Sekunde durchprobieren. Ein langsames Verfahren macht jeden einzelnen Versuch teuer. Als Anwender kannst du das nicht beeinflussen. Du wählst aber ein gutes Passwort und prüfst als Administrator bei eigener Software, wie sie Passwörter speichert.

Wie ein gutes Passwort aussieht

• Länge geht vor Komplexität. Wie im Beitrag WLAN-Sicherheit gerechnet, ergeben 12 zufällige Zeichen (6212 ≈ 3,2 · 1021) unvergleichlich mehr Möglichkeiten als 8 (628 ≈ 2,2 · 1014).
• Für jedes Konto ein eigenes Passwort. Dazu mehr unten.
• Passwortmanager nutzen. Er erzeugt und merkt sich lange, zufällige Passwörter. Du musst dir nur noch ein starkes Hauptpasswort merken.
• Nicht ohne Anlass ständig wechseln. Aktuelle Empfehlungen raten vom regelmäßigen Zwangswechsel ab, weil er zu schwachen, vorhersehbaren Passwörtern führt. Gewechselt wird bei Verdacht auf Missbrauch. Welche Regeln in deinem Unternehmen gelten, legt die Sicherheitsrichtlinie fest.

Angriffe auf Passwörter und wie man sich schützt

Angriff	Prinzip	Schutz
Brute Force	Alle Möglichkeiten systematisch durchprobieren	Lange Passwörter, Sperre nach Fehlversuchen, langsames Hashverfahren
Wörterbuchangriff	Häufige Wörter und Muster ausprobieren	Zufällige Passwörter statt Wörter und Namen
Credential Stuffing	Gestohlene Zugangsdaten eines Dienstes bei vielen anderen testen	Einmalige Passwörter pro Dienst, MFA
Phishing	Der Benutzer gibt sein Passwort selbst auf einer gefälschten Seite ein	Schulung, MFA, Hardware-Schlüssel

Das häufigste Muster im Alltag ist Credential Stuffing: Wer dasselbe Passwort bei einem Onlineshop und beim Firmenkonto nutzt, öffnet bei einem Datenleck des Shops auch die Firma.

Weitere Verfahren der Authentifizierung

Neben dem Passwort gibt es Verfahren, die ohne Geheimnis auskommen, das man eintippt:

Verfahren	So funktioniert es	Typischer Einsatz
Schlüsselpaar (zum Beispiel SSH)	Ein privater Schlüssel bleibt beim Benutzer, der öffentliche liegt auf dem Server	Administratorzugang zu Servern
Zertifikat, Smartcard	Ein digitales Zertifikat auf einer Karte oder im Gerät beweist die Identität	Zugangskontrolle, WLAN-Enterprise, sichere Mails
Einmalcode (OTP)	Ein Code, der nur kurz oder einmal gültig ist	Zweiter Faktor, siehe nächster Beitrag
Biometrie	Körpermerkmale wie Fingerabdruck oder Gesicht	Entsperren von Geräten

SSH-Schlüssel in der Praxis

Bei einem Schlüsselpaar erzeugst du zwei zusammengehörige Schlüssel. Der private Schlüssel verlässt deinen Rechner nie. Der öffentliche darf jeder kennen. Der Server prüft, ob du den passenden privaten Schlüssel besitzt, ohne dass ein Passwort übertragen wird. Erzeugt wird das Paar mit diesem Befehl (Linux, macOS und neuere Windows-Versionen):

ssh-keygen -t ed25519

Das Programm fragt nach einem Speicherort und einer Passphrase, mit der du den privaten Schlüssel zusätzlich schützen solltest. Den öffentlichen Schlüssel überträgst du dann auf den Server, hier der Dateiserver der Firma:

ssh-copy-id anna@192.168.10.140

Danach kannst du dich ohne Passwort am Server anmelden, die Anmeldung läuft über das Schlüsselpaar. Der Server kann die Passwortanmeldung dann sogar abschalten, was Brute-Force-Angriffe auf SSH wirkungslos macht. Wie SSH als Dienst im Netz arbeitet, kennst du aus der Port-Tabelle im Beitrag TCP/IP-Modell erklärt (Port 22).

Zentrale Anmeldung: Verzeichnisdienst und SSO

In einer Firma legt man Benutzer nicht auf jedem Server einzeln an. Ein Verzeichnisdienst verwaltet sie zentral, bekannt ist vor allem Microsoft Active Directory, in der Linux-Welt gibt es LDAP-Lösungen. Der Server hat dazu eine Rolle, wie sie im Beitrag Was ist ein Server? aufgezählt ist. Die Vorteile: Ein Konto, eine Passwortrichtlinie, ein Ort, an dem man Benutzer sperrt.

Dazu kommt Single Sign-On (SSO): Du meldest dich einmal an und bekommst Zugang zu allen berechtigten Diensten, ohne dich jedes Mal neu anzumelden. Im Windows-Netz übernimmt das häufig das Protokoll Kerberos, das mit zeitlich begrenzten Tickets arbeitet. Im Web nutzt man dafür Verfahren wie SAML oder OpenID Connect. Auch das WLAN-Enterprise aus dem Beitrag zur WLAN-Sicherheit greift über RADIUS auf dasselbe Benutzerverzeichnis zu.

Autorisierung: Rechte vergeben

Ist die Identität geklärt, kommt die Frage, was jemand darf. Das regeln Berechtigungen, zum Beispiel Lesen, Schreiben, Ausführen oder Löschen. Einzelnen Benutzern Rechte zu geben, wird bei vielen Mitarbeitern unübersichtlich. Deshalb arbeitet man mit Gruppen und Rollen.

Gruppen und Rollen (RBAC)

Beim rollenbasierten Zugriff (Role-Based Access Control, RBAC) gibt es Gruppen wie „Verwaltung“ oder „Entwicklung“. Rechte werden der Gruppe zugewiesen, die Benutzer werden Mitglied der Gruppe. Wechselt ein Mitarbeiter die Abteilung, ändert der Administrator nur die Gruppenzugehörigkeit. Im Windows-Netz hat sich das Muster „Konto, Gruppe, Rechtegruppe, Berechtigung“ bewährt, auch unter dem Kürzel AGDLP bekannt.

Rechte unter Linux

Linux kennt für jede Datei einen Besitzer, eine Gruppe und die Rechte für andere, jeweils getrennt nach Lesen (r), Schreiben (w) und Ausführen (x). Das Oktalsystem aus dem Beitrag Zahlensysteme kommt hier direkt zum Einsatz: r = 4, w = 2, x = 1. Für den Ordner der Finanzabteilung:

sudo chown root:finanzen /srv/finanzen
sudo chmod 750 /srv/finanzen
ls -ld /srv/finanzen

Der erste Befehl setzt den Besitzer auf root und die Gruppe auf finanzen. Der zweite vergibt die Rechte: 7 = 4 + 2 + 1 (rwx) für den Besitzer, 5 = 4 + 1 (r-x) für die Gruppe und 0 (keine Rechte) für alle anderen. Mitglieder der Gruppe dürfen den Ordner also lesen, aber nicht darin schreiben, alle anderen kommen gar nicht hinein. Die Ausgabe von ls -ld zeigt drwxr-x---.

Rechte unter Windows

Unter Windows steuern NTFS-Berechtigungen den Zugriff auf Dateien und Ordner. Mit diesem Befehl siehst du sie in der Eingabeaufforderung:

icacls D:\Finanzen

Die Ausgabe listet Gruppen und Benutzer mit ihrem Recht, zum Beispiel (F) für Vollzugriff, (M) für Ändern oder (R) für Lesen. Bei Freigaben im Netz gelten zusätzlich die Freigabeberechtigungen, am Ende zählt die strengere Kombination.

Accounting: Was wurde getan?

Authentifizierung und Autorisierung nützen im Nachhinein wenig, wenn man nicht sieht, was passiert ist. Deshalb gehört die Protokollierung dazu. Unter Windows schreiben erfolgreiche Anmeldungen die Ereignis-ID 4624 und fehlgeschlagene die ID 4625 in das Sicherheitsprotokoll. Unter Linux zeigt last die letzten Anmeldungen, und die Meldungen des SSH-Dienstes stehen im System-Journal:

last
journalctl -u ssh

Der Dienstname kann je nach Distribution ssh oder sshd lauten. Viele fehlgeschlagene Anmeldungen kurz hintereinander sind ein Warnzeichen für einen Passwortangriff. Das Monitoring aus dem Beitrag Monitoring verstehen kann solche Muster melden.

Praxisbeispiel: Konten und Rechte in der Firma

Die Firma verwaltet alle Benutzer im Verzeichnisdienst. Der Administrator legt Gruppen an und ordnet ihnen Rechte auf dem Dateiserver zu:

Ordner auf srv-files	Geschäftsleitung	Verwaltung	Entwicklung	Alle anderen
Finanzen	Lesen	Ändern	Kein Zugriff	Kein Zugriff
Projekte	Lesen	Kein Zugriff	Ändern	Kein Zugriff
Allgemein	Lesen	Lesen	Lesen	Lesen

Dazu gelten weitere Regeln, die sich aus den Grundprinzipien ergeben:

• Zwei Konten für Administratoren: Ein normales Konto für Mail und Web, ein getrenntes Administratorkonto nur für die Verwaltung. So kann ein Phishing-Klick im Alltag nicht sofort das ganze Netz gefährden.
• Dienstkonten mit minimalen Rechten: Das Backup-Programm hat ein eigenes Konto, das nur lesen und sichern darf, aber nichts sonst. Es steht niemals auf Administratorrechten im ganzen Netz.
• Eintritt und Austritt klar geregelt: Neue Mitarbeiter bekommen die Rechte ihrer Gruppe, bei Austritt wird das Konto am letzten Tag gesperrt. Wechselt jemand die Abteilung, werden alte Gruppen entfernt.
• Regelmäßige Rechteprüfung: Einmal im Jahr prüft der Administrator, wer in welcher Gruppe ist.

Typische Fehler und Missverständnisse

• Authentifizierung und Autorisierung verwechseln. Erst der Beweis der Identität, dann die Frage der Rechte.
• Passwörter mehrfach verwenden. Ein Datenleck bei einem Dienst öffnet dann viele Konten.
• Gemeinsame Konten. Wenn mehrere Personen dasselbe Konto nutzen, lässt sich nicht mehr nachvollziehen, wer was getan hat.
• Rechte an Einzelpersonen statt an Gruppen vergeben. Das ist unübersichtlich und fehleranfällig.
• Rechte nie entziehen. Wer die Abteilung wechselt, behält sonst alte Zugriffe und sammelt immer mehr Rechte an.
• Alle als Administrator arbeiten lassen. Das widerspricht dem Prinzip der geringsten Rechte.
• Passwörter in Skripten, Dateien oder Mails ablegen. Dort liest sie jeder, der Zugriff auf die Datei hat.
• Klartextprotokolle für Anmeldungen. Telnet und unverschlüsseltes FTP übertragen Passwörter lesbar. Nutze SSH und verschlüsselte Verbindungen.
• Standardkonten und Standardpasswörter belassen. Sie sind Angreifern bekannt.
• Konten ausgeschiedener Mitarbeiter nicht sperren. Das sind offene Türen.

Zum Üben

1. Erkläre den Unterschied zwischen Authentifizierung und Autorisierung an einem Beispiel.
2. Nenne die drei Faktoren der Authentifizierung mit je einem Beispiel.
3. Warum speichern Systeme Passwörter als Hash und nicht im Klartext?
4. Was bewirkt der Salt?
5. Was bedeutet chmod 750 für Besitzer, Gruppe und alle anderen?
6. Welche Ereignis-ID in Windows steht für eine fehlgeschlagene Anmeldung?
7. Warum vergibt man Rechte an Gruppen und nicht an einzelne Benutzer?
8. Warum ist es gefährlich, dasselbe Passwort bei mehreren Diensten zu verwenden?

Lösungen: (1) Die Authentifizierung prüft, wer du bist, zum Beispiel per Passwort. Die Autorisierung entscheidet, was du darfst, zum Beispiel lesen, aber nicht löschen. (2) Wissen (Passwort), Besitz (Smartphone oder Chipkarte), Inhärenz (Fingerabdruck). (3) Der Hash lässt sich nicht zurückrechnen. Wird die Datenbank gestohlen, sind die Passwörter nicht direkt lesbar. (4) Der Salt ist ein zufälliger Zusatz pro Benutzer. Er sorgt dafür, dass gleiche Passwörter unterschiedliche Hashes ergeben, und erschwert den Vergleich mit fertigen Hashlisten. (5) Besitzer: 7 = rwx (lesen, schreiben, ausführen). Gruppe: 5 = r-x (lesen und ausführen). Andere: 0 = keine Rechte. (6) 4625. Erfolgreiche Anmeldungen haben die ID 4624. (7) Das ist übersichtlicher, und bei einem Abteilungswechsel ändert sich nur die Gruppenzugehörigkeit. (8) Bei einem Datenleck eines Dienstes probieren Angreifer die gestohlenen Zugangsdaten bei anderen Diensten aus (Credential Stuffing).

Das solltest du dir merken

• Authentifizierung klärt, wer du bist. Autorisierung klärt, was du darfst. Accounting protokolliert, was du getan hast (AAA).
• Faktoren: Wissen, Besitz und Inhärenz. Kombiniert man zwei verschiedene, wird es viel sicherer.
• Systeme speichern Passwörter als Hash mit Salt, mit langsamen Verfahren wie Argon2 oder bcrypt.
• Lange, einmalige Passwörter mit Passwortmanager schützen vor den häufigsten Angriffen, auch vor Credential Stuffing.
• Schlüsselpaare (SSH) und Zertifikate machen Passwörter bei Administratorzugängen oft überflüssig.
• Ein Verzeichnisdienst verwaltet Benutzer zentral, SSO erspart wiederholte Anmeldungen.
• Rechte vergibt man an Gruppen und nach dem Prinzip der geringsten Rechte. Protokolle zeigen, was passiert ist.

Ein Passwort allein ist der schwächste Teil jeder Kette. Wie ein zweiter Faktor Konten schützt, selbst wenn das Passwort gestohlen wurde, zeigt der nächste Beitrag: MFA verstehen.