Authentifizierung vs. Autorisierung: Architekturmuster für Webanwendungen

Diese beiden Konzepte werden ständig vermischt, und genau in dieser Vermischung entstehen Sicherheitslücken. Dass ein Nutzer eingeloggt (authentifiziert) ist, sagt nichts darüber aus, auf welche Datensätze, Aktionen oder Konten er zugreifen dürfen sollte (Autorisierung).

Wo beide ansetzen

Gängige Authentifizierungsmuster

• Passwort + sicheres Hashing — nach wie vor Standard, erfordert korrektes Hashing (bcrypt/argon2), Rate-Limiting und breach-bewusste Validierung
• Magic Links / Einmalcodes — erspart Passwortverwaltung, gute Wahl für reibungsarme B2B- und Portal-Logins
• OAuth / SSO — delegiert die Identität an einen vertrauenswürdigen Anbieter (Google, Microsoft, einen unternehmenseigenen IdP); reduziert Passwortwildwuchs bei B2B-Software
• Multi-Faktor-Authentifizierung (MFA) — ein zusätzlicher Faktor über Wissen hinaus; Standard für Admin- und Finanzzugriffe

Gängige Autorisierungsmuster

• Rollenbasierte Zugriffskontrolle (RBAC) — Berechtigungen an Rollen geknüpft, Rollen an Nutzer geknüpft; skaliert gut für interne Tools und B2B-Produkte
• Attributbasierte Zugriffskontrolle (ABAC) — Berechtigungen werden aus Attributen berechnet (Abteilung, Region, Projekt) statt aus festen Rollen; flexibler, aber komplexer
• Eigentümerbasierte Prüfungen — ein Nutzer darf nur auf eine Ressource zugreifen, wenn er sie besitzt oder zu ihrem Konto gehört; das Standardmuster für Client Portals und Multi-Tenant-SaaS

// Falsch: vertraut einer vom Client übermittelten ID
async function getInvoice(invoiceId: string, accountId: string) {
  return db.invoice.findFirst({ where: { id: invoiceId, accountId } });
}

// Richtig: leitet das Konto aus der authentifizierten Session ab
async function getInvoice(invoiceId: string, session: Session) {
  return db.invoice.findFirst({
    where: { id: invoiceId, accountId: session.accountId },
  });
}

Eine praktische Checkliste

1. Trennen Sie beide Belange im Code

   Authentifizierungs-Middleware bestätigt die Identität und hängt eine Session an. Autorisierungsprüfungen laufen explizit pro Ressource, niemals allein aus einer Rolle abgeleitet.

2. Scopen Sie jede Abfrage über die authentifizierte Session

   Akzeptieren Sie niemals eine Konto-, Tenant- oder Eigentümer-ID aus Client-Eingaben für Zugriffsentscheidungen.

3. Wählen Sie zuerst RBAC, fügen Sie ABAC nur hinzu, wenn Rollen nicht mehr passen

   Die meisten Produkte wachsen nie aus Rollen heraus. Attributbasierte Regeln bringen echte Komplexität mit; verdienen Sie sich diese, bevor Sie sie einführen.

4. Protokollieren Sie Autorisierungsfehler

   Wiederholte Autorisierungsfehler von einem Konto sind ein Signal, das eine Warnung wert ist, nicht stillschweigend ignoriert zu werden.

FAQ