Glossar · Abläufe, Berechtigungen und Sicherheit
Was ist rollenbasierte Zugriffskontrolle (RBAC)?
Rollenbasierte Zugriffskontrolle (RBAC) ist ein Modell, bei dem Zugriffsrechte in einer Software nicht Person für Person vergeben, sondern an festgelegte Rollen wie Vertriebsmitarbeiter oder Buchhaltung gebunden werden. Der Benutzer erhält seine Rechte aus der zugewiesenen Rolle. Wechselt jemand die Aufgabe, wird nur die Rollenzuweisung aktualisiert.
Zuletzt aktualisiert: · Autor: Şevket Erer, Mitgründer, KI-Spezialist
Warum wird rollenbasierte Zugriffskontrolle eingesetzt?
Rechte Person für Person zu vergeben, wirkt in einem kleinen Team einfach. Wächst das Team, lässt sich nicht mehr verfolgen, wer was sieht: Die Rechte von Ausgeschiedenen werden nicht entzogen, wer die Abteilung wechselt, behält seine alten Rechte. Das Rollenmodell bindet Rechte an festgelegte Rollen; die Person wechselt, die Rolle bleibt. Das Rollenmodell erleichtert auch die Kontrolle. Ob die Rolle Buchhaltung Kundenkarten sehen darf, wird an einer Stelle beantwortet. Den Zugriff auf personenbezogene Daten auf die Aufgabe zu beschränken, ist eine der Maßnahmen, die das KVKK (türkisches Datenschutzgesetz, vergleichbar mit der DSGVO) für die Datensicherheit erwartet, und das Rollenmodell macht daraus eine schriftliche Ordnung.
Wie werden Rollen festgelegt?
Bei der rollenbasierten Zugriffskontrolle ergeben sich die Rollen aus den tatsächlichen Aufgaben im Unternehmen, etwa Vertriebsmitarbeiter, Vertriebsleitung, Buchhaltung, Personalwesen oder Servicetechniker. Für jede Rolle wird festgehalten, welche Datensätze sie sehen und ändern und welche Vorgänge sie ausführen darf; ein Nutzer erhält eine oder mehrere Rollen und bezieht seine Berechtigungen aus ihnen. Jede Rollenänderung wird mit der Person protokolliert, die sie vorgenommen hat.
- Die Rollen werden ermittelt
Rollen werden aus den tatsächlichen Aufgaben im Unternehmen abgeleitet: Vertriebsmitarbeiter, Vertriebsleitung, Buchhaltung, Personal, Außendiensttechniker und Ähnliche.
- Der Umfang wird schriftlich festgehalten
Für jede Rolle wird festgelegt, welche Datensätze sie sehen, welche sie ändern und welche Vorgänge sie ausführen darf. Der Umfang kann die eigenen Datensätze der Person, die des Teams oder die des ganzen Unternehmens umfassen.
- Personen werden zugewiesen
Ein Benutzer wird einer oder mehreren Rollen zugewiesen und erhält seine Rechte aus der Rolle.
- Änderungen werden verfolgt
Ändert sich eine Rolle oder Zuweisung, wird festgehalten, wer wann was geändert hat. Rollen werden in regelmäßigen Abständen überprüft.
Ein Beispiel
In einem Bauunternehmen sollen Bauleiter die Datensätze ihrer eigenen Projekte und den Vertragsumfang sehen, nicht aber die Preisverhandlung mit dem Kunden. Die Buchhaltung sieht Rechnungen und Zahlungsplan, kann aber keinen Baustellenbericht ändern. Wechselt ein Bauleiter zu einem anderen Projekt, ändert sich nur die Rollenzuweisung; Berechtigungen müssen nicht einzeln durchgegangen werden.
Diese Seite dient der allgemeinen Information und ist keine Rechtsberatung; die Rechtslage wurde zuletzt am 23. September 2026 geprüft. Amtlicher Text: Gesetz zum Schutz personenbezogener Daten (mevzuat.gov.tr), Türkische Datenschutzbehörde (kvkk.gov.tr)
Wie sieht das in Corex360 aus?
In Corex360 ist der Zugriff rollenbasiert: Jeder Benutzer sieht nur die Datensätze im Rahmen seiner Rolle, eine Rechteänderung braucht die Freigabe der Führungskraft und wird protokolliert. In Corex Drive sind Dateien an Berechtigungen gebunden; geteilt wird über einen befristeten, berechtigungsgebundenen und widerrufbaren Link. Dieselbe Sicherheitsschicht arbeitet in der Corex360 Cloud wie auf Ihrem eigenen Server.
Häufig verwechselte Begriffe
| Prüfprotokoll (Audit-Log) | Die Autorisierung legt vorab fest, wer was tun darf. Das Prüfprotokoll zeigt im Nachhinein, was getan wurde. Beide arbeiten zusammen. |
|---|---|
| Authentifizierung | Die Authentifizierung bestätigt, dass ein Benutzer die Person ist, die er zu sein angibt; Passwort und Bestätigungscode gehören zu diesem Schritt. Die Autorisierung legt fest, worauf die bestätigte Person zugreifen darf. |
Verwandte Begriffe: Prüfprotokoll (Audit-Log), Auftragsverarbeitungsvertrag (AVV)
Häufige Fragen
Kann ein Benutzer bei rollenbasierter Zugriffskontrolle mehrere Rollen haben?
In den meisten Systemen ja, und die Rechte ergeben sich aus der Kombination der Rollen. Wenige, aussagekräftige Rollen machen erklärbar, wer was sieht.
Reicht rollenbasierte Zugriffskontrolle für das KVKK?
Für sich allein reicht sie nicht, gehört aber zu den nötigen Maßnahmen. Sie wird zusammen mit Zugriffsprotokoll, verschlüsselter Sicherung, Information der Betroffenen und Aufbewahrungsfristen bewertet.
Sollten Führungskräfte bei rollenbasierter Zugriffskontrolle alles sehen?
So viel, wie die Aufgabe erfordert. Die Rolle einer Führungskraft kann weit gefasst sein, aber Bereiche wie personenbezogene Daten und Gehalt sind nur den zuständigen Rollen zugänglich.
War diese Seite hilfreich?