RBAC

Was ist RBAC?

RBAC (Role-Based Access Control) ist ein Autorisierungsmodell (formal beschrieben in der Norm ANSI INCITS 359-2004), bei dem Berechtigungen nicht einzelnen Nutzern, sondern definierten Rollen zugewiesen werden — und Nutzer erhalten dann Rollen zugewiesen. Dadurch reicht es bei einem Stellenwechsel eines Mitarbeiters aus, seine Rolle zu ändern, anstatt Dutzende von Rechten einzeln neu einzustellen.

Das Standard-RBAC-Modell hat vier Ebenen:

• Nutzer — konkrete Mitarbeiter
• Rollen — z. B. „Buchhalterin”, „Vertriebsmitarbeiter”, „Fertigungsleiter”
• Berechtigungen (Permissions) — atomare Operationen (Rechnung lesen, Rechnung ausstellen, Kunden löschen)
• Zuweisungen — welche Berechtigungen zu welcher Rolle gehören

Erweiterte Varianten:

• Hierarchisches RBAC — Rollen erben Berechtigungen (Junior-Buchhalter ⊂ Senior-Buchhalter ⊂ Buchhaltungsleiter)
• Constrained RBAC — Aufgabentrennung (Separation of Duties): z. B. darf nicht dieselbe Person eine Rechnung ausstellen und sie bezahlen
• Dynamic RBAC — Rollen aktiv abhängig vom Kontext (Zeit, Ort, Projekt)

Wann wird es eingesetzt

RBAC ist das grundlegende Autorisierungsmodell in jeder seriösen B2B-Software. Seine Grenze: In komplexen Szenarien (z. B. „Dieser Nutzer hat nur Zugriff auf seine Kunden in Region X”) entsteht eine Rollenexplosion — hier hilft ReBAC oder ABAC.

Siehe Seite Datenschutz und API-Seite.

Verwandte Begriffe

• ReBAC — fortschrittlicheres Modell für komplexe Szenarien. Siehe /de/glossar/rebac.
• SSO — Authentifizierung, RBAC ist Autorisierung. Siehe /de/glossar/sso.
• DSGVO — RBAC schränkt den Zugriff auf personenbezogene Daten ein. Siehe /de/glossar/gdpr.
• ISO 27001 — Annex A.5.15 fordert das Zugriffsmanagement. Siehe /de/glossar/iso-27001.

In Modulario

Modulario verwendet ein hybrides Modell — RBAC als Basis und ReBAC für komplexere Szenarien (z. B. „Ich sehe nur Dokumente von Projekten, in deren Team ich bin”). Rollen können pro Modul angepasst werden — eine Buchhalterin kann vollen Zugriff auf Fakturierung haben, aber nur Leserechte im CRM.

Modulario zeigt in der Administrationskonsole eine Berechtigungsmatrix — eine klare Tabelle, welche Rolle Zugriff auf welches Modul und welche Operationen hat. Der Mitarbeiter für ein ISO 27001-Audit hat damit eine einfache Grundlage statt Code oder XML-Konfigurationen durchsuchen zu müssen.