Welche Frage beantwortet der Login?
Die Authentifizierung soll eine Identität bestätigen. Die Berechtigungsprüfung entscheidet über konkrete Aktionen. Eine Sitzung hält den Zugriff über einzelne Anfragen hinweg aufrecht. Diese Aufteilung hilft, einen Prüfauftrag präzise zu formulieren.
NIST SP 800-63B-4 unterscheidet phishingresistente kryptografische Verfahren von manuell eingegebenen Einmalcodes. Die Stärke des Anmeldeverfahrens ist deshalb eine eigene Prüffrage. [1]
Die vergessene zweite Hälfte
Ein erfolgreich angemeldeter Nutzer sollte nicht allein deshalb eine beliebige Bestellung, Rechnung oder Verwaltungsfunktion erreichen. OWASP behandelt fehlerhafte Zugriffskontrolle weiterhin als eigene Kategorie in den Top 10:2025.
Für einen konkreten Auftrag empfehlen wir eine kleine Soll-Matrix: Rolle, Objekt, erlaubte Aktion und erwartete Ablehnung. Ein allgemeiner Hinweis „Anmeldung testen“ ist dafür zu ungenau. [2]
Ein fiktiver Testfall
Eine Anwendung hat zwei Kundenorganisationen und pro Organisation eine normale sowie eine administrative Testrolle. Vorab wird festgelegt, dass Rechnungsexporte nur innerhalb der jeweiligen Organisation abrufbar sein sollen.
Das Prüfergebnis beantwortet dann genau diese Frage. Es beschreibt verwendete Testrollen, erwartetes Verhalten, beobachtetes Verhalten und die betroffene Funktion. Ein Befund zu einer Exportfunktion wird nicht zu einer Behauptung über die gesamte Anwendung vergrößert.
Auch das Ende des Zugangs testen
Für die Planung schlagen wir drei Zustandswechsel vor: Abmeldung, Rollenwechsel und Sperrung eines Testkontos. Für jeden Wechsel wird festgelegt, welche Sitzung oder Funktion anschließend nicht mehr verfügbar sein soll.
Eine Wiederholungsprüfung sollte dieselben Bedingungen verwenden oder Abweichungen dokumentieren. Sonst bleibt unklar, ob eine Änderung das Problem behoben hat oder der neue Test nur eine andere Situation untersucht.
Was Sie vorab bereitstellen sollten
Ein guter Prüfauftrag enthält nicht möglichst viele Schlagwörter, sondern überprüfbare Erwartungen. Die folgende Auswahl ist ein redaktioneller Vorschlag für die Vorbereitung.
- Testidentitäten mit klar getrennten Rollen
- Zwei Testorganisationen bei Mandantenfähigkeit
- Freigegebene Objekte und Funktionen
- Erwartungen bei Abmeldung und Sperrung
- Kriterien für Befund und Nachprüfung
Weiterlesen
Quellen & Vertiefung
Primärquellen abgeglichen am 26.09.2026.
Quellen und Geltungsgrenzen sind im Beitrag angegeben.