Welche Frage eine Rechteprüfung beantwortet
Eine Anmeldung bestätigt eine Identität. Die Berechtigungsprüfung entscheidet anschließend, welche Handlung diese Identität an einem bestimmten Datensatz ausführen darf. OWASP empfiehlt, solche Regeln bei jeder Anfrage zu prüfen und Zugriffe ohne passende Freigabe standardmäßig abzulehnen.
Für einen Softwareanbieter ist das eine konkrete Geschäftsfrage: Kann Kunde A ausschließlich seine eigenen Aufträge bearbeiten? Darf eine lesende Projektrolle Dateien exportieren? Hat der Support nur Zugriff auf die betreuten Kunden? Ein funktionierender Login beantwortet diese Fragen noch nicht. [2]
Eine kleine Matrix schafft Klarheit
Wir empfehlen, mit den geschäftlich wichtigsten Funktionen zu beginnen. Die folgende Planungsmatrix ist kein Prüfergebnis und beschreibt keine tatsächliche Kundenanwendung. Sie zeigt, wie erwartete Rechte vor dem Test eindeutig festgehalten werden können.
- Für jede Rolle erlaubte Aktionen und Datenbereiche benennen.
- Eigentümer beziehungsweise Mandant der Testdaten festhalten.
- Lesen, Ändern, Löschen und Export als eigene Aktionen betrachten.
- Sonderrechte, befristete Freigaben und Rollenwechsel ausdrücklich aufnehmen.
| Testidentität | Erwarteter erlaubter Zugriff | Erwartete Sperre |
|---|---|---|
| Kunde A | Eigene freigegebene Dokumente lesen | Dokumente von Kunde B |
| Lesende Projektrolle | Zugewiesene Projektinformationen ansehen | Projektinformationen ändern oder löschen |
| Support mit Freigabe | Für den Auftrag freigegebenen Kundenbereich betreuen | Nicht zugewiesene Kundenbereiche |
Testkonten und Testdaten passend vorbereiten
Die Testumgebung braucht voneinander unterscheidbare Identitäten und Datensätze. Für Objektzugriffe beschreibt OWASP mehrere Nutzer mit unterschiedlichen eigenen Objekten und gegebenenfalls unterschiedlichen Rechten als geeignete Grundlage.
Stellen Sie für die vereinbarten Abläufe nachvollziehbare Testdaten bereit. Ein Bericht mit leeren Konten kann zum Beispiel den Dokumentexport kaum sinnvoll abbilden. Dokumentieren Sie, welche Testdaten zu welchem Konto gehören und welche Funktionen produktiv tatsächlich verwendet werden. Übermitteln Sie Zugänge erst über den vereinbarten sicheren Kanal.
Für Projektverantwortliche ist besonders wichtig, die erwarteten Rechte vorab mit dem fachlichen Eigentümer abzugleichen. Wenn Produktteam und Support unterschiedlich verstehen, was eine Rolle darf, lässt sich eine unerwartete Beobachtung nicht eindeutig als Fehler einordnen. [1]
Geschäftsabläufe statt einzelner Bildschirmseiten betrachten
Ein Portal kann dieselben Informationen in der Oberfläche, über eine API und im Export anbieten. Nehmen Sie die verwendeten Wege gemeinsam in den Prüfumfang auf. Ein ausgeblendeter Menüpunkt ist keine Bestätigung, dass die zugehörige Aktion serverseitig gesperrt ist.
Für IT-Dienstleister mit mehreren Kundenbereichen empfehlen wir zusätzlich eine Zuständigkeitsübersicht: Wer genehmigt den Test, wer betreut die Anwendung und wer entscheidet über die fachlichen Regeln? Die Freigabe eines Kunden erstreckt sich nicht automatisch auf andere Kunden eines gemeinsam genutzten Dienstes. Legen Sie die Testgrenzen daher ausdrücklich fest.
Die passende Prüfung zwischen Außencheck und Pentest auswählen
Welche Angaben das Ergebnis verwertbar machen
Ein nützlicher Befund verbindet die getestete Rolle mit der Aktion, dem betroffenen Datenbereich und der erwarteten Regel. So kann das Entwicklungsteam den beobachteten Unterschied nachvollziehen, ohne zunächst den gesamten Berechtigungsentwurf rekonstruieren zu müssen.
Für die Nachprüfung sollte außerdem feststehen, welche Softwareversion und welche Rechtekombination erneut geprüft werden. Nach einer Korrektur ist auch der weiterhin erlaubte Ablauf relevant: Ein pauschales Sperren sämtlicher Zugriffe beseitigt zwar einen unerlaubten Zugriff, kann aber die benötigte Funktion unbrauchbar machen.
Halten Sie nicht geprüfte Kombinationen gesondert fest. Das Ergebnis bleibt dadurch für Releaseentscheidungen und spätere Erweiterungen nutzbar. Die notwendige Prüftiefe richtet sich nach den vereinbarten Funktionen; ein externer Konfigurationscheck allein kann diese Rechtebeziehungen nicht bestätigen.
Weiterlesen
Quellen & Vertiefung
Primärquellen abgeglichen am 05.10.2026.
Quellen und Geltungsgrenzen sind im Beitrag angegeben.