Was ist der Unterschied zwischen rollenbasierter (RBAC) und attributbasierter Zugriffskontrolle (ABAC)?

Rollenbasierte Zugriffskontrolle (RBAC) und attributbasierte Zugriffskontrolle (ABAC) sind zwei unterschiedliche Ansätze zur Steuerung von Zugriffsrechten in IT-Systemen:

**RBAC (Role-Based Access Control):**
- Bei RBAC werden Berechtigungen auf Basis von Rollen vergeben.
- Eine Rolle ist eine definierte Sammlung von Berechtigungen (z.B. „Mitarbeiter“, „Administrator“, „Manager“).
- Benutzer werden einer oder mehreren Rollen zugewiesen und erhalten dadurch die zugehörigen Rechte.
- Beispiel: Ein Benutzer mit der Rolle „Personalabteilung“ darf auf Personaldaten zugreifen, andere nicht.
- Vorteile: Einfach zu verwalten, besonders bei vielen Nutzern mit ähnlichen Aufgaben.
- Nachteil: Wenig flexibel, da Rechte an Rollen und nicht an individuelle Eigenschaften gebunden sind.

**ABAC (Attribute-Based Access Control):**
- Bei ABAC werden Zugriffsentscheidungen auf Basis von Attributen getroffen.
- Attribute können sich auf den Benutzer (z.B. Abteilung, Alter), das Objekt (z.B. Dateityp, Klassifizierung), die Aktion (z.B. Lesen, Schreiben) oder den Kontext (z.B. Uhrzeit, Standort) beziehen.
- Die Zugriffsregeln („Policies“) definieren, welche Kombinationen von Attributen Zugriff erlauben oder verweigern.
- Beispiel: „Erlaube Zugriff auf Dokumente der Kategorie ‚Vertraulich‘ nur, wenn der Benutzer in der Abteilung ‚Recht‘ ist und sich im Firmennetzwerk befindet.“
- Vorteile: Sehr flexibel, feingranulare Steuerung möglich.
- Nachteil: Komplexere Verwaltung und Regeldefinition.

**Zusammengefasst:**
- **RBAC** basiert auf vordefinierten Rollen und ist einfacher, aber weniger flexibel.
- **ABAC** nutzt Attribute und ermöglicht komplexere, kontextabhängige Zugriffsentscheidungen.

Weitere Informationen findest du z.B. bei [Wikipedia zu RBAC](https://de.wikipedia.org/wiki/Rollenbasierte_Zugriffskontrolle) und [Wikipedia zu ABAC](https://de.wikipedia.org/wiki/Attributbasierte_Zugriffskontrolle).