Ein Zugriffskontrollmodell, bei dem Berechtigungen Rollen zugewiesen werden, die Tätigkeitsfunktionen oder Verantwortungsbereiche repräsentieren; Benutzer erhalten oder verlieren Berechtigungen durch Hinzufügen zu oder Entfernen aus Rollen statt durch individuelle Zuweisungen.

Prinzip

Berechtigungen in Rollendefinitionen kapseln, um Verwaltung zu vereinfachen, das Prinzip des geringsten Privilegs durchzusetzen und Trennung von Aufgaben sowie Auditierbarkeit zu unterstützen.

Demonstration

In einem Fallmanagementsystem erhält die Rolle „Sachbearbeiter“ Rechte zum Erstellen und Bearbeiten von Vorgängen, die Rolle „Vorgesetzter“ kann Freigaben erteilen, und die Rollenzuweisung wird über einen Provisioning‑Workflow gesteuert, der an HR‑Änderungen gekoppelt ist.

Fehlanwendung

Zu breite Rollen zur Abkürzung des Provisionings schaffen oder Rollenmitgliedschaften nicht regelmäßig prüfen, was zu Privilegienausuferung und übermäßigem Zugriff führt.

Konsequenz

Bei gut gestalteten und gesteuerten Rollen liefert RBAC skalierbare, konsistente und auditierbare Zugriffsverwaltung, die Verwaltungsfehler und Sicherheitsrisiken reduziert.

Umkehrung

Ein diskretionäres Modell, in dem Berechtigungen einzeln an Benutzer vergeben werden, verursacht hohen Verwaltungsaufwand, inkonsistente Rechtevergabe und reduzierte Prüfbarkeit.

Abgrenzung

Effektiv, wenn organisatorische Aufgaben in stabile Rollen abbildbar sind; RBAC eignet sich allein weniger für hochdynamische, kontextabhängige oder einmalige Zugriffsbedarfe ohne ergänzende Mechanismen wie zeitlich begrenzte Erhöhungen oder attributbasierte Kontrollen.

Semantische Spannung

Spannung zwischen der Einfachheit und Handhabbarkeit von RBAC und der Flexibilität attributbasierter oder kontextbezogener Modelle: RBAC kann Zugriffsbedarfe übergeneralisiert abbilden, wenn Nuancen oder situativer Kontext erforderlich sind.

Synthese

RBAC bildet organisatorische Rollen auf Berechtigungssätze ab und koppelt Provisioning, Governance und Überprüfungsprozesse, um eine verwaltbare, prüfbare Methode zur Zugriffskontrolle in Polizeisystemen bereitzustellen.