Attributbasierte Zugriffskontrolle (ABAC).

Attributbasierte Zugriffskontrolle ersetzt statische Rollenzuweisungen durch dynamische Richtlinien. Eine Entscheidungs-Engine wertet Regeln über Attribute von vier Arten aus: das Subjekt (Abteilung, Freigabestufe, Rolle), die Ressource (Klassifikation, Eigentümer, Tag), die Aktion (Lesen, Löschen, Exportieren) und die Umgebung (Tageszeit, Quell-IP, Gerätestatus, Bedrohungslage). Das ermöglicht sehr feingranulare, kontextbezogene Entscheidungen — etwa einem Arzt zu erlauben, eine Patientenakte nur während seiner Bereitschaftsschicht und von einem verwalteten Gerät aus einzusehen. ABAC ist formal in NIST SP 800-162 (aktualisiert 2019) definiert, das es als Möglichkeit beschreibt, das Teilen von Informationen zu steuern, ohne im Voraus pro Ressource Konten bereitstellen zu müssen.

Die meisten realen Implementierungen folgen der XACML-Referenzarchitektur, die die Durchsetzung in vier zusammenwirkende Funktionen aufteilt: Der Policy Enforcement Point (PEP) fängt die Anfrage ab, der Policy Decision Point (PDP) wertet sie aus, der Policy Information Point (PIP) beschafft fehlende Attribute, und der Policy Administration Point (PAP) verwaltet die Regeln. Moderne Stacks ersetzen das ausführliche XML von XACML häufig durch Open Policy Agents Rego oder Attributbedingungen von AWS/Azure. ABACs Stärken sind Flexibilität und Skalierbarkeit — eine Handvoll Richtlinien kann ausdrücken, wofür man Tausende von RBAC-Rollen bräuchte — seine Schwächen sind jedoch die Komplexität der Richtlinien, das schwierigere Auditing ("Wer kann auf X zugreifen?" wird zu einem Solver-Problem) und die vollständige Abhängigkeit von vertrauenswürdigen, aktuellen Attributquellen.

flowchart LR
  U[Subjekt fordert Aktion an] --> PEP[Policy Enforcement Point]
  PEP --> PDP[Policy Decision Point]
  PDP -->|benötigt Attribute| PIP[Policy Information Point]
  PIP -->|Subjekt / Ressource / Umgebung| PDP
  PAP[Policy Administration Point] -->|Regeln| PDP
  PDP -->|Erlauben oder Verweigern| PEP
  PEP -->|erlauben| R[Ressource]
  PEP -->|verweigern| X[Blockiert]