Berechtigungen gehören auf den Server und an jede wichtige Aktion

Anmeldung und Berechtigung beantworten unterschiedliche Fragen. Die Anmeldung identifiziert einen Nutzer; die Berechtigungsprüfung entscheidet, was dieser Nutzer tun darf. OWASP empfiehlt minimale Rechte und die Überprüfung des Zugriffs bei den jeweiligen Anfragen.

Eine Oberfläche kann Funktionen verstecken, ohne den zugehörigen Serverzugriff wirksam zu sperren. Deshalb muss eine Anwendung auch manipulierte oder direkt aufgerufene Anfragen korrekt behandeln. Besonders wichtig ist die Trennung zwischen eigenen Datensätzen, Teamdaten und administrativen Funktionen. Standardmäßig freizugeben, was nicht ausdrücklich gesperrt wurde, schafft unnötige Risiken.

Empfehlung für Unternehmen

Prüfen Sie das System mit getrennten Testkonten für unterschiedliche Rollen. Versuchen Sie kontrolliert, fremde Datensätze und unzulässige Aktionen zu erreichen. Dokumentieren Sie erwartete Ablehnungen. Die Prüfung gehört nach Rollenänderungen und neuen Verwaltungsfunktionen erneut in die Abnahme.

Quelle: OWASP Authorization Cheat Sheet