Zugangskontrolle (Informatik) – einfach erklärt

Kern und Abgrenzung

Zugangskontrolle (englisch: admission control) verhindert, dass Unbefugte auf Verarbeitungsanlagen zugreifen, mit denen Verarbeitungsvorgänge durchgeführt werden. Dadurch wird beispielsweise sichergestellt, dass ein Rechner nur mit berechtigten Nutzern kommuniziert.

Zu unterscheiden sind Zugangskontrolldienste und zugangskontrollierte Dienste. Zugangskontrolldienste dienen der technischen Realisierung der Zugangskontrolle. Zugangskontrollierte Dienste können erst nach einer erfolgreichen Zugangskontrolle genutzt werden.

Im deutschen Recht wurde bis 2018 zwischen dem Zutritt zu Grundstücken und Räumen (Zutrittskontrolle) sowie der Nutzung von Datenverarbeitungsanlagen (Zugangskontrolle im engeren Sinne) unterschieden. Heute wird der Zutritt zu Grundstücken, Räumen und Datenverarbeitungsanlagen von der informationstechnischen Nutzungsmöglichkeit und diese wiederum vom Zugang zu den Daten unterschieden, die von einer Zugangsberechtigung umfasst sind. Die abgestufte Inanspruchnahme von Betriebsmitteln wird als Zugriffskontrolle bezeichnet.

Identität und Authentifizierung

Am Anfang der Zugangskontrolle wird die Identität des Kommunikationspartners erfragt. Dabei können auch Pseudonyme zugelassen werden. Die Kommunikationsbeziehung wird nur fortgesetzt, wenn die Identität erfolgreich geprüft wurde. Diese Prüfung heißt Authentifizierung.

Ein Mensch kann von einem Rechner anhand verschiedener Merkmalsarten erkannt werden:

biologische Merkmale, zum Beispiel durch Biometrie;
Wissen, zum Beispiel Benutzername und Passwort;
Besitz, zum Beispiel Ausweis oder Smartcard.

Umgekehrt kann sich ein Mensch vor einem Rechner absichern, indem er den Rechner anhand äußerer Merkmale wie Gehäuse, Hologramm oder Verunreinigungen, anhand seines Wissens oder anhand seines Standorts identifiziert.

Rechner können sich gegenseitig nur durch Wissen und möglicherweise durch die Herkunft der Leitung erkennen. Die Identitätsprüfung kann einmalig zu Beginn oder dauerhaft während der gesamten Kommunikation erfolgen.

Schutzziele und technische Umsetzung

Bei der technischen Umsetzung müssen insbesondere die Schutzinteressen der Teilnehmer, gegebenenfalls vertreten durch ihre Endgeräte, und die Interessen des Anbieters der zugangskontrollierten Dienste berücksichtigt werden.

Mögliche Schutzziele der Teilnehmer sind:

Vertraulichkeit, etwa die Vermeidung unnötiger Protokolldaten;
Anonymität;
Erreichbarkeit.

Für Anbieter können insbesondere folgende Schutzziele wichtig sein:

Integrität und Authentizität, also die Sicherstellung, dass Daten und Kommunikationspartner unverändert beziehungsweise echt sind;
Verfügbarkeit;
Nicht-Anfechtbarkeit, also rechtliche Verbindlichkeit.

Zugangskontrolldienste werden in der Regel mit kryptografischen Systemen umgesetzt. Dazu gehören Verschlüsselung und Authentifikation. Diese Verfahren erhöhen die Sicherheit gegen Angriffe.