Kurzfassung
Eine Access Control List (ACL) ist eine geordnete Regelmenge an einer Ressource. Sie legt fest, welche Subjekte (Nutzer, Gruppen, Quelladressen, Dienste) welche Aktionen auf dieser Ressource ausführen dürfen.
Was ist eine ACL?
ACLs tauchen in vielen Schichten eines Systems auf. Dateisysteme hängen ACLs an Dateien und Verzeichnisse und vergeben Lese-, Schreib- und Ausführungsrechte pro Nutzer oder Gruppe. Netzwerkgeräte nutzen ACLs als Paketfilter, die Datenverkehr anhand von Adressen, Ports und Protokollen erlauben oder blockieren. Cloud-Plattformen setzen ACLs an Buckets, Queues und APIs. Moderne Mesh-VPNs und Zero-Trust-Gateways formulieren ihre Verbindungs-Policy als identitätsbasierte ACLs.
Ein typischer ACL-Eintrag verbindet ein Subjekt, ein Ressourcenmuster, eine Aktion und einen Effekt (Allow oder Deny). Viele Implementierungen werten die Liste von oben nach unten aus und wenden die erste passende Regel an. Reihenfolge zählt also – ein falsch platziertes Allow kann ein engeres Deny still überschreiben. Moderne Stacks setzen explizite Deny-by-Default-Semantik, um diese Fehlerklasse zu vermeiden.
In einem Zero-Trust-Setup ist die ACL identitätsbewusst: Regeln sprechen über Nutzerattribute und Tags statt über IP-Adressen. Der Policy-Editor von NetBird formuliert etwa „Nutzer der Gruppe developers dürfen Maschinen mit Tag dev erreichen" – eine ACL, deren Subjekte IdP-Identitäten und deren Objekte Geräte-Tags sind.
Warum ist eine ACL relevant?
- Least Privilege: Erzwingt explizite Entscheidungen, wer was darf
- Auditierbarkeit: Prüf- und exportierbare Regeln unterstützen Compliance und Audits
- Universelles Muster: Dasselbe Modell in Dateisystemen, Netzwerken, Cloud und Zero Trust
- Grundlage von Segmentierung: Baustein für Mikrosegmentierung und Zero-Trust-Policy
Verwandte Begriffe
- Zero Trust: Sicherheitsmodell, das Policies meist als identitätsbasierte ACLs ausdrückt
- Firewall: Klassisches Gerät, dessen Paketregeln Netzwerk-ACLs sind
- Identity Provider: Quelle der Subjekte, auf die identitätsbasierte ACLs verweisen
- Mesh VPN: Verbindungen werden durch ACLs über Nutzer, Gruppen und Tags gesteuert