Das Wissensportal für IT-Professionals. Entdecke die Tiefe und Breite unseres IT-Contents in exklusiven Themenchannels und Magazinmarken.

heise conferences gmbh

(vormals SIGS DATACOM GmbH)

Rheinwerkallee 4, 53227 Bonn

Tel: +49 (0)511/5352-100

service-sigs@heise.de

Die Akropolis der Akronyme: Wie Java aus OAuth, OIDC, FAPI, SPIFFE und MCP eine Sicherheitsarchitektur baut

Ein Sachbearbeiter gibt einem Assistenten einen scheinbar einfachen Auftrag: Prüfe die Rechnung 4711, gleiche sie mit der Bestellung ab und bereite bei einer Abweichung eine Rückerstattung vor. Der Satz ist in wenigen Sekunden geschrieben. Danach beginnt eine Kette, die in klassischen Sicherheitsdiagrammen selten vorkommt. Ein Agent liest die Rechnung, ruft ein ERP-System auf, holt Vertragsdaten aus einem Dokumentenspeicher, vergleicht Kontobewegungen und übergibt den Entwurf an einen weiteren Dienst. Vielleicht wird am Ende sogar eine Zahlung erzeugt.

Jeder einzelne Aufruf kann technisch korrekt authentifiziert sein. Trotzdem bleibt eine wichtige Frage offen: Wer handelt hier eigentlich mit wessen Berechtigung in welchem Namen?

Der Benutzer hat sich angemeldet. Der Agent besitzt eine eigene Laufzeitidentität. Der MCP-Server kennt einen OAuth-Client. Im ERP wartet womöglich noch ein technischer Sammelbenutzer, der aus einer Zeit stammt, in der „Service Account“ als ausreichende Architekturbeschreibung durchging.

Wenn aber die Rückerstattung dan…