Vererbung von Rechten und Richtlinien

1) Warum das Ökosystem vererbt wird

• Skalierungsgeschwindigkeit: Neue Knoten/Produkte erhalten standardisierte Richtlinien „out of the box“.
• Einheitlichkeit und Compliance: Top-Level-Guardrails wirken automatisch auf untergeordnete Ressourcen.
• Transparenz und Audit: vorhersehbare Reihenfolge der Anwendung, Minimierung von Ausnahmen.

2) Grundlegende Ontologie des Zugangs

2. 1 Hierarchische Ebenen

1. Organisation/Ökosystem → Globale Sicherheits-/Datenrichtlinien/RG.
2. Tenant/Partner → Quoten, Jurisdiktionen, Datengrenzen, SLO-Beschränkungen.
3. Domain (Inhalte, Zahlungen, KYC, Affiliates, Analysen, Events) → Zugriffsprofil und Netzwerkperimeter.
4. Service/Anwendung → API/Topics/Speicher.
5. Ressource → Tabelle/Topic/Endpunkt/Geheimnis/Stream.

2. 2 Berechtigungsmodelle

RBAC (Rollen): schnell, transparent, gut vererbt (Rolle → Berechtigungssatz).
ABAC (Attribute): Flexibilität (Geo, Jurisdiktion, Risikograd, Zeit).
ReBAC (Relationship): Zugriff auf „Ressourcen, die mit meinen Entitäten verbunden sind“ (Operator ↔ Kampagne ↔ Daten).
Praxis: Hybrid RBAC + ABAC, ReBAC - für Besitzgraphen/Kampagnen.

3) Politik, Partnerschaften und Prioritäten

3. 1 Arten von Richtlinien

Allow/Deny: explizite Erlaubnis/Verbot.
Guardrails: verbindliche Einschränkungen (PII out-of-scope, Exportlimits, zeitbasiert).
Quotas/Rate: rps/txn/stream/event Limits nach Tenant/Kanal/Region.
Contextual: Geo/ASN/device/time/verification/risk scoring conditions.
Delegation: Delegieren eines Teils der Rechte mit engem Scope/TTL.

3. 2 Vererbung und Antragsverfahren

Deny-first: Das Verbot ist stärker als die Auflösung.
Precedence: `Guardrails (root) > Deny (parent) > Allow (parent) > Deny (child) > Allow (child)`.
Shadowing: Child Allow macht das übergeordnete Guardrail/Deny nicht rückgängig.
Override durch Ausnahmen: nur schriftlich gestaltete „justified exceptions“ mit TTL und Auto-Aufnahme.

3. 3 Scopes

Org/Tenant: Globale Regeln und Quoten.
Umgebung: prod/stage/sandbox - Steifigkeit steigt zu prod.
Jurisdiction: Datenlokalisierung, RG-Beschränkungen.
Data Class: `Public/Internal/Confidential/PII-Sensitive/Financial`.
Operation: read/write/admin/export/impersonate.

4) Politische Bäume (Policy Trees)

4. 1 Struktur

/org
/tenants/{tenantId}
/domains/{payments    kyc    content    affiliates    analytics    events}
/services/{api    broker    db    storage    sfu}
/resources/{endpoint    topic    table    bucket    secret}

Auf jedem Knoten: eine Liste von Richtlinien (allow/deny/guardrail/quota/context). Top-Down-Vererbung, lokale Richtlinien fügen Einschränkungen hinzu, heben aber keine globalen Verbote auf.

4. 2 Beispiele

Guardrail org-level: „PII kann nicht in Webhooks außerhalb der weißen Liste der Länder gebracht werden“.
Tenant-level: "KYC-Operatoren aus X-Ländern sind verboten; Export von Berichten nur Aggregate".
Domain-Zahlungen: „Schreiben Sie nur über ein Service-Konto mit mTLS und einem Schlüssel ≤ 24h“.
Service-API: „POST/Deposits nur mit 'Idempotency-Key'“.
Resource topic: "Nur Dienste mit der Rolle' KYC 'lesen' kyc _ status'. moderation` и ABAC `verified=true`».

5) Delegierung und vorübergehende Rechte

Just-in-Time (JIT) Access: Ausgabe für die Laufzeit (TTL, Single-Use).
Break-Glass: Notfallzugang mit sofortigem Audit und anschließender Zerlegung.
Scoped Tokens: Mindestsatz' scopes'(gelesen: topic/kyc; write:api/deposit) + audience/issuer.
Chain-of-Trust: Dienstübergreifende Token mit Device/ASN/Subnet-Bindung.
Impersonation: nur über einen Proxy-Dienst mit Log und Limits.

6) Vererbung in Domains

6. 1 Zahlungen (PSP/APM)

Eltern-Guardrail: "alle Anrufe - über mTLS + JWS, Timeout ≤ N, Retrays mit Jitter; Charjbeck-Hook ist ein Muss".
Der untergeordnete Dienst kann Kontingente/Caps pro AWS/Region hinzufügen. Deny auf direkte Anrufe unter Umgehung der Orchestrator.

6. 2 KYC/AML

Parent Deny: „Ein Rohdokument kann nicht in einen Analytiker geschrieben werden“.
Tochter-Allow: „nur Hash/Urteil/Risikokategorien weitergeben“.

6. 3 Inhalt/Streaming

Org guardrail: „minimale Bitrate und Latenz-SLO“.
Tenant-override: „Qualitätsminderung beim Roaming, aber nicht unter SLO“.
Ressource: Zugriff auf einen bestimmten Live-Tisch - nur Segmente mit RG-OK.

6. 4 Veranstaltungen/EDA

Root: Schemas/Versionen in-registry, exactly-once nach geschäftlicher Bedeutung.
Domain: Schlüssel von Parteien, Dedup-Politik.
Service: wer kann das Topic schreiben/lesen; quotas/lag-budget.

7) Privatsphäre und Zero Trust

PII-Minimierung und Tokenisierung standardmäßig, Politik „kann nicht außerhalb von Safe-Zonen enttokenisiert werden“.
Segmentierung von Netzwerken: vendor-VPC, egress-allow-list, Interzone mesh policies.
mTLS/JWS/HMAC für S2S und Webhooks, kurzlebige Schlüssel (JWKS/Rotation).
SoD (Segregation of Duties): Leserollen ≠ Verwaltungsrollen ≠ Schlüsselfreigaberollen.
Gerichtsbarkeiten: vererbbare Lokalisierungsregeln, Verbot des grenzüberschreitenden PD-Exports ohne DPA/DPIA.

8) Beobachtbarkeit und Prüfung der Vererbung

Policy Evaluation Trace: Zeitschrift „Welche Politik hat wo funktioniert“ mit 'traceId'.
Diff-Log: Wer/wann hat der Baumpolitiker geändert; WORM-Speicher.
Konformitätstests: regelmäßige Durchläufe von Zugriffsszenarien (allow/deny; export; impersonation).
Alertas: Deny/Guardrail-Trigger, Quotenüberschreitungen, Umgehungsversuche.

9) Konflikte und deren Lösung

Klasse definieren: Allow/Deny-Kollision, Guardrail-Verletzung, Schnittpunkt der ABAC-Bedingungen.
Precedence-Reihenfolge anwenden (siehe § 3. 2).
Ausnahme klassifizieren: temporär (TTL), permanent (Regel), fehlerhaft (Rollback).
Beitrag Artefakte: RFC/CR-Anwendung, Link zur Risikobewertung, Auto-Checks in CI.

10) Anti-Muster

Manuell erteilte Rechte ohne TTL („forever“).
Standardmäßig zulassen und „stille“ Ausnahmen.
Vererbung ohne sichtbare Guardrails - Untergeordnete Zweige überlappen sichere Regeln.
Rollenmischung (Admin = Analyst = Operator) - kein SoD.
Export von rohen PDs in Dienste von Drittanbietern, „temporäre“ Webhooks ohne Unterschrift.
Deaktiviertes Audit bei break-glass.
Schwebende Versionen von Schemata: Analytik/EDA geht auseinander, deny funktioniert nicht für neue Felder.

11) Politik Baum Design Checkliste

1. Klassifizieren Sie die Daten (Public/Internal/Confidential/PII/Financial).
2. Identifizieren Sie die Hierarchieebenen und Knotenbesitzer (RACI).
3. Setzen Sie guardrails an der Wurzel (Zero Trust, PII, RG, Jurisdiktionen).
4. RBAC-Rollen und ABAC-Attribute bilden; SoD aktivieren.
5. Beschreiben Sie die Scopes (org/tenant/env/jurisdiction/data class/operation).
6. Aktivieren Sie Delegierung/TTL und Break-Glass mit Prüfschleife.
7. Schreiben Sie precedence und conflictology (deny-first, override-Prozess).
8. Passen Sie die Beobachtbarkeit an: Evaluation-Trace, Diff-Log, Alerts.
9. Führen Sie conformance set und regelmäßige Ausschlussreviews aus.
10. Dokumentieren: Richtlinienportal, Beispiele, Sandboxen, Simulatoren.

12) Reifegradmetriken

Coverage: Anteil der Ressourcen, die durch vererbbare Policies und Konformitätstests abgedeckt sind.
Drift: Anzahl der lokalen Ausnahmen/100 Ressourcen; durchschnittliche TTL Ausnahmen.
SoD Score: Anteil der Nutzer mit Aufgabenteilung.
PII Exposure: Anzahl der Exporte außerhalb der Safe-Zonen (Ziel = 0).
Auditability:% der Anfragen mit Evaluation-Trace; MTTR zu Zugriffskonflikten.
Änderungs-Velocity: CR-Zeit nach Richtlinie unter Berücksichtigung der Vererbung.

13) Musterbeispiele (schematisch)

• Deny: `export:PII` if `destination. country ∉ whitelist`
• Require: `mTLS && JWS` for `webhook:`
• Quota: `read:event: ≤ X rps per tenant`

• Allow: `write:api/deposit` if `verified && risk_score < T && geo ∈ allowed`
• Deny: `direct:psp/`

• Allow: `read` for role `KYC. moderation` where `jurisdiction == resource. jurisdiction`
• Deny: `write` except service `kyc-orchestrator`

14) Roadmap der Evolution

v1 (Foundation): Policy Tree, guardrails on the root, RBAC, deny-first, change audit.
v2 (Integration): ABAC, Delegation/TTL, conformance set, evaluation-trace.
v3 (Automation): Auto-Scoping nach Gerichtsbarkeit/Daten, Policy-as-Code, Auto-Checks in CI/CD, Auto-Carantine Verstöße.
v4 (Networked Governance): parteiübergreifende Politikerföderation, Cross-Tenant-Delegation mit Krypto-Signatur, prädiktive Hinweise (Risk-Score) zur Vergabe von Rechten.

Kurze Zusammenfassung

Die Vererbung von Rechten und Richtlinien ist der Rahmen für ein sicheres und schnelles Ökosystem. Erstellen Sie einen Policy-Baum mit Guardrails an der Wurzel, wenden Sie Deny-First und Precedence an, kombinieren Sie RBAC + ABAC + ReBAC, verwenden Sie Delegierung mit TTL und strenges Audit. Automatisieren Sie Inspektionen und Ausnahmemanagement - und Sie erhalten ein skalierbares, konformes und vorhersehbares Zugriffsmodell für das gesamte Netzwerk der Mitglieder.