RBAC (Role-Based Access Control) ist ein Modell der Zugriffssteuerung, bei dem Berechtigungen nicht einzelnen Personen, sondern Rollen zugewiesen werden; Personen erhalten Zugriff, indem sie einer Rolle zugeordnet werden. Eine Rolle bündelt die Rechte, die eine Tätigkeit erfordert, etwa Buchhaltung, Redaktion oder Systemverwaltung. Ändert sich die Aufgabe, wechselt die Rolle und nicht jede einzelne Berechtigung.
Der Gewinn ist Nachvollziehbarkeit. Wer welche Rechte hat, lässt sich über die Rollenzuordnung prüfen statt über verstreute Einzelfreigaben, und beim Austritt einer Person entfallen die Rechte mit dem Entzug der Rollen. Das erleichtert wiederkehrende Berechtigungsprüfungen, wie sie interne Vorgaben und Normen wie ISO 27001 verlangen.
In der Praxis wird das Modell mit dem Prinzip der geringsten Rechte verbunden, sodass eine Rolle nur enthält, was für die Aufgabe nötig ist. Wächst die Zahl der Sonderfälle, entstehen leicht zu viele Rollen; ergänzende Modelle steuern den Zugriff deshalb zusätzlich über Merkmale wie Standort, Gerät oder Tageszeit.