Die 5 Schritte
Die UI zeigt zusaetzlich einen expliziten Access Decision-Status mit vier Werten: ALLOWED, DENIED, NOT_REQUIRED, MISSING_REQUIRED.
1) Login erfolgreich
Es wurde mindestens ein erfolgreiches Auth-Event gefunden, z. B. LOGIN_SUCCESS, MFA_SUCCESS oder CLIENT_LOGIN.
Fehlt dieser Schritt, ist die Identitaetskette nicht belastbar.
2) Consent verarbeitet
Consent wird semantisch ausgewertet, nicht nur als binares Flag.
GRANTED_IN_TRACE: neu in diesem Flow erteiltALREADY_VALID: zuvor erteilt und weiterhin gueltigNOT_REQUIRED: Consent ist aktuell nicht erforderlichMISSING_REQUIRED: Consent ist erforderlich, fehlt aber
Ein fehlendes neues Consent-Event kann korrekt sein, wenn
ALREADY_VALID oder NOT_REQUIRED gilt.3) Sensitiver Zugriff
Der Trace enthaelt Zugriff auf sensible Bereiche (z. B. Vault/Admin Vault).
Das ist ein Priorisierungssignal, kein automatischer Fehler.
4) Administrative Aenderung
Persistierte Admin-Aenderungen wurden erkannt (z. B. USER_*, ROLE_*, TENANT_*, CLIENT_*, IDP_*).
Eine Aenderung ist nachvollziehbar, wenn Correlation-ID und persistierte Events zusammenpassen.
5) Vollstaendig oder unvollstaendig
Die Kette ist vollstaendig, wenn alle erforderlichen Signale vorhanden sind. Fehlende Signale werden explizit gelistet.
missing_auth_successmissing_access_decisionmissing_audit_persisted
Beispiel: "Unvollstaendig (missing access decision)" bedeutet, dass der Entscheidungsweg nicht vollstaendig belegt werden konnte.
Interpretation fuer Nicht-Dev-Teams
- Gruen bedeutet: Fuer diesen Schritt liegt Evidenz vor.
- Orange bedeutet: Sicherheitsrelevanter Schritt oder unvollstaendige Kette.
- Unvollstaendig ist nicht automatisch ein Incident, erfordert aber forensisches Follow-up.
- Correlation ID ist die Verbindung zwischen UI, API und Audit-Nachweisen.
Schnellcheck fuer Support-Fragen
- Correlation-ID aus dem Trace kopieren.
- Timeline auf fehlende Pflichtsignale pruefen.
- Consent-Status semantisch lesen (nicht nur Events zaehlen).
- Sensitive/Admin-Flags zur Priorisierung nutzen.