Wie Cohere Coral dokumentbezogene Berechtigungen und rollenbasierte Zugriffskontrolle (RBAC) über Unternehmensdatenquellen hinweg durchsetzt

Wenn IT-Sicherheitsteams und Chief Information Security Officers (CISOs) generative KI-Assistenten wie Cohere Coral evaluieren, steht eine zentrale Frage im Mittelpunkt der Prüfung: Wenn Coral an zentrale Unternehmens-Repositories wie Microsoft SharePoint oder Google Drive angebunden wird, was hindert reguläre Mitarbeiter daran, vertrauliche Vorstandsgehälter, interne M&A-Strategien oder geschützte Personalakten über einfache Chat-Prompts abzufragen?

Die eindeutige Antwort lautet: Cohere Coral setzt Zugriffsberechtigungen auf Dokumentenebene und rollenbasierte Zugriffskontrollen (RBAC) direkt auf der Infrastrukturebene der Datenbeschaffung durch – und verlässt sich keinesfalls auf System-Prompts oder das probabilistische Verhalten des Sprachmodells (LLM). Coral wickelt Abfragen über benutzerdelegierte Authentifizierung (OAuth 2.0 / On-Behalf-Of-Flows) ab, wendet Sicherheitsbeschneidung zur Laufzeit (Security Trimming) an und isoliert den Abrufprozess so, dass ein Mitarbeiter ausschließlich Dokumente durchsuchen kann, für die seine Unternehmensidentität bereits über explizite Leserechte verfügt.

Besitzt ein Mitarbeiter in SharePoint oder Google Drive keine Leseberechtigung für eine vertrauliche Datei, filtern die Daten-Konnektoren von Coral dieses Dokument bereits in der Suchphase vollständig heraus. Da null unautorisierte Tokens in das Kontextfenster des Sprachmodells gelangen, kann der Assistent vertrauliche Inhalte weder zusammenfassen noch preisgeben.

Das Bedrohungsmodell: Warum naive Enterprise-RAG-Ansätze Sicherheitsaudits nicht bestehen

In frühen oder unzureichend konzipierten RAG-Implementierungen (Retrieval-Augmented Generation) greifen Entwicklungsteams häufig auf ein globales Dienstkonto mit Administratorrechten ("Gott-Modus") zurück, um sämtliche Unternehmensdaten ohne Rechtepartitionierung in eine gemeinsame Vektordatenbank einzupflegen.

Diese fehlerhafte Architektur birgt gravierende Sicherheitsrisiken:

• Dokumente verlieren beim Ingestion- und Chunking-Prozess ihre nativen Zugriffskontrolllisten (Access Control Lists, ACL).
• Die Vektorsuchmaschine durchsucht den gesamten Embedding-Bestand des Unternehmens ohne Ansehung von Rechten.
• Entwickler versuchen, Berechtigungen über System-Prompts zu erzwingen (beispielsweise durch Anweisungen wie: "Gib Gehaltsdaten nur aus, wenn der Benutzer ein HR-Leiter ist").

Sicherheitsingenieure und Compliance-Beauftragte stufen diesen Ansatz als unzulässig ein. LLMs sind probabilistische Systeme, die anfällig für Prompt-Injections, Jailbreaks und Kontext-Leaks sind. Ein neugieriger oder böswilliger Benutzer kann Prompt-Restriktionen durch geschickte Formulierung mühelos umgehen.

Cohere Coral begegnet diesem Risiko, indem Sicherheit als deterministisches Problem der Datenebene behandelt wird – und nicht als statistische Entscheidung des generativen Modells.

Die dreistufige Architektur zur Durchsetzung von Zugriffsrechten

Das Sicherheitsframework von Cohere Coral gliedert sich in drei aufeinander aufbauende Schutzebenen: Identitätsweitergabe, Security Trimming auf Abrufebene und quellenbasierte Zitationsverankerung.

+-----------------------------------------------------------------------+
|  Stufe 1: Identitätsweitergabe und Benutzerdelegation                 |
|  Enterprise-IdP (Microsoft Entra ID, Okta, Google Workspace) via SSO  |
|  Benutzeranfrage -> Ausstellung eines OAuth 2.0 Delegated Tokens      |
+-----------------------------------------------------------------------+
                                   |
                                   v
+-----------------------------------------------------------------------+
|  Stufe 2: Retrieval-Engine und Security Trimming der Konnektoren       |
|  - Direkte API-Konnektoren: Ruft Microsoft Graph oder Google Drive    |
|    im Namen des Nutzers auf (die Quell-ACL filtert unberechtigte Daten)|
|  - Vorindexierte Suche: Boolesche Vorabfilterung nach Gruppen-SIDs    |
|    und ACL-Metadaten vor der Vektor-Ähnlichkeitsberechnung            |
|  * Unberechtigte Dokumente werden vor dem LLM-Input eliminiert *      |
+-----------------------------------------------------------------------+
                                   |
                                   v
+-----------------------------------------------------------------------+
|  Stufe 3: Modell-Grounding und verifizierbare Zitate (Command R / R+) |
|  - Modell antwortet ausschließlich auf Basis autorisierter Textblöcke |
|  - Jeder Satz wird mit einer nachprüfbaren Quelle verknüpft           |
|  - Wenn 0 Dokumente zurückgegeben werden: sichere Antwortverweigerung  |
+-----------------------------------------------------------------------+

1. Identitätsweitergabe und Benutzerdelegation (Stufe 1)

Coral integriert sich über Single-Sign-On-Standards (SSO) wie SAML 2.0 und OpenID Connect (OIDC) nativ in führende Identity Provider (IdPs), darunter Microsoft Entra ID (ehemals Azure AD), Okta und Google Workspace.

Startet ein Mitarbeiter eine Sitzung in Coral:

• Keine universellen Dienstkonten: Coral nutzt für Mitarbeiteranfragen keine statischen Master-Tokens mit Vollzugriff.
• On-Behalf-Of-Tokenweitergabe: Die Konnektoren von Coral arbeiten mit dem OAuth 2.0 Authorization-Code-Flow und benutzerbezogenen Zugriffstokens. Bei jeder Abfrage wird das spezifische Access Token des aktuellen Nutzers an die nachgelagerte API übergeben.
• Echtzeit-Synchronisation: Wird ein Benutzer im IdP deaktiviert, versetzt oder aus einer Sicherheitsgruppe entfernt, erlöschen seine Zugriffsrechte in den Konnektoren unmittelbar.

2. Retrieval-Level Security Trimming und ACL-Vererbung (Stufe 2)

Der entscheidende Schutzmechanismus gegen Datenabfluss ist das Security Trimming: das vollständige Ausfiltern geschützter Inhalte, bevor Treffer das Reranking-Modell oder den LLM-Prompt erreichen.

Je nach Integrationsmuster realisiert Coral dies auf zwei Wegen:

A. Direkte API-Konnektoren (Abfrage zur Laufzeit)

Für Datenquellen, die direkt per Echtzeit-API abgefragt werden (beispielsweise Live-Abfragen gegen SharePoint oder Google Drive):

• Der Konnektor übergibt das OAuth-Token des Benutzers direkt an die Such-API des Quellsystems (etwa Microsoft Graph API /v1.0/search/query oder Google Drive API files.list).
• Das Quellsystem wendet seine native Berechtigungsprüfung an. SharePoint und Google Workspace validieren Identität, Gruppenmitgliedschaften und Dateifreigaben des Aufrufers eigenständig.
• Ausschließlich Dokumente, die der Nutzer auch regulär in der Benutzeroberfläche öffnen darf, werden an Coral zurückgegeben. Zugriffsbeschränkte Dateien tauchen in der API-Antwort überhaupt nicht auf.

B. Vorindexierte Unternehmenssuche (ACL-Metadaten-Ingestion + Vorabfilterung)

Für Hochleistungsarchitekturen, bei denen große Datenbestände vorab partitioniert, gechunked und in einer Vektordatenbank abgelegt werden (wie in Architekturen mit dem Cohere Toolkit oder OpenSearch):

• Ingestion von ACL-Metadaten: Während der Indizierung extrahieren die Konnektoren neben Textpassagen und Vektoren sämtliche Sicherheitsmetadaten: Besitzer-IDs, berechtigte Benutzerlisten, Sicherheits-IDs von Gruppen (SIDs) sowie Vererbungs-Flags.
• Auflösung von Gruppen zur Abfragezeit: Bei Eingang einer Anfrage ermittelt das System über SCIM oder Verzeichnis-APIs in Echtzeit alle gültigen Gruppen-SIDs des Nutzers.
• Vorabfilterung vor der Vektorsuche (Pre-Filtering): Die Vektordatenbank führt vor der Vektor-Ähnlichkeitsberechnung oder dem BM25-Matching einen zwingenden booleschen Filter aus, der prüft, ob die Gruppen-SIDs des Nutzers in der Berechtigungsliste des Dokuments enthalten sind. Unberechtigte Dokumentenvektoren werden von der Suche ausgeschlossen und gelangen nicht in das Cohere Rerank.

3. Grounded Generation und Zitationsüberprüfung (Stufe 3)

Die Modelle der Command-Familie von Cohere (darunter Command R und Command R+) wurden gezielt für Grounded Generation optimiert:

• Strikte Kontextverankerung: Das Modell synthetisiert Antworten ausschließlich aus den autorisierten Textblöcken, die in sein Kontextfenster geladen wurden, und versieht jede Aussage mit detaillierten Quellenzitaten.
• Sichere Verweigerung bei leeren Ergebnissen: Wenn das Security Trimming alle vertraulichen Dokumente ausfiltert und null autorisierte Textblöcke verbleiben, generiert das Modell keine Schätzungen oder Halluzinationen. Stattdessen teilt es dem Nutzer mit, dass keine relevanten autorisierten Dokumente gefunden werden konnten.

Gegenüberstellung: Microsoft SharePoint vs. Google Drive

Unternehmensspeicher verwenden unterschiedliche Berechtigungsstrukturen. Die Konnektoren von Coral passen sich diesen Systemen nativ an:

Details zu SharePoint-Berechtigungen

In SharePoint wird die Berechtigungsvererbung häufig auf Ordnerebene unterbrochen ("Vererbung beenden"), um spezifische Dokumente ausschließlich für das Management freizugeben.

Beim Einsatz mit Coral:

1. Coral nutzt das delegierte Graph-Token des Benutzers.
2. Die Graph API prüft das Token über den Security Token Service (STS) von SharePoint.
3. Besitzt ein normaler Mitarbeiter keinen Zugriff auf einen geschützten Ordner, liefert die Graph API für diesen Pfad keine Ergebnisse. Das Modell erfährt nicht einmal von der Existenz der Datei.

Details zu Google Drive-Berechtigungen

Google Workspace unterscheidet zwischen "Meine Ablage" und "Geteilte Ablagen", wobei Rollen wie Betrachter, Kommentator, Mitwirkender, Inhaltsmanager und Administrator vergeben werden.

Beim Einsatz mit Coral:

1. Coral autorisiert den Zugriff über einen OAuth-Flow mit Leserechten für das persönliche Profil des Nutzers.
2. Die Google Drive API filtert Ergebnisse automatisch nach den geteilten Ablagen, in denen der Nutzer Mitglied ist.
3. Private geteilte Ablagen (z. B. der Rechts- oder Personalabteilung) bleiben für nicht autorisierte Mitarbeiter unsichtbar.

Plattform-Governance und RBAC innerhalb von Cohere

Ergänzend zu den ACLs der Quellsysteme stellt die Cohere-Plattform eigene administrative Kontrollmechanismen bereit:

Plattformrollen: Eigentümer (Owner) vs. Benutzer (User)

Die Verwaltungskonsole trennt administrative Rechte strikt von der regulären Nutzung:

• Owner / Administrator: Verwaltet Workspace-Mitglieder, registriert organisationsweite Konnektoren, erstellt und widerruft Produktions-API-Schlüssel, konfiguriert SSO und überwacht Nutzungs- und Compliance-Metriken.
• User / Standardbenutzer: Nutzt die Chat-Oberfläche, verknüpft persönliche OAuth-Tokens für freigegebene Werkzeuge und sieht den eigenen Verlauf ein, kann jedoch keine Systemendpunkte oder Modelle umkonfigurieren.

Abteilungsbezogenes Konnektor-Scoping

IT-Administratoren können festlegen, welche Abteilungen auf welche Konnektoren zugreifen dürfen:

• Salesforce-Konnektor: Freigabe ausschließlich für Vertriebs- und Customer-Success-Teams.
• Interner Wiki-Konnektor: Bereitstellung für das gesamte Unternehmen.
• ERP- und Finanz-Konnektor: Strikte Beschränkung auf Finanz- und Geschäftsführungs-Teams.

Damit wird das Defense-in-Depth-Prinzip umgesetzt: Noch bevor dokumentenbezogene ACLs evaluiert werden, sind unbeteiligte Datensysteme auf Organisationsebene isoliert.

Audit-Logs und SIEM-Integration

Um regulatorischen Anforderungen gerecht zu werden, generiert Cohere Coral strukturierte Ereignisprotokolle für SIEM-Systeme (wie Splunk, Datadog oder Microsoft Sentinel):

• Authentifizierte Benutzerkennung und genauer Zeitstempel.
• Aufgerufene Konnektoren und Werkzeuge während der Sitzung.
• Eindeutige Dokumenten-IDs und Quell-URLs der abgerufenen Chunks.
• In der finalen Antwort ausgegebene Zitate.

Sicherheitsteams können automatische Alarme für auffällige Häufungen von Abfragen oder ungewöhnliche Suchmuster aufsetzen.

Bereitstellungsgrenzen: Private Cloud und Zero Data Retention

Für streng regulierte Branchen (unter SOC 2 Type II, ISO 27001, HIPAA oder DSGVO) ist die Isolation der Infrastruktur ebenso essenziell wie logische Zugriffsrechte:

1. Private VPC und On-Premises-Betrieb: Cohere-Modelle und Konnektoren können in der dedizierten Virtual Private Cloud des Kunden (AWS, Azure, Google Cloud oder Oracle Cloud) oder in geschlossenen Rechenzentren betrieben werden. Daten verlassen zu keinem Zeitpunkt das Unternehmensnetzwerk.
2. Zero Data Retention (ZDR): Cohere garantiert vertraglich, dass Prompts, abgerufene Dokumente und Antworten nicht auf geteilten Servern gespeichert und niemals für das Training öffentlicher Basismodelle verwendet werden.
3. Verschlüsselung im Ruhezustand und bei der Übertragung: Alle Konnektorverbindungen erzwingen TLS 1.3. Gespeicherte Indizes nutzen AES-256 mit Unterstützung für kundenverwaltete Verschlüsselungsschlüssel (CMEK).

Die versteckte Sicherheitsfalle: Das "Over-Sharing"-Problem in Quellsystemen

Selbst wenn Cohere Coral alle Berechtigungen technisch fehlerfrei durchsetzt, müssen IT-Sicherheitsteams einen betrieblichen Aspekt beachten: Generative KI umgeht keine Berechtigungen, aber sie deckt bestehende Fehlkonfigurationen (Over-Sharing) schlagartig auf.

Hat beispielsweise ein Mitarbeiter der Finanzabteilung eine Gehaltstabelle versehentlich mit der Berechtigung "Jeder in der Organisation mit dem Link kann anzeigen" abgelegt, ist die Datei intern faktisch öffentlich. Im traditionellen Arbeitsalltag blieb sie unbemerkt, weil niemand den Link kannte. Wenn ein Mitarbeiter nun Coral fragt: "Wie sieht das Gehaltsgefüge der Führungskräfte aus?", wird die Datei legitim abgerufen und zusammengefasst, da die Quell-ACL den Zugriff erlaubt.

Checkliste für CISOs und IT-Teams vor dem Rollout

1. Berechtigungsprüfung im Quellsystem: Führen Sie Scans in Microsoft 365 (via Microsoft Purview) und Google Workspace durch, um Dokumente mit weit gefassten Rechten ("Jeder im Unternehmen") zu bereinigen.
2. Benutzerdelegierte OAuth-Authentifizierung erzwingen: Stellen Sie sicher, dass alle Konnektoren personengebundene Tokens anstelle von statischen Master-Dienstkonten nutzen.
3. Konnektoren nach Geschäftsbereichen trennen: Richten Sie für sensible Bereiche (Recht, HR, M&A) getrennte Konnektoren ein und beschränken Sie den Zugriff über den IdP.
4. Token-Gültigkeitsdauern synchronisieren: Stimmen Sie die Ablaufzeiten von OAuth-Refresh-Tokens mit den internen Richtlinien für das Sitzungsmanagement ab.
5. SIEM-Erkennungsregeln aktivieren: Definieren Sie Alarme für ungewöhnlich viele Abfragen über Abteilungsgrenzen hinweg oder wiederholte Zugriffsverweigerungen.

Fazit

Cohere Coral etabliert ein Zero-Trust-Modell für generative KI im Unternehmen. Indem jede Abfrage an die delegierte Identität des Benutzers gebunden wird, unberechtigte Dokumente bereits im Daten-Retrieval deterministisch eliminiert werden und Antworten strikt an überprüfbare Zitate gekoppelt sind, stellt Coral sicher, dass KI-Interaktionen die etablierten Dokumenten-ACLs und RBAC-Grenzen der Unternehmens-IT jederzeit vollständig respektieren.

Referenzen

• An Overview of Cohere's RAG Connectors | Cohere
• GitHub - cohere-ai/cohere-toolkit: Cohere Toolkit is a collection of prebuilt components enabling users to quickly build and deploy RAG applications.
• GitHub - cohere-ai/quick-start-connectors: This open-source repository offers reference code for integrating workplace datastores with Cohere's LLMs, enabling developers and businesses to perform seamless retrieval-augmented generation (RAG) on their own data.
• AI Security and Data Protection | Cohere