Identitäten und Berechtigungen

Was ist Identity and Access Management (IAM)?

IAM, deutsch Identitäts- und Zugriffsverwaltung

Identity and Access Management, kurz IAM, umfasst alle Prozesse und Technik, mit denen ein Unternehmen digitale Identitäten anlegt, pflegt und wieder entzieht und dabei festlegt, wer auf welche Anwendung und welche Daten zugreifen darf.

Jeder Eintritt, jeder Abteilungswechsel und jeder Austritt löst eine Kette von Konten und Rechten aus, und ohne geregelten Ablauf bleibt bei jedem Schritt etwas liegen.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Umfasst: Anlegen, Ändern und Entziehen von Zugängen
Protokolle: SAML, OAuth 2.0, OpenID Connect, SCIM
Auslöser: Eintritt, Wechsel und Austritt
Verwechselt mit: Privileged Access Management

Der Lebenszyklus einer Identität

Eine Identität entsteht idealerweise nicht in der IT, sondern im Personalsystem. Von dort fließen Eintritt, Abteilungswechsel und Austritt in das Verzeichnis, und daran hängen Konten, Gruppen und Lizenzen. Diese drei Ereignisse geben dem gesamten Lebenszyklus seinen Takt.

Der Wechsel ist der kritische Punkt. Beim Eintritt merkt jeder, wenn etwas fehlt, weil niemand arbeiten kann. Beim Austritt gibt es meist eine Checkliste. Beim Abteilungswechsel dagegen kommen neue Rechte hinzu, während die alten stillschweigend bleiben. Nach ein paar Jahren erklärt das, warum jemand aus dem Einkauf noch in Personalordner sehen kann.

Authentifizierung, Autorisierung und die Protokolle dahinter

Authentifizierung klärt, wer jemand ist, Autorisierung klärt, was diese Person darf. Beim Single Sign-on meldest du dich einmal bei einem zentralen Anmeldedienst an, und die Anwendungen vertrauen dessen Aussage. Übermittelt wird diese Aussage per SAML, das vor allem in älteren Unternehmensanwendungen steckt, oder per OpenID Connect, das auf OAuth 2.0 aufsetzt und in neueren Web- und Mobilanwendungen üblich ist.

Mehrstufige Anmeldung ergänzt das Passwort um einen zweiten Nachweis. Nicht jeder zweite Faktor ist gleich stark: Codes per SMS lassen sich umleiten, Bestätigungen in einer App lassen sich durch wiederholte Anfragen erzwingen, während Schlüssel nach dem FIDO2-Standard an die Adresse der Anwendung gebunden sind und deshalb gegen nachgebaute Anmeldeseiten schützen.

Rechte wachsen, wenn niemand aufräumt

Berechtigungen werden vergeben, weil jemand sie gerade braucht, und fast nie wieder entzogen. Dagegen hilft nur eine regelmäßige Überprüfung, bei der Führungskräfte bestätigen, welche Zugriffe ihre Leute noch benötigen. Läuft diese Prüfung über Listen mit kryptischen Gruppennamen, klickt jeder auf Bestätigen, deshalb müssen die Einträge in verständlicher Sprache stehen.

Besondere Aufmerksamkeit verdienen Konten mit weitreichenden Rechten und Dienstkonten ohne Person dahinter. Erhöhte Rechte teilst du am besten nur befristet und mit Begründung zu. Dienstkonten gehören in ein Inventar, jedes mit benanntem Verantwortlichen und mit einem Plan für den Wechsel seiner Zugangsdaten.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Nicht verwechseln

Identity and Access Management und was oft damit gleichgesetzt wird

Identity and Access Management gegen Privileged Access Management

PAM ist der Sonderfall von IAM für hochprivilegierte Zugänge, mit Passworttresor, Sitzungsaufzeichnung und Zugriff auf Zeit. IAM regelt die Breite, PAM die Spitze.

Identity and Access Management gegen Verzeichnisdienst

Ein Verzeichnis wie Active Directory oder Entra ID speichert Konten und Gruppen. IAM ist der Prozess darum herum, also Beantragung, Genehmigung, Überprüfung und Entzug.

Identity and Access Management gegen Zero Trust

Zero Trust ist ein Architekturansatz, bei dem jeder Zugriff einzeln geprüft wird, statt dem internen Netz zu vertrauen. IAM liefert dafür die Identitätsdaten, ist aber nur ein Teil davon.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

In der Praxis

Nicht der Austritt ist das Problem, sondern der Wechsel

Beim Austritt fällt es auf, wenn ein Konto offen bleibt, spätestens bei der Lizenzabrechnung. Beim Wechsel innerhalb des Hauses passiert etwas Unauffälligeres: Die neuen Rechte kommen dazu, die alten bleiben stehen, weil sie niemand vermisst. Nach ein paar Jahren sammeln langjährige Beschäftigte so Zugriff auf vier Abteilungen an, in denen sie längst nicht mehr arbeiten, und im Schadensfall steht genau so ein Konto im Mittelpunkt.

Dagegen hilft eine führende Quelle. Wenn das Personalsystem Eintritt, Wechsel und Austritt meldet und die Zugänge daraus abgeleitet werden, entfällt der Zettelweg und der Entzug geschieht am selben Tag. Der Aufwand steckt dabei nicht in der Technik, sondern in der Einigung darüber, welche Rolle welche Rechte trägt, und darin, diese Rollen so grob zu schneiden, dass sie nicht nach einem halben Jahr in lauter Einzelfallausnahmen zerfallen.

Und dann sind da die Konten ohne Menschen dahinter: Dienstkonten für Schnittstellen, Zugänge externer Dienstleister, alte Testbenutzer. Sie tauchen in keiner Personalliste auf, haben oft weite Rechte und ein Passwort, das seit Jahren unverändert ist. Sie brauchen dieselbe Behandlung wie jedes andere Konto, angefangen bei einer benannten verantwortlichen Person.

Identity and Access Management lernen

Wie sich Rollen, bedingte Zugriffsregeln und mehrstufige Anmeldung im Zusammenspiel einrichten lassen, zeigen die Trainings zu Entra ID und Zugriffsverwaltung an einem Testmandanten.

Für gemischte Umgebungen mit Apple-Geräten sind zusätzlich die Kurse zur Anbindung von Macs an Firmenverzeichnisse hilfreich.

Wissen prüfen

Sitzt Identity and Access Management schon?

Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.

Wissenstest SC-900 Quiz - Security, Compliance & Identity FundamentalsBereite dich auf die Microsoft SC-900 Zertifizierungsprüfung vor. Teste dein Wissen zu Security, Compliance und Identity. Quiz starten

Kurse, die Identity and Access Management behandeln

Häufige Fragen

Was ist der Unterschied zwischen Authentifizierung und Autorisierung?

Die Authentifizierung weist nach, wer du bist, etwa per Passwort und zweitem Faktor. Die Autorisierung entscheidet danach, welche Daten und Funktionen für dich freigegeben sind. Beides wird oft in einem Atemzug genannt, in der Technik sind es getrennte Schritte mit getrennten Fehlerquellen.

Macht Single Sign-on das Unternehmen sicherer oder unsicherer?

Beides ist möglich. Es reduziert die Zahl der Passwörter und macht den Entzug bei Austritt wirksam, gleichzeitig wird der Anmeldedienst zum lohnenden Ziel. Deshalb gehört zu jedem Single Sign-on eine starke zweite Stufe und eine geprüfte Notfallanmeldung.

Wie oft sollten Berechtigungen überprüft werden?

Für normale Zugriffe ist einmal im Jahr ein gängiger Rhythmus, für Systeme mit sensiblen Daten und für privilegierte Konten eher vierteljährlich. Zusätzlich sollte jeder Abteilungswechsel eine Prüfung auslösen, weil dort die meisten überflüssigen Rechte entstehen.

Persönlich für dich da