Identity and Access Management (IAM) – Identitäten und Zugriffsrechte sicher verwalten

Identity and Access Management (IAM) umfasst alle Prozesse, Richtlinien und Technologien zur Verwaltung digitaler Identitäten und zur Steuerung des Zugriffs auf IT-Ressourcen. In einer Zeit, in der Mitarbeiter von überall auf Cloud-Dienste, interne Systeme und Daten zugreifen, ist IAM der zentrale Baustein für den Schutz vor unbefugtem Zugriff — und damit eine Grundvoraussetzung für Informationssicherheit und Datenschutz.

Kompromittierte Identitäten sind der häufigste Einstiegspunkt für Cyberangriffe. Laut aktuellen Analysen involvieren über 80 Prozent aller Datenschutzverletzungen kompromittierte Zugangsdaten. Ein professionelles IAM-System reduziert dieses Risiko systematisch und schafft gleichzeitig eine bessere Benutzererfahrung. Die DATUREX GmbH unterstützt Unternehmen bei der Konzeption und Implementierung moderner IAM-Lösungen als Teil eines umfassenden ISMS.

Was ist Identity and Access Management?

IAM beantwortet drei fundamentale Fragen der IT-Sicherheit:

• Wer bist du? (Identifikation und Authentifizierung)
• Was darfst du? (Autorisierung und Berechtigungssteuerung)
• Was hast du getan? (Audit und Nachvollziehbarkeit)

Die Kernkomponenten eines IAM-Systems:

• Identity Management — Verwaltung digitaler Identitäten (Benutzerkonten, Gruppen, Rollen) über den gesamten Lebenszyklus: Anlage, Änderung, Deaktivierung, Löschung. Der Identity Lifecycle muss nahtlos in die HR-Prozesse integriert sein
• Authentication — Überprüfung der Identität durch Passwörter, Multi-Faktor-Authentifizierung, Biometrie oder Passkeys. Die Authentifizierung ist die erste Verteidigungslinie gegen unbefugten Zugriff
• Authorization — Festlegung und Durchsetzung von Zugriffsrechten basierend auf Rollen, Regeln oder Attributen. Das Prinzip der minimalen Berechtigung (Least Privilege) ist dabei zentral
• Single Sign-On (SSO) — Einmalige Anmeldung für den Zugriff auf mehrere Anwendungen. Reduziert Passwort-Müdigkeit und erhöht die Sicherheit durch zentrale Kontrolle
• Federation — Vertrauensbeziehungen zwischen verschiedenen Identity Providern (z.B. zwischen Unternehmen oder mit Cloud-Diensten). Basiert auf Standards wie SAML, OIDC und OAuth 2.0
• Privileged Access Management — Spezielle Verwaltung privilegierter Konten (Admin-Accounts) mit erhöhten Sicherheitsanforderungen
• Access Governance — Regelmäßige Überprüfung und Rezertifizierung von Berechtigungen durch Vorgesetzte und Datenbesitzer

Warum ist IAM wichtig?

Sicherheit

• Über 80% aller Datenschutzverletzungen involvieren kompromittierte Zugangsdaten — IAM ist die wichtigste Gegenmaßnahme
• IAM verhindert unbefugten Zugriff durch konsequentes Least-Privilege-Prinzip und automatisierte Berechtigungssteuerung
• Multi-Faktor-Authentifizierung reduziert das Risiko durch gestohlene Passwörter um über 99%
• Automatische Deaktivierung bei Mitarbeiteraustritt verhindert verwaiste Konten, die Angreifern als Einfallstor dienen
• Zentrale Protokollierung aller Zugriffe ermöglicht die frühzeitige Erkennung verdächtiger Aktivitäten durch SIEM-Systeme

Compliance

• ISO 27001 — Anhang A.9: Zugangssteuerung ist eines der umfangreichsten Control-Sets mit Anforderungen an Registrierung, Deregistrierung und Berechtigungsmanagement
• DSGVO — Art. 32: Angemessene Zugriffskontrolle als technische Maßnahme, Art. 25: Privacy by Design erfordert Zugriffsminimierung
• NIS2 — Fordert Zugangssteuerung und Identitätsmanagement als Teil der Cybersicherheitsmaßnahmen
• BSI IT-Grundschutz — ORP.4: Identitäts- und Berechtigungsmanagement mit detaillierten Anforderungen
• SOX, PCI DSS, HIPAA — Branchenspezifische Anforderungen an Zugriffskontrollen und Nachvollziehbarkeit

Produktivität

• SSO reduziert Passwort-Frustration und Support-Aufwand (durchschnittlich 40% weniger Passwort-Reset-Tickets)
• Self-Service-Portale für Passwortrücksetzung und Berechtigungsanfragen entlasten den IT-Helpdesk
• Schnelleres Onboarding durch automatische Rechtevergabe basierend auf Rollen und Abteilungszugehörigkeit
• Weniger Wartezeit auf Berechtigungen durch automatisierte Genehmigungsprozesse mit definierten Workflows

IAM-Konzepte und Modelle

Role-Based Access Control (RBAC)

Das am weitesten verbreitete Modell. Benutzer werden Rollen zugewiesen, und Rollen definieren Berechtigungen. Ein Mitarbeiter in der Rolle „Buchhalter“ erhält automatisch Zugriff auf alle für diese Rolle benötigten Systeme. Bei einem Abteilungswechsel werden die alten Rollen entfernt und die neuen zugewiesen.

• Vorteile: Einfach zu verstehen, gut skalierbar, Compliance-freundlich durch klare Nachvollziehbarkeit
• Nachteile: Role Explosion bei komplexen Organisationen, wenig dynamisch bei kontextabhängigen Zugriffen
• Empfehlung: Ideal für Unternehmen mit klar definierten Jobprofilen und standardisierten Prozessen

Attribute-Based Access Control (ABAC)

Zugriffsentscheidungen basieren auf Attributen des Benutzers (Abteilung, Standort, Sicherheitsstufe), der Ressource (Vertraulichkeit, Datentyp) und des Kontexts (Uhrzeit, Gerät, Standort). Beispiel: Ein Mitarbeiter darf auf Kundendaten nur zugreifen, wenn er sich im Büronetzwerk befindet und ein verwaltetes Gerät nutzt.

• Vorteile: Sehr flexibel und feingranular, kontextbezogen, keine Role Explosion
• Nachteile: Komplex in der Implementierung, schwerer zu auditieren, erfordert saubere Attributpflege
• Empfehlung: Ergänzend zu RBAC für dynamische Zugriffsentscheidungen in komplexen Umgebungen

Zero Trust Identity

Im Zero-Trust-Modell ist die Identität der neue Perimeter. Jeder Zugriff wird unabhängig vom Netzwerkstandort verifiziert — „Never trust, always verify“ gilt für jeden einzelnen Request. Conditional Access Policies bewerten bei jedem Zugriff Faktoren wie Gerätegesundheit, Standort, Risikoscore und Anmeldemuster.

IAM-Lösungen im Vergleich

Enterprise IAM-Plattformen

• Microsoft Entra ID (ehem. Azure AD) — Marktführer für Microsoft-Umgebungen. SSO, MFA, Conditional Access, Identity Governance. In M365 enthalten, reibungslose Einbindung mit dem Microsoft-Ökosystem
• Okta — Cloud-native IAM-Plattform. Hervorragende App-Integration (7.000+ vorgefertigte Connectors), starkes SSO und MFA. Ideal für Multi-Cloud-Umgebungen
• Ping Identity — Enterprise-fokussiert mit starker Federation und API-Security. Besonders geeignet für komplexe Hybrid-Architekturen
• OneLogin — Cloud IAM mit Fokus auf Benutzerfreundlichkeit und schneller Implementierung. Gutes Preis-Leistungs-Verhältnis für KMU
• SailPoint — Marktführer für Identity Governance und Access Certification mit KI-gestützter Anomalie-Erkennung

Open-Source-IAM

• Keycloak — Open-Source Identity Provider von Red Hat. SSO, OIDC, SAML, User Federation. Exzellent für Self-Hosting und volle Datenkontrolle
• Authentik — Moderner Open-Source Identity Provider mit intuitivem UI und einfacher Konfiguration
• FreeIPA — Linux-zentriertes Identity Management (LDAP, Kerberos, DNS). Ideal für Linux-dominierte Infrastrukturen
• Gluu — Enterprise Open-Source IAM-Plattform mit FIDO2-Unterstützung

Häufige IAM-Fehler in der Praxis

Bei der Implementierung und dem Betrieb von IAM-Systemen begegnen wir regelmäßig vermeidbaren Fehlern:

• Verwaiste Konten — Nicht deaktivierte Konten ausgeschiedener Mitarbeiter bleiben wochen- oder monatelang aktiv und bieten Angreifern ein Einfallstor
• Berechtigungsansammlung — Bei Abteilungswechseln werden neue Rechte vergeben, aber alte nicht entzogen. Im Laufe der Zeit sammeln Mitarbeiter weit mehr Berechtigungen als nötig
• Shared Accounts — Gemeinsam genutzte Konten (z.B. „admin@firma.de“) machen individuelle Nachvollziehbarkeit unmöglich und verletzen Compliance-Anforderungen
• Fehlende Rezertifizierung — Berechtigungen werden einmalig vergeben, aber nie systematisch überprüft. Ohne regelmäßige Rezertifizierung wachsen die Risiken schleichend
• MFA nur für wenige Systeme — Multi-Faktor-Authentifizierung wird nur für einzelne Anwendungen aktiviert, während andere Systeme ungeschützt bleiben
• Kein Audit Trail — Zugriffe auf sensible Daten werden nicht protokolliert, sodass Sicherheitsvorfälle nicht nachvollzogen werden können

IAM implementieren — Best Practices

1. Bestandsaufnahme — Alle Benutzer, Gruppen, Rollen und Berechtigungen inventarisieren. Verwaiste Konten identifizieren und deaktivieren
2. Rollenmodell definieren — Klare Rollen basierend auf Jobbeschreibungen und Aufgaben entwickeln. Rollen sollten nicht zu granular und nicht zu breit sein
3. Least Privilege — Nur die minimal notwendigen Rechte vergeben. Jede Berechtigung muss einen nachvollziehbaren geschäftlichen Grund haben
4. MFA überall — Multi-Faktor-Authentifizierung für alle Anwendungen, insbesondere Cloud-Dienste und Remote-Zugänge
5. SSO einführen — Zentrale Anmeldung reduziert Passwort-Chaos und erhöht die Sicherheit durch einen einzigen kontrollierten Authentifizierungspunkt
6. Lifecycle-Automatisierung — Onboarding, Abteilungswechsel und Offboarding automatisieren. Integration mit HR-Systemen ist wichtig
7. Regelmäßige Rezertifizierung — Quartalsweise Überprüfung aller Berechtigungen durch Vorgesetzte und Datenbesitzer
8. Monitoring und Anomalie-Erkennung — Verdächtige Anmeldemuster erkennen (ungewöhnliche Geolocation, Uhrzeit, Gerät, unmögliche Reisen)

IAM und Datenschutz

IAM ist ein Schlüsselelement für die DSGVO-Compliance:

• Zugriffsminimierung — Nur autorisierte Personen haben Zugang zu personenbezogenen Daten, basierend auf dem Need-to-Know-Prinzip
• Nachvollziehbarkeit — Lückenlose Protokollierung aller Zugriffe auf sensible Daten ermöglicht die Erfüllung der Rechenschaftspflicht nach Art. 5 DSGVO
• Datentrennung — Mandantenfähigkeit und Zugriffsrestriktionen nach Verarbeitungszweck verhindern unbefugte Datenzusammenführung
• Recht auf Löschung — Identitäten können bei Bedarf vollständig entfernt werden, einschließlich aller zugehörigen Berechtigungen
• Art. 32 DSGVO — Zugangssteuerung als fundamentale technische Maßnahme zum Schutz personenbezogener Daten

IAM in der Cloud-Ära

Die zunehmende Verlagerung von Anwendungen in die Cloud verändert die Anforderungen an IAM grundsätzlich. Traditionelle Ansätze mit On-Premise-Active-Directory reichen nicht mehr aus, wenn Mitarbeiter auf Dutzende SaaS-Dienste zugreifen:

• Cloud Identity Governance — Zentralisierte Verwaltung von Identitäten über alle Cloud-Dienste hinweg. Cloud-native IAM-Lösungen wie Entra ID oder Okta synchronisieren Identitäten zwischen On-Premise und Cloud
• SCIM (System for Cross-domain Identity Management) — Automatisierte Provisionierung und Deprovisionierung von Benutzerkonten in SaaS-Anwendungen. Wenn ein Mitarbeiter in der HR-Software angelegt wird, entstehen automatisch die entsprechenden Konten in allen benötigten Cloud-Diensten
• Conditional Access — Zugriffsentscheidungen basierend auf Echtzeitbewertung: Ist das Gerät verwaltet und konform? Kommt die Anmeldung aus einem bekannten Netzwerk? Wurde ein erhöhtes Risiko erkannt? Bei verdächtigen Signalen wird zusätzliche Authentifizierung oder eine Blockierung ausgelöst
• Just-in-Time Access — Privilegierte Rechte werden nur für die Dauer einer konkreten Aufgabe gewährt und danach automatisch entzogen. Dies minimiert das Zeitfenster, in dem kompromittierte Konten Schaden anrichten können

Passwordless Authentication — Die Zukunft der Authentifizierung

Die Zukunft der Authentifizierung liegt in passwortlosen Verfahren, die sowohl sicherer als auch benutzerfreundlicher sind:

• FIDO2/WebAuthn — Phishing-resistente Authentifizierung über Hardware-Sicherheitsschlüssel (YubiKey) oder Plattform-Authenticator (Windows Hello, Touch ID). Der private Schlüssel verlässt niemals das Gerät
• Passkeys — Die nächste Generation von FIDO2: Geräteübergreifend synchronisierbare Anmeldedaten, die Passwörter vollständig ersetzen können
• Zertifikatsbasierte Authentifizierung — Client-Zertifikate auf verwalteten Geräten für nahtlose und sichere Anmeldung ohne Benutzerinteraktion

Unternehmen sollten eine schrittweise Migration zu passwortlosen Verfahren planen, beginnend mit privilegierten Konten und schrittweiser Ausweitung auf alle Benutzer. Die Kombination von Passkeys mit Zero-Trust-Architekturen bietet das derzeit höchste Sicherheitsniveau.

Ein professionelles IAM ist keine einmalige Implementierung, sondern ein kontinuierlicher Prozess. Bedrohungslandschaft, regulatorische Anforderungen und Unternehmensstrukturen ändern sich — und das IAM-System muss mitwachsen. Regelmäßige Security Audits helfen, die Wirksamkeit des IAM zu überprüfen und Verbesserungspotenziale zu identifizieren.

DATUREX GmbH — IAM-Beratung

• IAM-Strategie — Entwicklung eines individuellen IAM-Konzepts für Ihre Organisation
• Rollenmodell — Design eines RBAC/ABAC-Modells basierend auf Ihren Geschäftsprozessen
• Tool-Auswahl — Unabhängige Empfehlung (Entra ID, Okta, Keycloak, Authentik) basierend auf Ihren Anforderungen
• SSO und MFA — Implementierung von Single Sign-On und Multi-Faktor-Authentifizierung
• PAM-Integration — Verknüpfung mit Privileged Access Management für administrative Konten
• Access Governance — Aufbau von Rezertifizierungsprozessen und Audit-Workflows
• ISMS-Integration — IAM als Kernelement Ihres Informationssicherheits-Managementsystems