IAM-Glossar: Begriffe aus dem Identity Access Management

Dabei handelt es sich um Prozesse, Richtlinien und Technologien, die sicherstellen, dass die Zugriffskontrollen einer Organisation angemessen und und auf die Geschäftsziele abgestimmt sind. Ziel ist es, einerseits zu überwachen, wer auf welche Ressourcen zugreifen darf, und andererseits sicherzustellen, dass Zugriffsrechte kontrolliert, nachvollziehbar und überprüfbar gewährt, überprüft und entzogen werden.

Die Hauptziele von Access Governance sind:

• Sicherheit: Schutz sensibler Daten und Systeme vor unautorisiertem Zugriff

• Compliance: Einhaltung gesetzlicher, branchenspezifischer und interner Vorschriften

• Effizienz: Automatisierung der Benutzerzugriffsverwaltung und -überprüfung, um manuelle Aufwände zu reduzieren

• Transparenz: Klare und nachvollziehbare Übersicht über bestehende Berechtigungen sowie deren Änderungen im Zeitverlauf

Ein Teilbereich von IAM, der sich speziell auf die Kontrolle des Zugriffs von Benutzern auf Systeme, Anwendungen und Ressourcen konzentriert, nachdem deren Identitäten festgelegt wurden. Die Zugriffsverwaltung gewährleistet eine sichere, effiziente und angemessene Nutzung von Ressourcen, indem sie Richtlinien anwendet, die festlegen, wer unter welchen Umständen auf etwas zugreifen darf. Es konzentriert sich auf:

• Authentifizierungsmanagement: Durchsetzung von Methoden zur Überprüfung der Benutzeridentität wie Single Sign-On (SSO), MFA oder Passwortrichtlinien

• Berechtigungsverwaltung: Definition und Durchsetzung von Regeln, welche Benutzer auf der Grundlage ihrer Identität, Rolle oder Attribute auf welche Systeme zugreifen und bestimmte Aktionen durchführen dürfen

• Sessions-Verwaltung: Verwaltung von Benutzersitzungen, um sicherzustellen, dass der Zugriff widerrufen wird, wenn er nicht mehr benötigt wird oder wenn Richtlinien dies vorschreiben, z. B. Sitzungszeitüberschreitungen oder aktivitätsbasierte Einschränkungen

• Zugriffskontrolle: Echtzeit-Entscheidungen über die Gewährung oder Verweigerung des Zugriffs auf der Grundlage von festgelegten Richtlinien, Benutzerattributen und dem aktuellen Kontext (z. B. Zeit, Standort oder Gerät)

Ein Account oder Konto regelt den technischen Zugang zu einer Anwendung, einem System oder einem Netzwerk. Er besteht in der Regel aus einem Benutzernamen und einem Passwort, die vom Anwender zur Anmeldung eingegeben werden müssen.

Ein Account ist nicht mit einem Benutzer (User) gleichzusetzen: Während der Benutzer eine eindeutige Identität im System darstellt, kann ein Benutzer über mehrere Accounts verfügen – etwa um auf verschiedene Systeme zuzugreifen oder unterschiedliche Rollen und Berechtigungen wahrzunehmen. Die Accounts können dabei jeweils unterschiedliche Zugriffsebenen oder Rechte abbilden.

Abstrakte „Oberfläche“ eines Unternehmens, die von Angreifern attakiert werden kann. Bugs, Schwachstellen und unsichere Richtlinien können die Angriffsfläche vergrößern. Das Ziel einer starken Identitätszugriffsverwaltung ist es, die Angriffsfläche zu begrenzen und das Gesamtrisiko durch Sicherheitsverfahren wie automatische Provisionierung und Deprovisionierung von Benutzern sowie regelmäßige Prüfung von Zugriffrechten zu verringern.

Prozess, bei dem festgestellt wird, ob eine Entität, mit der kommuniziert wird, tatsächlich diejenige ist, die sie vorgibt zu sein. Mit anderen Worten: der Prozess der Feststellung der Identität eines Nutzers.

Prozess, bei dem festgestellt wird, ob ein Benutzer das Recht hat, auf einen Dienst zuzugreifen oder eine Aktion durchzuführen.

Anhäufung von Rechten einzelner Nutzer, z.B. durch Abteilungswechsel oder Änderungen der Position innerhalb des Unternehmens. Manchmal auch „Permission Creep“ oder „Praktikanten-Phänomen“ genannt. Der Mitarbeiter durchläuft verschiedenste Abteilungen innerhalb des Unternehmens und erhält zur Tätigkeitsausübung innerhalb dieser Abteilungen Rechte zugeteilt, die nach Beendigung des Arbeitsauftrages nicht aberkannt und somit angehäuft werden. Dies ist mit erheblichen Risiken im Betriebsalltag verbunden. Da dieses Phänomen besonders häufig bei Auszubildenden auftritt, entstand die Bezeichnung „Azubi-Effekt“.

Business-Objekte (Business Objects) im Kontext von Identity & Access Management sind zentrale strukturelle oder funktionale Entitäten, die innerhalb eines IAM-Systems verwendet werden. Sie beeinflussen die Vergabe von Berechtigungen und können für Automatisierungszwecke eingesetzt werden. Zu den wichtigsten Business-Objekten zählen User, Identitäten, Organisationseinheiten, Applikationen, Rollen, Gruppen und Accounts.

Ein Benutzer bzw. User ist eine eindeutige Identität, die im System registriert ist, um den Zugriff auf Ressourcen, Dienste und Daten zu ermöglichen. Diese Identität wird zur Authentifizierung und Autorisierung verwendet und mit spezifischen Rollen und Berechtigungen verknüpft.

Der Begriff „Benutzer“ umfasst:

• Human Users, also reale Personen wie Mitarbeitende, Partner oder externe Nutzer

• Non-Human Users, z. B. technische Identitäten, Dienste oder Applikationen, die automatisierte Zugriffe auf Systeme benötigen.

Jeder Benutzer kann über einen oder mehrere Accounts verfügen, mit denen unterschiedliche Zugriffspunkte oder Rechte in verschiedenen Zielsystemen realisiert werden.

Der User Lifecycle umfasst die Phasen, die eine digitale Identität eines Benutzers innerhalb einer Organisation durchläuft. Diese werden üblicherweise in folgende Kategorien eingeteilt:

• Joiner (Onboarding)

• Mover (Rollen- oder Positionswechsel)

• Leaver (Offboarding)

Die effektive Verwaltung des Benutzerlebenszyklus ist entscheidend für die Aufrechterhaltung der Sicherheit, die Gewährleistung der Compliance und die Optimierung der betrieblichen Effizienz. Jede Phase erfordert spezifische Aktionen innerhalb des IAM-Systems, um Benutzeridentitäten und Zugriffsrechte angemessen zu verwalten.

Compliance bezieht sich auf die Fähigkeit des IAM-Systems, eine Organisation bei der Einhaltung relevanter Vorschriften, Standards sowie interner Richtlinien zu unterstützen, die den Datenschutz, die Sicherheit und die Benutzerzugriffsverwaltung regeln.

Im Zusammenhang mit IAM stellt Compliance sicher, dass die Organisation Identitäten und Zugriff auf eine Art und Weise verwaltet, die den rechtlichen, regulatorischen und sicherheitstechnischen Anforderungen entspricht. Vorschriften, Richtlinien und Standards, bei denen IAM-Systeme hinsichtlich der Compliance unterstützen, sind:

• DSVGO (auch GDPR)

• HIPAA (Health Insurance Portability and Accountability Act)

• SOX (Sarbanes-Oxley Act)

• NIS2 (Network and Information Security Directive)

• DORA (Digital Operational Resilience Act)

• GMP (Good Manufacturing Practice)

• TISAX (Trusted Information Security Assessment Exchange)

• KRITIS (Kritische Infrastrukturen) und weitere.

Im Gegensatz zum IAM (auch als WIAM – Workforce Identity and Access Management bekannt), das auf die Verwaltung interner Identitäten innerhalb einer Organisation abzielt, liegen die Schwerpunkte von CIAM (Customer Identity and Access Management) auf den folgenden Funktionen:

• Kundenregistrierung

• Social Login und Single Sign-On (SSO), z. B. Anmeldung mit Google, Facebook oder Apple

• Consent-Management und Datenschutz, z. B. DSGVO-konforme Datenfreigabe

• Adaptive Authentifizierung

• Betrugs- und Anomalieerkennung

Der Prozess des Entfernens oder Entziehens von Zugriffsrechten und Berechtigungen auf Systeme, Anwendungen und Daten für einen Benutzer, wenn dieser sie nicht mehr benötigt. Dies geschieht in der Regel, wenn ein Mitarbeiter das Unternehmen verlässt, die Abteilung oder Rolle wechselt oder den Zugriff auf bestimmte Ressourcen nicht mehr benötigt. Dieser Prozess kann manuell adhoc angestoßen werden oder auch geplant und automatisiert stattfinden. Hierbei handelt es sich um eine der Kernfunktionen von Garancy.

DORA ist eine EU-Verordnung, die darauf abzielt, die operative Widerstandsfähigkeit von Finanzinstituten zu gewährleisten. Im Bereich IAM legt sie den Schwerpunkt auf sichere Zugriffskontrollen, Prozesse zur Reaktion auf Sicherheitsvorfälle und Protokollierung, um kritische Finanzdienstleistungen vor Cyberbedrohungen zu schützen. IAM-Systeme helfen Unternehmen bei der Einhaltung der DORA-Anforderungen, indem sie Zugriffsbeschränkungen, regelmäßige Rezertifizierungen (Überprüfungen der Zugriffsrechte) und Risikobewertungen durchsetzen.

Data Access Governance (DAG) konzentriert sich auf die Verwaltung und Sicherung von Zugriffsrechten auf unstrukturierte Daten wie Dokumente, Tabellen, Präsentationen und E-Mails, um sensible Informationen zu schützen. DAG ergänzt Dokumentenmanagement-Tools (DMS), Dateiserver und SharePoint-Portale und berücksichtigt dabei die dynamische Natur der gemeinsamen Datennutzung und mindert die Risiken von Datenlecks.

Entra ID, früher bekannt als Active Directory (AD), ist ein von Microsoft entwickelter Verzeichnisdienst, der Organisationen bei der Verwaltung und Administration von Benutzern, Computern und Ressourcen innerhalb eines Netzwerks unterstützt. Er bietet eine zentralisierte Authentifizierung, Autorisierung und Zugriffskontrolle, die es Administratoren ermöglicht, Richtlinien durchzusetzen, Berechtigungen zu vergeben und einen sicheren Zugriff auf Ressourcen in der gesamten IT-Umgebung zu gewährleisten.

Garancy bietet einen Connector für Entra ID an, der kontinuierlich gewartet und aktualisiert wird.

Eine Identität, die aus einem Vertrauensrahmen zwischen zwei Systemen entsteht, der die Benutzerauthentifizierung und Informationen über erforderliche Zugriffe ermöglicht. In diesem Modell übernimmt ein Identitätsanbieter bzw. Identity Provider (IDP) die Benutzerauthentifizierung, während ein IAM-Dienstanbieter, wie z. B. Garancy, den Zugang zu Ressourcen verwaltet.

Die Funktionstrennung (Segregation of Duties, kurz SoD) ist ein zentrales Prinzip im Identity & Access Management sowie ein wesentlicher Bestandteil eines internen Kontrollsystems (IKS). Sie ist zudem eine regulatorische Anforderung, die Risiken wie Betrug, Fehler oder Machtmissbrauch minimieren soll, indem kritische Aufgaben konsequent auf mehrere Personen oder Abteilungen verteilt werden.

In der Praxis bedeutet das: Wer beispielsweise einen Zugriff genehmigt, darf diesen nicht auch selbst erteilen oder ausführen. Durch diese klare Trennung von Verantwortlichkeiten wird das Risiko von Interessenskonflikten oder unautorisierten Aktivitäten erheblich reduziert.

Herausforderungen ergeben sich vor allem in kleineren Unternehmen, wo personelle Ressourcen begrenzt sind und eine strikte Funktionstrennung schwer umzusetzen ist. In solchen Fällen sind Ausnahmen erlaubt. Diese müssen jedoch dokumentiert, nachvollziehbar und transparent sein. Deshalb spielt auch ein leistungsstarkes Reporting eine entscheidende Rolle im SoD-Kontext.

Garancy bietet hier klare Vorteile: Die Lösung verwendet sogenannte SoD-Klassen, die eine einfache, strukturierte und übersichtliche Konfiguration von SoD-Regeln ermöglichen. Dies erleichtert die Definition, Prüfung und Einhaltung der Trennung kritischer Aufgaben – selbst in komplexen Systemlandschaften.

Hierbei handelt es sich um den Rahmen von Regeln, Richtlinien, Prozessen und Praktiken, die festlegen, wie eine Organisation arbeitet und ihre Ziele auf strukturierte und nachvollziehbare Weise erreicht. Es umfasst Entscheidungsfindung, Ressourcenmanagement, Compliance und Risikomanagement, um Transparenz, Effizienz und Übereinstimmung mit den Unternehmenszielen und externen Vorschriften zu gewährleisten.

Identity Access Management (IAM) ist eine wichtige Komponente der Governance, da es Richtlinien und Kontrollmechanismen durchsetzt, um sicherzustellen, dass Benutzer entsprechend ihrer Rollen und Verantwortlichkeiten angemessenen Zugriff auf Ressourcen haben. IAM sorgt zudem für Transparenz, Nachvollziehbarkeit und Compliance und unterstützt Organisationen somit beim Risikomanagement und bei der Einhaltung gesetzlicher Vorschriften.

HIPAA ist eine US-amerikanische Verordnung zum Schutz sensibler Gesundheitsdaten. IAM spielt eine entscheidende Rolle bei der Einhaltung des HIPAA, indem es durch rollenbasierte Zugriffskontrolle (RBAC) ein strenges Need-to-know-Prinzip für Gesundheitsdaten durchsetzt. Dies stellt sicher, dass ausschließlich autorisiertes Personal auf Patientendaten zugreifen kann. Ein IAM-System bietet zudem Prüfmöglichkeiten in Form von Audit Trails (Reports).

Eine Identität ist das zentrale digitale Abbild einer natürlichen oder technischen Entität im IAM-System. Sie stellt die einheitliche Referenz für die Verwaltung, Authentifizierung und Autorisierung dar. Eine Identität besteht typischerweise aus attributbasierten Informationen, wie z. B. Name, Abteilung, Funktion und Status, und bildet die Basis für Rollen- und Rechtezuweisungen im gesamten Lebenszyklus – vom Eintritt über Versetzungen bis zum Austritt.

Wichtig: Eine Identität ist nicht zwingend an eine aktive Systemnutzung gebunden, sondern dient primär als verwaltungstechnisches Konstrukt. Aus einer Identität können mehrere Benutzer (User) hervorgehen, beispielsweise für unterschiedliche Systeme oder Rollen – insbesondere bei Non-Human-Szenarien.

Ein Cloud-basiertes Bereitstellungsmodell für Identitäts- und Zugriffsmanagement. IDaaS (Identity as a Service) bietet IAM-Funktionen als abonnementbasierten On-Demand-Service, der von einem Drittanbieter gehostet und verwaltet wird, anstatt lokal von der Organisation implementiert und gewartet zu werden.

Sowohl IAM als auch IDaaS spielen eine zentrale Rolle bei der Absicherung der Unternehmensressourcen durch die Verwaltung von Identitäten und Zugriffsrechten. Die Entscheidung zwischen beiden Modellen hängt von Faktoren wie den spezifischen Anforderungen des Unternehmens, der Einhaltung von Vorschriften, verfügbaren Ressourcen und der strategischen Ausrichtung auf die Cloud ab.

Identity Governance & Administration ist eine Schlüsselkomponente innerhalb des umfassenderen Bereichs des Identitäts- und Zugangsmanagements. IGA konzentriert sich auf die Verwaltung sowie Steuerung digitaler Identitäten und Zugriffsrechte innerhalb einer Organisation und gewährleistet gleichzeitig die Einhaltung gesetzlicher Vorschriften und Sicherheitsanforderungen.

Die Schwerpunkte von IGA liegen in den Bereichen Compliance, Audits, Automatisierung und Governance.

Zu den Kernfunktionen von IGA gehören Access Reviews, Rollenmanagement und Segregation of Duties (SoD).

Identity Management – oft auch als Identitäts- und Zugriffsmanagement oder IAM bezeichnet – steht für die Verwaltung und Kontrolle der digitalen Identitäten von Benutzern und Geräten innerhalb einer Organisation. Damit wird sichergestellt, dass die richtigen Personen zur richtigen Zeit und aus den richtigen Gründen Zugriff auf die richtigen Ressourcen haben.

Ein Identitätsanbieter oder Identity Provider (kurz IdP) ist ein System oder Dienst für die Verwaltung von Benutzeridentitäten und Bereitstellung von Authentifizierungsinformationen. Der IdP bestätigt, wer ein Benutzer ist, indem er z. B. Anmeldeinformationen wie Benutzername und Passwort oder Zertifikate überprüft. Nach erfolgreicher Authentifizierung stellt der IdP einen Identitätsnachweis aus, der dann an andere Dienste oder Anwendungen weitergegeben wird.

Die Beziehung zwischen einem Identitätsanbieter (IdP) und einem IAM-System ist komplementär, wobei der IdP als Schlüsselkomponente innerhalb des gesamten IAM-Ökosystems fungiert.

• IdP innerhalb von IAM: Der IdP ist meist die Kernkomponente eines IAM-Systems und für die Authentifizierung zuständig, während die IAM-Plattform die Zugriffskontrolle, Identitätsverwaltung und Provisionierung verwaltet.

• Nahtlose Benutzererfahrung: Der IdP ermöglicht Funktionen wie Single Sign-On (SSO) und föderiertes Identitätsmanagement, sodass IAM-Systeme einen effizienten und sicheren Zugriff über mehrere Anwendungen hinweg bieten können.

• Sicherheit und Compliance: Dank robuster Authentifizierungsmechanismen, die vom IdP bereitgestellt werden, sorgen IAM-Systeme für einen sicheren Zugriff und die Einhaltung gesetzlicher Vorschriften.

Kurz gesagt: Der IdP überprüft, wer Sie sind, und das IAM-System bestimmt, was Sie tun können.

Joiner, Mover, Leaver (JML) sind Bezeichnungen für die gängigen Mitarbeiterprozesse, die üblicherweise von HR-Systemen ausgehen. Für ein IAM-System ergeben sich aus diesen Standard-Geschäftsprozessen Anpassungen an den Berechtigungen von Mitarbeitenden.

IAM-Systeme ermöglichen hier entweder vollautomatisierte oder teilautomatisierte Prozesse mit zusätzlichen Genehmigungsworkflows. Diese Workflows können einfach zur Information über die Änderungen genutzt werden oder auch als Ergänzung dienen, um zusätzliche Berechtigungen zu erteilen oder zu entziehen.

Auch Garancy unterstütz voll- und teilautomatiserte Joiner-, Mover- und Leaver-Prozesse.

• Joiner (Neuanstellung): Wenn ein neuer interner oder externer Mitarbeiter ins Unternehmen eintritt, stellt Garancy sicher, dass ihm die entsprechenden Zugriffsrechte entsprechend seiner Rolle gewährt werden.

• Mover (Versetzung): Wenn ein Benutzer seine Rolle oder den Verantwortungsbereich wechselt (z. B. infolge eines Abteilungswechsels oder für die Durchführung eines spezifischen Projekts), passt das IAM-System seinen Zugang an die neuen Aufgaben an und stellt sicher, dass er weder zu viel noch zu wenig Zugriffsrechte hat.

• Leaver (Austritt): Wenn eine Person das Unternehmen verlässt, stellt das System sicher, dass deren Zugriffsrechte umgehend entzogen werden, um einen unbefugten Zugriff nach dem Ausscheiden zu verhindern.

Ein Video, wie Sie den Mitarbeiterlebenszyklus mit Garancy ganz einfach administrieren können, finden Sie hier.

Komponente innerhalb einer IAM-Software, um mit den Zielsystemen zu interagieren. Konnektoren sind essenziell für die Provisionierung, Deprovisionierung und das Management der verschiedenen Ressourcen.

Funktionalitäten eines Konnektors:

• Integration externer Systeme: Ein Konnektor fungiert als Brücke zwischen dem IAM-System und externen Anwendungen wie z. B. SaaS-Anwendungen, Datenbanken und On-Premise-Systemen. Er ermöglicht es dem IAM-System, mit diesen Systemen zu kommunizieren und Identitäten darin zu verwalten.

• Benutzerbereitstellung und Deprovisionierung: Wird ein User über das IAM-System hinzugefügt, geändert oder entfernt, übernimmt der Konnektor die automatische Erstellung, Aktualisierung oder Löschung des Benutzerkontos im angeschlossenen System. Dies können u. a. E-Mail-Systeme, Datenverwaltungstools, Prozesssoftware oder Cloud-Dienste sein.

• Synchronisierung der Identitätsdaten: Ein Konnektor ermöglicht die Synchronisierung von Benutzerattributen (z.B. Benutzernamen, Rollen und Berechtigungen) zwischen dem IAM-System und anderen Identitäts-Repositories wie Active Directory (AD) oder LDAP. Dies gewährleistet die Datenkonsistenz.

• Authentifizierung und Autorisierung: In einigen Fällen werden Konnektoren verwendet, um die Authentifizierung und Autorisierung an externe Identity Provider zu delegieren, um z. B. Single Sign-On (SSO) zu erleichtern oder einen Verbund zwischen verschiedenen Systemen zu ermöglichen.

• Zugriffskontrolle und Durchsetzung von Richtlinien: Konnektoren ermöglichen dem IAM-System die Durchsetzung von Zugriffskontrollrichtlinien durch die Verwaltung der Berechtigungen in angebundenen Systemen. Dadurch wird sichergestellt, dass User auf der Grundlage der in Garancy definierten Rollen und Richtlinien die richtige Zugriffsebene haben.

Hier finden Sie eine Übersicht der in Garancy verfügbaren Konnektoren.

Das Prinzip der geringsten Privilegien (Principle of Least Privilege oder kurz PoLP) ist für IAM unverzichtbar, da es den Benutzer- und Systemzugriff auf das beschränkt, was für die Arbeitsaufgaben unbedingt erforderlich ist. Dies erhöht die Sicherheit durch Minimierung der Angriffsfläche, verhindert den Missbrauch von Privilegien und stellt sicher, dass Unternehmen die Vorschriften zur Zugriffskontrolle und zum Datenschutz einhalten. Das Prinzip der geringsten Berechtigungen ist eine zentrale Komponente von Garancy, die strikte Zugriffskontrollen ermöglicht und kritische Systeme sowie sensible Daten schützt.

• Minimierung des Zugriffs: PoLP stellt sicher, dass Benutzer oder Systeme mit der niedrigstmöglichen Zugriffsstufe oder Berechtigung ausgestattet sind, um ihre Aufgaben zu erfüllen. Wenn ein Benutzer zum Beispiel nur Lesezugriff auf eine Datenbank benötigt, sollte er keine Schreib- oder Verwaltungsrechte erhalten.

• Erhöhte Sicherheit: Durch die Einschränkung der Zugriffsrechte verringert PoLP das Risiko unbefugter Aktivitäten, versehentlicher Fehler oder böswilliger Aktionen. Wenn das Konto eines Benutzers kompromittiert wird, hat der Angreifer nur begrenzten Zugriff, was den potenziellen Schaden mindert.

• Benutzerrollen und Berechtigungen: In IAM wird PoLP durch Mechanismen wie die rollenbasierte Zugriffskontrolle (Role-Based Access Control, RBAC) durchgesetzt. Jedem Benutzer wird eine oder mehrere Rollen mit Berechtigungen zugewiesen, die seinen Aufgaben entsprechen. Diese Rollen sind so konzipiert, dass sie nur die geringsten erforderlichen Berechtigungen gewähren.

• Verhinderung der Rechteanhäufung: PoLP verhindert eine unnötige Anhäufung von Rechten. Benutzer oder Anwendungen erhalten keine weitreichenden Zugriffsrechte, die zu einem Missbrauch von Privilegien oder einer Ausnutzung von Privilegien führen könnten, wie z. B. unbefugter Zugriff auf sensible Daten oder kritische Systeme.

• Regelmäßige Überprüfung: Garancy erzwingt und überwacht PoLP, indem es die Berechtigungen der Benutzer permanent überprüfen und vorallem regelmäßige Zugriffsüberprüfungen einfordert um zu verhindern, dass Benutzer im Laufe der Zeit unnötige Berechtigungen anhäufen.

• Governance: PoLP ist von entscheidender Bedeutung für die Einhaltung gesetzlicher Vorschriften (GDPR, HIPAA und viele Weitere), da es sicherstellt, dass sensible Daten ausschließlich für autorisierte Benutzer zugänglich sind, was die Wahrscheinlichkeit von Datenschutzverletzungen verringert und zur Einhaltung von Governance-Anforderungen beiträgt.

Lift & Shift ist eine Cloud-Migrationsstrategie, bei der bestehende Anwendungen oder Workloads ohne größere Änderungen direkt in eine Cloud-Umgebung verschoben werden. Dieser Prozess wird oft auch als „Rehosting“ bezeichnet.

Dabei bleibt die Architektur der Anwendung weitgehend unverändert – sie wird lediglich von einer On-Premise-Umgebung (lokales Rechenzentrum) in die Cloud transferiert.

Die Multi-Faktor-Authentifizierung (MFA) ist eine Sicherheitsmethode, die von Benutzern verlangt, zwei oder mehr Nachweise zur Identitätsbestätigung zu erbringen, bevor sie Zugriff auf Ressourcen (z.B. Anwendungen, Online-Konten oder VPNs) erhalten. Im Gegensatz zu herkömmlichen Verfahren, die lediglich Benutzernamen und Passwort abfragen, fordert die MFA zusätzliche Verifizierungsfaktoren an, was die Sicherheit erhöht und das Risiko von Cyberangriffen verringert.

Manuelle Provisionierung ist der Prozess, bei dem Benutzerkonten, Berechtigungen oder IT-Ressourcen ohne Automatisierung erstellt, konfiguriert und verwaltet werden. Dabei führt ein IT-Administrator oder eine andere verantwortliche Person alle notwendigen Schritte manuell aus.

Dieser Prozess wird häufig verwendet für Systeme, die keine Möglichkeit zur Anbindung bieten, oder für Legacy-Applikationen, auf die nur noch wenige Benutzer Zugriff haben. Da die Umsetzung manuell erfolgt, ist sie fehleranfällig und birgt Sicherheitsrisiken.

Garancy optimiert die manuelle Provisionierung, indem es Aufträge für die Verantwortlichen erzeugt. Diese können über unterschiedliche Wege, z. B. per Mail oder Workflow, abgearbeitet werden.

Garancy bietet Übersichten zu allen manuellen Aufträgen und reduziert damit die Fehleranfälligkeit. Gleichzeitig dokumentiert das IAM-Tool den gesamten Prozess und sorgt dafür, dass das IAM-System als zentrale Informationsquelle („Single Point of Truth“) stets auf dem neuesten Stand ist.

MaRisk ist ein deutsches Regelwerk, das von der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) herausgegeben wird. Es beinhaltet Mindestanforderungen für Risikomanagementpraktiken, die Finanzinstitute und Banken in Deutschland befolgen müssen, um eine solide und wirksame interne Governance zu gewährleisten.

Die meisten Schlüsselaspekte der MaRisk werden durch ein IAM-System wie Garancy abgedeckt.

• Risikomanagement-Rahmenwerk: MaRisk verlangt von den Instituten die Einrichtung eines umfassenden Risikomanagementsystems zur Identifizierung, Bewertung, Überwachung und Minderung von Risiken. Es deckt verschiedene Risikoarten ab, darunter Kredit-, Markt-, Betriebs- und Liquiditätsrisiken. Ein IAM-System mit Stärken im SoD-Bereich unterstützt in diesem Fall die Durchsetzung des Rahmenwerks.

• Interne Steuerung: MaRisk sorgt für eine angemessene Organisationsstruktur, klare Verantwortlichkeiten und effektive Kommunikationskanäle. Dies unterstreicht die Bedeutung einer risikobewussten Unternehmenskultur und starker interner Kontrollsysteme.

• Dokumentation und Berichterstattung: Es werden zudem Anforderungen an eine transparente Dokumentation der Risikomanagementprozesse gestellt. Die Institute müssen der Geschäftsleitung und den Aufsichtsbehörden regelmäßig über Risiken und Kontrollen berichten. Detailliert steuerbare Reporting-Funktionen innerhalb des IAM-Systems machen das Unternehmen auskunftsfähig.

• IT-Risiko und Sicherheit: MaRisk enthält Leitlinien für das Management von IT-bezogenen Risiken, die Gewährleistung der Cybersicherheit und die Anpassung an die aufsichtsrechtlichen Anforderungen für Technologie und Betrieb. Ein durch das IAM-System vorgegebenes Need-to-Know-Prinzip steigert die IT-Sicherheit erheblich.

• Einhaltung der Vorschriften und Audits: MaRisk verlangt regelmäßige interne und externe Audits, um die Einhaltung der vorgegebenen Standards zu überprüfen. Damit wird sichergestellt, dass Unternehmen ihre rechtlichen und regulatorischen Verpflichtungen erfüllen. Mit einer IAM-Lösung wie Garancy sind Organisationen zu jedem Zeitpunkt auskunftsfähig über den aktuellen Stand der Berechtigungen innerhalb des Unternehmens.

Das Need-to-Know-Prinzip und IAM sind eng miteinander verbundene Konzepte, die sicherstellen, dass sensible Informationen und Ressourcen nur denjenigen zugänglich sind, die sie wirklich benötigen, um ihre Tätigkeiten auszuführen.

Grundlegend handelt es sich um ein Sicherheitskonzept, das vorschreibt, dass Personen nur Zugang zu den Daten, Systemen, Ressourcen oder Informationen haben sollen, die sie zur Erfüllung ihrer Aufgaben benötigen. Dies minimiert das Risiko unbefugter Zugriffe, der Bedrohung durch Insider und der versehentlichen Offenlegung vertraulicher Informationen.

Die 2016 verabschiedete und seit Mai 2018 in Kraft getretene EU-Richtlinie zur Netzwerk- und Informationssicherheit (NIS) schafft einen einheitlichen Rechtsrahmen für die Stärkung der Cybersicherheit Kritischer Infrastrukturen (KRITIS), z. B. Energie-, Verkehrs- und Gesundheitswesen, sowie bestimmter Anbieter digitaler Dienste. Für IAM bedeutet die Einhaltung der NIS1-Richtlinie die Sicherung von Benutzeridentitäten, die Verhinderung des unbefugten Zugriffs auf kritische Systeme und die Gewährleistung der Rückverfolgbarkeit durch Prüfpfade.

Die im November 2022 verabschiedete NIS2-Richtlinie ist eine Erweiterung der ersten NIS-Richtlinie, die von den Mitgliedstaaten bis Oktober 2024 in nationales Recht umgesetzt werden muss. Sie deckt mehr Sektoren ab und führt strengere Anforderungen für das Management von Cybersicherheitsrisiken ein. Im Bereich IAM konzentriert sie sich auf fortschrittliche Identitätsmanagementpraktiken wie Zero Trust, Privileged Access Management (PAM) und Kontrollmechanismen, um sich gegen hochentwickelte Cyberbedrohungen zu schützen.

Bezieht sich auf Software, Hardware oder IT-Infrastruktur, die nicht in einer Cloud-Umgebung, sondern lokal in den eigenen Einrichtungen einer Organisation gehostet und verwaltet wird. Diese Konfiguration gibt dem Unternehmen die vollständige Kontrolle über seine Systeme, Daten und Sicherheit, erfordert aber Ressourcen für Wartung und Support.

Die Verwaltung privilegierter Konten (Privileged Account Management oder auch PAM) ist ein Teilbereich von IAM, der sich speziell auf die Sicherheit und Verwaltung privilegierter Konten konzentriert. Dabei handelt es sich um Konten mit erhöhten Berechtigungen, die auf kritische Systeme, sensible Daten oder Verwaltungsfunktionen zugreifen können. Dazu zählen Systemadministratoren, Netzwerktechniker oder Datenbankadministratoren.

Während Identitäts- und Zugriffsmanagement (IAM) die allgemeine Verwaltung von Benutzeridentitäten und Zugriffsrechten für ein ganzes Unternehmen regelt, konzentriert sich PAM speziell auf einen Teilbereich: die Sicherung privilegierter Konten, die über höhere Berechtigungen verfügen und eine strengere Kontrolle erfordern.

Zusammen bilden IAM und PAM einen umfassenden Rahmen für die Sicherung von Identitäten, die Zugriffsverwaltung und den Schutz wichtiger Ressourcen. Durch die Integration von IAM und PAM können Unternehmen sicherstellen, dass alle Benutzer über die richtigen Zugriffsrechte verfügen, während privilegierte Konten zusätzlich geschützt werden, um mögliche Verstöße oder Missbrauch zu verhindern.

Als Provisionierung bezeichnet man im IAM-Bereich die automatisierte Umsetzung der gewünschten Zugriffsrechte in den angeschlossenen Zielsytemen. Die Provisionierung wird durch jede durchgeführte Änderung im IAM-System getriggert und damit automatisch und ohne Zeitverlust umgesetzt.

Auf diese Weise wird sichergestellt, dass Benutzer – sowohl interne als auch externe Mitarbeitende, Auftragnehmer oder Partner – über die richtigen Zugriffsrechte auf Systeme, Anwendungen und Ressourcen innerhalb eines Unternehmens verfügen, um ihre Aufgaben zu erfüllen.

Das Gefühl von Frustration, Stress oder geistiger Erschöpfung, das durch die überwältigende Anzahl von Passwörtern verursacht wird, die sich Benutzer für verschiedene Dienste merken und verwalten müssen. Passwortmüdigkeit kann dazu führen, dass Benutzer auf unsichere Praktiken zurückgreifen, wie z. B. die Wiederverwendung von Passwörtern oder die Verwendung leicht zu erratender Passwörter, was wiederum ein Sicherheitsrisiko darstellen kann.

Password Reset ist eine klassische Funktion von IAM-Systemen, die es einem User ermöglicht, alle Passwörter seiner Accounts über das IAM-System zu verwalten. Mit Hilfe von Self-Service-Funktionen lassen sich zum Beispiel Passwörter ohne das Hinzuziehen des Helpdesks zurücksetzen.

Zu den Standardfunktionen gehört auch das sogenannte Offline Password Reset. Hat der Benutzer sein Windows-Passwort vergessen und kann sich nicht anmelden, bietet Garancy die Möglichkeit, das Windows-Passwort via Sicherheitsfragen zurückzusetzen.

Bei der Rezertifizierung, auch als Zugriffsüberprüfung oder Zugriffsrezertifizierung bezeichnet, handelt es sich um die regelmäßige Überprüfung, ob die bestehenden Zugriffsrechte der Benutzer für ihre aktuellen Rollen und Aufgaben noch geeignet sind. Dies schreiben in der Regel interne Richtlinien, Industriestandards oder gesetzliche Vorschriften vor, um sicherzustellen, dass alle Benutzer über die richtige Zugriffsstufe verfügen und nicht autorisierte oder unnötige Zugriffsrechte entzogen werden.

Die Häufigkeit dieser Rezertifizierungen kann in Garancy bei der Ersellung der Rezertifizierungskampagne festgelegt werden. Grundlage hierfür sind unter anderem regulatorische Anforderungen, die sich an der Kritikalität der jeweiligen Berechtigungen orientieren. Je sensibler oder sicherheitsrelevanter ein Zugriff bewertet wird, desto häufiger sollte auch eine Überprüfung erfolgen.

In Garancy wird die Rezertifzierung in zwei Bereiche unterteilt:

• Mitarbeiter-Rezertifizierung, um die Berechtigungen der Mitarbeitenden zu prüfen

• Rollen-Rezertifizierung, die die Rollenstammdaten und die Rolleninhalte, also die enthaltenen Berechtigungen, überprüft

Durch diese Aufteilung wird die Rezertifizierung an die jeweiligen Rezertifizierer angepasst und die Abarbeitung der Rezertifizierung erleichert.

Im IAM-Kontext sind Ressourcen die digitalen Assets, Systeme, Anwendungen, Daten, Dienste oder andere Komponenten innerhalb der IT-Umgebung eines Unternehmens, auf die Benutzer zugreifen müssen, um ihre Aufgaben zu erfüllen.

In Garancy sind Ressourcen eine Berechtigung (Entitlement) der granularsten Ebene. Die Entitlement-Hierrachie baut sich folgendermaßen auf: Rolle – Gruppe – Ressource.

Eine Rolle ist eines der grundlegenden Konzepte, das eine oder mehrere Berechtigungen und Zugriffsrechte darstellt, die Benutzern oder Einheiten innerhalb eines Systems zugewiesen werden können. Rollen werden verwendet, um die Verwaltung der Zugriffskontrolle zu vereinfachen und zu zentralisieren, indem eine Sammlung von Berechtigungen gruppiert wird, die in der Regel für die Ausführung einer bestimmten Arbeitsfunktion oder Aktivität erforderlich sind.

Die Verwendung von Rollen ist ein Kernprinzip der rollenbasierten Zugriffskontrolle (RBAC), einem weit verbreiteten Ansatz in IAM-Systemen. RBAC stellt sicher, dass der Zugriff auf der Grundlage von Rollen gewährt wird, die entsprechend den Arbeitsfunktionen definiert sind. Auf diese Weise wird das Prinzip der geringsten Privilegien durchgesetzt: Die Benutzer erhalten ausschließlich die Zugriffsrechte, die sie für die Ausführung ihrer Aufgaben tatsächlich benötigen.

Die rollenbasierte Zugriffskontrolle bzw. Role-Based Access Control (RBAC) ist eine Methode zur Regelung des Zugangs zu Computer- oder Netzressourcen auf der Grundlage der Rollen einzelner Benutzer innerhalb einer Organisation. Bei Garancy spielt RBAC eine entscheidende Rolle, da es eine systematische Möglichkeit zur Verwaltung und Zuweisung von Berechtigungen an Benutzer bietet und so die Sicherheit und betriebliche Effizienz erhöht.

Im Gegensatz zum User Lifecycle, der sich mit dem Benutzer und seinen Rechten befasst, bezieht sich der Role Lifecycle auf die Verwaltung von Rollen und die zugewiesenen Rechte, die diese enthalten.

Ein zentrales Element ist das Rollenmodell, das die logische Grundlage für eine strukturierte Rechtevergabe bildet. Hierbei unterscheidet man typischerweise zwischen Applikationsrollen, die sich auf technische Berechtigungen in einzelnen Systemen beziehen, und Businessrollen, die als übergeordnete Bündelung mehrerer Applikationsrollen fungieren und meist auf Basis organisatorischer Funktionen definiert werden. Die daraus entstehende Rollenhierarchie ermöglicht eine transparente, wiederverwendbare und auditierbare Struktur von Zugriffsrechten.

Die Stadien des Rollenlebenszyklus:

• Erstellung: Garancy unterstützt bei der Definition und Erstellung von Rollen auf der Grundlage von Organisationsstrukturen, Stellenfunktionen und Zugriffsanforderungen.

• Modifikation: Wenn sich die geschäftlichen Anforderungen ändern, unterstützt Garancy Rollenaktualisierungen, Anpassungen oder das Hinzufügen neuer Berechtigungen.

• Überprüfung und Zertifizierung: Regelmäßige Rollenaudits stellen sicher, dass die Rollen weiterhin mit den Unternehmensrichtlinien und den gesetzlichen Anforderungen übereinstimmen.

• Entzug: Eine Rolle wird automatisch stillgelegt, wenn sie nicht mehr benötigt wird. Dies verhindert die Anhäufung von übermäßigen oder veralteten Berechtigungen.

Ein Architekturstil, der standardmäßige HTTP-Methoden (z. B. GET, POST) verwendet und leichtgewichtige Datenformate wie JSON unterstützt. Er ist wegen seiner Einfachheit, Skalierbarkeit und Flexibilität weit verbreitet, insbesondere in modernen Web- und Mobilanwendungen.

Single Sign-On (SSO) ist eine Authentifizierungsmethode, die es Benutzern ermöglicht, mit einem einzigen Satz von Anmeldedaten (z. B. Benutzername und Passwort) auf mehrere Anwendungen, Systeme oder Dienste zuzugreifen. Durch die Zentralisierung der Authentifizierung vereinfacht SSO die Benutzererfahrung und reduziert die Notwendigkeit, sich mehrere Passwörter zu merken, während die Sicherheit durch die zentrale Kontrolle des Benutzerzugriffs verbessert wird.

SSO wird häufig mit der Multi-Faktor-Authentifizierung (MFA) kombiniert, um die Sicherheit zu erhöhen. Während SSO die sog. Passwortmüdigkeit (Password Fatigue) minimiert, da nur ein Satz von Anmeldeinformationen erforderlich ist, bietet MFA eine zusätzliche Schutzebene, da mehrere Formen der Verifizierung erforderlich sind, z. B. ein Einmalpasswort (OTP) oder ein Hardware-Token.

Diese Kombination stellt sicher, dass selbst wenn SSO-Anmeldeinformationen kompromittiert werden, der unbefugte Zugriff durch den zweiten Authentifizierungsfaktor abgeschwächt wird. Zusammen bieten SSO und MFA sowohl Komfort als auch starke Sicherheit.

Die Sperrung und Entsperrung von Benutzerkonten sind grundlegende Funktionen eines IAM-Systems.

• Sperrung: Ein Benutzerkonto wird deaktiviert, um den Zugriff auf Systeme und Daten temporär zu unterbinden, ohne das Konto zu löschen. Dies erfolgt typischerweise bei befristeten Abwesenheiten (z. B. Urlaub, Elternzeit oder Sabbatical), Untersuchungen oder der Nichteinhaltung von Richtlinien. Das IAM-System stellt sicher, dass der gesperrte Nutzer nicht mehr auf Systeme oder Daten zugreifen kann, behält aber die Konfiguration und die im Falle eines Audits wichtigen Aufzeichnungen des Kontos bei.

• Entsperrung: Nach Prüfung und Freigabe kann das Konto wieder aktiviert werden, wodurch der Benutzer erneut Zugriff auf die zugewiesenen Ressourcen erhält. IAM-Systeme stellen sicher, dass dieser Prozess nachvollziehbar, kontrolliert und revisionssicher erfolgt.

• Notfallsperrung: Dies ist eine Eskalationsstufe über der regulären Sperrung. Sie stellt sicher, dass betreffende Accounts sofort alle Zugriffsrechte verlieren. Auch hier bleiben alle im Auditfall nötigen sowie historischen Daten zum Benutzer erhalten.

Die Software Bill of Materials (SBOM) ist eine detaillierte, hierarchische Liste aller Komponenten, Abhängigkeiten und Bibliotheken (einschließlich Open-Source-, Drittanbieter- und proprietärem Code), aus denen eine Softwareanwendung besteht. Sie dient als umfassende Bestandsaufnahme, die Transparenz in die Software-Lieferkette bringt.

Hauptzwecke einer SBOM

• Transparenz: Identifiziert alle Softwarekomponenten, um zu verstehen, was in einer Anwendung enthalten ist.

• Sicherheit: Hilft Unternehmen bei der Erkennung und Behebung von Schwachstellen und gewährleistet die Einhaltung von Sicherheitsstandards wie CVE-Datenbanken (Common Vulnerabilities and Exposures).

• Einhaltung von Vorschriften: Gewährleistet die Einhaltung von Lizenzanforderungen für Open-Source- oder Drittanbieter-Komponenten.

• Risikomanagement: Unterstützt die Überwachung und Verwaltung der mit der Software-Lieferkette verbundenen Risiken.

Bedeutung der SBOMs in der modernen IT

SBOMs gewinnen zunehmend an Bedeutung, insbesondere angesichts der wachsenden Bedrohung durch Angriffe auf Lieferketten und der Einführung gesetzlicher Vorgaben wie dem Cyber Resilience Act (CRA).

Ein Protokoll mit strengen Standards für die Nachrichtenstruktur, das nur XML unterstützt. Es wird häufig in Unternehmensumgebungen verwendet, die hohe Sicherheit, Zuverlässigkeit und erweiterte Funktionen wie Transaktionen erfordern.

Bezieht sich auf den Prozess der Bestätigung der Identität eines Benutzers, Geräts oder einer Anwendung, oft als Teil der Authentifizierung. Dadurch wird sichergestellt, dass die Entität, die den Zugriff anfordert, legitim und berechtigt ist, mit dem System oder der Ressource zu interagieren. Zu den Überprüfungsmethoden gehören Passwörter, Multi-Faktor-Authentifizierung (MFA) oder biometrische Verfahren.

Ein Sicherheits- und Governance-Konzept, das vorschreibt, dass bestimmte Aktionen, Entscheidungen oder Transaktionen von mindestens zwei autorisierten Personen genehmigt oder sogar ausgeführt werden müssen. Dieser Ansatz ist darauf ausgelegt, die Aufsicht zu verbessern, Fehler zu reduzieren, Betrug zu verhindern und die Einhaltung von Vorschriften zu gewährleisten, indem eine zusätzliche Ebene der Überprüfung und Rechenschaftspflicht hinzugefügt wird.

Im IAM-Kontext spielt das Vier-Augen-Prinzip eine entscheidende Rolle bei der Kontrolle und Überwachung des Zugriffs auf sensible Systeme und Daten. Es stellt sicher, dass risikoreiche Vorgänge, die Benutzeridentitäten und Zugriffsrechte betreffen, einer doppelten Kontrolle unterliegen, wodurch die Sicherheit erhöht und die Wahrscheinlichkeit unbefugter Aktivitäten verringert wird. Das Vier-Augen-Prinzip ist eine grundlegende Komponente bei der Stärkung der Sicherheit und Governance von Identitäts- und Zugriffsmanagementsystemen. Indem Unternehmen für kritische Aktionen eine doppelte Genehmigung verlangen, können sie:

• die Sicherheit erhöhen, indem sie das Risiko unbefugter oder böswilliger Aktivitäten verringern,

• Compliance gewährleisten durch die Einhaltung der gesetzlichen Anforderungen an Aufsicht und Rechenschaftspflicht sowie

• die Transparenz fördern durch eine Kultur der Verantwortung und der Sorgfaltspflicht.

Mit der Umsetzung des Vier-Augen-Prinzips in IAM-Prozessen können Unternehmen ihre Vermögenswerte sichern, sensible Informationen schützen und das Vertrauen der Stakeholder wahren, indem sie sicherstellen, dass der Zugriff auf kritische Ressourcen angemessen kontrolliert und überwacht wird.

Ein IAM-Tool spielt eine entscheidende Rolle bei der Identifizierung und Verwaltung verwaister Accounts. Dabei handelt es sich um Benutzerkonten, die aktiv sind, aber nicht mehr mit einem gültigen Benutzer verbunden sind, beispielsweise nachdem ein Mitarbeiter das Unternehmen verlassen hat.

Garancy hilft bei der Erkennung und Eindämmung dieser Konten durch die Automatisierung von Deprovisionierungsprozessen, die Durchsetzung rollenbasierter Zugriffskontrollen und die Bereitstellung von Audit-Funktionen, um sicherzustellen, dass alle Konten mit legitimen, aktiven Identitäten verknüpft sind. Dies reduziert Sicherheitsrisiken und verbessert die Compliance. Sobald eine Person aus dem Unternehmen austritt, werden alle zugehörigen Konten deaktiviert.

Dabei handelt es sich um ein von Yubico entwickeltes Hardware-Authentifizierungsgerät, das Multi-Faktor-Authentifizierung (MFA) unterstützt. Es wird häufig in IAM-Systemen verwendet, um die Sicherheit zu erhöhen, indem es ein physisches Token für Einmalpasswörter (OTPs), PKI-Zugangsdaten oder FIDO2/WebAuthn-Authentifizierung bereitstellt.

Aktive Verbindung oder der Zugriff auf eine Anwendung, ein System, ein Netzwerk (wie das Internet) oder einen Online-Dienst, einschließlich der jeweiligen Berechtigungen.

Zero Trust ist ein Sicherheitsmodell, das auf dem Grundsatz „Never trust, always verify“ basiert. Dabei wird davon ausgegangen, dass Bedrohungen von allen Seiten kommen können, also sowohl aus dem Inneren als auch von außerhalb des eigenen Netzwerks. Daher muss jede Zugriffsanfrage authentifiziert, autorisiert und fortlaufend validiert werden, bevor der Zugriff auf Ressourcen gewährt wird. Identity und Access Management ist für die Umsetzung der Zero-Trust-Prinzipien von entscheidender Bedeutung, da das IAM-System den Zugriff auf Ressourcen verwaltet und kontrolliert.

Zielsysteme sind Systeme oder Anwendungen, die durch das Identity Access Management gesteuert werden können. Bei voll integrierten Zielsystemen findet eine bidirektionale Kommunikation zwischen dem System und Garancy statt. Somit kann Garancy einerseits das Berechtigungsmanagement in der Anwendung lesen, andererseits aber auch Berechtigungen im Zielsystem erteilen oder entziehen.