Identitätsmanagement: Bausteine, Lebenszyklus und Einführung

Identitätsmanagement (Identity Management, kurz IdM) ist die zentrale Verwaltung digitaler Identitäten in einem Unternehmen: Wer ist diese Person oder dieser Dienst, welche Konten hat sie, und wann werden sie angelegt, geändert und gelöscht? Zusammen mit der Zugriffssteuerung spricht man von Identity and Access Management (IAM), das auch festlegt, wer worauf zugreifen darf, und das bei jeder Anmeldung durchsetzt. In der Praxis gehören dazu ein zentrales Verzeichnis wie Microsoft Entra ID, Single Sign-on, Mehrfaktor-Anmeldung, die automatische Einrichtung von Konten per SCIM und regelmäßige Prüfungen der Rechte. Weil gestohlene Zugangsdaten zu den häufigsten Einfallstoren zählen, ist dieser Bereich eine der wirksamsten Schutzmaßnahmen.

Wenn Sie IdM einführen oder Ihre Konten aufräumen wollen, finden Sie unten die Bausteine, den Lebenszyklus einer Identität und die Reihenfolge für die Umsetzung.

Was ist Identitätsmanagement?

Eine digitale Identität besteht aus den Merkmalen, die eine Person oder einen Dienst in den IT-Systemen beschreiben: Name, Abteilung, Rolle, Konten, Gruppen und Anmeldeverfahren. Ohne zentrale Verwaltung entstehen in jeder Anwendung eigene Konten mit eigenen Passwörtern, und beim Austritt bleibt immer eines übrig. Identitätsmanagement führt diese Informationen an einem Ort zusammen und verknüpft sie mit den Personaldaten.

IdM, IAM und PAM: Die Begriffe

Die Bausteine

• Zentrales Verzeichnis: Active Directory vor Ort, Microsoft Entra ID oder Google Workspace in der Cloud. Hier liegt die führende Identität.
• Single Sign-on (SSO): Eine Anmeldung für viele Anwendungen, meist über die Protokolle SAML oder OpenID Connect. Das bedeutet weniger Passwörter und einen zentralen Punkt zum Abschalten.
• Mehrfaktor-Anmeldung: Ein zweiter Nachweis neben dem Passwort, am besten phishing-resistent mit FIDO2 oder Passkeys. Mehr dazu unter Multi-Faktor-Authentifizierung.
• Provisionierung: Konten werden automatisch angelegt und entfernt, oft über SCIM. Siehe Benutzerbereitstellung.
• Rollen und Gruppen: Rechte hängen an der Aufgabe statt an der einzelnen Person.
• Protokolle und Prüfungen: Wer hat sich wann angemeldet, und wer hat welche Rechte erhalten?

Der Lebenszyklus einer Identität

Fachleute sprechen von Joiner, Mover und Leaver:

Die Checkliste für das IT-Offboarding hilft beim letzten Schritt, der am meisten Risiko birgt.

Warum sich Identitätsmanagement lohnt

• Sicherheit: Mit Mehrfaktor-Anmeldung und zentralem Abschalten verlieren gestohlene Passwörter viel von ihrem Wert.
• Weniger Aufwand: Passwort-Rücksetzungen und das manuelle Anlegen von Konten binden im Support viel Zeit.
• Schneller Start: Neue Mitarbeitende haben am ersten Tag die nötigen Zugänge.
• Nachweise: Prüfer sehen, wer wann welche Rechte hatte und wer sie genehmigt hat.
• Pflichten: § 30 Abs. 2 BSIG nennt für NIS2-Einrichtungen Konzepte für die Zugriffskontrolle (Nr. 9) und Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung (Nr. 10). Auch die DSGVO verlangt in Art. 32 angemessene Zugriffskontrollen.

Identitätsmanagement einführen: die Reihenfolge

1. Bestand aufnehmen: Welche Verzeichnisse, Anwendungen und Konten gibt es? Dienst- und Administratorkonten nicht vergessen.
2. Führendes System festlegen: Meist kommt die Person aus dem Personalsystem und die technische Identität aus dem Verzeichnis.
3. Aufräumen: Verwaiste Konten, doppelte Identitäten und überflüssige Rechte entfernen, bevor Sie etwas automatisieren.
4. Mehrfaktor-Anmeldung einführen, zuerst für Administratoren, E-Mail und Fernzugriff.
5. Anwendungen an SSO anbinden, die wichtigsten zuerst.
6. Rollen festlegen und Rechte daran knüpfen. Beginnen Sie mit wenigen Rollen und halten Sie sich an das Least-Privilege-Modell.
7. Bereitstellung automatisieren, sodass Eintritt und Austritt ohne Handarbeit durchlaufen.
8. Rechte regelmäßig prüfen, für Administratoren mindestens vierteljährlich. Eine Vorlage dafür bietet die Zugriffsprüfung (englisch).

Verzeichnis vor Ort oder in der Cloud?

Viele Unternehmen betreiben noch ein Active Directory und synchronisieren es mit Microsoft Entra ID. Das ist ein gängiger Zwischenschritt. Reine Cloud-Verzeichnisse brauchen keine Server im Haus und passen gut zu Teams im Homeoffice, ältere Anwendungen und Geräte setzen aber teils weiter LDAP oder Kerberos voraus. Prüfen Sie je Anwendung, was sie braucht, und schützen Sie vorhandene Domänencontroller besonders sorgfältig. Hinweise dazu stehen im Beitrag zur Active-Directory-Sicherheit (englisch).

Dienstkonten und nicht menschliche Identitäten

Skripte, Schnittstellen und Automatisierungen melden sich ebenfalls an, und in vielen Unternehmen gibt es mehr solcher Konten als Mitarbeitende. Sie haben oft weitreichende Rechte, ein altes Passwort und keinen Besitzer. Geben Sie jedem einen Verantwortlichen, beschränken Sie die Rechte, wechseln Sie Geheimnisse regelmäßig und entfernen Sie, was niemand mehr braucht.

Worauf Sie bei der Auswahl achten sollten

• Anbindung an Ihre Anwendungen über SAML, OpenID Connect und SCIM
• Phishing-resistente Anmeldeverfahren
• Anbindung an das Personalsystem
• Regeln für den Zugriff nach Gerät, Standort oder Risiko
• Protokolle, Berichte und Unterstützung bei Zugriffsprüfungen
• Datenstandort, Auftragsverarbeitung nach DSGVO und Kosten je Nutzer. Prüfen Sie auch, was Ihr Microsoft-365-Tarif schon enthält.

Häufige Fehler

• Rechte bei einem Wechsel nur ergänzen und nie entfernen
• Gemeinsame Administratorkonten, bei denen niemand weiß, wer was getan hat
• Anwendungen außerhalb von SSO, die beim Austritt vergessen werden
• Keine Notfallkonten, sodass eine falsche Regel alle aussperrt
• Ein unsicherer Rücksetzweg im Helpdesk, der die Mehrfaktor-Anmeldung aushebelt

SAML, OpenID Connect und SCIM: Wer macht was?

SSO regelt also die Anmeldung, SCIM den Bestand. Viele Anwendungen unterstützen nur SSO, dann bleibt das Konto beim Austritt zwar ohne Anmeldung, liegt aber weiter dort und belegt womöglich eine Lizenz. Fragen Sie beim Einkauf gezielt nach SCIM, denn manche Anbieter bieten es nur in teureren Tarifen an.

Rollen und Rechte: RBAC und ABAC

• Rollenbasiert (RBAC): Rechte hängen an einer Rolle wie "Buchhaltung" oder "Helpdesk". Das ist leicht zu verstehen und zu prüfen.
• Attributbasiert (ABAC): Entscheidungen hängen von Merkmalen ab, etwa Abteilung, Standort oder Gerätezustand. Das ist flexibler, aber schwerer nachzuvollziehen.

Die meisten Unternehmen beginnen mit Rollen und ergänzen einzelne Bedingungen, etwa dass eine Finanzanwendung nur von verwalteten Geräten erreichbar ist. Achten Sie darauf, dass nicht für jede Ausnahme eine neue Rolle entsteht, denn sonst haben Sie am Ende mehr Rollen als Mitarbeitende.

Beispiel: Ein einfaches Rollenmodell

Woran Sie den Erfolg messen

• Anteil der Konten mit Mehrfaktor-Anmeldung, zuerst für Administratoren
• Anteil der Anwendungen, die an SSO angebunden sind
• Zeit vom Austritt bis zur Sperre aller Konten
• Anzahl verwaister Konten ohne zugeordnete Person
• Abgeschlossene Zugriffsprüfungen im Plan
• Passwort-Rücksetzungen im Helpdesk je Monat

Datenschutz und Mitbestimmung

Identitätssysteme verarbeiten personenbezogene Daten und zeichnen Anmeldungen auf. Legen Sie fest, wie lange Protokolle aufbewahrt werden und wer sie auswerten darf. Bei Cloud-Diensten brauchen Sie einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO und einen Blick auf den Datenstandort. In Betrieben mit Betriebsrat gehört die Einführung in der Regel in die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG. Das ist eine Orientierung und keine Rechtsberatung.

Verwaltung auf vielen Geräten

Identitäten und Geräte gehören zusammen, damit jedes Gerät der richtigen Person zugeordnet ist. trio.so synchronisiert Benutzer aus Microsoft Entra ID oder Google Workspace und unterstützt SCIM 2.0 mit Microsoft Entra ID. Die Anmeldung an der Konsole läuft per SAML Single Sign-on und lässt sich mit Mehrfaktor-Anmeldung absichern. IT-Mitarbeitende erhalten Zugriff über integrierte oder eigene Rollen, bis zu drei je Person.

Weiterführend: Zero-Trust-Architektur, CARTA und ZTNA.