Security & Compliance

Identity and Access Management (IAM)

Overview

Identity and Access Management (IAM) bezeichnet die Prozesse und Systeme, die sicherstellen, dass die richtigen Personen, Maschinen und Softwarekomponenten zur richtigen Zeit auf die richtigen Ressourcen zugreifen. Dazu gehören Identitätsverwaltung, Föderation, Bereitstellung und Entfernung von Konten, Authentifizierung, Autorisierung, Zugriffskontrolle sowie Protokollierung und Berichte.

IAM ist ein produktunabhängiges Konzept und ein Grundpfeiler von Zero Trust. In Microsoft-Umgebungen bilden es Microsoft Entra ID, Entra ID Governance und Privileged Identity Management ab, in Azure zusätzlich Azure RBAC.

Abgrenzung: Privileged Access Management (PAM) ist ein Teilbereich für hochprivilegierte Konten. Identity Governance beschreibt den Kontroll- und Nachweisteil von IAM (Zugriffsüberprüfungen, Berechtigungspakete, Lebenszyklus-Workflows). Für NIS2-pflichtige Unternehmen gehören Zugriffskontrolle und Konzepte für den Umgang mit Identitäten zu den geforderten Risikomanagementmaßnahmen.

How it works

IAM folgt dem Lebenszyklus einer Identität:

  1. Joiner: Ein Konto entsteht aus einer verlässlichen Quelle, idealerweise dem HR-System, per HR-gesteuerter oder API-gesteuerter Bereitstellung.
  2. Authentifizierung: Kennwort plus MFA oder passwortlos mit Passkeys und Windows Hello for Business.
  3. Autorisierung: Rechte über Rollen und Gruppen statt Einzelberechtigungen, in Entra ID z. B. über Berechtigungspakete (Access Packages).
  4. Mover: Beim Abteilungswechsel werden alte Rechte entzogen und neue vergeben, sonst sammeln sich Berechtigungen an.
  5. Leaver: Deaktivierung, Entzug von Lizenzen und Sitzungen, Übergabe von Daten.
  6. Kontrolle: Zugriffsüberprüfungen, Protokolle und Berichte belegen gegenüber Prüfern, wer welche Rechte hatte.

Benefits

  • Weniger Rechtewildwuchs, weil Rechte an Rollen hängen und regelmäßig überprüft werden
  • Schnellere Ein- und Austritte, da Konten und Zugriffe automatisiert aus dem HR-Prozess entstehen und enden
  • Nachweisbarkeit für Audits nach ISO 27001, NIS2 oder Cyberversicherungen
  • Geringeres Risiko durch vergessene Konten ehemaliger Mitarbeitender oder Dienstleister

Practical example

Ein Zulieferer der Automobilindustrie mit 500 Mitarbeitenden muss für TISAX und NIS2 nachweisen, wer Zugriff auf Konstruktionsdaten hat. Die IT definiert Rollen für Konstruktion, Vertrieb und Produktion, vergibt Rechte nur über Gruppen und lässt Abteilungsleiter die Mitgliedschaften vierteljährlich bestätigen. Austritte werden aus dem HR-System gemeldet und deaktivieren Konten am letzten Arbeitstag automatisch.

Things to keep in mind

  • Das Rollenmodell einfach halten, zu feine Rollen werden nicht gepflegt und weichen schnell von der Realität ab
  • Joiner-, Mover- und Leaver-Prozesse schriftlich mit HR abstimmen, Technik allein löst das Problem nicht
  • Privilegierte Konten getrennt führen und zeitlich begrenzt aktivieren
  • Für jede Anwendung einen fachlich Verantwortlichen benennen, der Rechte bestätigt
  • Dienstkonten und App-Identitäten in die Überprüfung einbeziehen, sie werden oft vergessen

Licensing & availability

IAM ist ein Konzept. In Microsoft Entra sind Grundfunktionen in Entra ID Free enthalten, Conditional Access und dynamische Gruppen ab P1, PIM und ID Protection ab P2. Zugriffsüberprüfungen, Berechtigungsverwaltung und Lebenszyklus-Workflows erfordern im vollen Umfang Entra ID Governance oder die Entra Suite. Stand: Oktober 2026.

Conclusion

IAM ist ein Prozess, kein Produkt. Beginne mit Rollen und dem Lebenszyklus der Identitäten und wähle die Werkzeuge danach.

Further reading

Related articles