IAM: Herzstück der Informations­sicherheit

Die Verwaltung digitaler Identitäten und Zugriffsrechte – Identity und Access Management (IAM) – ist in der digitalen Gesellschaft zum zentralen Steuerungselement moderner IT-Systeme geworden. Mit wachsender IT-Komplexität und fortschreitender Digitalisierung nimmt IAM eine Schlüsselrolle bei der Sicherstellung von Kontrolle, Nachvollziehbarkeit und Resilienz technischer Infrastrukturen ein. Historisch betrachtet war Identität lange mit physischen Attributen verknüpft, etwa Disketten oder Schlüsselbund. Im heutigen Umfeld, in dem nahezu jede Applikation, jedes Gerät und jeder Service mit individuellen Berechtigungen operiert, bekommt IAM eine systemkritische Funktion.


IAM organisiert die Verwaltung von Benutzerkonten und Zugriffsrechten. Die Grundlage bildet, dass nur legitimierte Personen oder Systeme Zugang zu Daten und Funktionen erhalten. Dies betrifft Unternehmen jeder Grösse, vom kleinen Betrieb bis zur komplexen Multi-­Cloud-Organisation mit tausenden Nutzern und Anwendungen. Die korrekte Zuweisung und Kontrolle von Zugriffsrechten schützt vor unbefugten Zugriffen, minimiert Missbrauchsrisiken und ermöglicht es, gesetzlichen und regulatorischen Anforderungen zu genügen. Daraus folgt: Fehlerhafte oder lückenhafte Implementierung von IAM gilt als eine der häufigsten Ursachen für Sicherheitsvorfälle und Datenschutzverletzungen.

Aufbau des IAM: Schicht­modell und Funktionsweise

Identity & Access Management ist kein Monolith, sondern ein Schichtmodell – am besten veranschaulicht durch die Schichttorte: Jede Schicht steht für eine Ebene, auf der Identitäten verwaltet werden müssen. Ein zeitgemässes IAM-­System basiert auf mehreren Funktions­ebenen:

Identifizierung: Nutzer und Systeme müssen eindeutig und zuverlässig erkannt werden, bevor jeglicher Zugriff erfolgt. Dies kann durch Benutzernamen umgesetzt werden und sollte digitale Zertifikate oder biometrische Merkmale beinhalten.


Authentifizierung: Der Nachweis der Identität erfolgt meist durch das Zusammentreffen mehrerer Faktoren (Wissen, Besitz, Biometrie). Methoden wie Multi-Faktor-Authentisierung gelten als Standard.

Autorisierung: Nach erfolgreicher Authentifizierung prüft das IAM-System oder die nachgelagerte Anwendung, welche Rechte – zum Beispiel Lese-, Schreib- oder Administrationsrechte – dem Subjekt zugeordnet sind. Die Vergabe der Rechte orientiert sich an klar definierten Rollen und dem Prinzip «Least Privilege».

Provisionierung und Rollenmanagement: Neue Benutzer erhalten automatisch die zum Aufgaben- und Funktions­profil passenden Rechte, die ausführenden Systeme können die passenden Rechte selektieren, Rollenzuordnungen werden konsequent gepflegt, Änderungen direkt wirksam umgesetzt.

Protokollierung und Monitoring: Zugriffsversuche, Änderungen und Auffälligkeiten werden detailliert protokolliert und ausgewertet, um Rückverfolgbarkeit und Sicherheit zu gewährleisten.

Deprovisionierung: Veraltete Konten und Rechte werden konsequent entfernt, um Schattenberechtigungen und Risiken zu minimieren.

Typische Herausforderungen und Fehlerquellen in der Praxis

Ein weit verbreitetes Problem liegt in der Annahme, dass klassische Zugangsdaten wie Benutzername und Passwort ausreichend Sicherheit bieten. Studien und Praxiserfahrung zeigen, dass schwache oder schlecht verwaltete Passwörter, ungenügende Komplexitätsvorgaben sowie geteilte Konten enormen Schaden anrichten können. Hinzu kommen Fehler in der Rechtevergabe, etwa übermässig weit gefasste Berechtigungen («Sternchen-Policies»), die Angreifern im Fall einer Kompromittierung ungehinderten Zugang ermöglichen. Listen mit Zugangsdaten, unsichere Speicherorte und das Fehlen eines konsequenten Entzugsmanagements erhöhen die Risiken weiter. Besonders kritisch sind langfristige Zugangsdaten, die in Quellcode-Repositories, Dokumentationen oder Altgeräten verbleiben.

Um diesen Risiken zu begegnen, haben sich verschiedene Best Practices ­etabliert:


1. Vermeiden von statischen Zugangsdaten: Long-Lived Access Keys, die über Monate oder Jahre gültig sind, gehören zu den grössten Sicherheitsrisiken überhaupt. Sie werden regelmässig in Quellcode-Repositories – etwa auf Github – unbeabsichtigt hochgeladen oder auf alten Datenträgern vergessen. Arbeiten Sie stattdessen mit temporären Zugriffstokens, die nur für wenige Stunden gültig sind – am besten automatisch generiert über eine Rolle, die gezielt für eine Aufgabe vergeben wird.

2. Rollenbasierte Zugriffskontrolle (RBAC) setzt klare Zuordnungen gemäss Aufgabenfeldern und minimiert Fehlkonfigurationen. Anpassungen werden automatisiert und nahtlos durchgeführt.

3. Multi-Faktor-Authentisierung: Die Kombination aus mindestens zwei unabhängigen Faktoren (z. B. Yubikey plus PIN) steigert die Sicherheit signifikant.

4. Regelmässige Prüfung und Monitoring: Tools wie Berechtigungsanalysatoren und Zugriffsprotokolle identifizieren Anomalien, helfen, Fehlkonfigurationen frühzeitig zu erkennen und nachzuvollziehen.

Jede technische Lösung muss den praktischen Anforderungen der Anwenderinnen und Anwender genügen. Zu komplexe Sicherheitsmechanismen werden umgangen oder führen zu inoffiziellen Workarounds, womit neue Risiken entstehen. IAM-Systeme sollten möglichst reibungslose Authentifizierungsprozesse ermöglichen, zum Beispiel Single ­Sign-­on gekoppelt mit Multi-Faktor, und sich flexibel an unterschiedliche Nutzergruppen und Unternehmenskulturen anpassen. Entwickler beispielsweise benötigen testbare, isolierte Umgebungen und müssen mit sensiblen Assets wie Quellcode sicher, aber handhabbar arbeiten können.

Das Zero-Trust-Modell prägt die aktuelle IAM-Entwicklung und erfordert, die klassische Annahme von Vertrauenszonen aufzugeben. Jeder Zugriffsversuch – unabhängig vom Standort oder Kontext – muss individuell validiert und genehmigt werden, vertraut wird erst nach Validierung. Systemgrenzen sind kein Indikator mehr für Vertrauen. Zertifikate, Geräteinfos, Kontextdaten und Zeitfenster werden dynamisch geprüft und kombiniert. In modernen Cloud-Architekturen werden API-Aufrufe beispielsweise einzeln abgesichert, eine pauschale Freigabe existiert nicht.

Mit der Zunahme hybrider und Multi-Cloud-Strukturen wächst der Bedarf an föderierten Identitätsmodellen. Diese erlauben, dass Nutzer über externe Identitätsanbieter (z. B. Google, Apple) Zugriff auf verschiedene Dienste erhalten, ohne separate Identitäten pflegen zu müssen. Kurze Token-Laufzeiten und professionelles Schlüsselmanagement sind dabei unverzichtbar. Im Föderationskontext ist das Risiko von Missbrauch oder dauerhaften Zugängen besonders zu beachten.

Erprobte technische Standards bilden das Rückgrat von zeitgemässem IAM. Auf Schnittstellenebene sind signaturbasierte Protokolle wie SIGv4 etabliert, in der Anwendungsintegration kommen OAuth2, OpenID Connect und JSON Web Tokens (JWT) zum Einsatz. Sie gestatten föderierte Authentifizierung, rollenbasierte Zuordnung und zeitlich begrenzte Zugriffsrechte. Die sichere Implementierung dieser Verfahren ist essenziell, Fehlschläge führen leicht zu offenen Angriffspfaden und Compliance-­Verlusten. Parallel dazu entwickeln Regulierungsbehörden, etwa in der EU, aufsichtsrechtliche Standards zum Schutz sensibler Daten.

IAM im Zeitalter von KI und digitalen Agenten

Mit dem Einzug der künstlichen Intelligenz, insbesondere agentenbasierter Systeme, verschieben sich die Anforderungen an das Identitätsmanagement weiter. KI-Agenten, die selbstständig Aufgaben ausführen und Entscheidungen treffen, müssen temporär, kontextbezogen und kontrolliert autorisiert werden. Rechtevergabe und Kontrolle erfolgen dabei strikt nachprüfbar, alle Aktivitäten sind dokumentiert und idealerweise reversibel. Dies gilt sowohl für automatisierte Transaktionen als auch für sensible Geschäftsprozesse.

Die tatsächliche Implementierung eines IAM-Systems erfordert eine strukturierte Herangehensweise:


Analyse der IT-Landschaft: Welche Systeme, Prozesse und Nutzer existieren? Welche gesetzlichen Vorgaben gelten?

Anforderungsdefinition: Welche ­Geschäftsziele, Sicherheitsniveaus und Compliance-Anforderungen bestehen?

Identitätsarten und Rollenmodell: Klar definierte Identitätstypen (Person, System, Maschine) und rollengestützte Rechteverwaltung sorgen für Transparenz.

Prozessintegration: Automatisierte Provisionierung, periodische Rechteprüfung, konsequente Deprovisionierung und Monitoring müssen nahtlos in die Unternehmensprozesse eingebunden sein.

Schulungen und Kommunikation: Nutzer und Administratoren benötigen klare Vorgaben und laufende Schulungen zu Risiken und Best Practices.

Auditierbarkeit und Reporting: Die Nachvollziehbarkeit aller Zugriffe und Änderungen ist Voraussetzung für Compliance und effizientes Management im Unternehmen.

Identity und Access Management ist heute ein unverzichtbarer Garant für IT-Sicherheit, Unternehmensintegrität und regulatorische Konformität. Mit neuen Herausforderungen durch Multi-­Cloud, föderierte Identitäten und KI-Agenten wächst seine strategische Bedeutung. Unternehmen müssen IAM als integralen Bestandteil ihrer Digitalisierungsstrategie begreifen, technische und organisatorische Massnahmen verzahnen und sich kontinuierlich weiterentwickeln. Nur so lassen sich Risiken minimieren, Prozesse effizient gestalten und digitale Assets verlässlich schützen – unabhängig von Systemgrenzen, Technologieplattformen oder Geschäftsmodellen.