Identitätsmanagement (IAM)

Was ist Identity and Access Management (IAM)?

IAM (Identity and Access Management) ist ein Rahmenwerk aus Richtlinien, Prozessen und Technologien, das sicherstellt, dass die richtigen Personen zur richtigen Zeit den angemessenen Zugriff auf die richtigen Ressourcen haben. Es ist grundlegend für Sicherheit, Compliance und betriebliche Effizienz.

Grundlegende Komponenten von IAM

1. Authentifizierung

Der Prozess der Überprüfung der Identität eines Benutzers, Systems oder einer Entität.

  • Authentifizierungsfaktoren:
    • Etwas, das man weiß (Passwort, PIN)
    • Etwas, das man hat (Token, Smartphone)
    • Etwas, das man ist (Biometrie)
  • Moderne Methoden:
    • Passwordless-Authentifizierung (FIDO2, WebAuthn)
    • Risikobasierte Authentifizierung
    • Kontinuierliche Authentifizierung

2. Autorisierung

Festlegen, auf welche Ressourcen und Operationen ein authentifizierter Benutzer zugreifen darf.

  • RBAC (Role-Based Access Control): Rollenbasierte Berechtigungen
  • ABAC (Attribute-Based Access Control): Attributbasierte Entscheidungen
  • PBAC (Policy-Based Access Control): Dynamische Richtlinien
  • ReBAC (Relationship-Based Access Control): Beziehungsbasiert

3. Provisionierung und Deprovisionierung

  • Automatisierte Kontoerstellung
  • Rollenbasierte Vergabe von Berechtigungen
  • Onboarding und Offboarding von Benutzern
  • Synchronisierung zwischen Systemen (HR → IAM → Apps)

Multi-Faktor-Authentifizierung (MFA)

MFA fügt zusätzliche Sicherheitsebenen hinzu, indem sie vor der Gewährung des Zugriffs mehrere Formen der Verifizierung verlangt.

Arten von MFA

  • SMS/Voice: Per SMS oder Anruf gesendeter Code (weniger sicher)
  • Authenticator-Apps: TOTP (Google Authenticator, Authy)
  • Push Notifications: Genehmigung per Smartphone
  • Hardware-Tokens: YubiKey, RSA SecurID
  • Biometrie: Fingerabdruck, Gesichtserkennung
  • FIDO2/WebAuthn: Moderner passwortloser Standard

Implementierung von MFA

  • Verpflichtende MFA für privilegierte Konten
  • Bedingte, risikobasierte MFA
  • Backup-Optionen für die Wiederherstellung
  • Aufklärung der Benutzer über ihre Bedeutung

Single Sign-On (SSO)

SSO ermöglicht es Benutzern, mit einem einzigen Satz von Anmeldedaten auf mehrere Anwendungen zuzugreifen, was Benutzerfreundlichkeit und Sicherheit verbessert.

SSO-Protokolle

  • SAML 2.0: Unternehmensstandard, XML-basiert
  • OAuth 2.0: Autorisierung, zusammen mit OpenID Connect verwendet
  • OpenID Connect (OIDC): Identitätsschicht über OAuth 2.0
  • Kerberos: Netzwerk-Authentifizierungsprotokoll

Vorteile von SSO

  • Reduzierung der Passwort-Müdigkeit
  • Weniger Helpdesk für Passwort-Resets
  • Bessere Benutzererfahrung
  • Zentralisierung von Authentifizierung und Auditing

Privileged Access Management (PAM)

PAM schützt und überwacht Konten mit erhöhten Privilegien, die für die Sicherheit kritisch sind.

PAM-Funktionen

  • Password Vaulting: Sichere Speicherung privilegierter Anmeldedaten
  • Session Management: Aufzeichnung und Überwachung privilegierter Sitzungen
  • Just-in-Time Access: Temporäre Rechteerhöhung
  • Password Rotation: Automatische Passwortänderung
  • Secrets Management: Verwaltung von API-Keys, Tokens, Zertifikaten

Zero-Trust-Architektur

Zero Trust beseitigt implizites Vertrauen und überprüft kontinuierlich jeden Zugriff, unabhängig von seiner Herkunft.

Zero-Trust-Prinzipien

  • Explizit verifizieren (immer authentifizieren und autorisieren)
  • Zugriff mit den geringsten Privilegien verwenden
  • Von einem Sicherheitsvorfall ausgehen (Blast Radius begrenzen)
  • Mikrosegmentierung
  • Kontinuierliches Monitoring und Logging

Zero-Trust-Implementierung

  • Identity-centric security perimeter
  • Kontinuierliche und adaptive Authentifizierung
  • Device trust and posture assessment
  • Network segmentation and microsegmentation
  • Encrypted traffic inspection

Identity Governance (IGA)

IGA stellt sicher, dass die richtigen Personen den richtigen Zugriff auf die richtigen Ressourcen haben, mit vollständigem Audit.

IGA-Funktionen

  • Access Certification: Periodische Zugriffsüberprüfungen
  • Access Request Workflow: Anfragen mit Genehmigungen
  • Segregation of Duties (SoD): Vermeidung von Konflikten
  • Analytics and Reporting: Transparenz über Zugriffe
  • Policy Enforcement: Automatisierung von Zugriffsrichtlinien

Verzeichnisse und Identitätsanbieter

Unternehmensverzeichnisse

  • Active Directory (AD): Microsoft, on-premises
  • Azure AD (Entra ID): Microsoft, cloud
  • Okta: Identity Provider as a Service
  • Auth0: Identitätsplattform für Developer
  • Ping Identity: Enterprise IAM

Open Source

  • Keycloak: Open-Source-IAM, Red Hat
  • FreeIPA: Identitätsmanagement für Linux/Unix
  • OpenLDAP: Leichtgewichtiges Verzeichnis

Best Practices

Passwortverwaltung

  • Angemessene Komplexitätsrichtlinien (12+ Zeichen)
  • Periodische Rotation nur für privilegierte Konten
  • Wiederverwendung von Passwörtern verbieten
  • Kompromittierte Passwörter erkennen (Have I Been Pwned)
  • Nutzung von Passwortmanagern fördern

Prinzip der geringsten Privilegien

  • Nur essenzielle Berechtigungen erteilen
  • Zugriffe regelmäßig überprüfen
  • Nicht genutzte Zugriffe entfernen
  • Gruppen/Rollen statt individueller Berechtigungen verwenden

Audit und Compliance

  • Logging aller Identitätsaktivitäten
  • Vierteljährliche Zugriffsüberprüfungen
  • Berichte über privilegierte Zugriffe
  • Warnungen bei anomalen Aktivitäten

Häufige Herausforderungen

  • Shadow IT: Nicht vom IAM verwaltete Anwendungen
  • Orphaned Accounts: Aktive Konten ehemaliger Mitarbeiter
  • Over-Privileged Users: Benutzer mit mehr Zugriff als nötig
  • Credential Stuffing: Verwendung geleakter Anmeldedaten
  • Phishing: Diebstahl von Anmeldedaten via Social Engineering

Zukünftige Trends

  • Passwordless Authentication: Abschaffung von Passwörtern
  • Decentralized Identity: Self-Sovereign Identity (SSI)
  • AI-Powered IAM: Anomalieerkennung mit ML
  • Blockchain Identity: Verteilte Identitäten
  • Biometrics Evolution: Verhaltensbiometrie

Effektives Identitäts- und Zugriffsmanagement ist für die moderne Sicherheit entscheidend. Eine robuste Strategie kombiniert starke Authentifizierung (MFA), granulare Autorisierung (RBAC/ABAC), kontinuierliche Governance (IGA) und Zero-Trust-Architektur. Mit der Entwicklung hin zu Remote-Arbeit und Cloud ist IAM zum neuen Sicherheitsperimeter geworden, der eine sorgfältige Implementierung und kontinuierliche Wartung erfordert.