Zugriff folgtVerantwortung.
IAM ist mehr als Anmeldung und Rollenvergabe. Der Prozess verbindet eine bestätigte Identität mit einem begründeten Zugriff, kontrolliert privilegierte und technische Konten und beendet Rechte, sobald Zweck oder Verantwortung entfallen.
Identität, Recht und
Nutzung bleiben getrennt.
Eine Identität beschreibt, wer oder was handelt. Eine Berechtigung bestimmt, worauf zugegriffen werden darf. Authentisierung prüft den Zugang, Autorisierung erzwingt das genehmigte Recht. Monitoring zeigt die tatsächliche Nutzung. Erst die Verbindung dieser Ebenen macht Zugriffe steuerbar.
| Ebene | Leitfrage | Verantwortetes Ergebnis | Typische Fehlstelle |
|---|---|---|---|
| Identität | Ist Person, Dienst, Gerät oder Prozess eindeutig und vertrauenswürdig zugeordnet? | Aktiver Identitätseintrag mit Quelle, Status und verantwortlicher Stelle. | Gemeinsame Konten oder technische Identitäten ohne Owner. |
| Berechtigung | Welche Handlung wird für welchen Zweck und wie lange benötigt? | Genehmigtes Recht mit Rolle, Ziel, Umfang und Ablauf. | Rollen wachsen über Wechsel hinweg und verlieren ihren Geschäftszweck. |
| Authentisierung | Wie stark muss der Zugang für Risiko, Kontext und Schutzbedarf geprüft werden? | Passendes Verfahren mit verwaltetem Authenticator und Wiederherstellungsweg. | Schwacher zweiter Faktor oder unsicherer Rücksetzprozess. |
| Autorisierung | Wird das genehmigte Recht am Zielsystem tatsächlich so durchgesetzt? | Technisch wirksame Zugriffspolitik und nachvollziehbare Entscheidung. | Lokale Rechte weichen vom zentralen Rollenmodell ab. |
| Nutzung | Entspricht das Verhalten dem genehmigten Zweck? | Auswertbare Ereignisse zu Zugriff und Administration. | Privilegierte Nutzung ohne Session oder Befehlsnachweis. |
Jedes Recht hat
einen Anfang und ein Ende.
Der Auslöser kommt aus Personal, Vertrag, Serviceverantwortung oder Technik. IAM übersetzt ihn in Identität und Rechte. Änderungen werden nicht nur provisioniert, sondern bestätigt. Austritt, Rollenwechsel und abgelaufene Ausnahme beenden den Zugriff nachweisbar.
Begründen
Person, Vertrag, Dienst oder technische Komponente mit Status und Owner erfassen.
Autoritative Quelle
Genehmigen
Geschäftszweck, Ziel, Umfang, Funktionstrennung und Laufzeit des Rechts prüfen.
Genehmigtes Recht
Provisionieren
Identität und Berechtigung am Zielsystem anlegen, ändern oder zeitlich aktivieren.
Bestätigter Sollzustand
Schützen
Authentisierung, Gerätekontext, privilegierte Nutzung und Notzugriff passend absichern.
Kontrollierter Zugang
Rezertifizieren
Owner bestätigt Zweck und Umfang. Unklare, ungenutzte und unvereinbare Rechte werden behandelt.
Aktueller Rechtebestand
Entziehen
Zugriff, Sitzungen, Token, Schlüssel und nachgelagerte Konten nach Auslöser widerrufen.
Nachgewiesener Entzug
Dauerrechte sind die Ausnahme. Administrative Berechtigungen werden zeitlich begrenzt, stärker authentisiert und in ihrer Nutzung nachvollziehbar. Notzugriffe haben einen eigenen Weg für Freigabe und Nachprüfung.
Dienste, Workloads, APIs und Automationen erhalten einen Owner, einen Zweck und einen verwalteten Lebenszyklus. Geheimnisse gehören nicht in Quellcode, Tickets oder persönliche Passwortspeicher.
Der Owner genehmigt.
IAM setzt um.
IAM darf nicht zum Eigentümer aller Zugriffsentscheide werden. Fachliche Verantwortung, technische Bereitstellung, Sicherheitsvorgaben und unabhängige Kontrolle müssen auch dann sichtbar bleiben, wenn dieselbe Plattform mehrere Aufgaben automatisiert.
Bestätigt die Identität. Personal, Einkauf oder Serviceverantwortung liefern den autoritativen Status und melden Wechsel oder Ende ohne Umweg.
Verantwortet den Zugriff. Er genehmigt Zweck, Umfang, Funktionstrennung und Laufzeit und entscheidet über Abweichungen.
Setzen kontrolliert um. Sie provisionieren, erzwingen Authentisierung, behandeln Fehler und bestätigen den wirksamen Entzug.
Setzen Leitplanken und prüfen. Sie definieren Schutzklassen, überwachen privilegierte Nutzung und prüfen Rezertifizierung, Ausnahmen und Wirksamkeit.
Ein Export ist noch
kein Berechtigungsnachweis.
Die Nachweiskette verbindet Herkunft, Entscheid und technischen Zustand. Sie zeigt nicht nur vorhandene Konten, sondern warum ein Recht existiert, wer es bestätigt hat, wie es genutzt wurde und ob sein Entzug am Ziel angekommen ist.
Identitätsquelle
Eindeutige Identität, Typ, Status, organisatorische Zuordnung, Owner und letzter bestätigter Auslöser.
Zugriffsentscheid
Ressource, Rolle, Zweck, Genehmiger, Laufzeit, Funktionstrennung und gegebenenfalls Ausnahme.
Provisionierung
Zielsystem, technische Kennung, eingerichtetes Recht, Zeitpunkt und Rückmeldung des Zielsystems.
Authentisierung und Nutzung
Verfahren, Authenticator, privilegierte Sessions, auffällige Nutzung und relevante Kontrollereignisse.
Rezertifizierung
Prüfmenge, bestätigte Rechte, unbeantwortete Prüfungen, entzogene Rechte und befristete Restabweichungen.
Entzug
Auslöser, deaktivierte Konten, widerrufene Token und Schlüssel, beendete Sessions sowie technische Bestätigung.
Die Lücke liegt
zwischen Soll und Ist.
Kontenzahl und Loginmenge sagen wenig über Kontrolle aus. Steuerungsrelevant sind verwaiste Identitäten, überfällige Rechte, privilegierte Dauerzugriffe, unvollständige Zielsysteme und Entzüge, die technisch nicht bestätigt wurden.
Aktive menschliche und technische Identitäten ohne bestätigte verantwortliche Stelle.
Genehmigter Sollzustand, der im Zielsystem fehlt oder dort zu weit umgesetzt wurde.
Zeit vom Austritt, Rollenende oder Widerruf bis zur bestätigten technischen Sperre.
Administrative Rechte ohne Zeitbegrenzung, aktuellen Zweck oder verstärkte Kontrolle.
Überfällige Prüfungen, unbeantwortete Owner und Rechte ohne erneute Begründung.
Lokale, gemeinsame oder manuell gepflegte Konten ausserhalb des gesteuerten IAM Wegs.
Zusatzpflichten ohne
Doppelprozess.
Der gemeinsame Lebenszyklus bleibt gleich. Sektor und Schutzbedarf verändern Genehmigung, Authentisierung, Überwachung, Prüfhäufigkeit und Nachweistiefe. Die konkrete Anwendbarkeit wird ausserhalb des IAM Prozesses entschieden.
| Profil | Zusätzlicher Schwerpunkt | Im IAM Prozess sichtbar | Grenze |
|---|---|---|---|
| ISO 27001 | Zugriffspolitik, Identitätslebenszyklus, Authentisierungsinformationen, Rechte und privilegierte Zugriffe. | Genehmigung, Bereitstellung, Review, Entzug und Nachweis passend zum Risiko. | Die Norm schreibt kein einzelnes Produkt und keinen festen Reviewrhythmus vor. |
| NIS2 und deutsches BSIG | Zugriffskontrolle, Sicherheit des Personals und risikogerechte Mehrfaktorauthentisierung. | Anwendungsbereich, Risikoklasse und Nachweis des gewählten Verfahrens. | Nur für erfasste Einrichtungen und nationale Umsetzung. |
| DORA | Need to know, Need to use, geringste Rechte, starke Authentisierung sowie periodische Prüfung. | Schutzklasse, Zugriffszweck, privilegierte Rechte, Review und kontrollierter Notzugriff. | Für erfasste Finanzunternehmen und relevante ICT Umgebungen. |
| FINMA | Autorisierungssystem, regelmässige Rechteprüfung und erhöhte Kontrolle privilegierter Personen bei kritischen Daten. | Liste privilegierter Personen, Genehmigung, Nutzung, Review und Entzug. | Adressatenkreis, Institutstyp und konkrete Datenkritikalität prüfen. |
| IKT Minimalstandard CH | Eindeutig zugeordnete digitale Identitäten, gesteuerte Fernzugriffe und risikogerechte Authentisierung. | Identitätstyp, Remote Access, Authentisierungsstärke und technische Durchsetzung. | Einstiegshilfe, kein Ersatz für strengere sektorale Pflichten. |
Mehrere Klassen.
Ein Rechtebestand.
IGA, SSO, MFA und PAM lösen unterschiedliche Aufgaben. Machine Identity Management ergänzt den Prozess für Dienste und Workloads. Entscheidend bleibt die durchgängige Rückmeldung zwischen Entscheid und Zielsystem.
SSOIdentitätsprovider und Anwendungen über kontrollierte Föderation verbinden.Vergleich öffnen →
MFAAuthentisierung an Risiko, Gerät und Schutzbedarf ausrichten.Vergleich öffnen →
PAMPrivilegierte Berechtigungen, Sessions und Notzugriffe gesondert kontrollieren.Vergleich öffnen →
Machine Identity ManagementZertifikate, Workload Identitäten und technische Vertrauensbeziehungen verwalten.Vergleich öffnen →
Security GlossarBegriffe wie IGA, SSO, MFA, PAM, JIT und ZSP dauerhaft nachschlagen.Glossar öffnen →
Identität ist
ein Risikosystem.
ISO 27001 verankert den Lebenszyklus im Managementsystem. NIST trennt Identitätsprüfung, Authentisierung und Föderation. DORA, FINMA und der Schweizer Minimalstandard schärfen die Anforderungen für ihre Anwendungsbereiche.
Access Controls
Annex A.5.15 bis A.5.18 sowie A.8.2, A.8.3 und A.8.5 tragen Zugriffspolitik, Identitätslebenszyklus, Authentisierung, Rechte und privilegierten Zugriff.
Digitale Identität
Die im Juli 2025 veröffentlichte Revision strukturiert Identitätsprüfung, Registrierung, Authenticator Management, Authentisierung und Föderation.
Identity Management
Die Kategorie PR.AA ordnet Identitäten, Nachweise, Authentisierung und Zugriffsrechte in die Funktion Protect ein.
Finanzsektor EU
DORA Artikel 9 und der RTS konkretisieren geringste Rechte, Account Management, starke Authentisierung, Monitoring und periodische Prüfung.
Kritische Daten
Fordert ein geschütztes Autorisierungssystem, regelmässige Rechteprüfung und erhöhte Anforderungen für Personen mit privilegiertem Zugriff.
Schweiz
Verbindet physische und logische Zugriffe, Fernzugriff, eindeutige digitale Identitäten und risikogerechte Authentisierung.
Zugriffe bleiben
begründet.
IAM verbindet Rolle, Authentisierung, Berechtigung und Review. Die Referenzen setzen Kontrollziele, benachbarte Prozesse liefern Anlass und Kontext, die Werkzeugklassen unterstützen die technische Durchsetzung.
| Referenz | Beitrag zum Prozess | Grenze |
|---|---|---|
| ISO/IEC 27001:2022 | A.5.15 bis A.5.18 und A.8.2 stützen Zugriffskontrolle, Identitätsmanagement und privilegierte Rechte. | Legt weder ein Directory noch ein bestimmtes IAM-Produkt fest. |
| NIST CSF 2.0 | PR.AA verbindet Identität, Authentisierung und Zugriff mit dem Schutzbedarf. | Ersetzt keine Rollendefinition oder fachliche Genehmigung. |
| DORA | Adressiert für erfasste Finanzunternehmen Zugangskontrolle und ICT-Sicherheit. | Die konkrete Anwendbarkeit folgt dem Finanzunternehmen und seinen Services. |
| Inhalt | Beitrag | Weiter |
|---|---|---|
| 08 Personal | Liefert Eintritt, Wechsel und Austritt als verbindliche Auslöser. | Prozess öffnen → |
| 06 Daten | Definiert Schutzklassen und Anforderungen für den Zugriff. | Prozess öffnen → |
| 05 Inventar | Verknüpft Konten und Berechtigungen mit verwalteten Objekten und Ownern. | Prozess öffnen → |
Security Tool Navigator · Werkzeuge zum Prozess
Werkzeuge nach Gebiet einordnen.
Die Werkzeugklassen dieses Prozesses sind im Security Tool Navigator nach Sicherheitsgebieten geordnet. Die Gebietsseiten zeigen Abgrenzung, Auswahlfragen für CIO und CISO und alle Werkzeugklassen im Zusammenhang.