IGAWerkzeuge.
Identity Governance and Administration ordnet Berechtigungen einem Zweck, einem Owner und einer Laufzeit zu. Die Werkzeuge verbinden Lifecycle, Anträge, Genehmigungen, Rezertifizierung und Nachweise. Sie ersetzen weder ein Rollenmodell noch die Verantwortung der Fachbereiche.
Rechte bleiben nicht einfach bestehen.
IGA beantwortet, ob eine Berechtigung nach Eintritt, Rollenwechsel, Projektende oder organisatorischer Änderung noch vertretbar ist. Der Kern ist der nachvollziehbare Zusammenhang zwischen Identität, Zielsystem, Berechtigung und Genehmigung.
SSO erleichtert die Anmeldung. MFA stärkt den Nachweis der Person. PAM schützt privilegierte Zugriffe. IGA steuert, ob ein Recht überhaupt vergeben, verlängert oder entzogen werden darf.
Dreizehn Werkzeuge im Vergleich.
Der IGA-Markt besteht aus spezialisierten Governance-Anbietern (SailPoint, Saviynt, Omada, One Identity, Netwrix, tenfold), Governance-Modulen grosser Identity-Plattformen (Microsoft Entra ID Governance, Okta Identity Governance, Ping Identity, IBM, Oracle) und der Open-Source-Plattform midPoint. Die meisten geprüften Anbieter bieten ihre Produkte als SaaS an; mehrere führen daneben eine selbst betriebene Linie weiter (SailPoint IdentityIQ, Oracle Identity Governance). Zu den Eigentümerwechseln seit 2023 gehören die Zusammenführung von ForgeRock mit Ping Identity durch Thoma Bravo (Abschluss 23.08.2023), der Börsengang von SailPoint (Preisfestsetzung 12.02.2025) und die Übernahme von EmpowerID durch Omada (bekanntgegeben 24.09.2026). Mit Omada (Kopenhagen), Evolveum (Slowakei), tenfold (Wien) und Netwrix Identity Manager (ehemals Usercube) sind Anbieter mit EU/DACH-Bezug vertreten.
Lebenszyklus: Joiner/Mover/Leaver automatisiert · Reviews: Access Reviews und Rezertifizierung · SoD: Funktionstrennung (SoD-Regeln) · Rollen: Rollenmodell oder Role Mining · HR-Quelle: HR-System ausdrücklich als führende Quelle · SaaS: als SaaS · On-Prem: On-Premises oder Self-Hosted möglich. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
SailPoint Human Fabric (Weiterentwicklung von Identity Security Cloud)
SailPoint Technologies
SailPoint bezeichnet Human Fabric als Weiterentwicklung von Identity Security Cloud; abgedeckt sind Joiner-, Mover- und Leaver-Ereignisse, Zertifizierungen und Just-in-Time-Zugriffe.
SoD-Richtlinien verhindern unvereinbare Berechtigungskombinationen; risikoarme Zugriffe können laut Hersteller automatisch zertifiziert werden.
Quellen werden als autoritative Quellen oder Zielsysteme angebunden, darunter SAP HR, JDBC und Flat-File-Feeds; Rollen und Access Profiles bündeln Berechtigungen.
SaaS-Dienst auf der Plattform SailPoint Atlas; lokale Systeme werden über Virtual Appliances angebunden (Konnektor-Dokumentation).
Vollständiger IGA-Umfang mit Lebenszyklus, Zertifizierung, SoD und Rollen in einem SaaS-Dienst.
Die Produktbezeichnung wurde 2026 von Identity Security Cloud auf Human Fabric umgestellt; Paketzuschnitt und Lizenzmodule sind vor der Auswahl zu klären.
SailPoint IdentityIQ
SailPoint Technologies
Richtliniengesteuerte Joiner-Mover-Leaver-Abläufe über lokale Infrastruktur, Cloud-Plattformen, Datenbanken und Unternehmensanwendungen.
Automatisierte Zugriffszertifizierungen und Durchsetzung von Separation of Duties gegen unvereinbare Berechtigungskombinationen.
Neue Mitarbeitende erhalten rollenbasierte Zugriffe automatisch; vordefinierte Compliance-Berichte unterstützen Audits.
SailPoint positioniert IdentityIQ für komplexe Enterprise- und Hybrid-Umgebungen; SailPoint führt IdentityIQ in der Wissensdatenbank unter «On-premise», Betrieb und Datenhaltung liegen beim Kunden.
Governance-Plattform für komplexe Enterprise- und Hybrid-Umgebungen im Eigenbetrieb.
Betrieb, Upgrades und Anpassungen liegen beim Kunden; die Produktseite positioniert IdentityIQ für komplexe Enterprise- und Hybrid-Umgebungen.
Saviynt Identity Governance and Administration (Identity Cloud)
Saviynt
Lebenszyklus menschlicher und nicht-menschlicher Identitäten von der Zuweisung beim Onboarding bis zum Entzug beim Austritt, über Cloud-, Hybrid- und On-Premises-Ressourcen.
Laut Hersteller können bis zu 75 Prozent der Review-Entscheidungen automatisiert werden; anwendungsübergreifende SoD-Prüfungen liegen im Modul Application Access Governance.
Katalog vorgefertigter Integrationen für SaaS, IaaS, ERP, CRM und HR-Anwendungen.
Cloud-native, konvergierte Identity-Security-Plattform mit weiteren Modulen wie PAM und ISPM.
Governance, Anwendungs-SoD und weitere Identity-Module auf einer gemeinsamen Cloud-Plattform.
SoD-Tiefe für ERP liegt im separaten Modul Application Access Governance; die Produktseite beschreibt neben dem Cloud-Dienst nur die Bereitstellung in einer privaten Cloud, keinen klassischen Eigenbetrieb.
Omada Identity Cloud
Omada A/S
Vollständige IGA-Lösung für Identitätslebenszyklus, Access Governance, Provisionierung und Risikoanalyse.
Rollenbasierte Zugriffskontrolle mit SoD-Durchsetzung, dynamische Access Reviews und Berichte zu Richtlinienverletzungen.
Konnektoren unter anderem für Microsoft Entra ID, SAP, ServiceNow, Workday, Salesforce und Oracle; Role Mining und Anomalieerkennung mit KI/ML.
Als SaaS bereitgestellt; Omada hat am 24.09.2026 die Übernahme von EmpowerID bekanntgegeben (Governance von KI-Agenten).
Prozessorientierte IGA mit Rollen, SoD und Reviews als Standardfunktionen in einem SaaS-Dienst.
Eine selbst betriebene Variante ist auf der Produktseite nicht beschrieben; die Integration von EmpowerID ist neu und in ihrer Produktwirkung noch offen.
One Identity Manager
One Identity (Quest)
Identity Lifecycle mit automatisierter Provisionierung auf Ziele On-Premises und in der Cloud.
Attestierung: Fachbereiche bestätigen oder entziehen Zugriffe und Entitlements von Benutzern und Gruppen.
Rollenverwaltung und SAP-zertifizierte Integration für SAP-Berechtigungsmodelle.
Identity Manager On Demand ist laut Hersteller eine vollständig verwaltete SaaS-Lösung für Identity Governance.
Breite Attestierungs- und Rollenfunktionen mit SAP-Bezug, wahlweise auch als verwalteter Dienst.
SoD-Regeln, HR-Anbindung und die Betriebsform des klassischen Identity Manager sind auf den abrufbaren Produktseiten nicht beschrieben; die Support-Dokumentation war für den Abruf gesperrt.
Netwrix Identity Manager (ehemals Usercube)
Netwrix
Lebenszyklus für Mitarbeitende, Externe, Servicekonten und nicht-menschliche Identitäten mit regelbasierten Joiner-Mover-Leaver-Abläufen.
Erkennung übermässiger Rechte, inaktiver Konten und SoD-Konflikte mit automatischer Durchsetzung; Access Reviews und Zertifizierungen.
Vorgefertigte und konfigurierbare Konnektoren für HR, IT, Cloud und Fachanwendungen; KI-gestützte Rollenmodellierung.
Wechsel zwischen SaaS und On-Premises laut Hersteller ohne Neuimplementierung.
Wahlfreiheit zwischen SaaS und Eigenbetrieb bei vollständigem IGA-Umfang.
Usercube wurde bereits 2022 von Netwrix übernommen und unter neuem Namen geführt; Konnektorabdeckung für spezielle Zielsysteme ist im Pilot zu prüfen.
tenfold
tenfold Software GmbH
Automatisiertes On- und Offboarding, rollenbasierte Zuweisung und Entzug von Rechten, Data Access Governance für Microsoft-Umgebungen.
Periodische und ereignisbasierte Access Reviews sowie automatisierte SoD-Durchsetzung.
No-Code-Plugins für Microsoft On-Premises, Microsoft 365 und Drittsysteme von HR-Software (z. B. Personio) bis ITSM und ERP.
Läuft laut Hersteller On-Premises und ist keine SaaS-Lösung; benötigt Windows Server und eine Datenbank wie Microsoft SQL Server; Sitz in Wien.
IGA für Microsoft-geprägte Umgebungen mit No-Code-Plugins und Eigenbetrieb.
Kein SaaS-Angebot; der Schwerpunkt liegt auf Microsoft-Umgebungen, die Tiefe für grosse heterogene Landschaften ist im Pilot zu prüfen.
Microsoft Entra ID Governance
Microsoft
Steuerung von Identitäts- und Zugriffslebenszyklus für Mitarbeitende, Partner und Lieferanten sowie privilegierter Administrationszugriffe.
Access Packages im Entitlement Management mit SoD-Prüfungen bei Anfragen und wiederkehrenden Access Reviews.
Inbound-Provisionierung aus HR-Quellen wie Workday und SuccessFactors; Konnektoren zu Cloud- und On-Premises-Anwendungen über SCIM, LDAP und SQL.
Teil von Microsoft Entra ID und als Clouddienst betrieben; lokale Anwendungen werden über On-Premises-Konnektoren (LDAP, SQL, Web Services) angebunden.
Eng mit Entra ID, Microsoft 365 und Azure verbunden, ohne zusätzliche Governance-Infrastruktur.
Ein ausgeprägtes Rollenmodell mit Role Mining ist in der Übersicht nicht beschrieben; die Abdeckung von Nicht-Microsoft-Zielsystemen hängt von Konnektoren ab.
Okta Identity Governance
Okta
Automatisierte Benutzerlebenszyklen, Zugriffsanfragen und Zertifizierungskampagnen für Gruppen, Anwendungen, App-Entitlements und Okta-Adminrollen.
SoD-Regeln definieren unvereinbare Entitlement-Kombinationen und wirken präventiv in Zugriffsanfragen und nachträglich in Zertifizierungen.
HR-gesteuerte Provisionierung mit HR-Systemen wie Workday, SAP SuccessFactors oder BambooHR als Quelle; Okta Workflows für Automatisierung.
Modul der Okta-Plattform, als SaaS betrieben.
Governance direkt im Okta-Verzeichnis und -Lebenszyklus, ohne separaten Governance-Stack.
Setzt Okta als zentrale Identity-Plattform voraus; ein Rollenmodell mit Role Mining ist in der Dokumentation nicht beschrieben.
IBM Verify Identity Governance
IBM
Provisionierung, Audit und Reporting über Lebenszyklus, Compliance und Analytik; automatisiertes Onboarding und Offboarding.
Aktivitätsbasierte SoD-Modelle, die über klassische rollenbasierte SoD hinausgehen, auch für SAP.
Identity Analytics zur Darstellung riskanter Benutzer; Teil der IBM-Verify-Familie mit Access Management und Orchestrierung.
Laut Produktseite «on prem and in the cloud» einsetzbar.
Aktivitätsbasierte SoD-Kontrollen mit SAP-Bezug für Compliance-getriebene Programme.
Zertifizierungskampagnen, Rollenmodell und HR-Anbindung sind auf der Produktseite nicht beschrieben; Betriebsvarianten der Cloud-Nutzung sind nicht spezifiziert.
Oracle Identity Governance
Oracle
Benutzerlebenszyklus und Entitlement-Kontrollen für On-Premises- und Cloud-Dienste.
Anpassbare Zertifizierungskampagnen nach Benutzer, Rolle, Anwendung oder Entitlement; laufende Prüfung auf Verletzungen der Funktionstrennung.
ML-gestützte Rollenverwaltung zur Erkennung gemeinsamer Zugriffsmuster; Workday-Konnektor als autoritative Quelle.
Einsatz On-Premises, in der Cloud oder hybrid; Oracle bewirbt das Upgrade auf IAM 12c.
Vollständiger klassischer IGA-Umfang mit Rollen, Zertifizierung und SoD für Oracle-nahe Landschaften.
Selbst betriebene Software mit entsprechendem Betriebs- und Upgradeaufwand; Oracle Access Governance wird auf der Seite als hybride Ergänzung zu Oracle Identity Governance 12c geführt.
Ping Identity Governance (PingOne Advanced Identity Cloud)
Ping Identity
Automatisierte Berechtigungsänderungen bei Eintritt, Wechsel und Austritt sowie Zugriffsanfragen mit Genehmigungsketten.
Access Reviews mit Vorlagen, Mikro-Zertifizierungen und KI-Empfehlungen; SoD-Richtlinien werden bei Anfragen durchgesetzt und periodisch geprüft.
Governance über SaaS-, Cloud- und On-Premises-Anwendungen mit zentral definierten Richtlinien.
Cloud-native Governance als Teil von PingOne Advanced Identity Cloud.
Governance im selben Dienst wie Access Management und Orchestrierung der Ping-Plattform.
Rollenmodell und HR-Quellanbindung sind auf der Produktseite nicht beschrieben; Funktionsumfang hängt vom Paket der Ping-Plattform ab.
midPoint
Evolveum
Provisionierung und Deprovisionierung, Identitätslebenszyklus, Richtlinien- und Rollenverwaltung, Audit und Reporting.
Zugriffszertifizierung, Mikro-Zertifizierungen und Segregation of Duties über Richtlinienregeln; Simulationen vor der Durchsetzung.
Role Mining und Ausreissererkennung in Identity Analytics; Anbindung über ConnId-Konnektoren.
Quellcode unter der European Union Public License; Betrieb in der Cloud, On-Premises oder gemischt; Evolveum s.r.o. hat Sitz in der Slowakei.
Vollständiger IGA-Umfang als Open Source ohne Lizenzkosten, mit voller Kontrolle über Daten und Betrieb.
Modellierung, Betrieb und Integrationen erfordern eigene Kompetenz oder Partner; ein verwalteter SaaS-Dienst ist auf der Produktseite nicht beschrieben.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- EmpowerID: IGA- und Autorisierungsplattform; seit 24.09.2026 Teil von Omada, weitere Produktführung nicht belegt
- Oracle Access Governance: SaaS-Governance-Dienst von Oracle in OCI
- Veza: Access-Intelligence-Plattform für Berechtigungsgraphen; Schwerpunkt Sichtbarkeit statt Lebenszyklus
- NEXIS 4 / NEXIS Controls: modulare Governance-Plattform mit Role Mining und Access Reviews (Deutschland); Schwerpunkt Rollenmodellierung und Analyse, Provisionierung nicht belegt
- Broadcom Symantec IGA: klassische On-Premises-IGA-Suite
- ConductorOne, Lumos: cloud-native Access-Governance-Dienste mit Fokus auf SaaS-Anwendungen
- Clear Skye: IGA auf Basis der ServiceNow-Plattform
Rechte mit Ablauf,
nicht auf Zuruf.
- Mit den Zielsystemen beginnen, die kritische Rechte enthalten (Finanz, ERP, Verzeichnisdienst). Jedes Recht erhält Owner, Beschreibung in Fachsprache und Risikoeinstufung, bevor es angeschlossen wird.
- HR als führende Quelle für Eintritt, Wechsel und Austritt festlegen. Der Rollenwechsel entzieht alte Rechte aktiv, statt neue nur zu addieren.
- Rezertifizierung nach Risiko takten: kritische Rechte häufiger, Standardrechte seltener. Entscheider erhalten Kontext und Vorschlag, nicht die Rohliste.
- SoD-Regeln für wenige Konfliktpaare definieren, zum Beispiel Rechnung erfassen und freigeben. Ausnahmen werden befristet und mit kompensierender Kontrolle erfasst.
- Zeit zwischen HR-Austritt und Entzug aller Rechte in den angeschlossenen Zielsystemen
- Anteil der Rezertifizierungsentscheide, die innerhalb der Frist getroffen wurden, und Anteil pauschaler Bestätigungen
- Anzahl offener SoD-Konflikte und abgelaufener Ausnahmen
Die Fachbereiche besitzen die Rechte und entscheiden über Vergabe und Bestätigung; HR liefert die Ereignisse. IAM betreibt Prozess und Plattform, Revision oder interne Kontrolle prüft die Nachweise.
ISO/IEC 27001:2022 Annex A 5.15 (Zugangssteuerung), 5.16 (Identitätsmanagement), 5.18 (Zugangsrechte), 5.3 (Aufgabentrennung) und 6.5 (Verantwortlichkeiten nach Beendigung oder Wechsel der Beschäftigung).
NIS2 Art. 21 Abs. 2 lit. i nennt Konzepte für die Zugriffskontrolle. Das revDSG verlangt in Art. 8 eine dem Risiko angemessene Datensicherheit; die Datenschutzverordnung konkretisiert dies unter anderem mit der Zugriffskontrolle.
IGA ist kein Rollenprojekt, das nach dem Go-live fertig ist. Ohne gepflegtes Rollenmodell und aktive Owner bestätigen Entscheider Listen ungelesen, und die Rezertifizierung wird zum Ritual.
Am echten Berechtigungsfall messen.
- Joiner, Mover und Leaver: Ein HR-Ereignis muss in Zielsystemen nachvollziehbar ankommen.
- Kritische Rechte: Antrag, Genehmigung, Ablauf und Ausnahme müssen eine Spur bilden.
- Rezertifizierung: Entscheider benötigen verständlichen Kontext statt endloser Listen.
- SoD: Regel, Konflikt, Ausnahme und kompensierende Kontrolle müssen getrennt erkennbar sein.
Die angrenzenden Klassen.
IGA erhält Kontext aus dem Rollenmodell und gibt freigegebene Rechte an die Zugangs- und Privilegiensteuerung weiter.
Security Tool Navigator · Gebiet 03
Im Gebiet Identity Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Identity Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.