Glossar · einfach erklärt

IAM (Identity and Access Management)

IAM verwaltet digitale Identitäten und ihre Rechte: Wer ist wer, wer darf was — und wie wird beides nachweisbar gesteuert?

Identity and Access Management (IAM) umfasst die Prozesse und Systeme, mit denen Organisationen digitale Identitäten und deren Zugriffsrechte verwalten: Konten anlegen und stilllegen, Authentifizierung, Rechtevergabe, Rollen und regelmäßige Überprüfung.

IAM ist das Fundament von Zero Trust: Wenn Zugriff nicht mehr am Netzwerkperimeter, sondern an Identität und Kontext hängt, wird die Qualität der Identitätsverwaltung zur Sicherheitsgrenze. Die meisten erfolgreichen Angriffe beginnen heute mit einer kompromittierten Identität, nicht mit einer technischen Lücke.

Die Bausteine von IAM

Am Anfang steht der Lebenszyklus: Beim Eintritt entstehen Konten und Grundrechte (Joiner), bei Wechseln werden sie angepasst (Mover), beim Austritt zuverlässig entzogen (Leaver) — automatisiert aus dem Personalprozess, nicht per Zuruf. Darauf setzen Authentifizierung (idealerweise per SSO und MFA über einen zentralen Identity Provider) und Autorisierung auf: Rollen und Richtlinien entscheiden, wer was darf.

Den Abschluss bilden Nachweis und Hygiene: Rezertifizierungen prüfen regelmäßig, ob vergebene Rechte noch gebraucht werden; verwaiste Konten und Rechteanhäufung sind die typischen Befunde — und beliebte Einstiegspunkte für Angreifer.

Woran IAM in der Praxis scheitert

Offboarding-Lücken: Konten ausgeschiedener Mitarbeitender bleiben aktiv.
Rechteanhäufung: Wechsel bringen neue Rechte, alte werden nie entzogen.
Schatten-Identitäten in SaaS-Diensten außerhalb des zentralen Verzeichnisses.
Technische Konten ohne Eigentümer, Ablaufdatum und Überwachung.

Häufige Fragen zu IAM (Identity and Access Management)

Was ist der Unterschied zwischen Authentifizierung und Autorisierung?

Authentifizierung beantwortet, wer jemand ist — per Passwort, Passkey oder MFA. Autorisierung beantwortet, was diese Identität darf — über Rollen, Gruppen und Richtlinien. IAM verbindet beides zu einem gesteuerten, nachweisbaren Prozess.

Warum ist IAM die Basis für Zero Trust?

Zero Trust prüft jeden Zugriff anhand von Identität und Kontext statt Netzwerkstandort. Das funktioniert nur, wenn Identitäten sauber gepflegt, stark authentifiziert und Rechte aktuell sind — schlechtes IAM macht jede Zero-Trust-Architektur zur Fassade.

Was bedeutet Joiner-Mover-Leaver?

Die drei Lebenszyklus-Ereignisse einer Identität: Eintritt (Konten und Grundrechte entstehen), Wechsel (Rechte werden angepasst), Austritt (alles wird entzogen). Automatisierung aus dem Personalprozess verhindert die klassische Lücke: aktive Konten Ausgeschiedener.

Was ist eine Rezertifizierung?

Die regelmäßige, dokumentierte Überprüfung vergebener Rechte durch die Fachverantwortlichen: Braucht diese Person diesen Zugriff noch? Rezertifizierungen bauen Rechteanhäufung ab und liefern die Nachweise, die Prüfungen und Regularien wie NIS-2 oder ISO 27001 erwarten.

Wie hängen IAM und PAM zusammen?

PAM (Privileged Access Management) ist die Spezialdisziplin für hochprivilegierte Zugriffe — Admin-Konten, Root, Service-Accounts. IAM steuert die Breite aller Identitäten, PAM sichert die kritische Spitze mit Tresor, Sitzungsaufzeichnung und Just-in-Time-Rechten.