IAM-Software bündelt Benutzeridentitäten, Anmeldungen und Zugriffsrechte in einer zentralen Verwaltung, statt Konten auf jedem Windows-PC und in jeder Anwendung einzeln zu pflegen. Für Windows-Umgebungen bilden häufig Active Directory Domain Services, Microsoft Entra ID oder eine Kombination aus beiden die Identitätsbasis. Ein IAM-System ergänzt diese Basis um geregelte Freigaben, automatisierte Kontoabläufe, Rollen, Prüfprotokolle und Anbindungen an weitere Anwendungen.
Der wichtigste erste Schritt ist nicht die Produktauswahl, sondern eine Bestandsaufnahme: Wo entstehen Benutzerkonten, welches Verzeichnis ist führend und wer genehmigt welche Rechte? Ohne diese Festlegung automatisiert eine IAM-Lösung im ungünstigsten Fall bereits vorhandene Fehlberechtigungen. Lokale Windows-Konten sollten nur dort verbleiben, wo sie technisch erforderlich sind und eindeutig verantwortet werden.
Welche Aufgaben IAM in einer Windows-Umgebung übernimmt
Identity and Access Management, kurz IAM, beantwortet zwei getrennte Fragen: Wer ist eine Person oder ein technisches Konto, und auf welche Ressourcen darf diese Identität zugreifen? Die Windows-Anmeldung ist dabei nur ein Teil des Gesamtbilds. Hinzu kommen Dateifreigaben, Microsoft-Dienste, Fachanwendungen, Cloud-Angebote, VPN-Zugänge und gegebenenfalls Systeme außerhalb der Windows-Welt.
Eine zentrale IAM-Plattform kann unter anderem folgende Abläufe steuern:
- Benutzerkonten aus einer maßgeblichen Quelle anlegen, beispielsweise aus einem Personalverwaltungssystem.
- Identitäten mit Konten in Verzeichnissen und Anwendungen verknüpfen.
- Gruppen und Rollen nach Abteilung, Standort, Aufgabe oder Beschäftigungsart zuweisen.
- Anträge auf zusätzliche Rechte an den zuständigen Genehmiger leiten.
- Zugänge bei einem Wechsel der Tätigkeit anpassen und nicht mehr benötigte Rechte entfernen.
- Konten beim Austritt sperren oder nach festgelegten Regeln löschen.
- Regelmäßige Prüfungen dokumentieren, bei denen Verantwortliche bestehende Berechtigungen bestätigen oder entziehen.
Damit unterscheidet sich IAM von einer reinen Geräteverwaltung. RMM- und MDM-Werkzeuge kümmern sich vor allem um Computer, Richtlinien, Software und Gerätezustände. SIEM-Systeme sammeln und bewerten Sicherheitsereignisse. Ein Passwortmanager speichert Zugangsdaten. IAM hält dagegen die Beziehung zwischen Identität, Konto, Rolle und erlaubter Ressource zusammen.
Active Directory, Microsoft Entra ID und IAM sind nicht dasselbe
Active Directory Domain Services ist ein lokaler Verzeichnisdienst für Domänen, Benutzer, Gruppen, Computer und weitere Objekte. Windows-Geräte können einer solchen Domäne beitreten und Benutzer über Domänenkonten anmelden. Gruppenrichtlinien verteilen Einstellungen, ersetzen aber keinen vollständigen Prozess für Beantragung, Genehmigung und regelmäßige Kontrolle von Zugriffsrechten.
Microsoft Entra ID ist ein cloudbasierter Identitäts- und Zugriffsdienst. Er unterstützt Identitäten und Anmeldungen für Microsoft-Cloud-Dienste sowie angebundene Anwendungen. Welche Funktionen verfügbar sind, hängt unter anderem von Lizenz, Mandantenkonfiguration, Geräteanbindung und eingesetzten Diensten ab. Die tatsächliche Ausstattung sollte deshalb im Microsoft-Verwaltungsportal und in den Lizenzunterlagen des eigenen Mandanten geprüft werden.
Eine eigenständige IAM-Plattform kann über diesen Verzeichnissen liegen. Sie übernimmt dann beispielsweise den Lebenszyklus einer Identität, sammelt Genehmigungen und stößt Änderungen in Active Directory, Microsoft Entra ID oder anderen Zielsystemen an. Das Verzeichnis führt die Konten; das IAM-System steuert, warum sie angelegt werden, welche Rollen sie erhalten und wann sie wieder zu entziehen sind.
In einer hybriden Umgebung muss eindeutig feststehen, welches System eine Eigenschaft schreiben darf. Werden Anzeigename, Abteilung oder Gruppenmitgliedschaften gleichzeitig an mehreren Stellen geändert, entstehen widersprüchliche Daten oder Änderungen werden bei der nächsten Synchronisierung überschrieben. Vor der Einführung ist daher für jedes wichtige Attribut eine führende Quelle festzulegen.
Die passende Architektur aus der vorhandenen Anmeldung ableiten
Die Auswahl lässt sich über drei typische Ausgangslagen eingrenzen. Entscheidend sind der bestehende Verzeichnisdienst, die Zahl der anzubindenden Anwendungen und der gewünschte Automatisierungsgrad.
Lokale Windows-Konten auf einzelnen PCs
Werden Benutzer ausschließlich lokal auf mehreren Rechnern geführt, fehlt eine gemeinsame Identität. Ein Kennwortwechsel, eine Sperrung oder ein Austritt muss dann auf jedem Gerät berücksichtigt werden. Für wenige voneinander unabhängige PCs kann das vertretbar sein. Sobald dieselben Personen mehrere verwaltete Geräte und Anwendungen nutzen, ist zuerst eine gemeinsame Verzeichnis- und Anmeldestruktur nötig. Eine große IAM-Plattform allein löst die verstreute Windows-Anmeldung nicht.
Lokale Windows-Domäne mit Active Directory
In einer klassischen Domäne kann das IAM-System Benutzer und Gruppen in bestimmten Organisationseinheiten verwalten. Vor dem Anschluss sind Namensregeln, Zielcontainer, Gruppenarten und Zuständigkeiten zu dokumentieren. Besonders wichtig ist die Trennung zwischen automatisch verwalteten Gruppen und Gruppen, die Administratoren weiterhin manuell pflegen dürfen. Greifen beide Verfahren auf dieselben Mitgliedschaften zu, sind unbeabsichtigte Änderungen schwer nachzuvollziehen.
Cloudbasierte oder hybride Identitäten
Bei cloudbasierten Identitäten stehen häufig Single Sign-on, Mehr-Faktor-Authentifizierung und die Bereitstellung von Konten in Softwarediensten im Mittelpunkt. In einer hybriden Struktur kommt die Synchronisierung mit dem lokalen Verzeichnis hinzu. Hier muss vor jeder Automatisierung geklärt werden, ob ein Konto lokal, in der Cloud oder in einem übergeordneten System erzeugt wird. Dass ein Benutzer in beiden Verzeichnissen sichtbar ist, bedeutet nicht, dass beide Seiten gleichberechtigt Änderungen annehmen.
Vom Eintritt bis zum Austritt: Der zentrale Benutzerlebenszyklus
Der größte Nutzen entsteht durch einen durchgängigen Joiner-Mover-Leaver-Prozess. Gemeint sind Eintritt, Aufgabenwechsel und Austritt. Jeder dieser Zustände braucht einen festgelegten Auslöser, eine verantwortliche Stelle und ein prüfbares Ergebnis.
- Beim Eintritt liefert eine autorisierte Quelle die erforderlichen Stammdaten. Das IAM-System erzeugt daraus eine Identität und veranlasst die benötigten Konten.
- Eine Basisrolle weist nur die Rechte zu, die für die jeweilige Tätigkeit vorgesehen sind. Zusätzliche Zugriffe durchlaufen einen Antrag mit Genehmigung.
- Bei einem Abteilungs- oder Aufgabenwechsel werden neue Rechte nicht lediglich ergänzt. Das System muss auch prüfen, welche bisherigen Rechte ihre Begründung verloren haben.
- Beim Austritt werden interaktive Anmeldungen rechtzeitig gesperrt, Sitzungen und angebundene Zugänge berücksichtigt und verbleibende Daten nach den betrieblichen Vorgaben übergeben.
Ein Wechsel ist oft anspruchsvoller als ein Eintritt. Werden alte Gruppenmitgliedschaften nie entfernt, sammeln Beschäftigte über Jahre Berechtigungen an. Dieses als Rechteanhäufung bekannte Problem bleibt selbst bei funktionierender Mehr-Faktor-Authentifizierung bestehen: Die Anmeldung ist dann besser geschützt, das Konto besitzt aber weiterhin zu viele Befugnisse.
Für externe Kräfte, Dienstleister und zeitlich begrenzte Projekte sollte jedes Konto ein verantwortliches internes Gegenüber und ein überprüfbares Enddatum besitzen. Eine automatische Sperre kann sinnvoll sein, sofern Verlängerungen rechtzeitig beantragt und fachlich genehmigt werden können.
Rollen statt einzelner Freigaben auf Zuruf
Ein tragfähiges Berechtigungsmodell weist Rechte möglichst über Rollen oder Gruppen zu. Eine Rolle beschreibt eine Aufgabe, nicht eine bestimmte Person. So kann die Rolle für den Vertriebsinnendienst beispielsweise Zugriff auf die benötigte Fachanwendung und eine passende Dateifreigabe bündeln, ohne jeder Person dieselben Einzelrechte manuell einzutragen.
Ein brauchbares Rollenmodell erfüllt vier Bedingungen:
- Der Rollenname beschreibt Zweck und Zielgruppe eindeutig.
- Ein fachlicher Eigentümer entscheidet über Inhalt und Vergabe.
- Die enthaltenen Rechte sind dokumentiert und technisch auffindbar.
- Unvereinbare Rollen oder besonders kritische Kombinationen werden erkannt.
Zu grobe Rollen vergeben unnötig viele Rechte. Zu feine Rollen erzeugen dagegen Hunderte kaum unterscheidbare Varianten und erhöhen den Pflegeaufwand. Für die Einführung eignen sich zunächst häufig genutzte Standardrollen mit klarer Verantwortung. Seltene Sonderzugriffe können weiterhin über befristete Einzelanträge laufen, müssen aber ebenso protokolliert und später geprüft werden.
Unter Windows werden Rollen in der technischen Umsetzung oft auf Sicherheitsgruppen abgebildet. Das IAM-System sollte dabei nicht wahllos direkte Zugriffslisten auf Dateien verändern. Besser ist eine nachvollziehbare Kette: Person erhält Rolle, Rolle führt zu Gruppenmitgliedschaft und die Gruppe besitzt Zugriff auf die Ressource. Dadurch lässt sich später erklären, warum ein Benutzer eine Berechtigung hat.
Eine IAM-Auswahl anhand überprüfbarer Funktionen treffen
Nicht jede Organisation benötigt denselben Funktionsumfang. Die folgenden Prüfpunkte helfen, Angebote mit der eigenen Windows- und Anwendungslandschaft abzugleichen, ohne sich von einer langen Merkmalsliste leiten zu lassen.
- Verzeichnisanbindung: Unterstützt die Lösung die tatsächlich eingesetzten Identitätsquellen und kann sie Lese- und Schreibzuständigkeiten sauber trennen?
- Provisionierung: Lassen sich Konten, Gruppen und ausgewählte Attribute in den benötigten Zielsystemen anlegen, ändern, sperren und entfernen?
- Genehmigungswege: Können fachliche Verantwortliche Zugriffe genehmigen, ohne weitreichende administrative Rechte im Verzeichnis zu erhalten?
- Rollen und Richtlinien: Sind Basisrollen, zeitlich begrenzte Zuweisungen und unerlaubte Rollenkombinationen abbildbar?
- Zugriffsprüfungen: Können Verantwortliche bestehende Rechte in verständlicher Form bestätigen oder entziehen?
- Nachvollziehbarkeit: Zeigt das Protokoll, wer eine Änderung beantragt, genehmigt und technisch ausgeführt hat?
- Fehlerbehandlung: Werden fehlgeschlagene Änderungen sichtbar, erneut verarbeitet und ohne Datenverlust zurückgenommen?
- Betriebsmodell: Passen Administration, Datenspeicherung, Verfügbarkeit und Wiederherstellung zu den internen Anforderungen?
Eine Produktvorführung sollte mit eigenen Abläufen stattfinden. Aussagekräftig sind etwa ein Abteilungswechsel mit Entzug der alten Rolle, eine zeitlich befristete Freigabe und ein fehlgeschlagener Zielsystem-Connector. Eine erfolgreiche Kontoanlage allein belegt noch nicht, dass die Lösung schwierige Änderungen und Rücknahmen beherrscht.
IAM sicher einführen, ohne Rechte ungeprüft zu vervielfältigen
Eine risikoarme Einführung beginnt lesend und endet erst später mit automatischen Änderungen. Das System kann zunächst Identitäten, Konten und Gruppen erfassen, ohne sie zu verändern. In dieser Phase werden verwaiste Konten, doppelte Zuordnungen und Gruppen ohne verantwortlichen Eigentümer sichtbar.
- Verzeichnisse, Anwendungen und lokale Konten erfassen. Für jedes System werden technischer Ansprechpartner, fachlicher Eigentümer und Art der enthaltenen Daten festgehalten.
- Eine führende Identitätsquelle bestimmen. Sie muss verlässlich mitteilen, wann eine Person beginnt, ihre Aufgabe wechselt oder ausscheidet.
- Konten mit Identitäten abgleichen. Unklare Treffer dürfen nicht automatisch zusammengeführt werden, weil gleichlautende Namen keine sichere Zuordnung erlauben.
- Mit einem begrenzten Pilotbereich starten. Geeignet ist eine Einheit mit überschaubaren Rollen und erreichbaren Verantwortlichen, nicht sofort die gesamte Organisation.
- Zunächst risikoarme Standardkonten und Gruppen automatisieren. Administrative, technische und gemeinsam genutzte Konten bleiben getrennt, bis ihre Nutzung eindeutig geklärt ist.
- Jeden Ablauf mit Erfolg und Fehlerfall testen. Dazu gehören verspätete Stammdaten, ein nicht erreichbares Zielsystem, ein zurückgezogener Antrag und die Rücknahme einer falschen Zuweisung.
- Erst nach stabiler Auswertung weitere Anwendungen und Benutzergruppen aufnehmen.
Vor dem schreibenden Anschluss eines Verzeichnisses sind Sicherung, Wiederherstellungsverfahren und Notfallzugang zu prüfen. Ein fehlerhaftes Attribut-Mapping oder eine falsch definierte Regel kann sonst viele Konten gleichzeitig ändern. Der Notfallzugang darf nicht vom selben Automatisierungsweg abhängig sein, der gerade ausgefallen ist.
Erfolgskontrolle unter Windows und in den Zielsystemen
Eine IAM-Änderung gilt erst als erfolgreich, wenn sie im Zielsystem angekommen ist und die beabsichtigte Anmeldung beziehungsweise Berechtigung funktioniert. Ein Status wie verarbeitet im IAM-Portal reicht nicht, falls der Connector die Änderung nur in eine Warteschlange geschrieben hat.
Bei einem Testbenutzer sollten mindestens vier Ebenen kontrolliert werden:
- Ist die Identität im IAM-System der richtigen Person und Organisationseinheit zugeordnet?
- Wurde das Windows- oder Cloud-Konto im vorgesehenen Verzeichnis angelegt beziehungsweise aktualisiert?
- Sind die erwarteten Gruppenmitgliedschaften vorhanden und unerwünschte Mitgliedschaften entfernt?
- Kann der Benutzer die erlaubte Ressource öffnen, während ein nicht freigegebener Zugriff tatsächlich abgewiesen wird?
Für eine Sperrung gilt dieselbe Sorgfalt. Neben der Windows-Anmeldung können aktive Sitzungen, VPN-Zugänge, Anwendungstoken oder separat geführte Konten bestehen. Welche Sitzungen widerrufen werden können und wie schnell angeschlossene Systeme Änderungen übernehmen, hängt von der jeweiligen Plattform ab. Diese Zeiten und Grenzen müssen während des Piloten gemessen und im Betriebsablauf berücksichtigt werden.
IAM ersetzt weder privilegierten Zugriff noch laufende Sicherheitskontrollen
Normale Benutzerrollen und hochprivilegierte Administratorkonten sollten nicht gleich behandelt werden. IAM kann festlegen, wer ein administratives Konto erhalten darf. Die sichere Ausgabe, zeitliche Begrenzung und Überwachung besonders mächtiger Zugänge fällt jedoch häufig in den Bereich Privileged Access Management, kurz PAM. Beide Ansätze ergänzen sich, sind aber nicht austauschbar.
Auch Single Sign-on und Mehr-Faktor-Authentifizierung lösen andere Teilaufgaben. Single Sign-on reduziert separate Anmeldungen, während Mehr-Faktor-Authentifizierung die Prüfung der Identität stärkt. Keine der beiden Funktionen entscheidet automatisch, ob ein Benutzer seine fachlichen Rechte noch benötigt. Dafür bleiben Rollenpflege, Genehmigungen und wiederkehrende Zugriffsprüfungen erforderlich.
Die tragfähige Reihenfolge lautet somit: erst Identitätsquellen und Verantwortlichkeiten ordnen, dann Rollen und Lebenszyklusregeln festlegen und erst danach Änderungen automatisieren. Eine IAM-Software schafft zentrale Steuerung nur dann, wenn jedes erteilte Recht einen nachvollziehbaren Zweck, einen Eigentümer und einen verlässlichen Entzugsweg besitzt.
