Über den Einsatz von Cookies auf dieser Website Unsere Websites benötigen einige Cookies, um ordnungsgemäß zu funktionieren (erforderlich). Darüber hinaus können mit Ihrer Zustimmung weitere Cookies verwendet werden, um die Nutzung der Website zu analysieren, die Benutzerfreundlichkeit zu verbessern und Werbung zu schalten. Weitere Informationen finden Sie in Ihren. Durch den Besuch unserer Website erklären Sie sich mit der Verarbeitung von Informationen einverstanden, wie in der IBMDatenschutzbestimmung beschrieben. Um eine reibungslose Navigation zu ermöglichen, werden Ihre Cookie-Präferenzen über die hier aufgeführten IBM Web-Domains hinweg gemeinsam genutzt.
Was ist Identity und Access Management?
Veröffentlicht: 22. Januar 2024
Matthew Kosinski, Amber Forrest
Identity und Access Management (IAM) ist ein Teilbereich der Cybersicherheit und befasst sich damit, wie Benutzer auf digitale Ressourcen zugreifen und was sie damit tun können. IAM-Systeme halten Hacker fern und stellen gleichzeitig sicher, dass jeder einzelne Benutzer genau die Berechtigungen hat, die er für seine Arbeit benötigt, und nicht mehr.
In einem durchschnittlichen Unternehmensnetzwerk gibt es sowohl menschliche Benutzer (Mitarbeiter, Kunden, Auftragnehmer) als auch nicht menschliche Benutzer (Bots, IoT und Endgeräte, automatisierte Workloads). Mit dem Aufkommen von Remote-Arbeit und Cloud Computing befinden sich diese Benutzer zunehmend an geografisch weit verteilten Standorten – ebenso wie die Ressourcen, auf die sie zugreifen müssen.
Für ein Unternehmen ist es nicht immer einfach, den Überblick darüber zu behalten, was alle diese Benutzer mit den Apps und Assets tun, die lokal, remote oder in der Cloud installiert sind. Dieser Mangel an Kontrolle birgt ernsthafte Risiken. Hacker können unentdeckt in ein Netzwerk eindringen. Böswillige Insider können ihre Zugriffsrechte missbrauchen. Selbst gutartige Benutzer können versehentlich Datenschutzbestimmungen verletzen.
IAM-Initiativen können dazu beitragen, die Zugangskontrolle zu optimieren und Assets zu schützen, ohne deren rechtmäßige Nutzung einzuschränken. Beim Identity und Access Management wird jedem Benutzer eine eindeutige digitale Identität mit Berechtigungen zugewiesen, die auf seine Rolle, Compliance-Anforderungen und andere Faktoren zugeschnitten sind. So stellt IAM sicher, dass nur die richtigen Benutzer aus den richtigen Gründen auf die richtigen Ressourcen zugreifen dürfen, während nicht autorisierte Zugriffe und Aktivitäten blockiert werden.
Erfahren Sie, wie Identity Fabric eine kontinuierliche Kontrolle und Sichtbarkeit ermöglicht.
Die Kernkomponenten des Identity und Access Management
Die Aufgabe von IAM ist es, einerseits Hacker aufzuhalten und andererseits autorisierten Benutzern die Möglichkeit zu geben, alles Erforderliche, aber nicht mehr als das Erlaubte zu tun. IAM-Implementierungen arbeiten mit einer Vielzahl von Tools und Strategien, um dieses Ziel zu erreichen, aber sie folgen in der Regel alle der gleichen Grundstruktur.
Ein typisches IAM-System besitzt eine Datenbank oder ein Verzeichnis von Benutzern. Diese Datenbank enthält Angaben darüber, wer die jeweiligen Benutzer sind und was sie in einem Computersystem tun dürfen. Während der Interaktion eines Benutzers mit dem System greift das IAM auf die Datenbank zurück, um seine Identität zu überprüfen, seine Aktivitäten zu überwachen und sicherzustellen, dass er nur das tut, was laut Datenbank erlaubt ist.
Um die Funktionsweise des IAM besser zu verstehen, kann man sich die vier Kernkomponenten von IAM-Initiativen ansehen: Identity Lifecycle Management, Zugriffskontrolle, Authentifizierung und Autorisierung sowie Identitätsgovernance.
Identity Lifecycle Management
Das Identity Lifecycle Management umfasst die Erstellung und Pflege digitaler Benutzeridentitäten für jeden menschlichen und nicht menschlichen Benutzer in einem System.
Um die Benutzeraktivität zu überwachen und maßgeschneiderte Berechtigungen zu erteilen, muss zwischen den einzelnen Benutzern unterschieden werden. Beim IAM wird dazu jedem Benutzer eine digitale Identität zugewiesen. Eine digitale Identität ist eine Sammlung von Unterscheidungsmerkmalen, die dem System mitteilen, wer oder was der jeweilige Benutzer ist. Identitäten umfassen häufig Merkmale wie den Namen eines Benutzers, Anmeldedaten, ID-Nummer, Berufsbezeichnung und Zugriffsrechte.
Digitale Identitäten werden in der Regel in zentralen Datenbanken oder Verzeichnissen gespeichert, die als zuverlässige Informationsquelle dienen. Mit den Informationen in dieser Datenbank kann das IAM-System Benutzer validieren und festlegen, was sie tun dürfen und was nicht.
Bei manchen IAM-Initiativen kümmern sich IT- oder Cybersicherheitsteams manuell um das Onboarding von Benutzern, die Aktualisierung von Identitäten im Laufe der Zeit und das Offboarding oder die Aufhebung der Zugriffsrechte von Benutzern, die das System verlassen. Einige IAM-Tools ermöglichen einen Self-Service-Ansatz. Benutzer stellen ihre Informationen bereit, woraufhin das System automatisch ihre Identität erstellt und die entsprechenden Zugriffsebenen festlegt.
Zugriffssteuerung
Mit eindeutigen digitalen Identitäten können nicht nur Benutzer nachverfolgt, sondern auch detailliertere Zugriffsrichtlinien festgelegt und durchgesetzt werden. IAM ermöglicht die Erteilung unterschiedlicher Systemberechtigungen an verschiedene Benutzer, anstatt jedem dieselben Privilegien zu gewähren.
Heutzutage verwenden viele IAM-Systeme eine rollenbasierte Zugriffskontrolle (RBAC). Dabei basieren die Berechtigungen jedes Benutzers auf seiner Funktion und seinem Zuständigkeitsniveau. Mit RBAC lässt sich das Festlegen von Benutzerberechtigungen optimieren und das Risiko minimieren, dass Benutzer mehr Berechtigungen als nötig erhalten.
Angenommen, ein Unternehmen legt Berechtigungen für eine Netzwerk-Firewall fest. Ein Vertriebsmitarbeiter hätte wahrscheinlich überhaupt keinen Zugriff auf die Einstellungen, da die Firewall für seine Arbeit nicht erforderlich ist. Eine Junior-Sicherheitsanalystin kann möglicherweise Firewall-Konfigurationen anzeigen, aber nicht ändern. Der Sicherheitsvorstand (CISO) hätte uneingeschränkten administrativen Zugriff. Eine API, die das SIEM des Unternehmens in die Firewall integriert, kann möglicherweise die Aktivitätsprotokolle der Firewall lesen, aber sonst nichts sehen.
Als zusätzliche Sicherheit können IAM-Systeme auch das Prinzip der minimalen Rechtevergabe auf die Zugriffsberechtigungen der Benutzer anwenden. Dieses Prinzip ist oft Teil einer Zero-Trust-Cybersicherheitsstrategie und besagt, dass Benutzer nur die minimal nötigen Berechtigungen zum Ausführen einer Aufgabe erhalten und ihnen die Berechtigungen nach Erledigung der Aufgabe entzogen werden.
Im Einklang mit dem Prinzip der minimalen Rechtevergabe verfügen viele IAM-Systeme über unterschiedliche Methoden und Technologien für das Privileged Access Management (PAM). Dies ist ein Bereich der Cybersicherheit, der die Sicherheit und Zugriffskontrolle für hoch privilegierte Benutzerkonten wie Systemadministratoren überwacht.
Privilegierte Konten werden gewissenhafter als andere IAM-Rollen behandelt, da Hacker mit diesen Zugangsdaten tun können, was sie wollen. PAM-Tools isolieren privilegierte Identitäten von den anderen und sorgen mit Vaults für Zugangsdaten und Just-in-Time-Zugriffsprotokollen für zusätzliche Sicherheit.
Informationen über die Zugriffsrechte jedes Benutzers werden in der Regel in der zentralen Datenbank des IAM-Systems als Teil der digitalen Identität des Benutzers gespeichert. Mit diesen Informationen setzt das IAM-System die unterschiedlichen Berechtigungsstufen der jeweiligen Benutzer durch.
Authentifizierung und Autorisierung
Authentifizierung und Autorisierung sind die Anwendung maßgeschneiderter Zugriffssteuerungsrichtlinien in der Praxis.
Bei der Authentifizierung wird festgestellt, ob ein Benutzer, egal ob Mensch oder Maschine, tatsächlich derjenige ist, für den er sich ausgibt. Meldet sich ein Benutzer bei einem System an oder fordert Zugriff auf eine Ressource an, übermittelt er Anmeldedaten, um seine Identität zu bestätigen. Zum Beispiel könnte ein menschlicher Benutzer ein Passwort eingeben, während ein nicht menschlicher Benutzer ein digitales Zertifikat freigeben könnte. Das IAM-System gleicht diese Zugangsdaten mit der zentralen Datenbank ab. Bei Übereinstimmung wird Zugriff gewährt.
Eine Kombination aus Benutzername und Passwort ist zwar die einfachste Form der Authentifizierung, aber auch eine der schwächsten. Daher verwenden die meisten IAM-Implementierungen heute komplexere Authentifizierungsmethoden.
Die Multi-Faktor-Authentifizierung erfordert als Identitätsnachweis die Angabe von mindestens zwei Authentifizierungsfaktoren. Häufig sind dies ein Sicherheitscode, der an das Mobiltelefon des Benutzers gesendet wird, ein physischer Sicherheitsschlüssel oder biometrische Verfahren wie Fingerabdruckscans.
Single Sign-on (SSO) ermöglicht den Zugriff auf mehrere Apps und Dienste mit einem einzelnen Satz von Anmeldedaten. Das SSO-Portal authentifiziert den Benutzer und generiert ein Zertifikat oder einen Token als Sicherheitsschlüssel für andere Ressourcen. SSO-Systeme verwenden offene Protokolle wie Security Assertion Markup Language (SAML), um Schlüssel ungehindert zwischen verschiedenen Dienstanbietern auszutauschen.
Die adaptive Authentifizierung, auch risikobasierte Authentifizierung genannt, nutzt KI und maschinelles Lernen, um das Benutzerverhalten zu analysieren und bei einer Änderung des Risikoniveaus die Authentifizierungsanforderungen in Echtzeit anzupassen. Risikobasierte Authentifizierungsschemata erschweren Hackern oder Insider Threats den Zugriff auf kritische Assets, weil sie eine strengere Authentifizierung für risikoreichere Aktivitäten vorschreiben.
Meldet sich jemand vom üblichen Gerät und Standort aus an, ist möglicherweise nur die Eingabe des Passworts erforderlich, da diese Routinesituation ein geringes Risiko darstellt. Meldet sich diese Entität jedoch von einem nicht vertrauenswürdigen Gerät aus an oder versucht, besonders vertrauliche Informationen anzuzeigen, sind unter Umständen weitere Anmeldefaktoren erforderlich, da das Verhalten jetzt risikoreicher ist.
Sobald ein Benutzer authentifiziert wurde, prüft das IAM-System die Berechtigungen bezüglich seiner digitalen Identität in der Datenbank. Das IAM-System autorisiert den Benutzer, nur auf die Ressourcen zuzugreifen und die Aufgaben auszuführen, die seine Berechtigungen zulassen.
Identitätsgovernance
Identitätsgovernance ist der Prozess, der den Umgang des Benutzers mit Zugriffsrechten mitverfolgt. IAM-Systeme überwachen Benutzer, damit sie ihre Privilegien nicht missbrauchen. Außerdem können sie Hacker ausfindig machen, die sich möglicherweise in das Netzwerk eingeschlichen haben.
Identitätsgovernance ist zur Einhaltung gesetzlicher Vorschriften wichtig. Unternehmen gestalten ihre Zugriffsrichtlinien in der Regel so, dass sie Sicherheitsvorschriften wie die Datenschutz-Grundverordnung (DSGVO) oder den Datensicherheitsstandard der Zahlungskartenindustrie (Payment Card Industry Data Security Standard, PCI-DSS) erfüllen. Durch die Nachverfolgung der Benutzeraktivitäten können Unternehmen mit IAM-Systemen sicherstellen, dass Richtlinien wie vorgesehen funktionieren. IAM-Systeme können auch Prüfprotokolle erstellen, um bei Bedarf die Einhaltung von Vorschriften nachzuweisen oder Verstöße zu ermitteln.
Viele wichtige IAM-Workflows, wie die Authentifizierung von Benutzern und die Nachverfolgung ihrer Aktivitäten, sind manuell nur schwer oder gar nicht durchführbar. Stattdessen sind Unternehmen auf technische Hilfsmittel zur Automatisierung von IAM-Prozessen angewiesen.
Früher wurden für die verschiedenen Bereiche des IAM Einzellösungen verwendet, z. B. eine für die Benutzerauthentifizierung, eine andere für die Durchsetzung von Zugriffsrichtlinien und eine dritte für die Prüfung der Benutzeraktivitäten.
Heutzutage sind viele IAM-Lösungen umfassende Plattformen, die entweder alles können oder mehrere Tools zu einer Einheit integrieren. Obwohl es bei IAM-Plattformen viele Unterschiede gibt, weisen sie in der Regel gemeinsame Kernfunktionen auf, wie:
- zentralisierte Verzeichnisse oder Integration in externe Verzeichnisdienste wie Microsoft Active Directory und Google Workspace
- automatisierte Workflows zum Erstellen, Aktualisieren und Entfernen von digitalen Identitäten
- die Fähigkeit, ein netzwerkweites, produktunabhängiges Identitätsgefüge zu schaffen, um Identität und Zugriff für alle Anwendungen und Ressourcen – einschließlich älterer Anwendungen – über ein einziges, autorisierendes Verzeichnis zu verwalten
- integrierte Authentifizierungsoptionen wie MFA, SSO und adaptive Authentifizierung
- Zugriffskontrollfunktionen, um detaillierte Zugriffsrichtlinien zu definieren und auf Benutzer auf allen Ebenen, einschließlich privilegierter Konten, anzuwenden
- Tracking-Funktionen zur Überwachung von Benutzern, zur Meldung verdächtiger Aktivitäten und zur Gewährleistung der Compliance
- Funktionen zum Identity und Access Management für Kunden (CIAM), die das Identity Lifecycle Management, Authentifizierungs- und Autorisierungsmaßnahmen auf digitale Portale für Kunden, Partner und andere Benutzer außerhalb des Unternehmens ausweiten
Manche IAM-Lösungen sind für bestimmte Ökosysteme konzipiert. Zum Beispiel kontrollieren die IAM-Plattformen von Amazon Web Services (AWS) und Google Cloud den Zugriff auf Ressourcen, die in den jeweiligen Clouds gehostet werden.
Andere IAM-Lösungen – wie die von Microsoft, IBM, Oracle und anderen – sind für alle Ressourcen in einem Unternehmensnetzwerk gedacht, unabhängig davon, wo sie gehostet werden. Diese IAM-Lösungen können als Identitätsanbieter für alle Arten von Diensten fungieren und mit offenen Standards wie SAML und OpenID Connect (OIDC) verschiedene Authentifizierungsinformationen zu Benutzern zwischen Anwendungen austauschen.
Identity und Access Management für die Cloud
Immer häufiger wird das Identity und Access Management nicht mehr lokal installiert, sondern als Software-as-a-Service (SaaS) ausgeführt. Diese cloudbasierten IAM-Lösungen nennt man auch „Identity-as-a-Service“ (IDaaS) oder „Authentication-as-a-Service“ (AaaS). Sie bieten einige Funktionen, die bei lokalen Tools möglicherweise fehlen.
IDaaS-Tools können in komplexen Unternehmensnetzwerken nützlich sein, in denen sich geografisch verteilte Benutzer von verschiedenen Geräten (Windows, Mac, Linux und Mobilgeräte) aus anmelden, um auf lokal oder in Private bzw. Public Clouds installierte Ressourcen zuzugreifen. Ein lokales IAM-Tool kann möglicherweise nicht ohne Weiteres so viele verschiedene Benutzer und Ressourcen an unterschiedlichen Standorten unterstützen, wohingegen die meisten IDaaS-Lösungen dazu in der Lage sind.
IDaaS kann auch dabei helfen, IAM-Services auf Auftragnehmer, Kunden und andere Nicht-Mitarbeiter auszuweiten. Das vereinfacht IAM-Implementierungen, da nicht für verschiedene Benutzer unterschiedliche Systeme verwendet werden müssen.
Mithilfe von IDaaS-Tools können auch einige der zeit- und ressourcenintensiveren Aspekte des IAM ausgelagert werden, etwa das Erstellen neuer Benutzerkonten sowie die Authentifizierung von Zugriffsanforderungen und die Identitätsverwaltung.
Warum ist das Identity und Access Management wichtig?
IAM-Initiativen können bei der Erfüllung zahlreicher Anwendungsfälle in den Bereichen Cybersicherheit, Geschäftsbetrieb und mehr hilfreich sein.
Durch die Zunahme von Multi-Cloud-Umgebungen, KI, Automatisierung und Remote-Arbeit bedeutet die digitale Transformation, dass mehr Arten von Benutzern sicher auf mehr Arten von Ressourcen an mehr Standorten zugreifen müssen.
IAM-Systeme können das Zugriffsmanagement für alle diese Benutzer und Ressourcen zentralisieren, auch für Nicht-Mitarbeiter und nicht menschliche Benutzer. Immer mehr IAM-Plattformen integrieren mittlerweile CIAM-Tools oder bieten diese an, sodass der Zugriff für interne und externe Benutzer über dasselbe System verwaltet werden kann.
Viele Mitarbeiter kombinieren heutzutage das Home Office mit Arbeit in Präsenz. Das durchschnittliche Unternehmensnetzwerk besteht also aus einer Mischung älterer lokaler Systeme sowie neuerer cloudbasierter Anwendungen und Dienste. IAM-Lösungen können die Zugriffskontrolle in diesen komplexen Umgebungen optimieren.
Funktionen wie SSO und adaptiver Zugriff ermöglichen die Authentifizierung mit minimalem Aufwand und den Schutz wichtiger Assets. Digitale Identitäten und Zugriffsrichtlinien für alle Systeme können über eine einzelne zentrale IAM-Lösung verwaltet werden. Anstatt verschiedene Identitätstools für unterschiedliche Assets zu verwenden, ermöglichen umfassende IAM-Systeme eine zentrale Informationsquelle, Verwaltung und Durchsetzung für die gesamte IT-Umgebung.
Mit IAM-Systemen, insbesondere solchen, die SSO unterstützen, können Benutzer mit einer einzigen Identität auf mehrere Dienste zugreifen, anstatt für jeden Service ein eigenes Konto zu erstellen. Dadurch müssen deutlich weniger Benutzerkonten verwaltet werden. Auch die Zunahme von BYOI-Lösungen (Bring Your Own Identity), mit denen Benutzer die eigene Identität verwalten und zwischen Systemen portieren können, kann zur Vereinfachung der IT-Verwaltung beitragen.
IAM-Systeme können die Zuweisung von Benutzerberechtigungen mithilfe von RBAC-Methoden optimieren, da sie automatisch Benutzerberechtigungen basierend auf Rolle und Tätigkeit festlegen. Mit IAM-Tools erhalten IT- und Sicherheitsteams eine gemeinsame Plattform zur Definition und Durchsetzung von Zugriffsrichtlinien für alle Benutzer.
Standards wie die DSGVO, PCI-DSS und SOX erfordern strenge Richtlinien dahingehend, wer zu welchen Zwecken auf Daten zugreifen darf. Mit einem IAM-System lassen sich formale Zugriffskontrollrichtlinien festlegen und durchsetzen, die diese Standards erfüllen. Auch Benutzeraktivitäten können mitverfolgt werden, um die Einhaltung der Vorschriften während eines Audits zu belegen.
Laut dem Data Breach Kostenreport ist der Diebstahl von Anmeldedaten eine der Hauptursachen für Datenschutzverletzungen. Hacker haben es oft auf Konten mit mehr als den unbedingt nötigen Berechtigungen abgesehen. Diese Konten sind im Allgemeinen weniger geschützt als Administratorkonten, ermöglichen Hackern jedoch den Zugriff auf weite Teile des Systems.
Durch das Hinzufügen zusätzlicher Authentifizierungsebenen kann IAM dabei helfen, Angriffe mit entwendeten Anmeldedaten zu vereiteln. Hacker benötigen also nicht nur ein Passwort, um an sensible Daten zu gelangen. Selbst wenn ein Hacker eindringt, kann das IAM-System Lateralbewegungen verhindern. Benutzer haben nur die nötigen Berechtigungen, und nicht mehr. Rechtmäßige Benutzer können bei Bedarf auf alle erforderlichen Ressourcen zugreifen, während böswillige Akteure und Insider Threats nur eingeschränkte Möglichkeiten haben.
Weiterführende Lösungen
Die IBM Security® Verify-Familie bietet automatisierte, cloudbasierte und lokale Funktionen für die Identity Governance, das Identitäts- und Zugriffsmanagement für Mitarbeiter und Verbraucher sowie die Kontrolle privilegierter Konten.
Bringen Sie Ihr IAM-Programm für Mitarbeiter und Verbraucher auf Erfolgskurs mit den Fähigkeiten, der Strategie und der Unterstützung von Identitäts- und Sicherheitsexperten.
Tools für die Verwaltung privilegierter Zugriffe zur Erkennung, Kontrolle, Verwaltung und zum Schutz privilegierter Konten auf Endgeräten und in hybriden Multi-Cloud-Umgebungen.
Bereitstellung, Prüfung und Berichterstattung über Benutzerzugriff und -aktivität durch Lebenszyklus-, Compliance- und Analysefunktionen, vor Ort und in der Cloud.
Erweitern Sie die moderne Authentifizierung problemlos auf Legacy-Anwendungen und verbessern Sie die Sicherheitslage, während Sie gleichzeitig für eine konsistente Benutzererfahrung sorgen.
Ressourcen
SSO ist ein Authentifizierungsschema, das es Benutzern ermöglicht, sich einmal bei einer Sitzung anzumelden und sicheren Zugriff auf mehrere damit verbundene Anwendungen und Services zu erhalten.
Der Bericht über die Kosten einer Datenschutzverletzung enthält die neuesten Erkenntnisse über die immer größer werdende Bedrohungslandschaft und Empfehlungen, wie Zeit gespart und Verluste begrenzt werden können.
MFA ist eine Methode zur Identitätsüberprüfung, bei der ein Benutzer mindestens zwei Nachweise zum Nachweis seiner Identität vorlegen muss.