Was ist Identity and Access Management (IAM)?
Identity & Access Management (IAM) ist das Rückgrat sicherer IT-Strukturen: Es steuert, wer worauf zugreifen darf – und in welchem Umfang. Nach ISO/IEC 27001:2022 und dem BSI IT-Grundschutz (ORP.4) zählt es zu den Kernmaßnahmen der Informationssicherheit.
🔹 Definition
Es umfasst Identifikation, Authentisierung, Autorisierung und Nachvollziehbarkeit aller Zugriffe – über den gesamten Lebenszyklus einer Identität hinweg (Anlegen → Ändern → Löschen).
🔹 Ziele des IAM
- Anlegen (z. B. bei Eintritt)
- Ändern (z. B. bei Abteilungswechsel)
- Löschen / Deaktivieren (z. B. bei Austritt)
🔹 Zentrale Maßnahmen (ISO 27001 / BSI IT-Grundschutz)
🔹 Zuständigkeiten
🔹 Vorteile eines funktionierenden IAM
🔹 Best Practices
📋 Beispiel für ein einfaches IAM-Verfahren
Dieses Beispiel zeigt, wie ein standardisierter Identitäts- und Berechtigungsprozess nach ISO 27001 umgesetzt werden kann – vom Onboarding bis zur regelmäßigen Rechteprüfung.
Anlegen – Mitarbeitereintritt
Benutzerkonto anlegen, Standardrechte zuweisen
IT-Betrieb / Vorgesetzte
Benutzerliste
Änderung – Abteilungswechsel
Rechte anpassen, alte Berechtigungen entfernen
IT-Betrieb
Änderungsprotokoll
Deaktivierung – Austritt
Konto deaktivieren, Zutritt entziehen
IT-Betrieb
Lösch- / Deaktivierungsprotokoll
Kontrolle – Halbjährliche Rechteprüfung
Rechteprüfung, Audit durch ISB
ISB / Führungskraft
Prüfbericht
🧭 How To: Identity & Access Management (IAM) erfolgreich einführen
Ein funktionierendes Identity & Access Management (IAM) ist eine zentrale Säule der ISO 27001. Die nachfolgenden Schritte helfen dir, den Prozess strukturiert, auditfest und praxisorientiert umzusetzen.
Scope & Ziele definieren
Lege fest, für welche Systeme, Anwendungen und Organisationseinheiten das IAM gilt. Bestimme, welche Ziele du erreichen willst – z. B. Nachvollziehbarkeit, Zugriffstransparenz oder Automatisierung.
- Welche Systeme sind relevant (Cloud, AD, ERP, HR)?
- Welche Identitäten (Mitarbeiter, Lieferanten, Maschinenkonten) sollen verwaltet werden?
Prozesse & Richtlinien definieren
Beschreibe, wie Identitäten erstellt, geändert und gelöscht werden. Diese Abläufe sind Kernbestandteile deiner IAM-Richtlinie.
- Joiner-Mover-Leaver-Prozess festlegen (Eintritt – Wechsel – Austritt)
- Verantwortlichkeiten zwischen HR, IT und ISB klar definieren
- Dokumentation & Nachvollziehbarkeit sicherstellen
Technische Umsetzung
Implementiere geeignete Tools oder Verzeichnisdienste zur Verwaltung von Benutzern, Gruppen und Berechtigungen.
- Active Directory / LDAP / Azure AD als zentrale Instanz
- Einführung von Mehr-Faktor-Authentifizierung (MFA)
- Integration mit HR-System für automatisiertes Onboarding
Rollen & Rechtekonzept entwickeln
Ein gutes Rollenmodell ist das Herzstück eines wirksamen IAM. Es ermöglicht eine einfache Verwaltung und Auditierbarkeit von Berechtigungen.
- Rollenbasiertes Berechtigungskonzept (RBAC) einführen
- Trennung kritischer Funktionen (Segregation of Duties)
- Regelmäßige Rezertifizierung aller Berechtigungen
Überwachung & Audits etablieren
Überwache sicherheitsrelevante Anmelde- und Zugriffsereignisse kontinuierlich. Führe regelmäßige Audits und Rechteprüfungen durch.
- Protokollierung von Login-/Zugriffsversuchen
- Halbjährliche Rechteprüfung durch ISB und Vorgesetzte
- Berichtswesen an Geschäftsführung
Awareness & Schulungen
Sensibilisiere alle Mitarbeitenden regelmäßig für Passwortsicherheit, Phishing und den Umgang mit Berechtigungen.
- Einführung eines Security-Awareness-Programms
- Regelmäßige Schulungen & Micro-Learnings
- Phishing-Simulationen und Feedbackgespräche
Kontinuierliche Verbesserung
Ein IAM ist kein einmaliges Projekt – es lebt vom ständigen Review und der Anpassung an neue Risiken und Technologien.
- Jährliche IAM-Reviews im Rahmen des ISMS
- Integration neuer Authentifizierungstechnologien
- Erweiterung um Cloud-Identitäten (z. B. Azure AD)
💡 Tipp aus der Praxis
Beginne mit einem kleinen, klar abgegrenzten System (z. B. Active Directory) und erweitere das IAM schrittweise. Ein MVP-Ansatz (Minimum Viable Process) hilft, schnelle Erfolge zu erzielen und Akzeptanz aufzubauen.
1️⃣ Warum IAM für KMU unverzichtbar ist
Identity & Access Management (IAM) ist längst kein Thema mehr nur für Großkonzerne. Gerade kleine und mittlere Unternehmen (KMU) profitieren enorm von einem strukturierten Berechtigungs- und Zugriffskonzept – denn der Schutz sensibler Daten, Systeme und Kundeninformationen ist heute ein entscheidender Wettbewerbsfaktor.
IAM stärkt nicht nur die Sicherheit, sondern auch die Effizienz und Compliance eines Unternehmens. Für KMU ist es der entscheidende Schritt, um Informationssicherheit messbar, nachvollziehbar und auditfest zu gestalten.
2️⃣ Herausforderungen beim Identity & Access Management in KMU
Kleine und mittlere Unternehmen stehen beim Aufbau eines effektiven IAM-Systems häufig vor besonderen organisatorischen und technischen Hürden. In der Praxis zeigen sich vor allem diese typischen Schwachstellen:
Ohne klare Prozesse für Identitäten, Berechtigungen und Zugriffskontrollen entstehen Sicherheitslücken, die sich in Audits oder bei Cyberangriffen schnell bemerkbar machen. Ein strukturiertes IAM ist daher kein Luxus, sondern ein wesentlicher Bestandteil der Cyber-Resilienz.
3️⃣ Minimalanforderungen für ein funktionierendes IAM im KMU
Der Einstieg in ein Identity & Access Management muss nicht kompliziert sein. Schon mit wenigen organisatorischen und technischen Maßnahmen können KMU ein hohes Sicherheitsniveau erreichen.
Einheitliche Abläufe für die Anlage, Änderung und Deaktivierung von Benutzerkonten – inklusive Genehmigung durch Vorgesetzte.
Rechte werden nicht individuell, sondern nach Funktion oder Abteilung vergeben (z. B. Vertrieb, Buchhaltung, IT).
Pflicht für privilegierte Konten und Remote-Zugänge – schützt vor Phishing und kompromittierten Passwörtern.
Führungskräfte prüfen regelmäßig, ob die vergebenen Berechtigungen noch aktuell und angemessen sind.
Zugriffsdaten, Rollenbeschreibungen und Änderungen werden nachvollziehbar im Informationssicherheits-Managementsystem dokumentiert.
Regelmäßige Sensibilisierung der Mitarbeitenden für Passwortsicherheit, Phishing und den verantwortungsvollen Umgang mit Zugängen.
Schon diese Basismaßnahmen genügen, um den meisten Audits standzuhalten – und schaffen gleichzeitig eine nachvollziehbare Sicherheitskultur im Unternehmen. Wichtig ist, dass Prozesse dokumentiert, Verantwortlichkeiten klar benannt und Maßnahmen regelmäßig überprüft werden.
🔍 FAQ – Häufige Fragen zum Identity & Access Management (IAM)
Antworten auf die wichtigsten Fragen rund um Aufbau, Umsetzung und Vorteile eines IAM-Systems nach ISO 27001.
1Was versteht man unter Identity & Access Management?
2Warum ist IAM für ISO 27001 so wichtig?
3Welche Kernaufgaben gehören zu einem IAM-System?
4Wie wird IAM in einem Unternehmen eingeführt?
5Welche Vorteile bringt ein IAM-System?
6Wie oft sollten Berechtigungen überprüft werden?
7Welche Tools unterstützen IAM?
8Wie überprüft ein Auditor das IAM im Rahmen eines ISO 27001-Audits?
Weiterführende Themen zur Informationssicherheit
Vertiefen Sie Ihr Wissen rund um ISO 27001, Informationssicherheit und Managementsysteme. Diese Artikel ergänzen das Thema Identity & Access Management perfekt:
