Drei Kernfunktionen tragen ein IAM-System. Sie greifen ineinander und bilden die Grundlage jedes Zugriffsprozesses.
Authentifizierung
Bei der Authentifizierung müssen Personen, Geräte oder Anwendungen nachweisen, dass sie tatsächlich die angegebene Identität besitzen. Klassisch geschieht das per Benutzername und Passwort.
Sicherer ist die Zwei-Faktor-Authentifizierung (2FA), bei der zum Passwort ein zweiter Nachweis dazukommt, etwa ein Code aus einer App oder eine Bestätigung per Hardware-Token. Immer mehr Unternehmen setzen außerdem auf passwortlose Verfahren mit Standards wie FIDO2 oder WebAuthn, die Phishing-Angriffe deutlich erschweren. Autorisierung
Sobald die Identität bestätigt ist, prüft das System die Rechte. Zwei Modelle dafür sind verbreitet:
Role-Based Access Control (RBAC): Die rollenbasierte Zugriffskontrolle vergibt Rechte über vordefinierte Rollen wie „Buchhaltung“ oder „Marketing“.
Attribute-Based Access Control (ABAC): Die attributbasierte Zugriffskontrolle berücksichtigt zusätzlich Kontextinformationen wie Standort, Uhrzeit oder Gerätestatus.
Theoretisch könnte ABAC eine Rolle als weiteres Attribut behandeln und RBAC damit ersetzen. In der Praxis kombinieren viele Unternehmen aber beide Modelle, weil jedes für sich Schwächen hat.
Reines RBAC führt zur „Rollenexplosion“: Für jeden Sonderfall braucht es eine eigene Rolle – etwa „Buchhaltung im Büro“ und „Buchhaltung im Homeoffice“. Dadurch wird die Verwaltung irgendwann unübersichtlich. Reines ABAC wird dagegen oft so regellastig, dass sich bei einem Audit kaum noch nachvollziehen lässt, wer warum Zugriff hat.
Die Kombination beider Systeme verbindet ihre jeweiligen Stärken: RBAC liefert das stabile, gut prüfbare Grundgerüst, ABAC ergänzt die kontextabhängigen Bedingungen. So bleiben Zugriffe fein abgestuft, ohne dass die Rechteverwaltung ausufert.
Provisionierung und Deprovisionierung
Provisionierung beschreibt das automatisierte Anlegen von Konten und Berechtigungen. Deprovisionierung umfasst den Entzug von Rechten sowie das Sperren und spätere Löschen nicht mehr benötigter Konten.
Die Kontenlöschung erfolgt meist nicht sofort. Denn aus Compliance-Gründen sind Unternehmen oft verpflichtet, mit den Konten verknüpfte Daten aufzubewahren. Mitunter benötigen sie die Daten selbst noch für den Geschäftsbetrieb.
Ein gut konfiguriertes IAM verbindet sich für die (De)provisionierung mit Personalsystemen und Fachanwendungen. So sind Zugriffe genau dann möglich, wenn sie gebraucht werden, und enden wieder, wenn sie nicht mehr nötig sind.
