IAM (Identity and Access Management) bezeichnet die Verwaltung von Identitäten und Zugriffsrechten, damit nur berechtigte Benutzer und IT-Komponenten einer Institution auf Ressourcen zugreifen, für die sie autorisiert sind.
Auf einen Blick
Der BSI-Baustein ORP.4 nutzt dafür den Begriff Identitäts- und Berechtigungsmanagement, weil die Übergänge zwischen beiden Bereichen fließend sind.
Zum Berechtigungsmanagement gehören die Prozesse für Zuweisung, Entzug und Kontrolle der Rechte.
Nach dem BSI-Baustein ORP.4 dürfen Rechte nur nach dem Prinzip der geringsten Berechtigungen (Least Privilege) und dem Erforderlichkeitsprinzip (Need-to-know) vergeben werden.
Was ist IAM?
Im IT-Grundschutz-Baustein ORP.4 des BSI fasst der Begriff Identitäts- und Berechtigungsmanagement (englisch Identity and Access Management, IAM) zwei Bereiche zusammen, weil die Übergänge zwischen ihnen fließend sind. Das Identitätsmanagement ist die Verwaltung der Informationen, die zur eindeutigen Identifizierung und Authentisierung, also zur Prüfung der Echtheit, von Benutzern und IT-Komponenten notwendig sind. Das Berechtigungsmanagement legt fest und kontrolliert, wer (Benutzer und IT-Komponenten) wie auf welche Ressourcen zugreifen darf (Autorisierung); dazu gehören die Prozesse für Zuweisung, Entzug und Kontrolle der Rechte. Der Zugang zu schützenswerten Ressourcen einer Institution ist dabei auf berechtigte Benutzer und berechtigte IT-Komponenten einzuschränken.
Mit IAM verwaltet ein Versicherer digitale Identitäten und Zugriffsrechte von Fachkräften, Vermittlern und Dienstleistern; bei geeigneter Konfiguration unterstützt es bedarfsgerechte Berechtigungen und den Entzug von Zugängen beim Ausscheiden aus der Organisation. Der Baustein verlangt, Benutzerkennungen und Berechtigungen nur aufgrund des tatsächlichen Bedarfs und der Notwendigkeit zur Aufgabenerfüllung zu vergeben (Prinzip der geringsten Berechtigungen, englisch Least Privilege). Bei personellen Veränderungen müssen nicht mehr benötigte Benutzerkennungen und Berechtigungen nach dem Baustein entfernt werden.
Wie funktioniert IAM im Unternehmen?
Im Identitätsmanagement werden zunächst die Informationen verwaltet, die für die eindeutige Identifizierung und Authentisierung von Benutzern und IT-Komponenten notwendig sind. Auf dieser Grundlage legt das Berechtigungsmanagement fest, wer wie auf welche Ressourcen zugreifen darf (Autorisierung). Rechte werden dabei nach dem Prinzip der geringsten Berechtigungen und dem Erforderlichkeitsprinzip (englisch Need-to-know) vergeben, also nur im Umfang des tatsächlichen Bedarfs und der Notwendigkeit zur Aufgabenerfüllung.
Bei personellen Veränderungen müssen nach dem BSI-Baustein ORP.4 nicht mehr benötigte Benutzerkennungen und Berechtigungen entfernt werden. Das BSI beschreibt, dass der Administrator möglicherweise keine Informationen über personelle Veränderungen erhält, sodass beispielsweise die Benutzerkennung eines ausgeschiedenen Mitarbeiters nicht gelöscht wird. Ebenso können laut BSI in diesem Szenario beim Ausscheiden eines Mitarbeiters aus der Institution nicht in einem Arbeitsschritt alle Zugänge gesperrt werden. Als Schwäche nennt das BSI auch das Fehlen einer zentralen Übersicht oder Deaktivierungsmöglichkeit, sodass im Notfall nicht alle Konten gleichzeitig gesperrt werden können.
IAM im Vergleich
IAM fasst nach dem BSI Identitäts- und Berechtigungsmanagement unter einem Begriff zusammen, und die Übergänge sind fließend. Authentifizierung ist ein Teilprozess etwa eines Anmeldevorgangs; das BSI unterscheidet Authentisierung und Authentifizierung als verschiedene Teilprozesse.
Identitätsmanagement ist nach dem BSI die Verwaltung der Informationen, die zur eindeutigen Identifizierung und Authentisierung von Benutzenden und IT-Komponenten notwendig sind. Autorisierung ist nach dem BSI (Berechtigungsmanagement) die Festlegung und Kontrolle, wer wie auf welche Ressourcen zugreifen darf. IAM ist der Rahmen, den der BSI-Baustein ORP.4 für beide Bereiche verwendet; Identitätsmanagement ist einer dieser Bereiche, Berechtigungsmanagement der andere, zu dem die Prozesse für Zuweisung, Entzug und Kontrolle der Rechte gehören.
Woran erkenne ich ein gut aufgesetztes IAM?
| Merkmal | Worauf es ankommt |
|---|---|
| Informationen über personelle Veränderungen erreichen die Administration | Erhält der Administrator möglicherweise keine Informationen über personelle Veränderungen, wird beispielsweise die Benutzerkennung eines ausgeschiedenen Mitarbeiters nicht gelöscht (BSI). |
| Zugänge lassen sich beim Ausscheiden in einem Arbeitsschritt sperren | Laut BSI können beim Ausscheiden eines Mitarbeiters aus der Institution unter Umständen nicht in einem Arbeitsschritt alle Zugänge gesperrt werden, etwa wenn nicht auf allen IT-Systemen eine gleiche und eindeutige Benutzerkennung verwendet wird und es keine zentrale Übersicht über die Benutzerzugänge gibt. |
| Zentrale Übersicht und Deaktivierungsmöglichkeit | Das BSI nennt als Schwäche das Fehlen einer zentralen Übersicht oder Deaktivierungsmöglichkeit; im Notfall können dann nicht alle Konten gleichzeitig gesperrt werden. |
Schutz im Ernstfall
Vorbeugen
- Nach dem BSI-Baustein ORP.4 dürfen Benutzerkennungen und Berechtigungen nur aufgrund des tatsächlichen Bedarfs und der Notwendigkeit zur Aufgabenerfüllung vergeben werden (Prinzip der geringsten Berechtigungen).
- Bei personellen Veränderungen müssen nach demselben Baustein die nicht mehr benötigten Benutzerkennungen und Berechtigungen entfernt werden.
- Als Ziel nennt das BSI, dass der Zugriff nur autorisierten Personen und Komponenten gewährt wird und diese nur die Rechte erhalten, die sie für ihre aktuelle Tätigkeit zwingend benötigen.
- Die Richtlinie (EU) 2022/2555 (NIS-2) verpflichtet die Mitgliedstaaten sicherzustellen, dass wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige Maßnahmen ergreifen; unter den dort aufgeführten Punkten stehen auch Konzepte für die Zugriffskontrolle.
Beispiele aus der Praxis
- Bei einem Wechsel der Aufgabe entfernt die Administration Benutzerkennungen und Berechtigungen, die nicht mehr benötigt werden; so verlangt es der BSI-Baustein ORP.4 bei personellen Veränderungen.
- Fehlt eine zentrale Übersicht oder Deaktivierungsmöglichkeit, können im Notfall nicht alle Konten gleichzeitig gesperrt werden; das BSI nennt dies als Schwäche dezentraler Verwaltung.
- Ein Benutzer erhält Zugriff nur auf die Ressourcen, die er für seine Arbeit benötigt und für die er autorisiert ist; unautorisierten Benutzern wird der Zugriff verwehrt.
- Ein Versicherer vergibt Vermittlern und Dienstleistern Zugänge nur im Umfang ihrer Aufgabe und entzieht sie, wenn die Zusammenarbeit endet.
