Im IT-Grundschutz-Baustein ORP.4 des BSI fasst der Begriff Identit\u00e4ts- und Berechtigungsmanagement (englisch Identity and Access Management, IAM) zwei Bereiche zusammen, weil die \u00dcberg\u00e4nge zwischen ihnen flie\u00dfend sind. Das Identit\u00e4tsmanagement ist die Verwaltung der Informationen, die zur eindeutigen Identifizierung und Authentisierung, also zur Pr\u00fcfung der Echtheit, von Benutzern und IT-Komponenten notwendig sind. Das Berechtigungsmanagement legt fest und kontrolliert, wer (Benutzer und IT-Komponenten) wie auf welche Ressourcen zugreifen darf (Autorisierung); dazu geh\u00f6ren die Prozesse f\u00fcr Zuweisung, Entzug und Kontrolle der Rechte<\/strong>. Der Zugang zu sch\u00fctzenswerten Ressourcen einer Institution ist dabei auf berechtigte Benutzer und berechtigte IT-Komponenten einzuschr\u00e4nken.<\/p>\n Mit IAM verwaltet ein Versicherer digitale Identit\u00e4ten und Zugriffsrechte von Fachkr\u00e4ften, Vermittlern und Dienstleistern; bei geeigneter Konfiguration unterst\u00fctzt es bedarfsgerechte Berechtigungen und den Entzug von Zug\u00e4ngen beim Ausscheiden aus der Organisation. Der Baustein verlangt, Benutzerkennungen und Berechtigungen nur aufgrund des tats\u00e4chlichen Bedarfs und der Notwendigkeit zur Aufgabenerf\u00fcllung zu vergeben (Prinzip der geringsten Berechtigungen<\/strong>, englisch Least Privilege). Bei personellen Ver\u00e4nderungen m\u00fcssen nicht mehr ben\u00f6tigte Benutzerkennungen und Berechtigungen nach dem Baustein entfernt werden.<\/p>\n Im Identit\u00e4tsmanagement werden zun\u00e4chst die Informationen verwaltet, die f\u00fcr die eindeutige Identifizierung und Authentisierung von Benutzern und IT-Komponenten notwendig sind. Auf dieser Grundlage legt das Berechtigungsmanagement fest, wer wie auf welche Ressourcen zugreifen darf<\/strong> (Autorisierung). Rechte werden dabei nach dem Prinzip der geringsten Berechtigungen und dem Erforderlichkeitsprinzip (englisch Need-to-know) vergeben, also nur im Umfang des tats\u00e4chlichen Bedarfs und der Notwendigkeit zur Aufgabenerf\u00fcllung.<\/p>\n Bei personellen Ver\u00e4nderungen m\u00fcssen nach dem BSI-Baustein ORP.4 nicht mehr ben\u00f6tigte Benutzerkennungen und Berechtigungen entfernt werden. Das BSI beschreibt, dass der Administrator m\u00f6glicherweise keine Informationen \u00fcber personelle Ver\u00e4nderungen erh\u00e4lt<\/strong>, sodass beispielsweise die Benutzerkennung eines ausgeschiedenen Mitarbeiters nicht gel\u00f6scht wird. Ebenso k\u00f6nnen laut BSI in diesem Szenario beim Ausscheiden eines Mitarbeiters aus der Institution nicht in einem Arbeitsschritt alle Zug\u00e4nge gesperrt werden. Als Schw\u00e4che nennt das BSI auch das Fehlen einer zentralen \u00dcbersicht oder Deaktivierungsm\u00f6glichkeit, sodass im Notfall nicht alle Konten gleichzeitig gesperrt werden k\u00f6nnen.<\/p>\n IAM fasst nach dem BSI Identit\u00e4ts- und Berechtigungsmanagement unter einem Begriff zusammen, und die \u00dcberg\u00e4nge sind flie\u00dfend. Authentifizierung ist ein Teilprozess etwa eines Anmeldevorgangs; das BSI unterscheidet Authentisierung und Authentifizierung als verschiedene Teilprozesse<\/strong>.<\/p>\n Identit\u00e4tsmanagement ist nach dem BSI die Verwaltung der Informationen, die zur eindeutigen Identifizierung und Authentisierung von Benutzenden und IT-Komponenten notwendig sind. Autorisierung ist nach dem BSI (Berechtigungsmanagement) die Festlegung und Kontrolle<\/strong>, wer wie auf welche Ressourcen zugreifen darf. IAM ist der Rahmen, den der BSI-Baustein ORP.4 f\u00fcr beide Bereiche verwendet; Identit\u00e4tsmanagement ist einer dieser Bereiche, Berechtigungsmanagement der andere, zu dem die Prozesse f\u00fcr Zuweisung, Entzug und Kontrolle der Rechte geh\u00f6ren.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[419,393,401],"class_list":["post-34069","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-identitaets-zugriffsmanagement-iam","glossary_intl_topic-cybersecurity","glossary_intl_topic-identitaet-zugriff"],"acf":{"card_description":"IAM verwaltet Identit\u00e4ten und regelt, wer auf welche Ressourcen zugreifen darf, vom Zuweisen bis zum Entzug von Rechten.","nav_theme":"Identit\u00e4t & Zugriff","nav_subtheme":"Identit\u00e4ts- & Zugriffsmanagement (IAM)","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"Identity and Access Management"},{"value":"Identit\u00e4ts- und Zugriffsmanagement"}],"lead_definition":"IAM (Identity and Access Management) bezeichnet die Verwaltung von Identit\u00e4ten und Zugriffsrechten, damit nur berechtigte Benutzer und IT-Komponenten einer Institution auf Ressourcen zugreifen, f\u00fcr die sie autorisiert sind.","at_a_glance":[{"bullet":"Der BSI-Baustein ORP.4 nutzt daf\u00fcr den Begriff Identit\u00e4ts- und Berechtigungsmanagement, weil die \u00dcberg\u00e4nge zwischen beiden Bereichen flie\u00dfend sind."},{"bullet":"Zum Berechtigungsmanagement geh\u00f6ren die Prozesse f\u00fcr Zuweisung, Entzug und Kontrolle der Rechte."},{"bullet":"Nach dem BSI-Baustein ORP.4 d\u00fcrfen Rechte nur nach dem Prinzip der geringsten Berechtigungen (Least Privilege) und dem Erforderlichkeitsprinzip (Need-to-know) vergeben werden."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Bei einem Wechsel der Aufgabe entfernt die Administration Benutzerkennungen und Berechtigungen, die nicht mehr ben\u00f6tigt werden; so verlangt es der BSI-Baustein ORP.4 bei personellen Ver\u00e4nderungen."},{"example":"Fehlt eine zentrale \u00dcbersicht oder Deaktivierungsm\u00f6glichkeit, k\u00f6nnen im Notfall nicht alle Konten gleichzeitig gesperrt werden; das BSI nennt dies als Schw\u00e4che dezentraler Verwaltung."},{"example":"Ein Benutzer erh\u00e4lt Zugriff nur auf die Ressourcen, die er f\u00fcr seine Arbeit ben\u00f6tigt und f\u00fcr die er autorisiert ist; unautorisierten Benutzern wird der Zugriff verwehrt."},{"example":"Ein Versicherer vergibt Vermittlern und Dienstleistern Zug\u00e4nge nur im Umfang ihrer Aufgabe und entzieht sie, wenn die Zusammenarbeit endet."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[34079,34073],"pillar_link":null,"sources":[{"publisher":"","name":"ORP.4 Identit\u00e4ts- und Berechtigungsmanagement","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Grundschutz\/IT-GS-Kompendium_Einzel_PDFs_2022\/02_ORP_Organisation_und_Personal\/ORP_4_Identitaets_und_Berechtigungsmanagement_Editon_2022.pdf?__blob=publicationFile&v=3","doc_type":"2021","group":"used"},{"publisher":"","name":"Personalsicherheit, Zugriffskontrolle, Assetmanagement","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Regulierte-Wirtschaft\/NIS-2-regulierte-Unternehmen\/NIS-2-Infopakete\/NIS-2-Personalsicherheit\/NIS-2-Personalsicherheit_node.html","doc_type":"","group":"used"},{"publisher":"","name":"Zwei-Faktor-Authentisierung \u2013 mehr Sicherheit f\u00fcr Ger\u00e4te und Daten","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Verbraucherinnen-und-Verbraucher\/Informationen-und-Empfehlungen\/Cyber-Sicherheitsempfehlungen\/Accountschutz\/Zwei-Faktor-Authentisierung\/zwei-faktor-authentisierung_node.html","doc_type":"","group":"used"},{"publisher":"","name":"Richtlinie (EU) 2022\/2555 (NIS-2-Richtlinie), ABl. L 333 vom 27.12.2022","url":"https:\/\/publications.europa.eu\/resource\/cellar\/9b84d482-85bd-11ed-9887-01aa75ed71a1.0004.03\/DOC_1","doc_type":"","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-11-08"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie funktioniert IAM im Unternehmen?<\/h2>\n
IAM im Vergleich<\/h2>\n
Woran erkenne ich ein gut aufgesetztes IAM?<\/h2>\n
\n\n
\n \nMerkmal<\/th>\n Worauf es ankommt<\/th>\n<\/tr>\n<\/thead>\n \n Informationen \u00fcber personelle Ver\u00e4nderungen erreichen die Administration<\/td>\n Erh\u00e4lt der Administrator m\u00f6glicherweise keine Informationen \u00fcber personelle Ver\u00e4nderungen, wird beispielsweise die Benutzerkennung eines ausgeschiedenen Mitarbeiters nicht gel\u00f6scht (BSI).<\/td>\n<\/tr>\n \n Zug\u00e4nge lassen sich beim Ausscheiden in einem Arbeitsschritt sperren<\/td>\n Laut BSI k\u00f6nnen beim Ausscheiden eines Mitarbeiters aus der Institution unter Umst\u00e4nden nicht in einem Arbeitsschritt alle Zug\u00e4nge gesperrt werden, etwa wenn nicht auf allen IT-Systemen eine gleiche und eindeutige Benutzerkennung verwendet wird und es keine zentrale \u00dcbersicht \u00fcber die Benutzerzug\u00e4nge gibt.<\/td>\n<\/tr>\n \n Zentrale \u00dcbersicht und Deaktivierungsm\u00f6glichkeit<\/td>\n Das BSI nennt als Schw\u00e4che das Fehlen einer zentralen \u00dcbersicht oder Deaktivierungsm\u00f6glichkeit; im Notfall k\u00f6nnen dann nicht alle Konten gleichzeitig gesperrt werden.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n