IT-Sicherheit
IAM & SSO
IAM (Identity & Access Management) verwaltet Identitäten und Zugriffsrechte über den Lebenszyklus; SSO ist die Teilfunktion, sich einmal anzumelden.
- Identitäten und Zugriffsrechte
- Lebenszyklus (Joiner/Mover/Leaver)
- SSO über OIDC und SAML
- RBAC und ABAC, Least Privilege
- MFA, SCIM, PAM
IAM (Identity & Access Management) ist die Disziplin, digitale Identitäten und ihre Zugriffsrechte über den gesamten Lebenszyklus zu verwalten. SSO (Single Sign-On) ist eine ihrer Funktionen: sich einmal anmelden und damit ohne erneute Passworteingabe viele Dienste nutzen. SSO ist also Teil von IAM, nicht dasselbe.
Dieser Artikel erklärt die Trennung von Authentifizierung und Autorisierung, den Identitätslebenszyklus, die Rolle des Identity Providers und des Verzeichnisses, SSO über OIDC und SAML samt Föderation, die Berechtigungsmodelle RBAC und ABAC, das automatisierte Provisioning über SCIM, Privileged Access Management sowie den Zero-Trust-Bezug und die Regulatorik.
1. Authentifizierung ist nicht Autorisierung
Die grundlegende Unterscheidung: Authentifizierung klärt „Wer bist du?“, Autorisierung klärt „Was darfst du?“. Ein erfolgreich angemeldeter Nutzer hat damit noch keine Rechte; diese werden separat über Richtlinien vergeben. Diese Trennung sauber zu halten ist sicherheitsentscheidend, weil sie verhindert, dass die bloße Identität schon Zugriff bedeutet.
2. Der Identitätslebenszyklus
IAM begleitet eine Identität von der Anlage bis zur Löschung, oft als Joiner-Mover-Leaver beschrieben: Beim Eintritt wird ein Konto mit den nötigen Rollen angelegt (Provisioning), bei Wechseln werden Rechte angepasst und nicht mehr benötigte entzogen (gegen schleichende Rechteanhäufung), beim Austritt werden alle Zugänge zeitnah gesperrt (Deprovisioning). Gerade das Deprovisioning ist kritisch: Vergessene Konten ausgeschiedener Personen oder Dienstleister sind ein klassischer Angriffsweg.
Die gefährlichsten Konten sind die, an die niemand mehr denkt. Ohne diszipliniertes Deprovisioning sammelt jedes Unternehmen Zombie-Zugänge an.
3. IdP, Verzeichnis und SSO
Im Zentrum steht der Identity Provider (IdP): Er authentifiziert Nutzer und stellt den angebundenen Diensten geprüfte Identitätsnachweise (Tokens) aus. Seine Benutzer und Gruppen bezieht er meist aus einem Verzeichnis (LDAP/Active Directory, eigener Artikel). SSO baut darauf auf: Nach einmaliger Anmeldung beim IdP erhält der Nutzer Zugang zu vielen Diensten, technisch über OpenID Connect oder SAML (jeweils eigene Artikel). Über Organisationsgrenzen hinweg ermöglicht Föderation die gegenseitige Anerkennung von Identitäten.
4. Berechtigungen: RBAC und ABAC
Wie Rechte vergeben werden, beschreiben zwei Modelle. RBAC (Role-Based Access Control) vergibt Rechte über Rollen, einfach zu verwalten und in klar strukturierten Umgebungen bewährt. ABAC (Attribute-Based Access Control) entscheidet anhand von Attributen von Nutzer, Ressource, Aktion und Kontext (etwa Uhrzeit, Standort, Gerätezustand) und erlaubt feingranulare, dynamische Regeln. Leitprinzipien sind Least Privilege (nur die nötigen Rechte) und die Funktionstrennung (Segregation of Duties).
5. Provisioning, MFA und PAM
Drei Bausteine runden IAM ab: SCIM automatisiert das Anlegen und Entfernen von Konten über Systemgrenzen (etwa vom HR-System in den IdP und die Anwendungen), was Joiner und Leaver verlässlich macht. MFA (Mehr-Faktor-Authentifizierung, eigener Artikel) wird am IdP erzwungen, besonders für privilegierte Rollen. PAM (Privileged Access Management) behandelt privilegierte Konten gesondert: Tresor statt Klartext-Passwörter, Sitzungsaufzeichnung und temporäre statt dauerhafter Adminrechte.
6. Zero Trust, Tools und Regulatorik
IAM ist die Voraussetzung für Zero Trust (eigener Artikel): Wenn der Netzstandort kein Vertrauen mehr begründet, wird die Identität zum zentralen Kontrollpunkt. Als quelloffene Identity Provider haben sich Keycloak und authentik etabliert (jeweils eigene Artikel), die OIDC, SAML und LDAP-Anbindung mitbringen. Regulatorisch verlangen ISO 27001, der BSI-Grundschutz und NIS2 belastbare Zugriffskontrolle, inklusive regelmäßiger Überprüfung der Rechte (Rezertifizierung).
7. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Zentrale Kontrolle über Identitäten und Rechte | IdP ist Single Point of Failure (HA nötig) |
| SSO: weniger Anmeldungen und Passwörter | IdP ist Hochwertziel für Angreifer (Härtung, MFA Pflicht) |
| Auditierbarkeit, Grundlage für Compliance | Lifecycle-Disziplin nötig, sonst Zombie-Konten |
| SCIM automatisiert Provisioning/Deprovisioning | Federation/Protokoll-Interop ist komplex |
| Basis für Zero Trust; offene IdPs verfügbar | Eigenbetrieb (Keycloak/authentik) erfordert Know-how |
Häufige Fragen zu IAM & SSO
IAM (Identity & Access Management) ist die übergreifende Disziplin: Sie verwaltet digitale Identitäten und ihre Zugriffsrechte über den gesamten Lebenszyklus, von der Kontoanlage über Rollenänderungen bis zum Entzug, und umfasst Themen wie Berechtigungsmodelle, MFA, Provisioning und privilegierte Konten. SSO (Single Sign-On) ist eine einzelne Funktion davon: sich einmal anmelden und damit viele Dienste nutzen, technisch über OIDC oder SAML. SSO ist also ein Baustein von IAM, nicht dessen Gesamtheit.
Weil vergessene Zugänge ein bevorzugter Angriffsweg sind. Wenn beim Austritt eines Mitarbeiters oder Dienstleisters nicht zeitnah alle Konten gesperrt werden (Deprovisioning), bleiben aktive Zugänge bestehen, die niemand mehr überwacht. Ebenso sammeln sich bei Rollenwechseln ohne Rechteentzug immer mehr Berechtigungen an (Privilege Creep). Ein diszipliniertes Lifecycle-Management, idealerweise über SCIM automatisiert, und regelmäßige Rezertifizierungen verhindern beides.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
IAM & SSO im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.