Wie Identity Governance & Administration (IGA) ein IAM-System wie AccessKeeper erweitert

Lesezeit: 12 Minuten

Unternehmen stehen heute vor einer wachsenden Herausforderung: Wer hat Zugriff auf welche Systeme – und ist das auch berechtigt? Identity & Access Management (IAM) bildet seit Jahren das Fundament für sichere Zugriffskontrolle. Doch mit steigenden regulatorischen Anforderungen, komplexeren IT-Landschaften und dem Ruf nach mehr Transparenz reicht IAM allein oft nicht mehr aus. Hier kommt Identity Governance & Administration (IGA) ins Spiel – als strategische Erweiterung, die ein IAM-System wie AccessKeeper auf ein neues Level hebt.

Doch was genau unterscheidet IGA von IAM? Und wie profitieren Unternehmen konkret davon, wenn beide Disziplinen zusammenwirken?

IAM: Die operative Basis

Identity & Access Management ist der operative Kern der Zugriffsverwaltung. Ein IAM-System wie AccessKeeper sorgt dafür, dass die richtigen Personen zur richtigen Zeit Zugang zu den richtigen Ressourcen erhalten. Die Kernfunktionen umfassen dabei typischerweise Authentifizierung (Wer bist du?), Autorisierung (Was darfst du?), Single Sign-On (SSO), Multi-Faktor-Authentifizierung (MFA) sowie die Verwaltung von Benutzerkonten und Berechtigungen über deren gesamten Lebenszyklus hinweg.

AccessKeeper als IAM-Lösung stellt sicher, dass Zugriffsrechte technisch korrekt umgesetzt werden. Es ist das Werkzeug, das Türen öffnet und schließt – schnell, zuverlässig und automatisiert.

Das Problem: IAM beantwortet die Frage „Kann dieser Benutzer zugreifen?" – aber nicht die Frage „Sollte dieser Benutzer zugreifen?"

IGA: Governance trifft Administration

Identity Governance & Administration geht einen entscheidenden Schritt weiter. IGA ergänzt die operativen Fähigkeiten eines IAM-Systems um eine strategische Governance-Schicht. Es geht nicht mehr nur darum, Zugriffe zu verwalten, sondern darum, sie zu hinterfragen, zu überprüfen und nachweisbar compliant zu gestalten.

Ein zentraler Baustein von IGA ist die Access Certification und Rezertifizierung. In vielen Unternehmen werden Zugriffsrechte einmalig vergeben – und dann nie wieder überprüft. Über Monate und Jahre sammeln Mitarbeitende so Berechtigungen an, die sie längst nicht mehr benötigen: ein Projektzugang aus dem Vorjahr, eine Testumgebung, die nie abgebaut wurde, ein Shared Drive einer Abteilung, der man nicht mehr angehört. IGA durchbricht dieses Muster, indem es regelmäßige Rezertifizierungskampagnen auslöst. Dabei werden Führungskräfte und Anwendungseigner systematisch aufgefordert, die bestehenden Zugriffsrechte ihrer Teams und Systeme zu überprüfen und aktiv zu bestätigen oder zu entziehen. Dieser Prozess stellt sicher, dass der tatsächliche Berechtigungsstand kontinuierlich mit dem geschäftlichen Bedarf übereinstimmt.

Eng damit verknüpft ist das Prinzip der Segregation of Duties (SoD) – der Funktionstrennung. In jeder Organisation gibt es Rechtekombinationen, die ein erhebliches Risiko darstellen, wenn sie in einer Hand liegen. Ein klassisches Beispiel aus dem Finanzbereich: Wer Bestellungen anlegen darf, sollte nicht gleichzeitig die Befugnis haben, die zugehörigen Rechnungen freizugeben. Ohne systematische Kontrolle entstehen solche toxischen Kombinationen oft schleichend – etwa wenn ein Mitarbeiter die Abteilung wechselt und alte Rechte behält, während neue hinzukommen. IGA erkennt diese Konflikte automatisch, meldet sie an die Verantwortlichen und kann bei entsprechender Konfiguration verhindern, dass gefährliche Kombinationen überhaupt erst entstehen.

Ein weiterer wesentlicher Bestandteil sind strukturierte Access Request Workflows. In vielen Organisationen läuft die Beantragung neuer Zugriffsrechte noch immer über informelle Kanäle: eine E-Mail an die IT, ein kurzer Zuruf an den Admin, ein Ticket ohne klaren Genehmigungsprozess. IGA ersetzt diese intransparenten Wege durch standardisierte Antragsworkflows. Jede Zugriffsanfrage durchläuft definierte Genehmigungsstufen – vom direkten Vorgesetzten über den Daten- oder Anwendungseigner bis hin zu automatischen Policy-Checks. Eskalationspfade greifen, wenn Genehmigungen ausbleiben, und jeder Schritt wird revisionssicher dokumentiert.

Darüber hinaus ermöglicht IGA ein zentrales Policy Management, das Zugriffsrichtlinien über alle angebundenen Systeme hinweg definiert und durchsetzt. Unternehmen hinterlegen ihre Compliance-Anforderungen – seien es regulatorische Vorgaben, interne Sicherheitsrichtlinien oder branchenspezifische Standards – als maschinenlesbare Regeln. Diese werden bei jeder Berechtigungsänderung automatisch geprüft, sodass Verstöße nicht erst im nächsten Audit auffallen, sondern in Echtzeit erkannt werden.

All diese Prozesse münden schließlich in ein umfassendes Audit- und Reporting-Framework. IGA schafft lückenlose Nachvollziehbarkeit: Wer hat wann welche Rechte erhalten? Wer hat den Zugriff genehmigt, und auf welcher geschäftlichen Grundlage? Welche Rezertifizierungen wurden durchgeführt, und welche Rechte wurden dabei entzogen? Diese Transparenz ist nicht nur für externe Prüfer essenziell, sondern gibt auch internen Verantwortlichen die Werkzeuge an die Hand, um fundierte Entscheidungen über die Zugriffslandschaft ihres Unternehmens zu treffen.

IGA in der Praxis: Drei typische Szenarien

Theorie ist das eine – doch wo zeigt IGA seinen Wert im Unternehmensalltag? Drei Praxisbeispiele verdeutlichen, warum Identity Governance für viele Organisationen unverzichtbar geworden ist.

Szenario 1: Der schleichende Rechte-Wildwuchs nach internen Wechseln

Ein Mitarbeiter startet im Unternehmen als Junior Controller im Finanzbereich und erhält Zugriff auf das ERP-System, die Buchhaltungssoftware und mehrere Finanz-Shared-Drives. Nach zwei Jahren wechselt er intern ins Produktmanagement. Er bekommt neue Zugriffsrechte für Jira, Confluence und das PIM-System – seine alten Finanzberechtigungen bleiben jedoch bestehen, weil niemand aktiv daran denkt, sie zu entziehen. Wieder ein Jahr später übernimmt er eine Teamleitungsrolle und erhält zusätzliche Freigaberechte.

Das Ergebnis: Ein einzelner Mitarbeiter verfügt nun über Berechtigungen aus drei verschiedenen Rollen – darunter eine toxische Kombination aus Finanzzugriff und Freigabebefugnis. Ohne IGA bleibt dieses Risiko unsichtbar. Mit einer IGA-Lösung hätte eine Rezertifizierungskampagne die veralteten Finanzrechte beim Abteilungswechsel identifiziert, und eine SoD-Prüfung hätte die kritische Rechtekombination automatisch gemeldet.

Szenario 2: Der externe Auditor klopft an

Ein Finanzdienstleister steht vor der jährlichen Prüfung durch die BaFin-Aufsicht. Die Prüfer verlangen den Nachweis, dass Zugriffsrechte auf kritische Systeme regelmäßig überprüft werden, dass keine unzulässigen Rechtekombinationen existieren und dass jede Berechtigungsvergabe nachvollziehbar genehmigt wurde. Ohne IGA beginnt nun ein wochenlanges Zusammensuchen von Excel-Listen, E-Mail-Verläufen und manuellen Dokumentationen – mit dem Risiko, dass Lücken sichtbar werden.

Mit einer IGA-Lösung dagegen liefert das System auf Knopfdruck einen vollständigen Audit-Trail: alle Rezertifizierungszyklen mit Ergebnissen, alle SoD-Konflikte mit deren Behandlung, alle Zugriffsanträge mit Genehmigungshistorie. Was ohne IGA Wochen dauert und Unsicherheit erzeugt, wird zu einem strukturierten, jederzeit abrufbaren Nachweis.

Szenario 3: Schnelles Onboarding ohne Kontrollverlust

Ein wachsendes Technologieunternehmen stellt im Quartal 50 neue Mitarbeitende ein. Jede Person benötigt je nach Rolle Zugriff auf eine Kombination aus Cloud-Diensten, internen Tools, Code-Repositories und Kundendatenbanken. Das IAM-System wie AccessKeeper provisioniert die Konten automatisch auf Basis von Rollenprofilen – schnell und effizient.

Doch was passiert, wenn ein neuer Mitarbeiter im Vertrieb versehentlich ein Entwickler-Rollenprofil zugewiesen bekommt und damit Zugriff auf Quellcode und Produktionssysteme erhält? IGA fängt solche Fehler ab, indem es bei jeder Rollenzuweisung automatisch prüft, ob die resultierenden Berechtigungen mit den definierten Richtlinien übereinstimmen. Weicht die Zuweisung ab, wird der Vorgang gestoppt und ein Genehmigungsworkflow ausgelöst, bevor der Zugriff tatsächlich gewährt wird. So bleibt das Onboarding schnell – aber kontrolliert.

Der Unterschied auf den Punkt gebracht

Der Unterschied zwischen IAM und IGA lässt sich am besten über die jeweilige Perspektive verstehen.

IAM ist operativ und technisch orientiert. Es kümmert sich um die Frage, wie Identitäten und Zugriffsrechte technisch verwaltet werden. IAM stellt Konnektoren zu Zielsystemen bereit, synchronisiert Benutzerkonten und setzt Berechtigungen um. Der Fokus liegt auf Effizienz und Automatisierung im Tagesgeschäft.

IGA hingegen ist strategisch und Governance-orientiert. Es stellt die Frage, ob Zugriffsrechte angemessen, regelkonform und nachweisbar sind. IGA richtet sich an Compliance-Verantwortliche, Auditoren und das Management. Der Fokus liegt auf Risikominimierung, Transparenz und regulatorischer Konformität.

Eine hilfreiche Analogie: IAM ist das Schloss an der Tür. IGA ist der Prozess, der festlegt, wer einen Schlüssel bekommen darf, wie oft die Schlüsselvergabe überprüft wird und ob die Vergaberegeln den Vorschriften entsprechen.

Wie IGA ein System wie AccessKeeper konkret erweitert

Wenn IGA auf ein etabliertes IAM-System wie AccessKeeper trifft, entsteht eine Kombination, die sowohl operative Stärke als auch strategische Kontrolle vereint.

Von reaktiv zu proaktiv: AccessKeeper verwaltet Zugriffsrechte effizient. Mit einer IGA-Erweiterung erkennt das Gesamtsystem aber bereits im Vorfeld, wenn eine Berechtigungsanfrage gegen definierte Richtlinien verstößt – noch bevor der Zugriff gewährt wird.

Vom Provisioning zur Governance: AccessKeeper stellt Benutzerkonten bereit und entzieht sie. IGA ergänzt dies um regelmäßige Rezertifizierungskampagnen, die sicherstellen, dass einmal erteilte Rechte auch dauerhaft berechtigt bleiben.

Von der Verwaltung zur Nachweisbarkeit: Während AccessKeeper protokolliert, wer welche Rechte hat, liefert IGA den Kontext dazu – warum wurden die Rechte vergeben, wer hat sie genehmigt, und stehen sie im Einklang mit den Unternehmensrichtlinien?

Vom Einzelsystem zum Gesamtbild: IGA aggregiert Berechtigungsinformationen über alle an AccessKeeper angebundenen Zielsysteme hinweg und schafft so eine einheitliche Sicht auf die gesamte Berechtigungslandschaft – mit Risikobewertung und Handlungsempfehlungen.

Warum Unternehmen jetzt handeln sollten

Die regulatorischen Anforderungen steigen kontinuierlich. Ob DSGVO, NIS2, BAIT, VAIT oder branchenspezifische Vorgaben – Aufsichtsbehörden und Wirtschaftsprüfer erwarten zunehmend, dass Unternehmen nicht nur Zugriffsrechte verwalten, sondern deren Angemessenheit nachweisen können.

Gleichzeitig wächst die Komplexität: hybride Cloud-Umgebungen, SaaS-Anwendungen und dezentrale Arbeitsmodelle führen dazu, dass ein reines IAM-System an seine Grenzen stößt, wenn es darum geht, den Überblick über alle Berechtigungen zu behalten und deren Konformität sicherzustellen.

Die Kombination aus einem leistungsfähigen IAM-System wie AccessKeeper und einer IGA-Erweiterung schafft genau die Brücke zwischen operativer Effizienz und strategischer Kontrolle, die moderne Unternehmen benötigen.

Fazit

IAM und IGA sind keine Konkurrenten – sie sind Partner. Ein IAM-System wie AccessKeeper bildet das starke operative Fundament für die Zugriffsverwaltung. IGA baut darauf auf und ergänzt die entscheidende Governance-Perspektive: Transparenz, Compliance und Risikokontrolle.

Unternehmen, die heute in IGA investieren, schaffen nicht nur die Grundlage für erfolgreiche Audits, sondern positionieren sich strategisch für eine Zukunft, in der nachweisbare Zugriffskontrolle kein „Nice-to-have" mehr ist – sondern eine geschäftskritische Notwendigkeit.