IAM: Fünf Tipps für die richtige Wahl

In komplexen IT-Landschaften helfen leistungsstarke Identity-and-Access-Management-Dienste (IAM) dabei, Identitäten, Rollen und Berechtigungen übersichtlich und dynamisch zu verwalten. Auf fünf Merkmale sollten IT-Entscheider bei der Auswahl achten.

Die Verwaltung von Nutzerrechten und Zugangsdaten ist eine der wichtigsten Aufgaben in der Unternehmens-IT. Denn in einer zunehmend vernetzten Welt ist die Zutrittskontrolle zu digitalen Ressourcen wichtiger denn je. Und in vielen Firmen ein wunder Punkt: So wurden laut des „Data Breach Investigations Reports“ von Verizon aus dem Jahr 2017 mehr als 80 Prozent der durch Hacking verursachten Sicherheitsverletzungen durch gestohlene oder zu schwache Passwörter verursacht. Wie kann eine IT-Abteilung das effektiv verhindern? Nützlich sind zentral verwaltete Identity-and-Access-Management-Dienste.

IT-Security mit Identity and Access Management

IAM hilft einem Unternehmen dabei, die Nutzungsrechte und Zugangsdaten seiner Mitarbeiter sicher anzulegen, zu speichern und zu verwalten. Die Dienste bestehen aus zwei wichtigen Stufen: Authentifizierung und Autorisierung. Sie regeln, dass genau definierte Nutzer die für sie freigegebenen Applikationen oder Ressourcen nutzen dürfen beziehungsweise können. Dabei bedient sich IAM weiterer Maßnahmen, etwa Single Sign-On (SSO) oder Multi-Faktor-Authentifizierung (MFA), um Anwendern höchste Sicherheit und Bequemlichkeit zu bieten.

Die Bedeutung von Identity and Access Management steigt durch die technischen Entwicklungen der letzten Jahre weiter an. Denn Unternehmen werden durch Cloud Computing, mobile und IoT-Technik agiler, effizienter und flexibler. Das hat zur Folge, dass ihre Mitarbeiter sich häufig nicht mehr hinter sicheren Firewalls oder physischen Barrieren in der Firmenzentrale befinden. Vielmehr arbeiten sie im Home Office, bei Kunden oder unterwegs. Und auch Firmenkunden und Partner interagieren mit Unternehmen über eine Vielzahl digitaler Kanäle.

Nutzeridentitäten als Kern des Sicherheitsmodells

Die wachsende Zahl an Möglichkeiten fordert ein Umdenken – weg von der klassischen Security, bei der vor allem Ein- und Ausgänge eines Netzwerks bewacht werden. Um das eigene Unternehmen bestmöglich zu schützen, ist ein Paradigmenwechsel gefordert: Die Nutzeridentität muss in den Mittelpunkt des Security-Modells rücken. Identity and Access Management stellt sicher, dass Mitarbeiter, Kunden und Geschäftspartner die sind, die sie in der virtuellen Welt zu sein behaupten. Und dass sie einfachen und sicheren Zugang zu genau den Anwendungen erhalten, die sie benötigen – egal, welches Gerät sie dazu nutzen. Das sorgt für eine Reihe geschäftskritischer Vorteile.

Mehr Sicherheit, Transparenz und Komfort

IAM-Lösungen mit Single-Sign-On reduzieren die Anzahl der Passwörter, die sich ein Nutzer merken muss. Das reduziert das Risiko, dass Nutzer immer dieselben oder unsichere Passwörter verwenden und senkt so das Risiko eines erfolgreichen Passwort-Hacks erheblich. Zusätzlich teilen IAM-Dienste den Mitarbeitern genau die Anwendungen zu, die sie für ihre Tätigkeit benötigen. Das reduziert nicht nur möglichen Missbrauch. Es macht die Arbeit am Computer auch übersichtlicher.

Denn IAM ermöglicht auch angenehmeres Arbeiten – das wiederum die Mitarbeiterproduktivität steigert. Hinzu kommt: Unternehmen gewähren mit IAM bei Bedarf auch Kunden und Geschäftspartnern Zugriff auf bestimmte Bereiche. Ein bequemer und sicherer Weg, etwa zum Datenaustausch, mit dem ein Unternehmen kundenfreundlich und innovativ handeln kann.

Und nicht zuletzt senken IAM-Lösungen auch die IT-Kosten. Der Aufwand, ein gesamtes Unternehmen mitsamt allen Anwendungen, Nutzern, Endgeräten und vielem mehr zu sichern, ist signifikant. Identity and Access Management standardisiert und automatisiert die dafür nötigen Vorgänge, was weniger Zeit in Anspruch nimmt.

5 Tipps: So erkennen Unternehmen gute IAM-Dienste

Damit diese Vorteile wirken, benötigen Unternehmen auch einen qualitativ hochwertigen IAM-Dienst. Dieser sollte zumindest folgende fünf Eigenschaften haben:

1. Passende Schnittstellen: Die verwendete IAM-Lösung muss mit den Anwendungen eines Unternehmens kompatibel sein. Das erreicht sie durch eine möglichst hohe Anzahl verfügbarer Schnittstellen, sogenannter Konnektoren. IT-Entscheider sollten bei der Auswahl bereits darauf achten, dass der IAM-Dienst mit den Konnektoren versehen ist, die er für die Applikationen benötigt, die in seine Unternehmen eingesetzt werden.

2. Einhaltung rechtlicher Richtlinien: Am 25. Mai tritt die EU-Datenschutzgrundverordnung (DSGVO) in Kraft – dann gelten deutlich strengere Vorgaben im Umgang mit personenbezogenen Daten. Aus diesem Grund sollten Bedenken hinsichtlich Datensicherheit und Datenschutz immer in die Entscheidung für einen IAM-Dienst miteinbezogen werden. Wird Identity and Access Management beispielsweise als Service aus einem Deutschen Rechenzentrum bezogen, können Anwender sich auf Datenschutz nach deutschem Recht verlassen. So hält es etwa die Deutsche Telekom: Der IAM-Dienst des Partners OneLogin wird in der Open Telekom Cloud bereitgestellt, die in einem redundanten Rechenzentrum in Sachsen-Anhalt betrieben wird.

3. Skalierbarkeit: Ein modernes Unternehmen muss flexibel bleiben. Das heißt aber auch, dass es Fluktuation bei Mitarbeitern, Partnern oder Kunden gibt. Um sie effizient einzubinden, müssen immer genug Nutzerkonten verfügbar sein. Haargenau passt sich daher Identity and Access Management as a Service – also aus der Public Cloud – an die jeweiligen Bedürfnisse an. Je nach Bedarf wächst oder schrumpft der Dienst mit.

4. Zwei-Faktor-Authentifizierung: Ein Passwort für alles – was bequem für den Nutzer ist, muss auch sicher bleiben. Dabei hilft die sogenannte Zwei-Faktor-Authentifizierung. Privatanwender kennen das Prinzip meist vom Online-Banking: Neben dem PIN für den Kontozugang fragt die Bank bei jeglichen Aktivitäten zusätzlich eine TAN ab. Diese erstellen Kunden entweder mit einem Generator zu Hause oder sie erhalten sie per SMS auf ihr Handy.

5. Plausibilitätsprüfung: Hochwertige IAM-Dienste führen außerdem automatisch Sicherheitschecks im Hintergrund durch, so genannte Plausibilitätsprüfungen. Beispielsweise schlagen Systeme wie OneLogin Alarm, wenn jemand versucht, von einem Rechner in den USA auf einen Account zuzugreifen, während der eigentlich Zugriffsberechtigte gerade von seinem Büro in Deutschland aus eingeloggt ist. Auf diese Weise stellt die Lösung sicher, dass nur Befugte Zugriff auf ihren Account und die damit verbundenen Systeme erhalten.

www.telekom.de