Auch genannt: IAM, Identitäts- und Zugriffsmanagement, Identity Management
Identity and Access Management (IAM) bezeichnet die organisatorischen und technischen Verfahren, mit denen eine Organisation digitale Identitäten, Konten und Zugriffsrechte verwaltet. Das Ziel lässt sich einfach formulieren: Die richtigen Personen und Systeme sollen zur richtigen Zeit auf die Ressourcen zugreifen können, die sie für ihre Aufgabe benötigen – und nicht auf mehr. NIST beschreibt IAM entsprechend als grundlegende Cybersicherheitsfähigkeit und verknüpft sie mit sicherem, datenschutzförderndem und nutzbarem Zugriff über den Systemlebenszyklus.[1]
Eine digitale Identität ist dabei nicht zwingend der bürgerliche Name einer Person. Sie ist im Kontext eines Online-Dienstes eindeutig und kann auch ein pseudonymes Konto sein. NIST weist darauf hin, dass eine Person mehrere digitale Identitäten haben kann und dass bei manchen Diensten keine Kenntnis der realen Identität erforderlich ist.[2] IAM ordnet solchen Identitäten Konten, Merkmale, Rollen und Berechtigungen zu.
In einem Unternehmen nutzen Beschäftigte E-Mail, eine Personalsoftware, eine Dateiablage und Fachanwendungen. IAM sorgt dafür, dass ein neues Konto angelegt werden kann, dass es einer Person oder einer dienstlichen Funktion zugeordnet wird und dass die passenden Zugriffe eingerichtet werden. Ändert sich die Aufgabe einer Person, müssen die Rechte überprüft und angepasst werden. Beim Austritt müssen Konten und Zugriffswege entzogen oder nach einer festgelegten Regel behandelt werden. Dieses Muster wird häufig als Joiner-Mover-Leaver-Lebenszyklus beschrieben.
Dabei geht es nicht allein um Mitarbeitende. Auch Dienstkonten, Anwendungen oder Geräte können Identitäten besitzen und auf Ressourcen zugreifen. Für jede dieser Identitäten ist nachvollziehbar festzulegen, welche Ressourcen sie benötigt und wer die Vergabe verantwortet. CISA und NSA empfehlen unter anderem, lokale Identitäten auf den vorhandenen Systemen zu ermitteln, damit sichtbar wird, wer auf welche Werte zugreifen kann.[3]
IAM verbindet mehrere Aufgaben, die zusammen den Zugriff steuerbar machen:
Die Reihenfolge ist wichtig: Eine erfolgreiche Anmeldung ist noch keine Erlaubnis, vertrauliche Daten zu lesen oder Einstellungen zu ändern. NIST beschreibt, dass eine Anwendung bei föderierten Identitäten Informationen wie Identität, Vertrauensniveau und weitere Faktoren für Autorisierungsentscheidungen heranzieht.[2:2]
Ein IAM-System kann zentrale Verzeichnisse und Anwendungen miteinander verbinden. Bei Single Sign-on (SSO) meldet sich eine Person einmal bei einem Identitätsanbieter an und kann anschließend mehrere angebundene Anwendungen nutzen. CISA und NSA nennen SAML als ein Verfahren, mit dem Authentifizierungs- und Autorisierungsdaten zwischen Identitäts- und Dienstanbietern ausgetauscht werden können; ein typischer Anwendungsfall ist SSO.[3:1] Ob SSO eingesetzt wird, entscheidet jedoch nicht über die Qualität der Rechteverwaltung: Auch zentral angemeldete Konten brauchen passende, überprüfte Berechtigungen.
Eine Mitarbeiterin beginnt im Kundenservice. Nach der Kontoanlage erhält sie über ihre Rolle Zugriff auf das Ticketsystem und die Wissensdatenbank. Finanzdaten oder die Administration des Identitätsdienstes bleiben für diese Rolle gesperrt. Meldet sie sich an, prüft die Anwendung zunächst ihren Anmeldenachweis. Erst danach wertet sie die hinterlegte Rolle aus und zeigt die für den Kundenservice vorgesehenen Funktionen.
Wechselt die Mitarbeiterin später in die Buchhaltung, reicht es nicht, ihr zusätzliche Rechte zu geben. Die bisherigen Kundenservice-Rechte müssen ebenfalls überprüft werden. Ein sauberer IAM-Prozess ersetzt oder ergänzt die Rolle nach dem tatsächlichen Aufgabenprofil und dokumentiert die Änderung. Verlässt die Mitarbeiterin das Unternehmen, wird der Zugriff nach der festgelegten Austrittsregel entfernt. So reduziert die Organisation das Risiko, dass frühere Berechtigungen unbemerkt weiterbestehen.
Für besonders sensible Konten kann außerdem ein stärkerer Anmeldenachweis erforderlich sein. NIST empfiehlt einen risikobasierten Ansatz: Schutzmaßnahmen sollen zum Risiko des jeweiligen Dienstes passen und neben Sicherheit auch Datenschutz und Nutzbarkeit berücksichtigen.[2:3] IAM ist daher keine einmalige Installation, sondern eine fortlaufende Aufgabe aus Regeln, technischen Verbindungen und Kontrolle.
Authentifizierung beantwortet die Frage: „Wer oder was meldet sich an?“ Sie prüft einen Nachweis, etwa ein Passwort in Verbindung mit einem weiteren Faktor oder einen anderen Authenticator. Autorisierung beantwortet die nachgelagerte Frage: „Was darf diese Identität hier tun?“ Sie entscheidet beispielsweise, ob ein Dokument nur gelesen, verändert oder gar nicht geöffnet werden darf.
IAM ist der weiter gefasste Rahmen. Es umfasst nicht nur diese beiden Prüfungen beim Zugriff, sondern auch die Verwaltung der Identitäten, die Vergabe und Überprüfung von Berechtigungen, Konten über ihren Lebenszyklus sowie häufig die Verbindung mehrerer Anwendungen. SSO ist wiederum nur ein mögliches Anmeldemuster innerhalb einer IAM-Architektur: Es vereinfacht den Zugang zu mehreren Diensten, ersetzt aber weder die Pflege der Rollen noch die Prüfung, ob ein Zugriff weiterhin nötig ist.
NIST: Identity and access management, abgerufen am 13. September 2026. Belegt IAM als grundlegende Cybersicherheitsfähigkeit sowie den Bezug zu richtigem Zugriff, Sicherheit, Datenschutz, Nutzbarkeit und Lebenszyklus. ↩︎
NIST SP 800-63-4: Digital Identity Guidelines, Stand der abgerufenen Seite: 26. August 2025; abgerufen am 13. September 2026. Belegt den Kontext digitaler Identitäten, Identitätsprüfung, Authentifizierung, Föderation, Autorisierungsentscheidungen und den risikobasierten Ansatz. ↩︎ ↩︎ ↩︎ ↩︎
CISA/NSA: Identity and Access Management – Recommended Best Practices for Administrators (PDF), Dezember 2023; abgerufen am 13. September 2026. Belegt IAM-Governance, die Erfassung lokaler Identitäten sowie SAML/SSO als IAM-bezogene Praxis. ↩︎ ↩︎