Identity & Access Management (IAM) / Berechtigungsmanagement
Regulatorisch gefordert – operativ umsetzbar
Identity & Access Management (IAM) ist weit mehr als nur ein technisches Thema. Es ist ein zentraler Baustein jeder regulatorisch tragfähigen Sicherheitsarchitektur – und wird u. a. in DORA, NIS-2, der BAIT, VAIT und MaRisk explizit gefordert.
Trotzdem zeigt die Praxis: Viele Organisationen – auch größere – haben noch kein vollständiges, nachvollziehbares und prüfungsfestes Berechtigungsmanagement etabliert.
Dabei bestehen die Anforderungen bereits seit Jahren – etwa zur Funktionstrennung, zu Berechtigungskonzepten, zum Lebenszyklusmanagement oder zur regelmäßigen Rezertifizierung von Berechtigungen.
Ich verfüge über langjährige Erfahrung aus zahlreichen Projekten – vom grundsätzlichen Aufbau eines Berechtigungsmanagements bis zur detaillierten operativen Ausgestaltung einzelner Teilbereiche.
Typische Einsatzsituationen:
- Aufbau eines IAM-Frameworks oder einer Governance-Struktur
- Unterstützung bei Prüfungsfeststellungen der internen Revision oder Aufsicht
- Optimierung bestehender Prozesse – z. B. Rollenmodellierung, Rezertifizierung oder SoD-Analysen
- Integration von IAM in bestehende IT- und Sicherheitsstrukturen
- IAM-Fit-Gap-Analysen im Rahmen regulatorischer Programme wie DORA
IAM ist kein Selbstzweck – sondern Voraussetzung für sichere und regelkonforme digitale Strukturen.
Ich helfe Ihnen dabei, ein tragfähiges und gleichzeitig praktikables Berechtigungsmanagement zu etablieren – abgestimmt auf Ihre Organisation, Ihre Risiken und Ihre regulatorischen Anforderungen.
Teilbereiche eines tragfähigen IAM-Systems
Ein professionelles Identity & Access Management besteht aus zahlreichen ineinandergreifenden Bausteinen. Ich unterstütze Unternehmen dabei, diese Teilbereiche gezielt aufzubauen oder weiterzuentwickeln – praxisnah, revisionssicher und regulatorisch fundiert.
Zugang, Zugriff und Zutritt
- Differenzierung technischer, logischer und physischer Zugänge
- Konzeption klarer Zugriffskonzepte auf System- und Anwendungsebene
Berechtigungskonzepte
- Entwicklung rollen- und regelbasierter Berechtigungskonzepte
- Definition von Berechtigungsklassen, Funktionstrennungen und Zugriffs-Policies
Lebenszyklusmanagement (Joiner / Mover / Leaver)
- Gestaltung automatisierter Prozesse zur Zuweisung, Änderung und Entfernung von Berechtigungen
- Abbildung von organisatorischen Veränderungen im Berechtigungsmodell
Rezertifizierung und Kontrollen
- Planung und Durchführung regelmäßiger Rezertifizierungen (z. B. jährlich oder risikobasiert)
- Toolgestützte Umsetzung und revisionssichere Dokumentation
IAM-Tool-Integration
- Unterstützung bei der Auswahl, Einführung oder Optimierung von IAM-Systemen
- Harmonisierung technischer und fachlicher Anforderungen in der Tool-Landschaft
Rollenkonzepte & Zugriffsteuerung
- Einführung von Role-Based Access Control (RBAC) oder Attribute-Based Access Control (ABAC)
- Beratung bei der Auswahl geeigneter Steuerungsmodelle (RBAC, ABAC, ARBAC)
- Vergleich und Kombination von RBAC und ABAC je nach Unternehmensanforderung
Segregation of Duties (SoD)
- Identifikation und Bewertung kritischer Kombinationen von Berechtigungen
- Aufbau von SoD-Regelwerken und systemischer Überwachung
Privileged Access Management (PAM)
- Aufbau kontrollierter und protokollierter Zugänge zu privilegierten Konten
- Trennung von Standard- und Administrationsrechten mit temporären Freigabemechanismen