IAM umfasst alle Prozesse und Systeme, die steuern, wer auf welche Ressourcen zugreifen darf. Es ist das Fundament moderner Sicherheit – und oft der entscheidende Angriffsvektor.
Identity and Access Management (IAM) bezeichnet die Gesamtheit aus Prozessen, Richtlinien und Systemen, mit denen eine Organisation digitale Identitäten verwaltet und steuert, wer auf welche Ressource zugreifen darf. IAM beantwortet drei Fragen: Wer ist jemand (Authentifizierung), was darf diese Person (Autorisierung) und wie wird dieser Zugriff über den gesamten Lebenszyklus verwaltet.
In modernen Umgebungen ist die Identität der neue Perimeter. Mit der Verlagerung in die Cloud schützt die klassische Netzwerkgrenze immer weniger – entscheidend ist, wie sauber Zugriffe gesteuert werden. IAM reicht vom lokalen Active Directory über Entra ID bis zu SaaS- und Cloud-Diensten.
Bausteine eines IAM
- Lifecycle-Management: Konten beim Eintritt anlegen, bei Rollenwechsel anpassen, beim Austritt entziehen,
- Authentifizierung inklusive MFA und passwortloser Verfahren,
- Autorisierung über Rollen und Berechtigungen (RBAC),
- Privileged Access Management für hochprivilegierte Konten,
- Protokollierung und regelmäßige Rezertifizierung von Rechten.
Bedeutung für Unternehmen
Schwaches IAM ist eine der häufigsten Ursachen erfolgreicher Angriffe. Ehemalige Mitarbeitende mit aktiven Konten, über Jahre angesammelte Rechte, fehlende MFA und überprivilegierte Dienste schaffen Pfade, die kein Firewall-Regelwerk schließt. Regulatorische Vorgaben wie NIS2 und DSGVO Art. 32 verlangen nachweislich wirksame Zugriffssteuerung – IAM ist damit nicht nur Technik, sondern auch Compliance-Thema für die Geschäftsleitung. Wächst eine Organisation, wächst die Zahl der Konten und Rechte schneller als die Kontrolle darüber – ohne feste Prozesse entsteht ein unübersichtliches Geflecht, das Angreifern viele Einstiegspunkte bietet.
Härtung und Prüfung aus Red-Team-Sicht
Ein Red Team nutzt IAM-Schwächen gezielt: übernommene Konten, zu breite Rechte, fehlende MFA und vergessene Zugänge. Geprüft wird, wie weit sich ein Angreifer mit einer einzigen kompromittierten Identität bewegen kann. Empfohlene Maßnahmen:
- konsequentes Least Privilege und regelmäßige Rezertifizierung,
- phishing-resistente MFA, besonders für privilegierte Rollen,
- sauberer Joiner-Mover-Leaver-Prozess, damit kein Konto verwaist,
- Orientierung an Zero Trust: jeder Zugriff wird geprüft, nicht pauschal vertraut,
- zentrale Protokollierung aller Anmeldungen und Rechteänderungen.
Wir prüfen Identitäts- und Zugriffsstrukturen in unserer Active-Directory- und Cloud-Leistung. Mehr dazu im Ratgeber Cloud Red Teaming: Identitäten im Fokus.