Identity & Access Management (IAM) – MFA, SSO, OAuth, Zero Trust

Inhaltsverzeichnis

Schnellübersicht

Auf dieser Seite lernst du alles über Identity and Access Management:

Definition: Was ist IAM und warum ist es wichtig?
Die 4 A's: Authentication, Authorization, Accounting, Administration
Identitäts-Typen: User, Service, Machine, Admin
Authentifizierung: Passwort, MFA, Biometrie, SSO
Autorisierung: RBAC, ABAC, PBAC
Protokolle: OAuth 2.0, OpenID Connect, SAML, Kerberos
Verzeichnisdienste: Active Directory, LDAP
Zero Trust: Never trust, always verify
IDaaS: Identity as a Service
Best Practices: Sicherheitsempfehlungen

1. Was ist Identity & Access Management (IAM)?

Definition

Identity and Access Management (IAM) ist ein Framework aus Prozessen, Technologien und Richtlinien, das sicherstellt, dass die richtigen Personen (und Systeme) zur richtigen Zeit aus den richtigen Gründen auf die richtigen Ressourcen zugreifen können.

IAM beantwortet drei fundamentale Fragen:

Wer bist du? → Authentifizierung (Authentication)
Was darfst du? → Autorisierung (Authorization)
Was hast du getan? → Audit & Accounting

In modernen Unternehmen mit tausenden Benutzern, Cloud-Diensten, mobilen Geräten und APIs ist IAM essenziell für Sicherheit, Compliance und Benutzerfreundlichkeit.

             Warum ist IAM so wichtig?
            Sicherheit: Verhindert unbefugten Zugriff auf sensible Daten
Compliance: Erfüllt DSGVO, ISO 27001, SOX, HIPAA und andere Standards
Effizienz: Automatisierte Provisionierung und De-Provisionierung
Benutzerfreundlichkeit: SSO = einmal anmelden, überall Zugriff
Auditierbarkeit: Nachvollziehbarkeit aller Zugriffe
Skalierbarkeit: Funktioniert für 10 oder 100.000 Benutzer

        

2. Die 4 A's des IAM

Die vier Grundpfeiler jedes IAM-Systems – sie bilden das Fundament moderner Identitätsverwaltung.

A

Authentication

Authentifizierung

"Wer bist du?" – Überprüfung der Identität eines Benutzers oder Systems.

Passwort, PIN
MFA (Multi-Faktor)
Biometrie (Finger, Gesicht)
Zertifikate, Token

A

Authorization

Autorisierung

"Was darfst du?" – Festlegung der Zugriffsrechte nach erfolgreicher Authentifizierung.

RBAC (Rollen-basiert)
ABAC (Attribut-basiert)
Berechtigungen (Read, Write, Execute)
Ressourcen-Zugriff

A

Accounting

Audit & Protokollierung

"Was hast du getan?" – Protokollierung aller Zugriffe und Aktionen.

Log-Dateien
SIEM-Integration
Compliance-Reports
Forensische Analyse

A

Administration

Verwaltung

"Wie verwaltest du?" – Verwaltung von Identitäten über deren gesamten Lebenszyklus.

Provisionierung
De-Provisionierung
Passwort-Reset
Rollen-Management

3. Identitäts-Typen

Nicht nur Menschen haben Identitäten – auch Systeme und Dienste benötigen eine Identität für die Kommunikation.

Human Identity (Benutzer)

Mitarbeiter, Kunden, Partner – natürliche Personen mit Benutzerkonto.

max.mustermann@firma.de
maria.meier@partner.com

Service Account

Nicht-menschliche Identitäten für Dienste und Anwendungen.

svc-backup@firma.local
api-service@cloud.com

Machine Identity

Geräte, IoT, VMs, Container – identifiziert durch Zertifikate.

server-web-01.firma.local
CN=iot-sensor-042

Privileged Identity

Admin-Konten mit erweiterten Rechten – besonders schützenswert.

administrator@firma.local
root@server-01

Wichtig: Non-Human Identities

Laut einer Studie von Okta (2024) gibt es in Unternehmen durchschnittlich 45× mehr nicht-menschliche Identitäten (Service Accounts, APIs, Maschinen) als menschliche Benutzer. Diese werden oft vernachlässigt und sind ein häufiges Einfallstor für Angreifer!

4. Authentifizierungsmethoden

Wie wird die Identität eines Benutzers überprüft? Es gibt drei Hauptfaktoren:

Wissen (Something you know)

Faktor 1

Information, die nur der Benutzer weiß.

Passwort
PIN
Sicherheitsfragen
Muster/Pattern

Besitz (Something you have)

Faktor 2

Physisches Objekt, das der Benutzer besitzt.

Smartphone (TOTP)
Hardware-Token (YubiKey)
Smartcard
SMS-Code

Inhärenz (Something you are)

Faktor 3

Biometrische Merkmale des Benutzers.

Fingerabdruck
Gesichtserkennung
Iris-Scan
Stimmerkennung

5. Multi-Faktor-Authentifizierung (MFA)

MFA kombiniert mindestens zwei der drei Faktoren und erhöht die Sicherheit drastisch.

Die drei MFA-Faktoren

Wissen

Faktor 1

Passwort, PIN, Sicherheitsfrage

Besitz

Faktor 2

Smartphone, Hardware-Token, Smartcard

Inhärenz

Faktor 3

Fingerabdruck, Gesicht, Iris

                 MFA-Methoden im Vergleich
                SMS-Codes: Einfach, aber anfällig für SIM-Swapping ❌
TOTP (Google Authenticator): Gut, offline-fähig ✅
Push-Benachrichtigung: Benutzerfreundlich, Phishing-resistent ✅
FIDO2/WebAuthn (YubiKey): Gold-Standard, phishing-proof ⭐
Biometrie: Komfortabel, aber nicht übertragbar ⚠️

            

             MFA-Wirkung laut Microsoft
            MFA blockiert 99,9% aller automatisierten Angriffe
Passwort-Attacken werden um 99,2% reduziert
Phishing-Angriffe werden deutlich erschwert
Empfehlung: MFA für alle Benutzerkonten, besonders für Admins

        

6. Single Sign-On (SSO)

SSO ermöglicht Benutzern, sich einmal anzumelden und Zugriff auf alle autorisierten Anwendungen zu erhalten – ohne weitere Logins.

SSO-Ablauf (am Beispiel SAML/OIDC)

1

Benutzer ruft Anwendung auf

User möchte auf App X zugreifen (z.B. Salesforce, Office 365)

2

Anwendung leitet zum IdP weiter

App erkennt: User nicht eingeloggt → Redirect zum Identity Provider (z.B. Azure AD, Okta)

3

Authentifizierung beim IdP

User meldet sich beim IdP an (mit MFA). IdP prüft Identität.

4

IdP sendet Token zurück

IdP erstellt Token (SAML Assertion oder OIDC JWT) und leitet zurück zur App

5

App validiert Token

App prüft Token-Signatur, extrahiert Benutzer-Info → User ist eingeloggt!

6

Zugriff auf weitere Apps

User kann jetzt alle anderen Apps ohne erneutes Login nutzen (Session beim IdP)

             Vorteile von SSO
            Benutzerfreundlichkeit: Ein Login für alle Apps
Weniger Passwörter: Reduziert "Password Fatigue"
Bessere Sicherheit: Zentrale Kontrolle + MFA
Einfachere Verwaltung: Ein Konto pro Benutzer
Schnelleres On-/Offboarding: Automatische Provisionierung

        

7. Autorisierungsmodelle

Nach der Authentifizierung stellt sich die Frage: Was darf der Benutzer? Dafür gibt es verschiedene Modelle.

RBAC

Role-Based Access Control

Zugriff wird über Rollen gesteuert. Benutzer erhalten Rollen, Rollen haben Berechtigungen.

User → Rolle "Manager"
Rolle "Manager" → Rechte: Lesen, Schreiben

Einfach zu verstehen
Gut für Unternehmen
Rollen-Hierarchien möglich
Standard in den meisten Systemen

ABAC

Attribute-Based Access Control

Zugriff wird über Attribute gesteuert (Benutzer, Ressource, Umgebung).

WENN Abteilung="IT"
UND Standort="Berlin"
UND Zeit="08:00-18:00"
DANN Zugriff erlaubt

Sehr flexibel
Feingranulare Regeln
Kontextabhängig
Komplexer zu verwalten

PBAC

Policy-Based Access Control

Zugriff wird über Richtlinien gesteuert, die RBAC + ABAC kombinieren.

Policy: "Admins dürfen alles"
Policy: "Read-only außerhalb Bürozeit"
Policy: "Kein Zugriff von unsicheren IPs"

Kombination aus RBAC + ABAC
Zentrale Policy-Verwaltung
Ideal für Cloud-Umgebungen
AWS IAM, Azure Policy

Modell	Flexibilität	Komplexität	Einsatzgebiet	Beispiele
RBAC	Mittel	Niedrig	Unternehmen, klassische IT	AD-Gruppen, Unix-Gruppen
ABAC	Sehr hoch	Hoch	Cloud, komplexe Umgebungen	AWS IAM, XACML
PBAC	Hoch	Mittel-Hoch	Enterprise, Hybrid-Cloud	Azure Policy, Kubernetes
ReBAC	Sehr hoch	Hoch	Beziehungs-basiert	Google Drive, Social Media

8. IAM-Protokolle und Standards

Die wichtigsten Protokolle für Authentifizierung und Autorisierung in modernen Systemen.

OAuth 2.0

Authorization Framework

Delegierte Autorisierung – ermöglicht Apps, auf Ressourcen im Namen des Benutzers zuzugreifen.

RFC 6749 Access Token Refresh Token Scopes

OpenID Connect (OIDC)

Authentication Layer

Auf OAuth 2.0 aufbauend – fügt Authentifizierung hinzu. Liefert ID-Token mit Benutzer-Info.

ID Token (JWT) UserInfo Endpoint SSO-fähig

SAML 2.0

Security Assertion Markup Language

XML-basiertes Protokoll für SSO zwischen Enterprise-Anwendungen. Standard in vielen Unternehmen.

XML-basiert IdP + SP Assertions Enterprise SSO

Kerberos

Ticket-Based Auth

Netzwerk-Authentifizierungsprotokoll mit Ticket-System. Standard in Active Directory-Umgebungen.

TGT + Service Ticket Port 88 AD-Integration

LDAP

Lightweight Directory Access Protocol

Protokoll für Zugriff auf Verzeichnisdienste (z.B. Active Directory, OpenLDAP).

Port 389/636

LDAPS

Directory Queries

RADIUS / TACACS+

Network Authentication

Protokolle für Netzwerk-Authentifizierung (WLAN, VPN, Switches, Router).

Port 1812/1813 AAA Cisco, Juniper

OAuth 2.0 vs. OpenID Connect vs. SAML

OAuth 2.0: Nur Autorisierung (keine Authentifizierung!) – "Was darf ich?"
OpenID Connect: OAuth 2.0 + Authentifizierung – "Wer bin ich?" – modern, JSON-basiert
SAML 2.0: Enterprise SSO – XML-basiert, älter, aber weit verbreitet

Empfehlung: Für neue Projekte OIDC nutzen – modern, flexibel, gut unterstützt.

9. Verzeichnisdienste

Verzeichnisdienste speichern Identitäten und ermöglichen zentrale Verwaltung und Authentifizierung.

Dienst	Anbieter	Protokoll	Einsatz	Besonderheit
Active Directory	Microsoft	LDAP, Kerberos	Windows-Domänen	GPO, DFS, PKI
Azure AD (Entra ID)	Microsoft	SAML, OIDC	Cloud, Hybrid	MFA, Conditional Access
OpenLDAP	Open Source	LDAP	Linux, Unix	Kostenlos, flexibel
FreeIPA	Red Hat	LDAP, Kerberos	Linux Enterprise	AD-ähnlich für Linux
Okta	Okta Inc.	SAML, OIDC	Cloud IDaaS	Universal Directory

             Active Directory vs. Azure AD (Entra ID)
            Active Directory (AD DS): On-Premise, Kerberos-basiert, für Windows-Domänen
Azure AD (Entra ID): Cloud-basiert, OIDC/SAML-basiert, für Cloud/Hybrid
Hybrid: Azure AD Connect synchronisiert AD ↔ Azure AD
Tipp: Für moderne Unternehmen oft Hybrid oder Cloud-only

        

10. Zero Trust & IAM

Zero Trust ist das moderne Sicherheitsparadigma: "Never trust, always verify" – niemals implizit vertrauen, immer verifizieren.

Zero Trust Prinzipien für IAM

Identität verifizieren

Jede Identität wird stark authentifiziert (MFA, Conditional Access)

Least Privilege

Nur minimal notwendige Rechte – Just-In-Time Access

Mikrosegmentierung

Zugriff auf einzelne Ressourcen, nicht ganze Netzwerke

Kontinuierliche Überprüfung

Session-Risk-Score, Device Compliance, Location Checks

Assume Breach

Immer vom Worst-Case ausgehen – minimale Schadensbegrenzung

Umfassende Protokollierung

Alle Zugriffe loggen, analysieren und alarmieren

Conditional Access (Azure AD)

Conditional Access ist die praktische Umsetzung von Zero Trust in Azure AD. Es ermöglicht Richtlinien wie:

Standort: "Von außerhalb Deutschland → MFA erforderlich"
Gerät: "Nur von verwalteten Geräten Zugriff"
Risiko: "Bei Risky Sign-In → Block oder MFA"
App: "Für sensible Apps → stärkere Authentifizierung"
Session: "Nach 1 Stunde Inaktivität → Re-Auth"

11. Identity as a Service (IDaaS)

IDaaS bietet IAM-Funktionen als Cloud-Service – ohne eigene Infrastruktur.

Microsoft Entra ID

Das IAM-System von Microsoft – früher Azure AD. Marktführer im Enterprise-Bereich.

SSO MFA Conditional Access PIM

Okta

Führender unabhängiger IDaaS-Anbieter. Stark in SSO und Universal Directory.

SSO MFA Lifecycle Management

Ping Identity

Enterprise-IDaaS mit Fokus auf hybride Umgebungen und B2B/B2C.

Hybrid B2B CIAM

OneLogin

Einfache SSO-Lösung für KMUs. Teil von One Identity.

SSO MFA Directory

Auth0 (Okta)

Developer-fokussierte Identity Platform. Ideal für Customer IAM (CIAM).

CIAM APIs Social Login

Google Cloud Identity

Google's IAM-Lösung – stark in Google Workspace Integration.

Workspace SSO MFA

             Vorteile von IDaaS
            Keine eigene Infrastruktur: Cloud-basiert, skalierbar
Schnelle Implementierung: In Tagen statt Monaten
Automatische Updates: Immer auf dem neuesten Stand
Pay-as-you-go: Nur zahlen, was genutzt wird
Integrationen: Tausende vorgefertigte Konnektoren
Mobile-fähig: Native Apps für iOS/Android

        

12. IAM Best Practices

Die wichtigsten Empfehlungen für sicheres Identitäts- und Zugriffsmanagement.

MFA überall

MFA für alle Benutzerkonten
Besonders für Admins Pflicht
FIDO2/WebAuthn bevorzugen
SMS-MFA vermeiden
Phishing-resistente Methoden

Least Privilege

Nur minimal notwendige Rechte
Just-In-Time Access
Regelmäßige Access Reviews
Automatische De-Provisionierung
Privileged Access Management

Audit & Monitoring

Alle Zugriffe protokollieren
SIEM-Integration
Anomali-Erkennung
Regelmäßige Access Reviews
Compliance-Reports

Passwort-Politik

Passwort-Manager nutzen
Mindestens 12 Zeichen
Keine regelmäßigen Resets
Breached Password Detection
Passwortlose Authentifizierung

SSO implementieren

Alle Apps an SSO anbinden
OIDC oder SAML nutzen
Keine lokalen Konten
Conditional Access nutzen
Session-Management

Zero Trust umsetzen

Never trust, always verify
Conditional Access Policies
Device Compliance prüfen
Network Segmentation
Micro-Segmentation

Privileged Access Management (PAM)

Admin-Konten benötigen besonderen Schutz. PAM-Lösungen bieten:

Vaulting: Admin-Passwörter sicher verwahren
Just-In-Time: Admin-Rechte nur temporär
Session Recording: Alle Admin-Aktivitäten aufzeichnen
Approval Workflow: Admin-Zugriff muss genehmigt werden
Beispiele: CyberArk, BeyondTrust, Thycotic, Azure PIM

13. FAQ – Häufige Fragen

Häufige Fragen zu IAM

Was ist der Unterschied zwischen Authentifizierung und Autorisierung?

Authentifizierung (Authentication): Überprüft die Identität – "Wer bist du?" (z.B. durch Passwort, MFA).

Autorisierung (Authorization): Legt fest, was der authentifizierte Benutzer tun darf – "Was darfst du?" (z.B. Dateien lesen, schreiben, löschen).

Merkregel: Authentication = Identität prüfen, Authorization = Rechte zuweisen.

Was ist der Unterschied zwischen OAuth 2.0 und OpenID Connect?

OAuth 2.0: Nur für Autorisierung – delegiert Zugriff auf Ressourcen. Liefert Access Token, aber keine Benutzer-Info.

OpenID Connect (OIDC): Baut auf OAuth 2.0 auf und fügt Authentifizierung hinzu. Liefert ID-Token mit Benutzer-Info (Name, E-Mail, etc.).

Beispiel: OAuth = "App darf auf meine Fotos zugreifen". OIDC = "App weiß, wer ich bin UND darf auf meine Fotos zugreifen".

Was ist SAML und wann wird es verwendet?

SAML (Security Assertion Markup Language) ist ein XML-basiertes Protokoll für SSO zwischen Enterprise-Anwendungen.

Einsatz: Traditionelle Enterprise-Apps, On-Premise-Systeme, Legacy-Anwendungen, die SSO benötigen.

Nachteil: Komplex, XML-basiert, nicht für mobile Apps optimiert.

Empfehlung: Für neue Projekte OIDC nutzen, für Legacy-Systeme SAML beibehalten.

Was ist Conditional Access und wie funktioniert es?

Conditional Access ist eine Zero-Trust-Funktion (z.B. in Azure AD), die Zugriffe basierend auf verschiedenen Bedingungen erlaubt oder blockiert.

Beispiele:

"Wenn Standort = Ausland → MFA erforderlich"
"Wenn Gerät = nicht verwaltet → Zugriff blockieren"
"Wenn Risiko = hoch → Passwort-Reset erzwingen"

Vorteil: Kontextabhängige Sicherheit – nicht alle Benutzer werden gleich behandelt.

Was ist ein JWT (JSON Web Token)?

JWT (JSON Web Token) ist ein kompaktes, URL-sicheres Token-Format für den Austausch von Informationen zwischen Parteien.

Aufbau: Header.Payload.Signature (drei Teile, Base64-kodiert)

Einsatz: OIDC ID-Tokens, OAuth 2.0 Access Tokens, API-Authentifizierung.

Vorteil: Selbstenthaltend (enthält alle Infos), signierbar, kompakt.

Was ist der Unterschied zwischen RBAC und ABAC?

RBAC (Role-Based Access Control): Zugriff basierend auf Rollen. Einfach zu verstehen, aber weniger flexibel.

ABAC (Attribute-Based Access Control): Zugriff basierend auf Attributen (Benutzer, Ressource, Umgebung). Sehr flexibel, aber komplexer.

Beispiel RBAC: "Manager dürfen alle Dokumente lesen"

Beispiel ABAC: "Nur Mitarbeiter aus Abteilung IT, Standort Berlin, während Arbeitszeit, dürfen auf Server X zugreifen"

Was ist Identity Governance and Administration (IGA)?

IGA (Identity Governance and Administration) ist der Teil von IAM, der sich mit der Verwaltung und Überwachung von Identitäten beschäftigt.

Aufgaben:

Provisionierung/De-Provisionierung
Access Reviews (regelmäßige Überprüfung)
Compliance und Audit
Segregation of Duties (SoD)
Certification Campaigns

Tools: SailPoint, Saviynt, Omada, Microsoft Identity Governance

Was ist Customer IAM (CIAM)?

CIAM (Customer Identity and Access Management) ist IAM für Kunden (nicht Mitarbeiter). Fokus auf Benutzerfreundlichkeit und Skalierbarkeit.

Unterschied zu Employee IAM:

Millionen von Benutzern (nicht tausende)
Social Login (Google, Facebook, Apple)
Self-Service Registration
Privacy und Consent Management (DSGVO)
Personalisierung und Marketing

Tools: Auth0, Okta CIAM, Azure AD B2C, ForgeRock

Zusammenfassung

             Die wichtigsten Punkte
            IAM: Framework für Identitäts- und Zugriffsverwaltung
4 A's: Authentication, Authorization, Accounting, Administration
Identitäts-Typen: Human, Service, Machine, Privileged
Authentifizierung: Wissen, Besitz, Inhärenz (3 Faktoren)
MFA: Multi-Faktor-Authentifizierung – blockiert 99,9% der Angriffe
SSO: Single Sign-On – einmal anmelden, überall Zugriff
Autorisierung: RBAC (Rollen), ABAC (Attribute), PBAC (Policies)
Protokolle: OAuth 2.0, OIDC, SAML, Kerberos, LDAP, RADIUS
Verzeichnisdienste: Active Directory, Azure AD, OpenLDAP, FreeIPA
Zero Trust: Never trust, always verify – Conditional Access
IDaaS: Identity as a Service – Entra ID, Okta, Ping, Auth0
Best Practices: MFA, Least Privilege, Audit, SSO, Zero Trust
PAM: Privileged Access Management für Admin-Konten
IGA: Identity Governance and Administration
CIAM: Customer IAM für Kunden-Identitäten

        