Drei Fragen und Antworten: Identitätsmanagement ohne Identitätskrise – so geht's

Zunehmende Cyberdrohungen und rasante technologische Entwicklungen wie die steigende Zahl nicht-menschlicher Identitäten stellen das Identity and Access Management (IAM) der Unternehmens-IT vor neue Herausforderungen. Historisch gewachsene Toolsilos und hergebrachte Konzepte helfen da nur bedingt, sagt Martin Kuppinger, Titelautor der neuen iX 11/25. Er plädiert für übergreifende und ganzheitliche Strategien im IAM, eine Identity Fabric.

Welche Komponenten machen heutzutage ein solides Identity Access Management aus?

Klassisch gibt es drei Kernelemente im IAM: Das Benutzer- und Berechtigungsmanagement (IAM, Identity & Access Management), das Zugangsmanagement und die Authentifizierung (Access Management) und die Zugriffssteuerung für privilegierte Benutzer wie Administratoren (PAM, Privileged Access Management). In letzter Zeit hat NHI Management (Non Human Identity Management) viel Aufmerksamkeit gewonnen. Außerdem gibt es eine wachsende Zahl ergänzender Lösungen. Deshalb sollte man für ein solides Access Management auch nicht bei den Komponenten, sondern beim Gesamtkonzept, der "Identity Fabric" als orchestrierte, vernetzte und gesamtheitliche Lösung, beginnen.

Und wie sollten Unternehmen ihre IAM-Strategie am besten auslegen, um mit der hohen Dynamik der technischen Entwicklung mitzuhalten?

Genau hier wird deutlich, dass die klassischen Kernfunktionen alleine nicht mehr ausreichen. Der Schritt weg von statischen Berechtigungen hin zu einer dynamischen Zugriffssteuerung, ferner starke und kennwortlose Authentifizierung sowie eine kontinuierliche Überwachung von Zugriffen und Reaktion auf Anomalien sind ebenso zwingend wie eine Unterstützung aller Identitätstypen. Der Fokus muss darauf liegen, die richtigen Fähigkeiten zu haben. Das Denken in starren Tool-Kategorien lässt zu viele Lücken offen.

Identitäten braucht man ja nicht mehr nur für Menschen – welche Bedeutung haben Maschinenidentitäten inzwischen?

Je nach Quelle kann man davon ausgehen, dass es mindestens 40- bis 80-mal so viele nicht-menschliche Identitäten (Non Human Identities, NHIs) gibt, die manchmal auch als Maschinenidentitäten bezeichnet werden. Je nach Definition – wenn man vernetzte Dinge einbezieht – kann der Faktor noch deutlich höher sein. Hier geht es auch um die Verwaltung von neuen Identitätstypen, die durch KI entstehen, wie die von autonom agierenden KI-Agenten sowie die komplexen Beziehungen zu anderen Identitäten.

Die meisten dieser Identitäten werden außerhalb des klassischen IAM-Fokus auf menschliche Identitäten erzeugt. Viele werden automatisch erzeugt und sind kurzlebig. Dafür braucht es andere IAM-Ansätze, weil auch NHIs Angriffsflächen darstellen und entsprechend verwaltet und geschützt werden müssen.

Martin, vielen Dank für die Antworten! Einen Überblick zur Identity Fabric als IAM-Strategie gibt es in der neuen iX. Außerdem zeigen wir, wie man in der AWS-Cloud Lücken im eigenen IAM aufdecken kann – und werfen einen Blick auf den quelloffenen Identity-Provider Keycloak. All das und viele weitere Themen finden Leser im November-Heft, das ab sofort im heise Shop oder am Kiosk erhältlich ist.

In der Serie "Drei Fragen und Antworten" will die iX die heutigen Herausforderungen der IT auf den Punkt bringen – egal ob es sich um den Blick des Anwenders vorm PC, die Sicht des Managers oder den Alltag eines Administrators handelt. Haben Sie Anregungen aus Ihrer tagtäglichen Praxis oder der Ihrer Nutzer? Wessen Tipps zu welchem Thema würden Sie gerne kurz und knackig lesen? Dann schreiben Sie uns gerne oder hinterlassen Sie einen Kommentar im Forum.

(axk)