Die 7 größten IAM-Probleme in Organisationen mit mehr als 500 Mitarbeitern

• Strategie & Umsetzung

Identity & Access Management wird in größeren Organisationen schnell sehr komplex. Während Sie in einer kleineren Umgebung mit technischen Sicherheitsmaßnahmen und einer sprichwörtlichen Tabelle zur Verwaltung der zugehörigen Einstellungen auskommen können, funktioniert das bei Hunderten von Benutzern, die zudem zahlreiche Anwendungen und enorme Datenmengen nutzen, nicht mehr. Dann wird die Berechtigungsverwaltung schnell zu einer organisatorischen Herausforderung, die sich nur mit der richtigen IAM-Unterstützung bewältigen lässt. Wir haben einige häufige IAM-Herausforderungen in Organisationen mit mehr als 500 Mitarbeitern zusammengestellt, einschließlich Lösungen für den Umgang mit diesen Herausforderungen.

Kein automatisiertes Lifecycle Management

Wenn Sie die Zugriffsverwaltung in dieser Größenordnung manuell durchführen, sind Probleme vorprogrammiert. Sie ist nicht nur arbeitsintensiv, sondern auch sehr komplex und dadurch fehleranfällig. Sie haben es mit mehreren Abteilungen, Teams und Stellenprofilen zu tun, und jeder Mitarbeiter hat eigene Aufgaben und Verantwortlichkeiten. Zudem herrscht eine hohe Dynamik, denn regelmäßig werden neue Mitarbeiter eingestellt, Kollegen wechseln ihre Position und Mitarbeiter verlassen die Organisation. So durchläuft jeder einen eigenen Identity Lifecycle, in dessen Verlauf jeweils unterschiedliche Konten und Berechtigungen benötigt werden.

Ein automatisiertes Identity Lifecycle Management ist dann unverzichtbar. Innerhalb von HelloID nutzen wir hierfür Role Based Access Control (RBAC)[1]. Ausgangspunkt sind Vertrags- und andere Mitarbeiterdaten, die beispielsweise im HR-System oder in anderen Quellsystemen formell hinterlegt sind. Anhand der Funktion, Abteilung oder anderer sogenannter Benutzerattribute bestimmt die Plattform mithilfe von Business Rules automatisch, welche Konten und Berechtigungen erforderlich sind. Bei Änderungen werden die benötigten Berechtigungen automatisch angepasst, sodass jeder jederzeit über die richtigen Einstellungen verfügt.

Zeitaufwendiges Onboarding

Jeder Identity Lifecycle beginnt mit dem Onboarding, dem Zeitpunkt, an dem jemand in das Unternehmen eintritt. An diesem Tag muss die Person mit den richtigen IT-Arbeitsmitteln und Einstellungen ausgestattet werden. Genau hier treten noch zu häufig Probleme auf. Wenn Mitarbeiter vergleichsweise lange auf etwas so Einfaches wie ein Office- und E-Mail-Konto warten müssen, dauert es nicht nur länger, bis sie produktiv arbeiten können, sondern es ist vor allem ein enttäuschender Start.

Menschen mit einer solchen weniger guten Onboarding Experience suchen nachweislich relativ schnell wieder nach einer anderen Stelle. Das ist bedauerlich, denn die Suche nach qualifiziertem Personal kostet oft Monate und Tausende Euro. Ein optimiertes Onboarding ist daher aus mehreren Gründen wichtig. Immer mehr Organisationen führen sogar ein sogenanntes Preboarding durch. Dabei konfigurieren Kunden die IAM-Plattform so, dass neue Mitarbeiter bereits vor ihrem Eintrittsdatum Konten erhalten, allerdings zunächst mit eingeschränkten Zugriffsrechten. So können sie ihre neuen Kollegen, Aufgabenbereiche, Unternehmenssoftware und das HR-Portal bereits online kennenlernen. Auf diese Weise brechen Sie das Eis digital, lange vor dem ersten Arbeitstag.

Mitarbeiter mit zu vielen Berechtigungen

Wenn Sie die Berechtigungsverwaltung in größeren Organisationen nicht richtig organisieren, sammeln Mitarbeiter schnell zu viele Berechtigungen an. Dies beginnt manchmal bereits beim Onboarding, wenn neue Kollegen die Kontoeinstellungen eines erfahrenen Kollegen per Copy and Paste übernehmen, einschließlich zu weitreichender Berechtigungen. Wechseln sie später ihre Rolle, erhalten sie häufig zwar neue Berechtigungen, aber zuvor gewährte und nicht mehr benötigte Berechtigungen werden nicht entzogen. So werden unbeabsichtigt immer mehr Berechtigungen angesammelt, der sogenannte Privilege Creep. Dies hat zur Folge, dass Hacker über ein kompromittiertes Konto deutlich größeren Schaden verursachen können.

Sie können dies verhindern, indem Sie die Berechtigungsverwaltung mit dem genannten RBAC-Mechanismus weitgehend automatisieren. Auf diese Weise erfüllen Sie automatisch das sogenannte Principle of Least Privilege. Das bedeutet, dass jeder Benutzer jederzeit nur die Berechtigungen besitzt, die für die vorgeschriebenen Aufgaben und Verantwortlichkeiten tatsächlich erforderlich sind. Bei zwischenzeitlichen Änderungen, beispielsweise bei einer anderen Funktion, werden nicht nur neue Berechtigungen vergeben, sondern auch nicht mehr benötigte Berechtigungen wieder entzogen.

Unvollständiges Offboarding

Die Risiken sind noch größer, wenn das Offboarding ausscheidender Mitarbeiter nicht ordnungsgemäß geregelt ist. In diesem Fall hat ein Mitarbeiter das Unternehmen bereits verlassen, doch seine Konten und Einstellungen sind weiterhin aktiv. Ein böswilliger Benutzer, möglicherweise der ehemalige Mitarbeiter selbst, kann dann über dieses Konto weiterhin einfach auf Funktionen und Daten zugreifen. Dies ist eine der häufigsten Ursachen für Datenlecks. Dabei geht es nicht nur um Dokumente. Es darf auch nicht möglich sein, dass jemand weiterhin Zugang zu Online-Besprechungen und Chatgruppen erhält.

Auch dies können Sie verhindern, indem Sie den Identity Lifecycle automatisieren und dem Austritt von Mitarbeitern besondere Aufmerksamkeit widmen. Gerade diese Austrittsphase ist komplex, weil die betreffenden Konten beispielsweise schrittweise gesperrt und entfernt werden müssen. Sensible Daten müssen selbstverständlich sofort gesperrt werden, einige andere Funktionen sollen für ehemalige Mitarbeiter jedoch noch vorübergehend zugänglich bleiben. Denken Sie an das HR-Portal, in dem jemand noch einige Zeit die letzten Gehaltsabrechnungen und Jahresbescheinigungen abrufen können muss. Außerdem muss ein Prozess vorhanden sein, um Daten für mögliche spätere Nachschlagevorgänge, Audits und Untersuchungen angemessen zu archivieren. Ohne dass der ehemalige Kollege oder ein neuer Mitarbeiter mit demselben Namen noch darauf zugreifen kann.

Keine Kontrolle über individuelle Zugriffsrechte

Sie provisionieren Berechtigungen daher so weit wie möglich ABAC-basiert, einige Berechtigungen lassen sich jedoch nur individuell regeln. In einer Stabsabteilung gibt es beispielsweise viele Mitarbeiter mit der Funktion „Berater“. Sie erhalten alle die Standard-Office-Anwendungen, doch die weiteren IT-Anforderungen hängen von den Projekten ab, an denen sie arbeiten. Auch Konten und Berechtigungen für verschiedene zusätzliche Aufgaben, etwa Aufgaben als Brandschutzhelfer, lassen sich häufig nicht aus der Funktion oder Abteilung einer Person ableiten.

Wenn Sie solche Konten und Berechtigungen manuell erstellen und direkt in den betreffenden Systemen verwalten, verlieren Sie schnell den Überblick über diese Einstellungen und es entsteht Unordnung. Der Manager, der die Berechtigungen beantragt hat, kümmert sich danach nicht mehr darum, und der Benutzer ist damit selbstverständlich zufrieden. So entsteht schnell eine große Menge unverwalteter Berechtigungen in einer Vielzahl von Systemen.

Sie können dies zum Glück verhindern, indem Sie diese Berechtigungen in HelloID über das Modul Service Automation verwalten. Damit können Sie Verwaltungsoberflächen für spezifische Verwaltungsaktionen zusammenstellen, zudem steht ein Self-Service-Portal zur Verfügung. Auf diese Weise bearbeiten Sie diese individuellen Anfragen zentral an einem Ort und behalten den Überblick. Berechtigungen können hier auch zeitlich befristet vergeben und anschließend automatisch wieder entzogen werden. Als Teil des Governance-Moduls bieten wir außerdem eine Recertification-Funktion, mit der Sie regelmäßig bewerten können, ob Berechtigungen noch erforderlich sind.

Mangelnde Transparenz und eingeschränkte Auditmöglichkeiten

In großen Organisationen benötigen Sie nicht nur Unterstützung für das aktuelle Konto- und Berechtigungsmanagement. Professionelle Organisationen müssen auch einen vollständigen Status und eine Historie zur Nutzung und Verwaltung aller IT-Ressourcen vorlegen können. Sie benötigen beispielsweise einen vollständigen Audit Trail zur Untersuchung von Cybervorfällen. Diese Daten sind auch bei Audits und zum Nachweis der Compliance mit Informationssicherheitsstandards und gesetzlichen Vorgaben erforderlich.

Dafür ist es wichtig, dass Sie über eine zentrale IAM-Plattform verfügen, auf der diese Daten an einem Ort einfach zugänglich sind. Dabei geht es nicht nur um Echtzeit-Anmeldungen an Systemen. Für jedes Konto und jede Zugriffsberechtigung muss auch dokumentiert werden, auf Grundlage welcher Richtlinie sie vergeben wurden. Bei individuellen Benutzeranfragen müssen Sie zudem nachvollziehen können, wer eine solche Anfrage gestellt hat, welcher Manager sie genehmigt hat und wie die Anfrage weiterbearbeitet wurde. Ohne IAM ist bereits fraglich, ob diese Daten überhaupt verfügbar sind, und meist sind sie dezentral über verschiedene Systeme verteilt.

Keine regelmäßige IAM-Überprüfung

Wenn Sie Zugriffsrechte zunächst korrekt eingerichtet haben, kann deren Verwaltung im Laufe der Zeit dennoch nicht mehr mit der Realität übereinstimmen. Beispielsweise weil Sie neue Systeme einführen, Prozesse ändern, neue Funktionen schaffen oder Abteilungen hinzufügen. All dies kann sich auf die Verteilung der IT-Berechtigungen auswirken. Wenn dies nicht korrekt in der Berechtigungsverwaltung verarbeitet wird, entstehen Inkonsistenzen. Zudem erkennen Sie im Laufe der Zeit immer Optimierungs- und Verbesserungspotenziale.

Die einzige Möglichkeit für eine Organisation, damit umzugehen, besteht darin, einen professionellen Plan-Do-Check-Act-Zyklus als Teil der IAM-Prozesse einzurichten. Viele Informationssicherheitsstandards, wie ISO 27001, BIO und NEN 7510, schreiben dies ebenfalls vor. Wichtig ist, dass Ihre IAM-Umgebung hierfür Governance-Werkzeuge wie Reconciliation, Recertification und Role Mining bietet. Damit können Sie die Berechtigungsverwaltung regelmäßig analysieren, Verbesserungspotenziale erkennen und diese einfach umsetzen.

Wie können wir Ihre IAM-Herausforderungen gemeinsam angehen?

In größeren Organisationen liegt der Schwerpunkt der IAM-Problematik daher nicht so sehr auf der technischen Zugriffssicherheit. Die eigentliche Herausforderung besteht darin, die enorme Anzahl an Konten und Zugriffsberechtigungen zu organisieren. Wie stellen Sie sicher, dass jeder jederzeit genau die Berechtigungen besitzt, die für die zugewiesenen Aufgaben erforderlich sind?

Manuell wird dies schnell unbeherrschbar. Mit automatisiertem Provisioning, ergänzt durch gut automatisierte Serviceprozesse und Self-Service, können Sie die Berechtigungsverwaltung jedoch effektiv organisieren. Mit umfassendem Logging und Reporting können Sie die Compliance jederzeit nachweisen, und leistungsstarke Governance-Tools helfen dabei, die Berechtigungsverwaltung regelmäßig zu überprüfen, zu optimieren und zu verbessern.

Möchten Sie mehr darüber erfahren, wie HelloID dies für Sie umsetzen kann? Hier lernen Sie alle verfügbaren IAM-Module kennen und können auch eine Demo anfordern.

[1] Da wir in HelloID nicht nur die Funktion und Abteilung einer Person nutzen können, sondern tatsächlich alle verfügbaren Benutzerattribute, verwenden wir auch den Begriff ABAC, Attribute Based Access Control.