Identity Vault
Was ist ein Identity Vault?
Ein Identity Vault ist wörtlich übersetzt ein Identitätstresor. Innerhalb eines digitalen Netzwerks ist ein Identity Vault ein besonders gut gesicherter Datenspeicher, in dem Sie Identitätsdaten speichern können. Dazu können Kontaktdaten gehören, aber auch Pass- oder Führerscheinnummern, biometrische Daten und Passwörter. Solche personenbezogenen Daten müssen sicher aufbewahrt werden, um Missbrauch und Datenlecks zu verhindern. Dafür nutzen Identity Vaults Verschlüsselung, Multi-Faktor-Authentifizierung und andere Sicherheitstechnologien.
Beispiele für Identity Vaults und ihre Nutzung
Es werden immer mehr digitale personenbezogene Daten verarbeitet, was einen Identity Vault zu einem wichtigen Hilfsmittel macht. Im Folgenden nennen wir drei konkrete Einsatzmöglichkeiten.
Passwortmanager
Die meisten Menschen benötigen unzählige Passwörter für ihre geschäftlichen und privaten Anwendungen. Es ist schwierig, sich all diese Passwörter zu merken. Die Folge ist meist, dass Menschen sie aufschreiben oder immer dasselbe Passwort verwenden. Das ist alles andere als sicher, und viele Organisationen sowie Cloud-Anbieter versuchen dies mit Single Sign-On zu verhindern. Dabei handelt es sich um eine Technologie, mit der Sie nach einer einzigen Anmeldung Zugriff auf mehrere Anwendungen erhalten. Dennoch bleiben in der Regel mehr einzelne Passwörter übrig, als Ihnen lieb ist. Um diese sicher aufzubewahren, verwenden Menschen daher heute häufig einen Passwortmanager wie LastPass oder KeePass. Damit können Sie für jedes Konto Benutzername und Passwort sicher speichern und sich häufig mit einem Klick anmelden. Ein solcher Passwortmanager bietet zudem Platz, um weitere persönliche Daten wie Kreditkartendaten, Adressen und vertrauliche Notizen zu speichern. Damit verfügen Sie faktisch über einen persönlichen Identity Vault.
Identity Vault der öffentlichen Verwaltung
Auch in der öffentlichen Verwaltung gibt es immer mehr Anwendungen, die in ihrer Rolle und Funktionalität an einen Identity Vault erinnern. Derzeit handelt es sich dabei vor allem um zentrale Datenbanken mit personenbezogenen Daten. Beispielsweise das niederländische Basisregister für Personen, in dem für jeden Bürger Name, Adresse, Geburtsort, Staatsangehörigkeit und die Bürgerservicenummer registriert sind. Auch die niederländische Kraftfahrzeugbehörde RDW verwaltet einen Identity Vault, in dem unter anderem Führerscheine und Fahrzeugregistrierungen geführt werden.
Darüber hinaus gibt es Initiativen, Bürgern eine Art persönlichen digitalen Verwaltungstresor bereitzustellen, in dem sie eigene Daten speichern und Zugang zu digitalen Anwendungen erhalten können. So wird EU-weit an der European Digital Identity, der EDI Wallet, gearbeitet. Darin können Bürger wichtige Daten wie ihren Führerschein, Reisepass, Diplome oder medizinische Daten selbst digital speichern. Darüber hinaus bietet diese Wallet ihnen deutlich mehr Kontrolle darüber, wie diese Daten geteilt werden können. Derzeit müssen Sie beispielsweise noch Ihren Personalausweis vorzeigen, um nachzuweisen, dass Sie älter als 18 Jahre sind. Künftig bestätigt die EDI Wallet auf Anfrage, dass eine Person älter als 18 Jahre ist. Das genaue Geburtsdatum und weitere Daten sind dafür jedoch nicht relevant und daher nicht sichtbar. In jedem EU-Mitgliedstaat muss bis Ende 2026 mindestens eine zertifizierte EDI Wallet verfügbar sein.
Identity Vaults in IAM-Umgebungen
Auch in IAM-Umgebungen werden Identity Vaults benötigt. Tatsächlich gibt es im IAM-Bereich zwei Bereiche, in denen eine Art Identity Vault verwendet wird:
Innerhalb einer IAM-Architektur wird häufig ein zentraler Identity Provider (IdP) für die Authentifizierung und Single Sign-On (SSO) eingesetzt. Als Benutzer melden Sie sich zu Beginn einer Benutzersitzung bei diesem IdP an. Wenn der Authentifizierungsversuch erfolgreich war, stellt der IdP digitale Token aus, mit denen Sie automatisch Zugriff auf Ihre Anwendungen erhalten. Sie können beispielsweise Entra ID als IdP verwenden, aber auch eine IAM-Plattform wie HelloID bietet Kunden einen IdP. Faktisch handelt es sich um einen Identity Vault, der unter anderem Benutzernamen, gehashte Passwörter und weitere Daten speichert, die zur Unterstützung des Authentifizierungsprozesses erforderlich sind.
Darüber hinaus verfügt eine IAM-Plattform über einen Identitätsspeicher, der speziell für Ihr automatisiertes Provisioning erforderlich ist. Damit können Sie Konten automatisch erstellen und Zugriffsrechte vergeben. Der Mechanismus verwendet dafür verschiedene personenbezogene Daten, die Sie aus einem oder mehreren Quellsystemen erfassen und anschließend in einer Art Identity Vault innerhalb Ihrer IAM-Plattform verarbeiten.
Über diesen zweiten Typ eines Identity Vaults erfahren Sie im Folgenden mehr.
IAM Identity Vault für Provisioning
Die Verwaltung von Konten und Zugriffsrechten ist in einem kleinen Unternehmen mit einigen Mitarbeitern und wenigen Anwendungen einfach. Dann genügt eine Tabellenkalkulation, und Sie können die Daten direkt in die entsprechenden Systeme eingeben. In einer Organisation mit Dutzenden bis hin zu Tausenden von Benutzern und Dutzenden Anwendungen ist diese manuelle Verwaltung jedoch nicht praktikabel. Dann benötigen Sie eine User-Provisioning-Funktionalität, mit der Konten und Zugriffsrechte so weit wie möglich automatisch bereitgestellt werden.
Entscheidend ist dabei, dass Sie nicht für jeden einzelnen Benutzer eine Liste mit persönlichen Einstellungen führen. Stattdessen verwenden Sie ein Konzept wie Role-Based oder Attribute-Based Access Control, RBAC oder ABAC. Damit können Sie anhand sogenannter Benutzerattribute automatisch Konten erstellen und Rechte vergeben.
Dafür verarbeiten Sie in Ihrer IAM-Umgebung faktisch zwei Arten personenbezogener Daten:
Zunächst Stammdaten wie Vorname, Nachname, bevorzugter Name und Kontaktdaten einer Person. Diese Daten verwenden Sie, um digitale Identitäten auf der Plattform zu erstellen, einschließlich Profildaten, Kontonamen und E-Mail-Adressen. Eine Organisation legt dabei eigene Regeln fest, wie Vor- und Nachname in eine E-Mail-Adresse übertragen werden. Häufig wird eine solche E-Mail-Adresse auch als Benutzername für alle Anwendungen verwendet.
Darüber hinaus gibt es verschiedene weitere relevante personenbezogene Daten, die Sie beim automatisierten Provisioning verwenden, um festzulegen, welche Konten und Rechte eine Person benötigt. Innerhalb einer Organisation hängen die benötigten Rechte beispielsweise häufig von der Funktion einer Person und der Abteilung ab, in der sie tätig ist. An einer Universität sind dagegen Studienfach und Studienjahr der Studierenden erforderlich, um die richtigen Konten und Rechte bereitzustellen.
Diese Daten erfassen und verarbeiten wir innerhalb von HelloID in einem spezifischen Identity Vault
Nutzung des Identity Vaults
Die erste Aufgabe Ihres Identity Vaults für das Provisioning besteht darin, die benötigten Daten zu erfassen. Anschließend verarbeiten Sie diese Daten im Vault, um Konten und Rechte zu erstellen und zu verwalten.
Quelldaten in Ihrem Identity Vault
Die benötigten Daten beziehen Sie so weit wie möglich aus Quellsystemen, in denen diese Daten bereits standardmäßig verwaltet und gepflegt werden. Für viele IAM-Umgebungen ist das HR-System daher die wichtigste Quelle. Dort finden Sie schließlich alle Stammdaten der Mitarbeiter, wie Vorname, Nachname und Kontaktdaten. Darüber hinaus auch die Funktion der Mitarbeiter, ihre Abteilung und weitere Informationen. Eine IAM-Plattform wie HelloID verfügt daher über eine direkte Anbindung an die HR-Plattform und importiert daraus die relevanten Personaldaten in den eigenen Identity Vault.
Gleichzeitig können weitere Quellsysteme verwendet werden. An Universitäten werden häufig Daten aus der Studierendenverwaltung genutzt, um Studentenkonten erstellen zu können. Daten zu externen Mitarbeitern werden zudem häufig in einem separaten System verwaltet. Informationen aus Planungs- und Einsatzplananwendungen können teilweise verwendet werden, um Rechte noch granularer zu vergeben.
Verarbeitung im Identity Vault
Die Daten aus solchen Quellsystemen werden innerhalb der IAM-Plattform anschließend unterschiedlich verarbeitet. So können Daten, die zu ein und derselben Person gehören, an verschiedenen Stellen oder sogar in mehreren Quellsystemen gespeichert sein. Diese Daten müssen dann innerhalb des Identity Vaults in einen einheitlichen Datensatz für diese spezifische Person überführt werden. Es kann jedoch auch vorkommen, dass vergleichbare Daten mehrfach erfasst wurden und dedupliziert werden müssen. Außerdem überführen wir Daten in ein internes Datenformat, mit dem Sie innerhalb Ihrer IAM-Plattform arbeiten können. Das Ergebnis all dieser Verarbeitungsschritte ist ein einheitlicher Datensatz, der aus Daten verschiedener Quellsysteme aufgebaut ist.
Diese Überführung von Daten in ein einheitliches internes Format ist nicht nur erforderlich, um Daten aus mehreren Quellsystemen zu kombinieren. Es kann auch vorkommen, dass eines der Quellsysteme ersetzt wird. Beispielsweise wird ein anderes HR-System ausgewählt. Dieses neue System verarbeitet und teilt die Daten in der Regel in einem anderen Format. Indem Sie innerhalb der IAM-Umgebung ein einheitliches Format verwenden, begrenzen Sie die Auswirkungen auf den Connector zwischen dem neuen Quellsystem und der IAM-Plattform. Die interne Verarbeitung und die weitere User-Provisioning-Funktionalität bleiben unverändert.
Möchten Sie mehr über den Identity Vault und Quell-Connectoren erfahren?
Innerhalb Ihrer HelloID IAM-Plattform ist der Identity Vault der Ort, an dem wir personenbezogene Daten sicher erfassen und verarbeiten. Die User-Provisioning-Funktionalität nutzt diese Daten anschließend zur automatischen Erstellung von Konten und zur Vergabe von Rechten.
Welche Daten im Identity Vault erfasst werden können, hängt von den angebundenen Quellsystemen ab. HelloID bietet Standard-Connectoren für verschiedene Quellsysteme. In unserem Katalog finden Sie für jeden Quell-Connector eine Übersicht der verfügbaren Daten und Informationen dazu, wie Sie diese für Ihre Konto- und Rechteverwaltung nutzen können.