Identity and Access Management (IAM) erklärt

Was ist Identity and Access Management (IAM)?

Identity and Access Management (IAM) verwaltet digitale Identitäten, Credentials, Authentikatoren, Rollen und Zugriffsrechte über ihre Lebenszyklen. Dazu gehören insbesondere Identitätsprüfung, Authentisierung, Bereitstellung, Änderung, zeitgerechter Entzug und Nachvollziehbarkeit von Zugriffen.

Das NIST-IAM-Glossar ordnet IAM die Verwaltung individueller Identitäten sowie der zugehörigen Rollen und Zugriffsprivilegien zu. NIST SP 1800-2B vertieft in Abschnitt 5.1 unter anderem Identitäts- und Rechtelebenszyklen, Bereitstellung, Entzug und Nachvollziehbarkeit. NIST SP 800-63-4 behandelt Identitätsprüfung, Authentikatorverwaltung, Authentisierung und Föderation für digitale Identitäten. IAM ist kein einheitlich legaldefinierter deutscher Rechtsbegriff. Diese Einordnung folgt autoritativen NIST-Quellen und ist keine Wiedergabe einer gesetzlichen Definition.

Der Normwortlaut

„(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten. Bei der Bewertung der Verhältnismäßigkeit der Maßnahmen nach Satz 1 sind das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten und die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie ihre gesellschaftlichen und wirtschaftlichen Auswirkungen zu berücksichtigen. Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren.“

Quelle des exakten Absatzes: § 30 Absatz 1 BSIG.

„Maßnahmen nach Absatz 1 sollen den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen. Sie müssen ein Sicherheitsniveau der informationstechnischen Systeme, Komponenten und Prozesse gewährleisten, das dem bestehenden Risiko angemessen ist. Die Maßnahmen müssen zumindest Folgendes umfassen: […] 9. Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen, 10. Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.“

Quelle des exakten Ausschnitts: § 30 Absatz 2 BSIG, insbesondere Nummern 9 und 10. Die Auslassung betrifft die Nummern 1 bis 8 des Maßnahmenkatalogs; Satz 2 ist vollständig wiedergegeben. Rechtlich verlangt die Norm risikobasierte Maßnahmen, nicht den Erwerb eines bestimmten IAM-Produkts. Für die in § 30 Absatz 3 abschließend genannten Einrichtungsarten hat der dort bezeichnete Durchführungsrechtsakt der Europäischen Kommission Vorrang. Außerdem sind die sektoralen Ausschlüsse und Rückausnahmen des § 28 Absatz 5 BSIG zu prüfen.

Für wen ist IAM relevant?

Als technische Praxis ist IAM für Organisationen unabhängig von ihrer Größe relevant. Die hier erläuterte konkrete Pflicht aus § 30 BSIG richtet sich dagegen nur an besonders wichtige und wichtige Einrichtungen nach § 28 BSIG. Die Einordnung hängt von Einrichtungsart, Tätigkeit und den jeweils einschlägigen Größenmerkmalen ab; Anlagen 1 und 2 sowie der Einzelfall müssen geprüft werden. Einrichtungen der Bundesverwaltung sind von den einschlägigen Zuordnungen des § 28 grundsätzlich ausgenommen und unterliegen dem eigenen Regime des § 29 BSIG.

Was löst die IAM-relevante BSIG-Pflicht aus?

Auslöser ist die Einordnung als besonders wichtige oder wichtige Einrichtung, nicht die Nutzung eines bestimmten Produkts oder eine einzelne Anmeldung. Die Maßnahmen beziehen sich auf die informationstechnischen Systeme, Komponenten und Prozesse, welche die Einrichtung für ihre Dienste nutzt. Geeignetheit, Verhältnismäßigkeit und Wirksamkeit richten sich insbesondere nach Risikoexposition, Einrichtungsgröße, Umsetzungskosten sowie Wahrscheinlichkeit, Schwere und gesellschaftlichen und wirtschaftlichen Auswirkungen möglicher Sicherheitsvorfälle.

Welche Rolle spielt die DSGVO?

Werden personenbezogene Daten verarbeitet, gilt Artikel 32 DSGVO als eigenständige zusätzliche Grundlage für Verantwortliche und Auftragsverarbeiter. Sie müssen unter Berücksichtigung des Stands der Technik, der Implementierungskosten, von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der nach unterschiedlicher Eintrittswahrscheinlichkeit und Schwere bestimmten Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Bei der Risikobeurteilung sind insbesondere Risiken durch unbeabsichtigte oder unrechtmäßige Vernichtung, Verlust oder Veränderung sowie durch unbefugte Offenlegung personenbezogener Daten oder unbefugten Zugang zu ihnen zu berücksichtigen. Dieser Datenschutzkontext ist kein allgemeiner Auslöser für § 30 BSIG.

Welche Ausnahmen und Spezialregime gelten?

§ 30 BSIG gilt nicht pauschal für sämtliche Unternehmen. § 28 Absatz 5 schließt die dort bezeichneten Vorschriften für bestimmte Telekommunikations- und Energieeinrichtungen nur hinsichtlich der dort genannten Tätigkeiten beziehungsweise Anlagen aus. Die Sätze 2 und 3 begrenzen diese Ausnahme: Sie greift insbesondere nicht, soweit weitere kritische Anlagen betrieben oder weitere Tätigkeiten einer Einrichtungsart der Anlagen 1 oder 2 ausgeübt werden; auch eine nur nebengeordnete Energieanlagentätigkeit fällt unter die dort geregelte Rückausnahme. Für die in § 30 Absatz 3 abschließend genannten Einrichtungsarten geht der einschlägige EU-Durchführungsrechtsakt vor. Einrichtungen der Bundesverwaltung unterliegen grundsätzlich dem eigenständigen Regime des § 29 BSIG.

Welche Fristen und Schwellenwerte gelten für IAM?

§ 30 BSIG enthält für IAM als Managementprozess keine allgemeine Einführungs-, Rezertifizierungs- oder Entzugsfrist und keinen IAM-Schwellenwert. Größenwerte aus § 28 dienen ausschließlich der Einordnung von Einrichtungen. Dazu zählen bei den dort bezeichneten sonstigen besonders wichtigen Einrichtungen insbesondere mindestens 250 Beschäftigte oder mehr als 50 Millionen Euro Jahresumsatz und zugleich mehr als 43 Millionen Euro Jahresbilanzsumme. Bei den dort bezeichneten wichtigen Einrichtungen können mindestens 50 Beschäftigte oder jeweils mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme maßgeblich sein. Andere Kategorien, sektorale, produktspezifische oder vertragliche Vorgaben können abweichende Voraussetzungen oder Fristen enthalten.

Wie unterscheidet sich IAM von Authentisierung, MFA und Zugriffskontrollmodellen?

IAM ist der übergeordnete Prozess- und Kontrollbereich. Er verbindet die Lebenszyklen digitaler Identitäten, Credentials und Authentikatoren, Rollen und Zugriffsrechte. Dazu gehören Identitätsprüfung, Authentikatorverwaltung, Authentisierung, Autorisierung, Bereitstellung beziehungsweise Provisionierung, Änderung, zeitgerechter Entzug, Zugriffskontrolle und Nachvollziehbarkeit; je nach Architektur kann Föderation hinzukommen. MFA oder ein einzelnes rollen- oder attributbasiertes Zugriffskontrollmodell deckt diesen Gesamtbereich nicht ab.

Das NIST-IAM-Glossar ordnet IAM die Verwaltung individueller Identitäten sowie zugehöriger Rollen und Zugriffsprivilegien zu. NIST SP 1800-2B beschreibt Lebenszyklus-, Bereitstellungs-, Entzugs- und Nachvollziehbarkeitsfunktionen. NIST SP 800-63-4 trennt Identitätsprüfung, Authentikatorverwaltung, Authentisierung und Föderation. NIST SP 800-162 beschreibt attributbasierte Zugriffskontrolle als mögliches Autorisierungsmodell.

NIST SP 800-63-4 unterscheidet für digitale Identitäten Identity Assurance Level (IAL), Authentication Assurance Level (AAL) und Federation Assurance Level (FAL). Diese Systematik vertieft Identitätsprüfung, Authentisierung und Föderation beim logischen Zugriff auf Online-Systeme, Dienste und Anwendungen; sie ist keine vollständige IAM-Definition und erfasst insbesondere physische Zutrittskontrolle, Maschine-zu-Maschine-Authentisierung, IoT sowie API-Zugriffe im Namen von Subjekten nicht ausdrücklich.

Häufige Fehlannahmen

„IAM ist nur ein Produkt.“ Nein. IAM ist ein Prozess- und Kontrollbereich; § 30 BSIG schreibt keine bestimmte IAM-Technologie vor.
„IAM ist dasselbe wie MFA.“ Nein. MFA ist eine Authentisierungslösung innerhalb eines umfassenderen IAM.
„§ 30 BSIG verpflichtet jedes Unternehmen zu IAM.“ Nein. Die Pflicht richtet sich an besonders wichtige und wichtige Einrichtungen und unterliegt Anwendungsbereichs-, Ausnahme- und Vorrangregeln.
„Die Größenwerte bestimmen, ab wann IAM nötig ist.“ Nein. Sie dienen der gesetzlichen Einordnung bestimmter Einrichtungen, nicht der Definition oder technischen Relevanz von IAM.
„NIST IAL, AAL und FAL beschreiben das gesamte IAM.“ Nein. Die Stufen betreffen abgegrenzte Funktionen digitaler Identitäten und ersetzen keine vollständige Rechte- und Autorisierungsverwaltung.

Was die Geschäftsleitung tun sollte

Die folgenden Punkte konkretisieren eine risikobasierte Umsetzung; sie sind keine gesetzliche Vorgabe für ein bestimmtes Produkt:

Geltungsbereich, Einrichtungsstatus, sektorale Sonderregeln und Schutzbedarf der genutzten Systeme nachvollziehbar bestimmen.
Verantwortlichkeiten und Prozesse für die Identitäts-, Authentikator- und Rechtelebenszyklen festlegen, einschließlich Identitätsprüfung, Bereitstellung beziehungsweise Provisionierung, Änderung, regelmäßiger Prüfung und zeitgerechtem Entzug sowie Authentisierung und Autorisierung. Als technische Referenzen dienen das NIST-IAM-Glossar, NIST SP 1800-2B und NIST SP 800-63-4.
Zugriffskontroll- und Authentisierungskonzepte risikogerecht umsetzen.
Wirksamkeit der Risikomanagementmaßnahmen bewerten und die Erfüllung der gesetzlichen Pflicht, soweit anwendbar, dokumentieren.

Rechtlich gilt zusätzlich: Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen. Nach § 38 Absatz 3 müssen sie regelmäßig an Schulungen teilnehmen; ein festes Schulungsintervall nennt die Vorschrift nicht. Sektorale Ausschlüsse und Vorrangregeln bleiben zu prüfen.

Für die Geschäftsleitung

IAM verbindet die Lebenszyklen digitaler Identitäten, Credentials und Authentikatoren, Rollen und Zugriffsrechte mit Identitätsprüfung, Authentisierung, Autorisierung, Bereitstellung, Änderung, zeitgerechtem Entzug und Nachvollziehbarkeit; gegebenenfalls kommt Föderation hinzu. Technische Referenzen sind das NIST-IAM-Glossar, NIST SP 1800-2B, NIST SP 800-63-4 und NIST SP 800-162. Die Geschäftsleitung sollte entscheiden, welche Identitäten, Systeme und Zugriffe in den Geltungsbereich fallen und wie Kontrollen ausgestaltet werden. Nachweisbar werden diese Entscheidungen durch dokumentierte Verantwortlichkeiten, Wirksamkeitsbewertungen und – soweit anwendbar – die Dokumentation der Erfüllung gesetzlicher Pflichten. Für Einrichtungen im Anwendungsbereich von § 30 und § 38 BSIG sind Umsetzung, Überwachung und Dokumentation keine bloßen Empfehlungen; die konkrete Technologie bleibt jedoch offen.