Was ist Identity & Access Management (IAM)? Grundlagen, Funktionen und Best Practices 

Identity & Access Management (IAM) beschreibt die Gesamtheit aller Prozesse und Technologien zur Verwaltung digitaler Identitäten und der zugehörigen Berechtigungen, sowie zur Steuerung und Absicherung des Zugriffs auf Anwendungen, Systeme und Daten. Ziel eines IAM-Systems ist es, sicherzustellen, dass nur berechtigte Personen oder Systeme Zugriff auf relevante Daten und Anwendungen erhalten – und dass dieser Zugriff über geeignete Authentifizierungs- und Autorisierungsverfahren geregelt wird. 

Angesichts zunehmender Digitalisierung, regulatorischer Anforderungen wie ISO27001, TISAX, DORA oder SOX, sowie der wachsenden Angriffsfläche durch SaaS-Lösungen und hybride IT-Landschaften gewinnt IAM zunehmend an Bedeutung. 

Dieser Artikel vermittelt die Grundlagen von Identity & Access Management (IAM), erklärt zentrale Begriffe und ordnet aktuelle Entwicklungen ein. Wer sich für die Einführung von IAM, die Auswahl geeigneter Lösungen oder Beratungsleistungen interessiert, findet auf unserer Seite zu Identity & Access Management weiterführende Informationen zu unserem Leistungsportfolio.

Identity & Access Management ist in der digitalen Welt das, was der Schiedsrichter im Fußballspiel ist: unverzichtbar für Ordnung, Fairness und Sicherheit. IAM entscheidet, wer wann und unter welchen Bedingungen Zugriff auf welche Systeme und Daten erhält – so wie der Schiedsrichter über Foul oder Vorteil bestimmt.

Und wie auf dem Spielfeld gilt auch in der IT: Je weniger man den Schiedsrichter spürt, desto besser macht er seinen Job. Ein gut funktionierendes IAM sorgt für Sicherheit, ohne im Tagesgeschäft zu stören. Ohne IAM entstehen beispielsweise:

• verwaiste Benutzerkonten
• überhöhte Berechtigungen
• hohe manuelle Aufwände
• Compliance-Risiken
• fehlende Transparenz

Deshalb zählt IAM heute zu den wichtigsten Sicherheits- und Governance-Bausteinen moderner IT-Landschaften.

Um die Rolle eines klassischen IAM in der Praxis zu verstehen, lohnt sich ein Blick auf drei zentrale Funktionssäulen: 

• Identitätsverwaltung (Identity): Anlage, Pflege und Löschung digitaler Identitäten (Joiner–Mover–Leaver) mit eindeutiger Zuordnung zu natürlichen Personen, Organisationseinheiten und Rollen. 

• Berechtigungsmanagement (Access): Zuweisung und Entzug von Berechtigungen basierend auf organisatorischen Regeln, Geschäftsrollen und technischen Richtlinien, einschliesslich Authentifizierung und Autorisierung. 

• Governance, Protokollierung & Nachvollziehbarkeit: Alle Identitäts- und Berechtigungsprozesse werden überwacht und dokumentiert, um Anforderungen an Audit und Compliance mittels Rezertifizierung, Richtlinien- und Risikoanalysen (Segregation of Duties), Reportings zu erfüllen. 

Verbreitete Plattformen wie Microsoft Entra ID übernehmen diese Aufgaben im Standardumfang, stossen jedoch bei komplexen Unternehmensstrukturen oder Governance-Integration häufig an funktionale Grenzen im Vergleich zu spezialisierten IAM-Suiten. 

Eine digitale Identität bildet im Identity & Access Management (IAM) eine natürliche Person oder – über Subidentitäten – auch eine Non-Human Identity (NHI) mit ihren relevanten Merkmalen und Beziehungen ab. Sie ist die zentrale Repräsentation dieser Entität im Identity & Access Management (IAM) und kann mit mehreren Benutzerkonten verknüpft sein. Ein Benutzerkonto (Account) ist dagegen ein konkreter Record in einem Zielsystem, beispielsweise in einer Anwendung, einem Verzeichnisdienst oder einer Cloud-Plattform, über den die Identität auf dieses System zugreifen kann. Eine digitale Identität kann somit mehrere Benutzerkonten in unterschiedlichen Zielsystemen besitzen, während jedes Konto einem bestimmten technischen Zugriffskontext dient. Diese Trennung ermöglicht es IAM-Systemen, Identitäten zentral zu verwalten und ihre zugehörigen Konten und Zugriffsrechte systemübergreifend zu steuern.

Diese Grundprinzipien zahlen sich in der Praxis mehrfach aus, denn ein gut implementiertes IAM bringt zahlreiche Vorteile mit sich: 

• Sicherheit: Schutz vor Datendiebstahl durch gezielte Zugriffskontrolle 

• Effizienz: Automatisierte Prozesse beim Eintritt, Wechsel und Austritt (Joiner–Mover–Leaver) 

• Compliance: Nachweisbare Umsetzung von Normen wie ISO27001, TISAX, SOX, DORA oder IT-Grundschutz 

• Transparenz: Jeder Zugriff ist dokumentiert, jede Berechtigung nachvollziehbar 

• Wirtschaftlichkeit: Weniger Helpdesk-Aufwand, vereinfachte Rezertifizierung und geringere Risiken – auch im Hinblick auf Cyberversicherungen 

IAM (Identity & Access Management) steuert digitale Identitäten und deren Zugriffe auf Anwendungen, Daten und Systeme über den gesamten Lebenszyklus hinweg. IGA (Identity Governance & Administration) erweitert IAM um Governance-Funktionen wie Genehmigungsprozesse, Rezertifizierungen und die Kontrolle von Berechtigungen – mehr dazu erfahren Sie in unserem Expertenbericht zu IGA für den Mittelstand. ISPM (Identity Security Posture Management) fokussiert die kontinuierliche Erkennung und Bewertung identitätsbezogener Sicherheitsrisiken; die wichtigsten Grundlagen erläutern wir in unserem Expertenbericht zu ISPM. 

Wie lässt sich IAM erfolgreich umsetzen? Ein nachhaltiger Aufbau von Identity & Access Management beginnt nicht mit der Technik, sondern mit einem klar strukturierten Vorgehen. Der erste Schritt sollte immer ein grundlegendes IAM-Assessment sein, bei dem bestehende Prozesse, Schwachstellen, Risiken und regulatorische Anforderungen analysiert werden. Dieses Assessment legt die Basis für eine realistische Zieldefinition und eine priorisierte Roadmap. 

Darauf folgt die Erarbeitung einer IAM-Richtlinie als Teil der Unternehmenssicherheitsstrategie – häufig auch eingebettet in das übergeordnete ISMS. Diese Richtlinie legt Verantwortlichkeiten, Rollenmodelle, Rezertifizierungszyklen und Governance-Vorgaben verbindlich fest. 

Im nächsten Schritt geht es um die Prozessmodellierung: Eintritt, Übertritt, Austritt (Joiner–Mover–Leaver), Rezertifizierungen, Ausnahmeverfahren und Notfallzugriffe müssen sauber und automatisiert abgebildet werden. 

Erst auf dieser Grundlage empfiehlt sich die Auswahl und Einführung einer passenden IAM-Plattform. Dabei sollten Kriterien wie Schnittstellenvielfalt, Automatisierungsfähigkeit, Erweiterbarkeit und Compliance-Unterstützung im Vordergrund stehen. 

Identitäten und Zugangsdaten bleiben ein zentraler Angriffspunkt für Cyberkriminelle: Laut IBM X-Force Threat Intelligence Index 2026 war Credential Harvesting mit 40% der dominante Angriffsvektor in Europa. Credential Harvesting bezeichnet das gezielte Sammeln oder Abgreifen von Zugangsdaten wie Benutzernamen, Passwörtern oder Authentifizierungsinformationen, um diese für unbefugte Zugriffe auf Konten und Systeme zu verwenden.

Ein wirksames Identity & Access Management (IAM) reduziert identitätsbezogene Risiken, indem Zugriffsrechte kontrolliert, nicht mehr benötigte Berechtigungen entzogen und privilegierte Zugriffe konsequent eingeschränkt werden. Prinzipien wie Least Privilege, rollenbasierte Zugriffskontrolle und regelmässige Rezertifizierungen begrenzen zudem, auf welche Systeme und Daten eine kompromittierte Identität zugreifen kann. Die wirtschaftlichen Folgen erfolgreicher Angriffe können erheblich sein: IBM beziffert die durchschnittlichen Kosten eines Datenlecks alleine in Deutschland 2026 auf 4,25 Millionen Euro. IAM kann Sicherheitsvorfälle nicht vollständig verhindern, bildet jedoch eine zentrale Kontrollschicht, um identitätsbasierte Angriffsflächen und die möglichen Auswirkungen kompromittierter Zugänge zu reduzieren.

Sind Prozesse und Richtlinien definiert, kommt die Wahl der Plattform ins Spiel. Es gibt eine Vielzahl von IAM-Tools: von spezialisierten Open-Source-Lösungen bis zu umfassenden Plattformen für Enterprise-Umgebungen. Anbieter wie Microsoft (Entra ID), One Identity, Opentext, Beta Systems, ClearSkye, Sailpoint oder Saviynt bieten breite Funktionalität, teils kombiniert mit IGA, SSO und PAM. IPG hat sich bewusst ein Ökosystem führender Hersteller geschaffen, von welchen jeder gewisse Merkmal und Vorteile bietet. So löst zum Beispiel IDABUS den abgekündigten Microsoft Identity Manager ab und schliesst eine Lücke, welche heute Entra ID nicht bietet. Die Auswahl sollte sich an Compliance-Anforderungen, Systemlandschaft und Zukunftsfähigkeit orientieren. 

Role-Based Access Control (RBAC) bleibt ein wichtiges Berechtigungsmodell im Identity & Access Management, insbesondere für stabile und klar definierte Zugriffsmuster. Dabei werden Berechtigungen nicht einzelnen Nutzern direkt, sondern über Rollen zugewiesen, was die Verwaltung und Governance von Zugriffsrechten vereinfacht. In dynamischen IT-Umgebungen reicht RBAC allein jedoch nicht immer aus, da Zugriffsentscheidungen zunehmend auch Attribute, Risiken oder den aktuellen Kontext berücksichtigen müssen. Moderne IAM-Architekturen ersetzen RBAC deshalb nicht grundsätzlich, sondern ergänzen das Rollenmodell je nach Anwendungsfall durch flexiblere Autorisierungsmechanismen. Wie RBAC funktioniert, welche Rollenmodelle sich eignen und worauf Unternehmen bei der Umsetzung achten sollten, erläutern wir ausführlich in unserem Expertenbericht zu Role Based Access Control (RBAC).

Ein modernes Identity & Access Management verbindet automatisierte Identity-Lifecycle-Prozesse mit Governance, flexibler Zugriffskontrolle und einer integrierten IAM-Architektur. Identitäten und Berechtigungen werden dabei über Eintritte, Rollenwechsel und Austritte hinweg zentral gesteuert und möglichst automatisiert an Veränderungen angepasst. Standardisierte Schnittstellen wie SCIM erleichtern die Integration von Cloud-, SaaS- und On-Premises-Anwendungen in eine heterogene IT-Landschaft. Gleichzeitig ergänzen kontext- und risikobasierte Zugriffsentscheidungen klassische Rollenmodelle, wenn statische Berechtigungen für dynamische Anforderungen nicht ausreichen. Modernes IAM ist damit nicht nur ein Werkzeug zur Benutzerverwaltung, sondern eine zentrale Infrastruktur für sichere, nachvollziehbare und skalierbare Zugriffe.

Regulatorische Vorgaben und Sicherheitsstandards sind ein wesentlicher Treiber für Identity & Access Management (IAM). Zwar unterscheiden sich die Anforderungen je nach Branche und Regelwerk, wiederkehrende Themen sind jedoch die kontrollierte Vergabe von Zugriffsrechten, starke Authentifizierung, die Trennung kritischer Berechtigungen sowie regelmässige Überprüfungen. Die folgenden Regelwerke zeigen exemplarisch, welche Rolle IAM bei der Umsetzung solcher Anforderungen spielt. IPG unterstützt Unternehmen zudem dabei, die für sie relevanten Regulatorien und Cybersecurity-Anforderungen zu identifizieren und daraus konkrete Anforderungen an IAM, Prozesse und Kontrollen abzuleiten.

Die ISO 27001 adressiert Identity & Access Management insbesondere über die Controls A.5.15 Access Control, A.5.16 Identity Management, A.5.17 Authentication Information und A.5.18 Access Rights. Damit werden zentrale IAM-Aufgaben wie die Verwaltung von Identitäten sowie die Vergabe, Überprüfung, Änderung und Entziehung von Zugriffsrechten abgedeckt. Die einzelnen Controls sind beispielsweise im ISO-27001-Control-Verzeichnis von ISMS.online detailliert beschrieben. Auch TISAX greift diese Prinzipien im VDA-ISA-Katalog auf und stellt Anforderungen an die kontrollierte Verwaltung von Identitäten und Zugriffsrechten. IAM unterstützt Unternehmen dabei durch zentrale Identity-Lifecycle-Prozesse, rollenbasierte Berechtigungen und regelmässige Rezertifizierungen.

Für Finanzunternehmen in der EU formuliert DORA konkrete Anforderungen an das Identity & Access Management. Besonders relevant ist Artikel 21 der technischen Regulierungsstandards zum IKT-Risikomanagement: Er verlangt unter anderem die Vergabe von Zugriffsrechten nach Need-to-know, Need-to-use und Least Privilege, die Trennung kritischer Berechtigungen sowie geregelte Prozesse zur Vergabe, Änderung und Entziehung von Zugriffsrechten. Für IKT-Systeme, die kritische oder wichtige Funktionen unterstützen, sind Zugriffsrechte zudem mindestens alle sechs Monate zu überprüfen. Diese Anforderungen sind im DORA RTS, Artikel 21 zur Zugangskontrolle detailliert aufgeführt. IAM unterstützt Finanzunternehmen dabei durch automatisierte Identity-Lifecycle-Prozesse, rollenbasierte Berechtigungen und regelmässige Rezertifizierungen.

Auch die FINMA stellt konkrete Anforderungen an den Schutz kritischer Daten und die Kontrolle entsprechender Zugriffsrechte. Das FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken» adressiert dabei unter anderem den Schutz kritischer Daten und damit verbundene organisatorische und technische Kontrollen. 

Bereits das Vorgänger-Rundschreiben 2008/21 regelte den Umgang mit Client Identifying Data (CID) sehr konkret: Zugriffe mussten nach dem Need-to-know-Prinzip erfolgen und über ein rollen- und funktionsspezifisches Autorisierungssystem gesteuert sowie regelmässig bestätigt werden. Besonders hohe Anforderungen galten für privilegierte IT-Benutzer und Personen mit Zugriff auf Massen-CID. Diese IAM-relevanten Anforderungen an CID finden sich in Anhang 3 des FINMA-Rundschreibens 2008/21. IAM und PAM unterstützen Finanzinstitute dabei, solche Zugriffe kontrolliert zu vergeben, regelmässig zu überprüfen und über den gesamten Identity Lifecycle nachvollziehbar zu steuern.

Die NIS2-Richtlinie nennt zentrale IAM-Massnahmen ausdrücklich als Bestandteil des Cybersecurity-Risikomanagements. Artikel 21 Absatz 2 fordert unter anderem Richtlinien für die Zugriffskontrolle und sieht, soweit angemessen, den Einsatz von Multi-Faktor- oder kontinuierlicher Authentifizierung vor. Die konkreten Anforderungen finden sich in NIS2 Artikel 21 Absatz 2, insbesondere Buchstaben i und j. IAM unterstützt Unternehmen dabei durch zentrale Identitätsverwaltung, rollenbasierte Zugriffskontrollen und automatisierte Lifecycle-Prozesse, während starke Authentifizierungsverfahren den eigentlichen Zugriff auf Anwendungen und Systeme zusätzlich absichern.

Der Sarbanes-Oxley Act (SOX) adressiert IAM nicht unmittelbar, verlangt mit Section 404 jedoch die Bewertung und Dokumentation wirksamer interner Kontrollen über die Finanzberichterstattung. Die SEC erläutert die Anforderungen von SOX Section 404 und die Verantwortung des Managements für die Beurteilung dieser Kontrollen. Für das IAM ergeben sich daraus insbesondere Anforderungen an kontrollierte Zugriffe auf finanzrelevante Systeme, nachvollziehbare Berechtigungsvergaben und die Trennung unvereinbarer Aufgaben. IAM unterstützt solche Kontrollen durch geregeltes Provisioning und Deprovisioning, Segregation of Duties (SoD) sowie dokumentierte Access Reviews.

Mit dem Einsatz von KI-Agenten muss Identity & Access Management neben menschlichen Nutzern zunehmend auch nicht-menschliche Identitäten (NHI) und automatisierte Zugriffe berücksichtigen. KI-Agenten können auf Anwendungen, Daten und andere Ressourcen zugreifen oder eigenständig Aktionen ausführen und benötigen deshalb eindeutig zugeordnete Identitäten und kontrollierte Berechtigungen. IAM schafft dafür die Grundlage, indem Zugriffe nach definierten Rollen, Richtlinien und Kontextinformationen gesteuert und nachvollziehbar dokumentiert werden. Dabei sollten KI-Agenten nur die Berechtigungen erhalten, die sie für ihre jeweilige Aufgabe tatsächlich benötigen. IAM wird damit zu einem wichtigen Kontrollpunkt, um den Zugriff von KI-Agenten auf Unternehmensressourcen sicher, nachvollziehbar und regelkonform zu gestalten.

IAM entwickelt sich kontinuierlich weiter und verbindet Sicherheit, Governance und Automatisierung zu einer zentralen Disziplin moderner IT. Unternehmen, die die Grundlagen und Entwicklungen von IAM verstehen, können Anforderungen an Compliance, Digitalisierung und neue Technologien wie KI besser einordnen und fundierte Architekturentscheidungen treffen.

Dieser Bericht beruht auf Expertenwissen, für die Ausformulierung wurde Hilfe von KI in Anspruch genommen.