CAEP: Continuous Access Evaluation Profile für moderne Zero-Trust-Architekturen

CAEP (Continuous Access Evaluation Profile) ist ein von der OpenID Foundation offener Standard für die kontinuierliche Neubewertung aktiver Zugriffe. Statt Zugriffsrechte ausschliesslich beim Login zu prüfen, können beteiligte Systeme sicherheitsrelevante Ereignisse während einer laufenden Sitzung austauschen und Zugriffe bei Bedarf unmittelbar anpassen oder beenden. Damit ergänzt CAEP klassische Authentisierung und Autorisierung um eine ereignisbasierte Sicherheitslogik, die Zero-Trust-Architekturen auch über Herstellergrenzen hinweg unterstützt. Unternehmen können Sicherheitsrisiken dadurch schneller erkennen und Zugriffsentscheidungen kontinuierlich an den aktuellen Kontext anpassen.

CAEP definiert Ereignistypen innerhalb des Shared Signals Framework, über die ein Transmitter sicherheitsrelevante Änderungen an einen Receiver übermittelt. Als Transmitter kann beispielsweise ein Identity Provider, ein Endpoint-System oder eine Security-Plattform auftreten, während Anwendungen und Zugriffsdienste die Signale empfangen. Die Ereignisse werden als Security Event Tokens strukturiert und beziehen sich eindeutig auf Benutzer, Geräte, Sitzungen oder andere digitale Subjekte. Der Receiver bewertet anschließend anhand eigener Richtlinien, ob eine Sitzung fortgeführt, eingeschränkt, neu authentisiert oder beendet werden muss. CAEP liefert somit das standardisierte Signal, während die konkrete Enforcement-Entscheidung bei der empfangenden Plattform verbleibt. P-Ereignisse sind für Unternehmen relevant?

Die OpenID-Spezifikation beschreibt Ereignisse, die Änderungen an der Sicherheits-, Vertrauens- oder Zugriffslage eines eindeutig bezeichneten digitalen Subjekts ausdrücken. Besonders wertvoll sind Signale, die ohne CAEP häufig verspätet oder ausschliesslich innerhalb der Plattform eines einzelnen Herstellers verarbeitet würden.

Die CAEP-Events definieren selbst keine Zugriffsentscheidungen, sondern liefern standardisierte Signale, auf deren Basis empfangende Systeme ihre Sicherheitsrichtlinien anwenden. Welche Maßnahmen ein Ereignis auslöst – etwa eine erneute Authentisierung, eingeschränkte Berechtigungen oder das Beenden einer Sitzung – bestimmen die jeweiligen Policies des Unternehmens. Dadurch bleibt CAEP herstellerübergreifend interoperabel und lässt sich flexibel in bestehende IAM- und Zero-Trust-Architekturen integrieren.

Eine belastbare Architektur für Continuous Access Evaluation Profile (CAEP) benötigt mehr als die technische Übertragung einzelner Events zwischen zwei bereits miteinander verbundenen Sicherheitssystemen. Unternehmen sollten das Zielbild aus Signalquellen, Transport, Richtlinien, Enforcement, Monitoring und Governance gemeinsam entwickeln und verbindlich dokumentieren.

Die Architektur muss zusätzlich mit Ausfällen, verspäteten Ereignissen, Wiederholungen und widersprüchlichen Signalen kontrolliert sowie für den Betrieb nachvollziehbar umgehen können. Ohne definierte Fallback-Regeln kann ein technisches Problem entweder unnötige Sperren oder gefährliche Zugriffsverlängerungen verursachen und damit Geschäftsprozesse direkt beeinträchtigen.

Continuous Access Evaluation Profile (CAEP)  verändert nicht nur Schnittstellen, sondern auch Verantwortlichkeiten zwischen IAM, Security Operations, Workplace, Datenschutz und Applikationsbetrieb. Jede Organisation muss definieren, wer ein Signal erzeugen darf, welcher Empfänger ihm vertraut und welche Folgen daraus entstehen. Ebenso wichtig sind Datenminimierung, Zweckbindung und nachvollziehbare Aufbewahrungsregeln für sicherheitsbezogene Ereignisse. Fachliche Eigentümer sollten kritische Use Cases genehmigen und regelmäßig prüfen, ob Maßnahmen noch verhältnismäßig sind. Damit wird CAEP zu einem Governance-Thema, das technische Interoperabilität mit klarer Entscheidungsverantwortung verbindet.

Microsoft implementiert den offenen Standard Continuous Access Evaluation Profile (CAEP) in Microsoft Entra ID unter der Bezeichnung Continuous Access Evaluation (CAE)  Während CAEP die standardisierte Spezifikation der OpenID Foundation beschreibt, bezeichnet CAE deren praktische Umsetzung innerhalb des Microsoft-Ökosystems. Sicherheitsrelevante Ereignisse wie eine Kontosperrung, ein Gerätewechsel oder ein erhöhtes Risiko können dadurch nahezu in Echtzeit ausgewertet werden, ohne auf das Ablaufdatum eines Access Tokens warten zu müssen. Für Unternehmen bedeutet das schnellere Reaktionen auf Sicherheitsvorfälle und gleichzeitig eine bessere Benutzererfahrung, da Tokens nicht mehr ausschließlich über kurze Laufzeiten abgesichert werden müssen. Microsoft zählt CAE heute zu den zentralen Funktionen seiner Zero-Trust-Strategie für Microsoft Entra und Microsoft 365.

CAEP ermöglicht längere Access-Token-Laufzeiten, ohne das Sicherheitsniveau zu reduzieren. Statt Zugriffe ausschließlich über die Gültigkeitsdauer eines Tokens zu steuern, werden sicherheitsrelevante Ereignisse kontinuierlich an beteiligte Systeme übermittelt. Meldet beispielsweise ein Session Revoked-Event den Widerruf einer Sitzung oder signalisiert ein anderes CAEP-Event ein erhöhtes Risiko, kann der Zugriff sofort neu bewertet oder beendet werden – unabhängig von der verbleibenden Token-Laufzeit. Dadurch verschiebt sich die Sicherheitslogik von zeitbasierten Token-Abläufen hin zu einer signalgesteuerten Zugriffssteuerung. Microsoft nutzt dieses Prinzip mit Continuous Access Evaluation (CAE) und unterstützt für kompatible Anwendungen Access Tokens mit einer Gültigkeit von bis zu 28 Stunden.

Identitätsbasierte Angriffe gehören heute zu den häufigsten Methoden, um Unternehmenssysteme zu kompromittieren. Microsoft berichtet, dass mehr als 99 % der beobachteten Identitätsangriffe passwortbasiert sind und Angreifer zunehmend auch bestehende Sitzungen oder Access Tokens ausnutzen. CAEP reduziert dieses Missbrauchsfenster, indem sicherheitsrelevante Ereignisse aktive Sitzungen kontinuierlich neu bewerten und bei Bedarf sofort widerrufen oder einschränken. Dadurch können kompromittierte Identitäten deutlich schneller isoliert werden, ohne auf den Ablauf eines Access Tokens warten zu müssen.

Laut dem IBM Cost of a Data Breach Report 2025  verursachen Datenschutz- und Sicherheitsverletzungen weltweit durchschnittliche Kosten von 4,4 Millionen US-Dollar. Ein entscheidender Faktor ist dabei, wie schnell kompromittierte Identitäten erkannt und aktive Zugriffe eingeschränkt werden können. CAEP unterstützt genau diesen Prozess, indem sicherheitsrelevante Ereignisse nahezu in Echtzeit an beteiligte Systeme übermittelt und laufende Sitzungen unmittelbar neu bewertet oder widerrufen werden. Dadurch können Unternehmen das Zeitfenster für missbräuchliche Zugriffe verkürzen und potenzielle Folgeschäden begrenzen.

CAEP ist kein eigenständiger Standard, sondern ein Profil des OpenID Shared Signals Framework (SSF). Während SSF den standardisierten Austausch sicherheitsrelevanter Ereignisse zwischen verschiedenen Systemen definiert, legt CAEP fest, welche Ereignisse für die kontinuierliche Bewertung aktiver Zugriffe relevant sind. Unternehmen profitieren dadurch von einer herstellerübergreifenden Grundlage, um Identitäts-, Sicherheits- und Unternehmensanwendungen interoperabel miteinander zu verbinden. Wer CAEP implementiert, nutzt damit gleichzeitig die standardisierten Kommunikationsmechanismen des Shared Signals Frameworks und schafft die Basis für eine skalierbare, ereignisgesteuerte Sicherheitsarchitektur.

IPG betrachtet CAEP als Bestandteil einer umfassenden IAM- und Zero-Trust-Architektur und nicht als isoliertes Protokoll- oder Schnittstellenprojekt. Zu Beginn analysieren wir bestehende Identitätsflüsse, Token-Laufzeiten, Session-Modelle, Risikosignale, Verantwortlichkeiten und technische Durchsetzungspunkte in der gesamten Zielarchitektur. Anschließend priorisieren wir Use Cases, bei denen eine verzögerte Reaktion ein hohes geschäftliches, sicherheitsbezogenes oder regulatorisches Risiko erzeugt. Ein sinnvoller Einstieg ist häufig der Widerruf kompromittierter Sitzungen oder die kontrollierte Reaktion auf einen veränderten Compliance-Status verwalteter Geräte. In einem abgegrenzten Pilot messen wir Signalqualität, Übertragungslatenz, Fehlerraten, Policy-Verhalten und Auswirkungen auf Benutzer sowie kritische Fachprozesse. Danach lassen sich weitere Transmitter, Receiver, Anwendungen und Richtlinien schrittweise integrieren, ohne Organisation und Architektur unnötig zu überfrachten. IPG verbindet dabei Beratung, Implementierung und Betrieb mit einem ganzheitlichen Blick auf Identity Governance, Access Management und Security Operations. So entsteht eine skalierbare CAEP-Lösung, die kontinuierliche Zugriffsentscheidungen technisch beherrschbar, auditierbar und organisatorisch verantwortbar macht.

CAEP erweitert klassische Authentisierungs- und Autorisierungskonzepte um die kontinuierliche Bewertung aktiver Zugriffe auf Basis standardisierter Sicherheitsereignisse. Als offener Standard der OpenID Foundation ermöglicht CAEP eine herstellerübergreifende Zusammenarbeit zwischen Identitäts-, Sicherheits- und Unternehmensanwendungen und reduziert den Aufwand für proprietäre Integrationen. Unternehmen schaffen damit die Grundlage, Zugriffsentscheidungen schneller an veränderte Sicherheitslagen anzupassen und ihre Identitätsarchitektur langfristig flexibler und zukunftssicher weiterzuentwickeln. Für Organisationen, die moderne Identity- und Access-Management-Landschaften aufbauen oder weiterentwickeln, gehört CAEP daher zu den wichtigsten Standards für eine kontinuierliche Zugriffsbewertung.

Dieser Bericht beruht auf Expertenwissen, für die Ausformulierung wurde Hilfe von KI in Anspruch genommen.