CIEM: Cloud Infrastructure Entitlement Management einfach erklärt

Cloud Infrastructure Entitlement Management (CIEM) ist ein zentrales Element moderner Cloud-Sicherheitsstrategien und gemäss Gartner (Januar 2025) eine eigenständige Kategorie innerhalb der Identity Security. Es ermöglicht Unternehmen, Identitäten und deren Berechtigungen in komplexen Cloud-Umgebungen effektiv zu überwachen und zu verwalten. Doch was macht CIEM konkret – und wie unterscheidet es sich von IAM oder PAM? In diesem Beitrag klären wir die wichtigsten Unterschiede, zeigen typische Einsatzszenarien und erklären, warum CIEM kein Ersatz, sondern vielmehr eine gezielte Ergänzung bestehender Sicherheitslösungen ist. 

Bei CIEM handelt es sich um eine Sicherheitslösung, die Unternehmen dabei unterstützt, ausschließlich Berechtigungen in Cloud-Umgebungen zu verwalten. CIEM ermöglicht sicheren Zugriff auf Ressourcen innerhalb einer einheitlichen Infrastruktur über mehrere Cloud-Plattformen hinweg, wie zum Beispiel für AWS, Azure oder Google. Berechtigungen sind dabei jene Rechte, die Identitäten für den Zugriff auf Cloud-Ressourcen zugewiesen bekommen. Sie können für Benutzer, Anwendungen, Gruppen oder Rollen gewährt werden. CIEM sorgt für angemessene Berechtigungen, sodass Unternehmen in ihren Cloud-Umgebungen Transparenz, Kontrolle und Compliance gewährleisten können.  

Während sich Identity and Access Management (IAM) auf die Verwaltung von Identitäten und deren Zugriff auf Systeme in voller Breite konzentriert, IVIP (Identity Visibility and Intelligence Platform) eine systemübergreifende Transparenz über Identitäten, Berechtigungen herstellt sowie effektive Zugriffe risikobasiert bewertet, bietet CIEM eine spezialisierte Lösung für die Verwaltung von Berechtigungen in Cloud-Infrastrukturen. CIEM greift dabei tiefer in die Berechtigungsstrukturen ein und überwacht auch deren Nutzung. 

Obwohl CIEM und IAM unterschiedliche Schwerpunkte setzen, existieren trotzdem starke konzeptionelle und funktionale Überschneidungen. Denn beide verfolgen das Ziel, Zugriffsrechte effektiv zu verwalten und Missbrauch zu verhindern. Mit Broken Access Control führt OWASP 2025 die kritischste Schwachstelle für Webanwendungen und Cloud-Dienste auf. Überprivilegierte Identitäten und die Missachtung des Least-Privilege-Prinzips zählen dabei zu den häufigsten Ursachen – weshalb CIEM heute ein zentraler Bestandteil moderner Cloud-Sicherheitsarchitekturen ist.

Nein, tatsächlich betrifft CIEM jedoch alle Identitäten in Cloud-Infrastrukturen, also sowohl menschliche Benutzer als auch Maschinenidentitäten. CIEM wird jedoch häufig im Zusammenhang mit Non-Human Identities (Service Accounts, Workload Identities oder APIs) betrachtet, da deren Anzahl in modernen Cloud-Umgebungen menschliche Identitäten laut aktuellen Analysen teilweise um das 80-Fache übersteigt. Besonders kritisch sind automatisierte Identitäten, weil sie gemäss OWASP Top10 Befund aus 2025 oftmals dauerhaft überprivilegiert sind. IBM prognostizierte im Juni 2026 gar, dass AI Agents als neue Klasse von Non-Human Identities (NHIs) die Zahl menschlicher Identitäten künftig um das 95-Fache übertreffen werden.

CIEM-Lösungen automatisieren den Prozess der Verwaltung von Benutzern und Benutzerberechtigungen in Cloud-Umgebungen, meist tiefer als dies IAM-Lösungen tun. Mit CIEM können somit Herausforderungen der Implementierung konsistenter Zugriffskontrollen und Zero-Trust-Richtlinien in der gesamten Multi-Cloud-Bereitstellung etwas effektiver bewältigt werden. Gerade die Kombination aus Einsicht in Cloud-Ressourcen, Benutzer und Berechtigungen erlaubt es, in Szenarien zu denken, und beispielsweise zu entscheiden, ob ein privilegierter Benutzer auf einer vulnerablen Ressource präventiv deaktiviert werden sollte, bis das Problem behoben ist. 

Nichtsdestotrotz lässt sich aber sagen, dass die gleichzeitige Nutzung von CIEM und IAM auch zu großen Problemen führen kann. Es sollte niemals dazu kommen, dass mehrere externe Akteure in die gleichen Systeme provisionieren und somit eine unklare Datenhoheit erzeugen. Dazu braucht es eine ganz klare Abgrenzung, damit sich die Systeme nicht gegenseitig aufschaukeln und die Gesamtqualität der Daten leidet.

CIEM ist ein zentraler Baustein moderner Cloud-Security-Strategien, weil viele Sicherheitsvorfälle auf überprivilegierte Accounts zurückzuführen sind. Die Lösung schafft Transparenz über effektive Berechtigungen in Plattformen wie AWS, Microsoft Azure oder Google Cloud. Sie erkennt riskante Rollen, ungenutzte Rechte und potenzielle Privilege-Escalation-Pfade. Dadurch können Sicherheitsrisiken frühzeitig identifiziert und reduziert werden. CIEM ergänzt andere Sicherheitslösungen wie IAM um eine tiefgehende Analyse der Zugriffsrechte.

CIEM erkennt eine Reihe typischer Risiken, die in Cloud-Infrastrukturen häufig auftreten. Dazu gehören überprivilegierte IAM-Rollen, sogenannte Shadow Administrators sowie ungenutzte Service-Accounts mit weitreichenden Berechtigungen. Auch potenzielle Privilege-Escalation-Pfade zwischen verschiedenen Rollen können sichtbar gemacht werden. Diese Risiken entstehen häufig durch automatisierte Deployments oder historisch gewachsene Berechtigungsstrukturen. CIEM hilft dabei, diese Komplexität transparent zu machen und gezielt zu reduzieren.

CIEM ist kein Ersatz für Privileged Access Management (PAM), weil es andere Probleme löst: CIEM analysiert Cloud-Berechtigungen breitflächig, PAM hingegen schützt gezielt den Zugang zu besonders kritischen Benutzerkonten. PAM steuert und überwacht den Zugriff auf privilegierte Identitäten wie Admin- oder Root-Konten – oft in Echtzeit und mit Protokollierung. CIEM bietet diese Zugriffskontrolle nicht, sondern bewertet, welche Identitäten in der Cloud zu viele Berechtigungen haben und reduziert diese bei Bedarf. PAM auditiert und protokolliert üblicherweise diese privilegierten Zugriffe mittels Session Recording auf Basis der Tastatureingabe, Kommandos, File Transfers sowie Bildschirmaktivitäten und rotiert nach abgeschlossener Nutzung die Passwörter (oder Keys) der genutzten Accounts. CIEM und PAM sind also als Ergänzung zu verstehen. 

Hier kann der große Vorteil von CIEM in Kombination mit PAM ausgespielt werden, denn dank der Just-In-Time (JIT) Provisionierung können privilegierte Benutzer bei Anforderung («zur Laufzeit)» erstellt und nach der Nutzung wieder abgeräumt werden. Selbstverständlich bieten IAM-Lösungen ähnliche Konzepte, einfach weniger stark auf JIT ausgerichtet. Der Fakt, dass privilegierte Benutzer in Cloud-Umgebungen nicht per se vorgehalten werden, sondern bei Bedarf erstellt werden, ist aus Security-Sicht sehr vorteilhaft. Man spricht hier vom Zero-Standing-Privilege Prinzip. Ein besonderer Use Case sind privilegierte Zugriffe durch externe Lieferanten. Die Kombination von PAM (ich überwache und zeichne den Zugriff auf) und CIEM (ich erstelle den Benutzer erst, wenn benötigt) kann extrem spannend und lizenz-schonend sein. 

Der Einsatz von CIEM (Cloud Infrastructure Entitlement Management) lohnt sich besonders, sobald Unternehmen mehrere Cloud-Services, DevOps-Pipelines oder automatisierte Workloads betreiben. Laut Statista nutzten 2025 in Österreich und Deutschland etwas mehr als 50% der Unternehmen mindestens einen kostenpflichtigen Cloud-Computing-Dienst (Spitzenreiter ist Finnland mit 79%), Tendenz klar steigend. Dabei wird nicht zwischen den verschiedenen Service-Modellen (SaaS, PaaS, IaaS) und den Deployment Modellen (Private, Hybrid, Public) nach NIST SP 800-145 unterschieden. Besonders in Multi-Cloud Umgebungen entstehen schnell tausende Rollen, Policies und Service-Accounts, deren effektive Berechtigungen kaum noch manuell nachvollziehbar sind. CIEM analysiert diese Berechtigungsstrukturen automatisiert und identifiziert überprivilegierte Zugriffe. Dadurch können Organisationen das Least-Privilege-Prinzip systematisch umsetzen.

CIEM erweitert klassische IAM- und PAM-Konzepte um die Kontrolle von Berechtigungen in dynamischen Cloud-Umgebungen. Unternehmen erhalten dadurch mehr Transparenz über privilegierte Rollen, Fehlkonfigurationen und übermässige Zugriffsrechte in AWS, Azure oder Google Cloud.

Besonders in Multi-Cloud-Architekturen hilft CIEM dabei, Least-Privilege-Prinzipien konsequent umzusetzen und Sicherheitsrisiken frühzeitig zu erkennen. Gleichzeitig verbessert CIEM die Governance von menschlichen und nicht-menschlichen Identitäten sowie die Nachvollziehbarkeit von Berechtigungen.

CIEM ersetzt bestehende IAM- oder PAM-Systeme nicht, sondern ergänzt sie um cloud-spezifische Analyse-, Monitoring- und Governance-Funktionen. Für Unternehmen mit wachsender Cloud-Komplexität wird CIEM deshalb zunehmend zu einem zentralen Bestandteil moderner Identity-Security-Strategien.

Dieser Text wurde mit Unterstützung von KI geschrieben, Aufbau, Themenauswahl und inhaltliche Expertise sind aber durch die Autoren eingeflossen.