Digitale Identitäten sind das Rückgrat moderner IT- und Geschäftsprozesse. Wer heute Mitarbeitende, Partner, Kunden oder Systeme sicher anbinden will, braucht eine zentrale, strukturierte Steuerung von Benutzerkonten und Zugriffsrechten. Genau das leistet Identity Management (IDM).
IDM ist mehr als eine technische Aufgabe. Es betrifft ebenso organisatorische Strukturen, Rollenmodelle und Abläufe – und stellt im Projektalltag hohe Anforderungen an Schnittstellen, Altsysteme und Governance. Ein gut implementiertes IDM reduziert Risiken, automatisiert Prozesse und schafft die nötige Transparenz, um Sicherheit und Effizienz nachhaltig zu vereinen.
Darüber hinaus ist IDM ein zentraler Bestandteil der Einhaltung gesetzlicher Vorgaben oder branchenspezifischer Compliance-Anforderungen. Aus betrieblicher Sicht unterstützt ein etabliertes IDM nicht nur die IT-Sicherheit, sondern auch die effiziente Verwaltung von Zugriffsrechten im Rahmen der täglichen Betriebsprozesse, etwa bei On-/Offboarding oder der Rezertifizierung von Rollen.
Was genau ist Identity Management (IDM)?
Identity Management (IDM) bezeichnet die zentrale Verwaltung digitaler Identitäten und ihrer Zugriffsrechte über den gesamten Lebenszyklus. Dazu gehören die Erstellung und Änderung von Benutzerkonten, die Vergabe von Rollen und Berechtigungen sowie deren kontrollierter Entzug. Ziel ist es, Identitätsprozesse zu automatisieren, Sicherheitsrisiken zu reduzieren und Compliance-Anforderungen nachvollziehbar umzusetzen.
Technisch übernimmt ein IDM-System diese Aufgaben, indem es Identitätsdaten aus führenden Quellsystemen verarbeitet und Konten sowie Berechtigungen in den angebundenen Zielsystemen steuert.
Wie funktioniert ein IDM-System?
Ein IDM-System verbindet führende Quellsysteme mit den angebundenen Zielsystemen und automatisiert den Datenfluss dazwischen. Ausgangspunkt ist meist ein führendes System wie HR, in dem Informationen zu Mitarbeitenden und organisatorischen Veränderungen erfasst werden. Das IDM-System übernimmt diese Daten, erzeugt oder aktualisiert die digitale Identität und leitet anhand definierter Rollen und Regeln die benötigten Berechtigungen ab.
Anschliessend werden Benutzerkonten und Zugriffe automatisiert in Zielsystemen wie Active Directory, ERP-, CRM- oder Cloud-Anwendungen provisioniert. Ändert sich die Funktion einer Person, passt das IDM-System die Berechtigungen entsprechend an; beim Austritt werden Konten und Zugriffe kontrolliert entzogen. So entsteht ein durchgängiger und nachvollziehbarer Datenfluss vom Quellsystem bis zu den angeschlossenen Zielsystemen.
Welche konkreten Probleme löst Identity Management (IDM) in Unternehmen?
Ein professionelles Identity Management (IDM) reduziert typische Fehler und Sicherheitsrisiken, die entstehen, wenn Identitätsdaten, Benutzerkonten und Berechtigungen über viele Systeme hinweg manuell verwaltet werden. Besonders relevant sind folgende Problemfelder:
- Inkonsistente Identitätsdaten: Ein IDM-System übernimmt Identitätsdaten aus definierten, autoritativen Quellsystemen und verteilt Änderungen kontrolliert an die angebundenen Systeme. Dadurch werden Mehrfachpflege, veraltete Datenbestände und widersprüchliche Benutzerinformationen reduziert.
- Manuelle und fehleranfällige Benutzerverwaltung: Benutzerkonten und Zugriffe müssen nicht in jedem Zielsystem einzeln angelegt oder geändert werden. Automatisiertes Provisioning sorgt dafür, dass definierte Änderungen konsistent in den angeschlossenen Anwendungen umgesetzt werden.
- Unkontrollierte Berechtigungsvergabe: Rollen und Regeln legen fest, welche Berechtigungen eine digitale Identität aufgrund ihrer Funktion benötigt. Ein strukturiertes Berechtigungsmanagement standardisiert die Vergabe und reduziert das Risiko unnötiger oder falsch zugewiesener Zugriffsrechte.
- Fehlende Transparenz und Self-Service: Mitarbeitende können ihre Rollen und Berechtigungen einsehen und zusätzliche Zugriffsrechte über definierte Genehmigungsprozesse beantragen. Bestehende Zugriffsrechte lassen sich zudem regelmässig rezertifizieren und bei Bedarf entziehen.
- Fehler bei Rollen- und Funktionswechseln: Bei organisatorischen Veränderungen passt das IDM-System bestehende Konten und Berechtigungen systemübergreifend an. So wird insbesondere verhindert, dass nicht mehr benötigte Berechtigungen nach einem internen Wechsel dauerhaft bestehen bleiben.
- Verwaiste Konten nach Austritten: Verlässt eine Person das Unternehmen, können Konten und Zugriffsrechte über einen definierten Deprovisioning-Prozess zeitnah entzogen werden. Das reduziert das Sicherheitsrisiko durch aktive Konten ehemaliger Mitarbeitender.
- Fehlende Nachvollziehbarkeit und Compliance: Zentral gesteuerte Identitäts- und Berechtigungsprozesse machen nachvollziehbar, wie Konten und Zugriffsrechte vergeben, verändert oder entzogen werden. Das schafft eine bessere Grundlage für Kontrollen, Audits und die Umsetzung regulatorischer Anforderungen.
Was versteht man unter einer digitalen Identität?
Grundlage der beschriebenen IDM-Prozesse ist die digitale Identität. Sie bildet eine Person, ein System oder eine andere Entität innerhalb eines bestimmten Kontexts eindeutig ab. Auch das NIST Special Publication 800-63 definiert eine digitale Identität über ein oder mehrere Attribute, die ein Subjekt eindeutig beschreiben.
Typische Identitätstypen sind unter anderem:
- Mitarbeitende und externe Benutzer
- Partner und Lieferanten
- Kunden und Endnutzer
- Technische Konten und Service Accounts
- Anwendungen, Systeme und Geräte
- Non-Human Identities wie Bots, Workloads oder KI-Agenten
Attribute wie Benutzerkennung, Organisationseinheit, Funktion oder Standort ermöglichen es, Identitäten Rollen und Berechtigungen zuzuordnen. Das Identity & Access Management (IAM) erweitert diese Verwaltung um die übergreifende Steuerung und Kontrolle von Zugriffen. Für Kundenidentitäten gelten zusätzliche Anforderungen, die über ein Customer Identity & Access Management (CIAM) abgedeckt werden.
Password Management – Ein Auslaufmodell?
Passwörter galten lange als Herzstück des Identity Managements – doch ihre Bedeutung nimmt rapide ab. Der Grund dafür liegt nicht nur in steigenden Sicherheitsanforderungen, sondern vor allem im technologischen Wandel der Systemlandschaften.
Immer weniger Anwendungen verfügen heute über eine eigene Benutzerverwaltung. Stattdessen werden zentrale Directories und föderierte Identitätsquellen eingesetzt, die Benutzerauthentifizierung systemübergreifend regeln. Mit dem Siegeszug von Single-Sign-On (SSO) und Identity Federation entfällt in vielen Fällen das klassische Passworthandling. Benutzer melden sich einmalig an und erhalten Zugriff auf eine Vielzahl von Systemen – ohne erneute Eingabe von Zugangsdaten.
Für moderne IDM-Systeme bedeutet das: Das Passwortmanagement rückt deutlich in den Hintergrund, wird aber noch nicht aussterben. In vielen Fällen beschränkt sich der Passwortbezug nur noch auf das Initialpasswort beim Erstellen einer neuen Identität und die Vergabe für erste, lokale Accounts, bevor zentrale Authentifizierungslösungen greifen.
Die operative Bedeutung des Passworts als Sicherheitsanker nimmt ab – zugunsten integrierter, benutzerfreundlicher und robuster Authentifizierungsverfahren. Für den operativen Betrieb bedeutet das: Die Integration sicherer, zentral verwalteter Authentifizierungsmethoden muss sowohl mit bestehenden Anwendungen kompatibel sein als auch skalierbar und wartbar bleiben – insbesondere in hybriden IT-Landschaften.
Haupt- und Subidentitäten: Hierarchische Strukturen im IDM
Gerade in komplexen Organisationen ist eine hierarchische Modellierung von Identitäten erforderlich. Ein typisches Beispiel:
Ein gutes IDM-System erlaubt es, diese Strukturen sauber zu definieren, zu verknüpfen und unabhängig voneinander zu verwalten. Mitarbeitende können mehrere Anstellungen haben, arbeiten noch als Freelancer auf eigene Rechnung (gerade im klinischen Bereich üblich) oder sind gleichzeitig Kunden und Mitarbeitende eines Unternehmens.
Natürlich stellt sich die Frage, ob es sich nicht einfach um mehrere unabhängige Identitätsobjekte handeln könnte. Grundsätzlich ist das möglich. Allerdings geht dadurch die Möglichkeiten verloren, risiko-spezifische Maßnahmen wie Funktionstrennung oder Fraud Detection zu implementieren. Zudem besteht die Gefahr, rechtliche Anforderungen aus Compliance-Vorgaben oder Audits nicht mehr zu erfüllen.
Was ist der Unterschied zwischen IDM und IAM?
Die Begriffe Identity Management (IDM) und Identity & Access Management (IAM) werden häufig synonym verwendet – in der Praxis gibt es jedoch eine klare funktionale Abgrenzung. Gartner schuf den Begriff Identity Governance and Administration (IGA), siehe Guidance vom 15. Oktober 2025.
IDM konzentriert sich auf die Verwaltung der digitalen Identität selbst: Wer ist die Person oder Entität, welche Attribute besitzt sie, welchen organisatorischen Einheiten gehört sie an, welche Rollen sind ihr zugewiesen? Es geht dabei um die Lebenszyklussteuerung von Identitäten, vom Eintritt über interne Wechsel bis hin zum Austritt – inklusive der Pflege von Stammdaten, siehe auch Identity Management - Process or Technology von Kuppinger Cole vom 20. März 2011. Ob auch die Pflege von Gruppen- und Rollenmitgliedschaften zum IDM gehört, wird je nach Auslegung unterschiedlich bewertet.
IAM hingegen geht einen Schritt weiter: Es umfasst zusätzlich die Steuerung des Zugriffs auf Systeme und Informationen – also die technische Umsetzung von Berechtigungen, Authentifizierungsmechanismen und Zugriffskontrollen. IAM sorgt dafür, dass die im IDM modellierten Rollen und Identitäten auch tatsächlich systemseitig korrekt berechtigt und kontrolliert werden – inklusive Protokollierung, Überwachung und Durchsetzung von Sicherheitsrichtlinien. Einige Analysten-Häuser sehen IAM auch als Oberbegriff für Disziplinen wie IDM, Privileged Access Management (PAM) oder auch Single-Sign-On (SSO).
Welche Rolle spielt Identity Management für Compliance und Regulierung?
Die Abgrenzung zwischen IDM und IAM zeigt, dass die Verwaltung digitaler Identitäten eng mit der Steuerung und Kontrolle von Zugriffsrechten verbunden ist. Genau diese Nachvollziehbarkeit ist für die Einhaltung regulatorischer und branchenspezifischer Anforderungen entscheidend. Identity Management unterstützt Unternehmen dabei, Benutzerkonten und Berechtigungen nach definierten Regeln zu vergeben, Änderungen nachvollziehbar umzusetzen und nicht mehr benötigte Zugriffe kontrolliert zu entziehen.
Anforderungen ergeben sich beispielsweise aus der DSGVO, ISO/IEC 27001:2022 oder branchenspezifischen Vorgaben. Ein strukturiertes IDM schafft dafür transparente Identitäts- und Berechtigungsprozesse und unterstützt Kontrollen wie Rezertifizierungen und Audits. Welche regulatorischen Anforderungen für Identity & Access Management besonders relevant sind, zeigt IPG speziell für DACH in der Übersicht: Regulatorien in DACH: Cybersecurity-Compliance
Gleichzeitig entwickeln sich regulatorische Anforderungen kontinuierlich weiter. Neue Technologien, digitale Geschäftsmodelle und insbesondere der zunehmende Einsatz künstlicher Intelligenz schaffen zusätzliche Identitäten, automatisierte Prozesse und neue Anforderungen an Governance und Nachvollziehbarkeit. Damit wird Identity Management auch zu einer wichtigen Grundlage für den kontrollierten Einsatz von KI im Unternehmen.
Identity Management im Zeitalter von KI
Künstliche Intelligenz (KI) bringt nicht nur neue Chancen, sondern auch neue Anforderungen an das Identity Management. KI-Systeme benötigen aber auch eigene Identitäten – sogenannte maschinelle Identitäten –, die klar definiert, reguliert und nachvollziehbar sein müssen.
Gleichzeitig entstehen automatisierte Entscheidungen, bei denen IAM-Systeme sicherstellen müssen, wer welche Entscheidung trifft oder auslöst. Das klassische Rollenmodell stösst hier an Grenzen – dynamische, kontextabhängige Berechtigungen gewinnen an Bedeutung. Zugleich hilft KI selbst, z. B. durch Mustererkennung oder Anomalieanalysen, das Rollen- und Berechtigungsmanagement zu verbessern.
Aus betrieblicher Sicht müssen IDM- und IAM-Systeme künftig in der Lage sein, maschinelle Identitäten genauso revisionssicher zu verwalten wie menschliche – inklusive Logging, Risikoeinstufung und automatisierter Rezertifizierung im laufenden Betrieb. IDM und KI wachsen damit nicht nur technologisch zusammen, sondern formen auch neue Anforderungen an Governance, Nachvollziehbarkeit und Vertrauen. Rechtlich stellen KI-gestützte Identitäten und Entscheidungen neue Anforderungen an Transparenz, Verantwortlichkeit und Nachweisbarkeit – etwa im Hinblick auf DSGVO, EU Artificial Intelligence Act und Auditpflichten.
Welche Rolle spielt IDM in Ihrer Sicherheitsstrategie?
Identity Management ist weit mehr als ein IT-Werkzeug – es ist ein zentraler Pfeiler jeder ganzheitlichen Sicherheitsstrategie. Denn wer den Zugriff auf Daten, Applikationen und Systeme nicht präzise steuern kann, verliert schnell die Kontrolle über Risiken, Verantwortlichkeiten und regulatorische Anforderungen. IDM schafft genau diese Kontrolle: Es stellt sicher, dass nur berechtigte Personen auf definierte Ressourcen zugreifen und dies nur so lange, wie es erforderlich ist.
Darüber hinaus bringt IDM eine gesunde Struktur in gewachsene IT-Landschaften, vereinheitlicht Berechtigungslogik über verschiedene Systeme hinweg und sorgt für Transparenz auf Benutzer-, Rollen- und Prozessebene. Das stärkt nicht nur die technische Sicherheit, sondern erhöht auch die Reaktionsfähigkeit bei Sicherheitsvorfällen und Audits.
Kurz gesagt: Ohne ein durchdachtes Identity Management bleibt jede Sicherheitsstrategie lückenhaft. Mit IDM wird sie belastbar, effizient und zukunftsfähig.
Wann benötigen Unternehmen eine professionelle IDM-Lösung?
Ein professionelles IDM-System muss nicht nur Sicherheit und Compliance verbessern, sondern sich auch wirtschaftlich sinnvoll betreiben lassen. Als Orientierungswert empfiehlt IPG, den Einsatz einer professionellen IDM-Lösung ab rund 1.000 Benutzern zu prüfen. Je nach Anzahl der Identitäten, Rollen und angebundenen Systeme sowie regulatorischen Anforderungen kann sich der Einsatz jedoch auch früher lohnen.
Mit zunehmender Komplexität steigt nicht nur der Nutzen, sondern auch der Aufwand für den IDM-Betrieb. Identitätsprozesse müssen in einem dynamischen Unternehmensumfeld über ihren gesamten Lifecycle zuverlässig funktionieren, während Schnittstellen zu Quell- und Zielsystemen überwacht, angepasst und weiterentwickelt werden. Wachstum, Reorganisationen oder neue Anwendungen erfordern laufend Anpassungen an Rollen, Berechtigungsmodellen, Workflows, Schnittstellen und organisatorischen Strukturen. Dadurch entstehen immer wieder erhöhte Aufwände, die oft kurzfristig anfallen und zeitnah bewältigt werden müssen.
Deshalb sollte das Betriebsmodell bereits bei der Konzeption einer IDM-Lösung geklärt werden. Unternehmen können den Betrieb intern aufbauen, gemeinsam mit einem spezialisierten Partner organisieren oder vollständig auslagern. Gerade weil der Betriebsaufwand schwankt und benötigte Kapazitäten schwer planbar sind, bietet IPG den Betrieb von IDM-Lösungen als Managed Service zu einem definierten Pauschalpreis an.
Sie möchten wissen, wo Ihr Unternehmen beim Identity Management steht? Mit dem 360° IAM Assessment analysiert IPG Ihre bestehende IAM-Landschaft, identifiziert konkrete Handlungsfelder und entwickelt eine priorisierte Roadmap für die nächsten Schritte. Jetzt 360° IAM Assessment anfragen.
Fazit: Identity Management als Grundlage sicherer Identitätsprozesse
Identity Management schafft die Grundlage, um digitale Identitäten, Benutzerkonten und Berechtigungen über ihren gesamten Lebenszyklus hinweg zentral und nachvollziehbar zu verwalten. Ein IDM-System verbindet dafür führende Quellsysteme mit den relevanten Zielsystemen und automatisiert die Anlage, Änderung und Deaktivierung von Konten und Zugriffsrechten.
Damit reduziert IDM manuelle Aufwände und Fehler, verbessert die Datenqualität und unterstützt eine kontrollierte Vergabe von Rollen und Berechtigungen. Gleichzeitig erhöht es die Transparenz und Nachvollziehbarkeit und schafft damit wichtige Voraussetzungen für Sicherheit, Governance und Compliance.
Identity Management ist jedoch mehr als ein IT-System. Eine nachhaltige IDM-Lösung verbindet Technologie, Prozesse, Rollenmodelle und Governance und muss mit dem Unternehmen kontinuierlich weiterentwickelt werden. Ein geeignetes Betriebsmodell stellt sicher, dass Veränderungen an Organisation, Anwendungen, Schnittstellen und Berechtigungen auch langfristig zuverlässig und zeitnah umgesetzt werden.
