Präzise Hauptdefinition
Identity Governance and Administration (IGA) bezeichnet Konzepte, Prozesse und Technologien zur regelbasierten Verwaltung, Kontrolle und Überprüfung digitaler Identitäten und ihrer Zugriffsrechte über den gesamten Lebenszyklus. IGA verbindet die operative Identitätsverwaltung mit Governance-, Risiko- und Compliance-Anforderungen.
Ausführliche Erklärung
IGA erweitert klassisches Identity and Access Management (IAM) um verbindliche Regeln, Genehmigungsprozesse und regelmäßige Kontrollen. Während IAM den technischen Zugriff auf Systeme und Anwendungen ermöglicht, beantwortet IGA zusätzlich, warum eine Person bestimmte Berechtigungen besitzt, wer diese genehmigt hat und ob sie weiterhin erforderlich sind.
Typische Bestandteile sind automatisierte Prozesse für Eintritt, Rollenwechsel und Austritt, rollenbasierte Berechtigungsmodelle, Zugriffsanträge, Genehmigungsworkflows, Funktionstrennung und wiederkehrende Access Reviews. Dabei werden Informationen aus Personalverwaltung, Verzeichnisdiensten, Cloud-Plattformen und Fachanwendungen zusammengeführt, damit Identitäten und Berechtigungen nachvollziehbar gesteuert werden können.
IGA ist besonders relevant in heterogenen IT-Umgebungen mit vielen Anwendungen, externen Partnern oder erhöhten Nachweispflichten. IT Dienstleister und IT Systemhäuser unterstützen Unternehmen bei Konzeption, Integration und laufender Pflege entsprechender Lösungen, beispielsweise im Rahmen von Managed Services oder IT Service & Outsourcing.
Warum dieser Begriff wichtig ist
Zugriffsrechte verändern sich durch Eintritte, Abteilungswechsel, Projekte und Austritte fortlaufend. Ohne zentrale Governance entstehen schnell veraltete Konten, übermäßige Berechtigungen oder unklare Verantwortlichkeiten. IGA schafft Transparenz darüber, wer auf welche Ressourcen zugreifen darf und aus welchem geschäftlichen Grund dieser Zugriff besteht.
Für Unternehmen, Behörden und Organisationen unterstützt IGA die Umsetzung des Least-Privilege-Prinzips, verbessert die Vorbereitung auf Audits und reduziert manuelle Verwaltungsaufwände. Gleichzeitig sorgt eine kontrollierte Bereitstellung dafür, dass Beschäftigte und externe Beteiligte die benötigten Zugriffe rechtzeitig erhalten.
Praxisbeispiele
| Szenario | Beschreibung |
|---|---|
| Eintritt eines Mitarbeitenden | Benötigte Konten und Rollen werden anhand der Funktion automatisiert bereitgestellt. |
| Abteilungswechsel | Nicht mehr erforderliche Rechte werden entzogen und neue Berechtigungen genehmigt. |
| Access Review | Verantwortliche bestätigen regelmäßig, ob bestehende Zugriffe weiterhin notwendig sind. |
| Externe Zusammenarbeit | Zugriffe für Partner werden zeitlich begrenzt, dokumentiert und nach Projektende entfernt. |
| Audit-Vorbereitung | Genehmigungen, Rollenänderungen und Rezertifizierungen werden nachvollziehbar ausgewertet. |
Vorteile und Nutzen
IGA verbindet sichere Zugriffssteuerung mit nachvollziehbaren Geschäftsprozessen und verbessert damit Kontrolle, Effizienz und Prüfbarkeit der Identitätsverwaltung.
- Zentrale Transparenz über Identitäten, Rollen und Berechtigungen
- Automatisierte Abläufe für Eintritt, Wechsel und Austritt
- Reduzierung veralteter oder übermäßiger Zugriffsrechte
- Nachvollziehbare Genehmigungen und regelmäßige Rezertifizierungen
- Unterstützung interner Richtlinien und externer Compliance-Anforderungen
Risiken, Schwächen oder typische Fehler
Typische Probleme entstehen durch unklare Rollenmodelle, unvollständige Anwendungsanbindungen oder mangelhafte Daten aus führenden Systemen. Werden Prozesse lediglich technisch automatisiert, ohne Verantwortlichkeiten und Ausnahmeregeln festzulegen, können fehlerhafte Berechtigungen schneller und in größerem Umfang verteilt werden. Auch selten durchgeführte Access Reviews und fehlende Kontrolle von Dienst- oder Gastkonten schränken die Wirksamkeit ein.
Best Practices
Eine erfolgreiche IGA-Einführung beginnt mit klaren Verantwortlichkeiten und konzentriert sich zunächst auf besonders wichtige Identitäten, Anwendungen und Berechtigungen.
- Verantwortliche Datenquellen und eindeutige Prozesse für den Identitätslebenszyklus festlegen
- Rollen einfach, nachvollziehbar und am tatsächlichen Geschäftsbedarf ausrichten
- Kritische Berechtigungen und Funktionstrennung besonders kontrollieren
- Access Reviews regelmäßig durchführen und Entscheidungen dokumentieren
- Automatisierung schrittweise einführen, überwachen und kontinuierlich verbessern
FAQ
Was ist der Unterschied zwischen IGA und IAM?
IAM steuert Identitäten und technische Zugriffe, während IGA zusätzlich Regeln, Genehmigungen, Kontrollen und Nachweise für diese Zugriffe organisiert.
Ist IGA nur für große Unternehmen sinnvoll?
Nein. Auch kleinere Organisationen profitieren von klaren Prozessen, besonders wenn viele Cloud-Dienste, externe Benutzer oder erhöhte Sicherheitsanforderungen bestehen.
Was ist ein Access Review?
Ein Access Review ist die regelmäßige Überprüfung, ob Benutzer ihre zugewiesenen Rollen und Berechtigungen weiterhin benötigen.
Ersetzt IGA bestehende Verzeichnisdienste?
Nein. IGA integriert Verzeichnisdienste und Anwendungen, um deren Identitäten und Zugriffsrechte zentral zu steuern und zu kontrollieren.
