Wissen, wer wann zugreift

Patrick Schraut ist Senior Consultant bei Integralis Deutschland.

Nacktes Chaos regiert in vielen Firmen den Zugriff auf IT-Systeme: Es existieren Dutzende von Anwendungen, für die sich Mitarbeiter jeweils mit Usernamen und Passwort anmelden müssen. Mit der rapiden Zunahme dieser Zugangscodes steigen die Gefahren. Anmeldeschlüssel werden unters Keyboard geklebt oder an Kollegen weitergegeben, dasselbe Passwort wird mehrfach verwendet - oder schlicht und einfach vergessen. In Vergessenheit gerät auch nicht selten, die Daten ausscheidender Mitarbeiter umgehend aus den Systemen zu löschen. So haben Ex-Kollegen häufig noch Monate nach Beendigung des Arbeitsverhältnisses Zugriff auf wichtige Applikationen wie E-Mail oder Produktionssysteme.

So verursacht, je nach Grösse der Organisation, die Benutzerverwaltung aller -internen und externen Anwender, deren Accounts und Zugriffsrechte für das Unternehmen enorme Kosten. Die IT-Abteilungen, etwa der User-Helpdesk, können die Sicherheit der Unternehmensdaten, wenn überhaupt, nur durch hohen Administrationsaufwand garantieren.

Die treibenden Faktoren

Hauptargumente für die Einführung eines Identity-Access-Management-Systems (IAMS) sind, aufgrund gestiegener Haftungsrisiken, unter anderem Compliance-Vorgaben. Gesetzliche Vorschriften wie Basel II oder der Sarbanes Oxley Act zwingen Firmen, ihre Daten nachvollziehbar vorzuhalten. So muss etwa durch ein Audit belegbar sein, welcher Anwender wann auf welches System zugegriffen hat.

Diese Nachweispflicht besteht beispielsweise auch für alle Transaktionen, die in einem Unternehmen durchgeführt werden (Basel II). Darüber hinaus ermöglicht ein zentralisiertes IAMS revisions-fähige Aussagekraft über Zugriffshistorien. Im Falle eines Incidents ist dies unabdingbar, sind doch nur so forensische Untersuchungen durchführbar.

Wichtige Triebfeder ist auch die immer stärker geforderte Flexibilität der Unternehmen. Firmenzukäufe, neue Partnerschaften oder der Wechsel von Zulieferern erfordern ein ständiges Ändern der Zugangs-Berechtigungen. Aber auch das Verhältnis der Mitarbeiter zum Unternehmen ändert sich laufend - etwa durch Abteilungswechsel, projektbezogene Teamwechsel oder durch Kündigung und Pensionierung.