Identity and Access Management (IAM): Definition, Beispiele

Was ist Identity and Access Management (IAM)?

Identity and Access Management (IAM) ist die Disziplin, digitale Identitäten zu managen und zu kontrollieren, was diese Identitäten zugreifen können. IAM kombiniert Authentication (zu beweisen wer jemand ist), Authorization (entscheiden was sie tun können) und Audit (tracken was sie getan haben). Es ist fundamental für Security: jeder Breach involviert IAM-Failure auf einem Level.

Modernes IAM spans Cloud-Plattformen (AWS IAM, Azure AD/Entra ID, Google Cloud IAM), Workforce-Identity (Okta, OneLogin), Customer-Identity (Auth0, Cognito) und On-prem-Directory-Services (Active Directory, LDAP).

Die drei Säulen von IAM

Kern-IAM-Konzepte

Identity

Ein eindeutiger Referenz auf einen User, Service oder Device.

Authentication

Beweisen, dass die Identity ist, wer sie zu sein behauptet.

Authorization

Entscheiden welche Aktionen die authentifizierte Identity auf welchen Ressourcen ausführen kann.

Role

Eine benannte Sammlung von Permissions.

Policy

Ein Dokument, das erlaubte und verweigerte Aktionen auf Ressourcen spezifiziert.

Group

Eine Sammlung von Identities.

Single Sign-On (SSO)

Eine Login-Session entsperrt mehrere Anwendungen.

Multi-Factor Authentication (MFA)

Erfordert mehrere Authentication-Faktoren.

RBAC vs ABAC vs PBAC

IAM Best Practices

• Least Privilege.
• MFA überall aktivieren.
• SSO für Workforce nutzen.
• Access regelmäßig auditieren.
• Credentials rotieren.
• Pflichten trennen.
• Alles loggen.
• Service-Accounts korrekt nutzen.
• Identities federieren.
• Für Offboarding planen.

Große IAM-Plattformen

Häufige IAM-Failures

• Over-Privileged Accounts.
• Shared Accounts.
• Hardcoded Credentials.
• Stale Accounts.
• Kein MFA auf Admin-Accounts.
• Schwache Password-Policies.
• Keine Access-Reviews.
• Phishing-basiertes Bypass von SSO.

FAQ: IAM

Was ist der Unterschied zwischen Authentication und Authorization?

Authentication = beweisen wer du bist. Authorization = entscheiden was du tun darfst.

Ist RBAC genug für moderne Apps?

Für die meisten: ja. Für komplexe Multi-Tenant-SaaS: ABAC oder PBAC.

Was ist IAM in der Cloud (AWS IAM)?

Die Control-Plane für wer/was AWS-Ressourcen zugreifen kann.

Sollte ich Okta nutzen oder eigenes SSO bauen?

Kaufen. Okta/Auth0/Microsoft Entra lösen ein hartes Problem.

Was ist Least Privilege?

Nur die minimalen Permissions geben, die jemand braucht.

Wie unterscheidet sich IAM von PAM?

IAM deckt alle Identities ab. PAM (Privileged Access Management) ist ein Subset für hoch-privilegierte Accounts.

IAM-geschützte APIs mit LoadFocus testen

Wenn Sie APIs load-testen, die SSO/OAuth/SAML für Authentication nutzen, läuft LoadFocus JMeter- und k6-Scripts aus 25+ Regionen mit bis zu 12.500 VUs. Registrieren bei loadfocus.com/signup.