Der Ausgangspunkt
Von verstreuten Daten zu einer Frage: Was kann diese Person?
Das Erste, was eine IVIP liefert, ist die Antwort auf die Frage, die jedes andere Werkzeug nur bruchstückhaft beantwortet: Was kann diese Identität insgesamt – über AD, Entra ID, Fachanwendungen und Cloud hinweg? Sobald diese Antwort an einem Ort liegt, ändern sich viele Alltagsaufgaben grundlegend: Die Offboarding-Kontrolle wird zu einer Abfrage statt einer Rundfrage, und die Stichprobe der Prüfer wird zu einem Bericht statt zwei Wochen Archäologie.
Aber die reine Nachschlagefunktion ist nur der Anfang. Der eigentliche Wert liegt in der Analyse der konsolidierten Datenbasis.
Der Nutzen
Was die Analysen typischerweise finden
- Verwaiste Konten: aktive Konten ohne Eigentümer im HR-System – ausgeschiedene Mitarbeitende, frühere externe Berater und vergessene Testkonten, die sich weiterhin anmelden können.
- Angesammelte Berechtigungen: Mitarbeitende, die mehrfach die Rolle gewechselt und alle alten Zugriffe mitgenommen haben.
- Verborgene Privilegien: Zugriffe, die faktisch privilegiert sind, aber außerhalb des Radars der PAM-Lösung liegen – verschachtelte Gruppenmitgliedschaften und Direktzuweisungen.
- Gefährliche Kombinationen: Berechtigungen, die einzeln harmlos sind, zusammen aber die Funktionstrennung verletzen – etwa einen Lieferanten anlegen und die Zahlung freigeben zu können.
- Ungenutzte Zugriffe: Berechtigungen, die seit Monaten nicht verwendet wurden – die einfachste Bereinigung überhaupt, weil sie niemand vermisst.
Compliance
Nachweise, mit denen Prüfer arbeiten können
NIS2, DORA und ISO 27001 stellen in der Praxis dieselbe Anforderung: Sie müssen dokumentieren können, wer worauf Zugriff hat, dass der Zugriff begründet ist und dass er entzogen wird, sobald die Begründung entfällt. Ohne konsolidierte Datenbasis wird diese Dokumentation zu einer manuellen Übung, die bei jedem Audit wiederholt wird – und veraltet ist, sobald sie fertig ist.
Mit einem laufend aktualisierten Überblick dreht sich die Beweislast um: Der Bericht wird abgerufen, wenn die Prüfer fragen, und Abweichungen entdecken Sie, bevor andere sie entdecken. Für die Geschäftsleitung, die unter NIS2 persönlich in der Verantwortung steht, ist der Unterschied spürbar.
Das Fundament
Die saubere Datenbasis – vor und nach IGA
Ein großer Teil aller IGA-Projekte verzögert sich aus demselben Grund: Die Datenbasis erweist sich als schlechter als angenommen. Rollen, die nicht zur Realität passen, Konten ohne Eigentümer und Berechtigungen, die niemand erklären kann, müssen bereinigt werden, während das Projekt wartet. Eine IVIP zieht diese Bereinigung vor – Überblick und Analysen liefern eine bereinigte Basis, bevor die Implementierung startet, und die Anforderungen an das Rollenmodell lassen sich auf Daten statt auf Annahmen aufbauen.
Und für Organisationen, die IGA bereits im Betrieb haben, gilt der Wert spiegelbildlich: Die Analysen zeigen, ob das Rollenmodell noch zur Realität passt, ob die Rezertifizierung das Wesentliche erfasst und ob Zugriffe an den Prozessen vorbei entstanden sind. Sichtbarkeit ist eine laufende Kontrolle, ob die Steuerung tatsächlich funktioniert – keine einmalige Übung.
Sollen wir uns Ihre Datenbasis ansehen?
Ein Technical Review zeigt mit Zahlen, wo Ihnen heute der Überblick fehlt – und ob eine IVIP der richtige nächste Schritt für Sie ist. Ergebnisse auf Englisch, Dialog auf Deutsch.
