Das Problem
Rollenmodelle, die nicht zur Realität passen
Rollen sind das Rückgrat einer IGA-Lösung: Sie bestimmen, worauf neue Mitarbeitende automatisch Zugriff erhalten, was beantragt werden kann und worüber die Rezertifizierung entscheiden muss. Sind die Rollen falsch, wird alles andere mit ihnen falsch – das Onboarding gewährt zu wenig oder zu viel, und Genehmigende entscheiden über Rollen, die sie nicht verstehen.
Die meisten gescheiterten Rollenmodelle verfallen in eines von zwei Extremen. Entweder wird das Modell so detailliert entworfen, dass es am Ende mehr Rollen als Mitarbeitende gibt (Role Explosion) und die Pflege den Nutzen auffrisst. Oder die Rollen werden so breit, dass alle mehr erhalten, als sie brauchen, und das Modell wird zur Bedrohung für das Least-Privilege-Prinzip statt zu seiner Garantie.
Zwei Ansätze
Top-down und Bottom-up – jeder mit einer Stärke, jeder mit einem blinden Fleck
Top-down: der Fachbereich entwirft
Rollen werden aus Organisation und Tätigkeiten abgeleitet: Was soll eine Sachbearbeiterin, ein Vertriebsmitarbeiter oder ein Controller können? Das Modell wird verständlich und im Fachbereich verankert – aber die Arbeit ist langsam, und am Whiteboard gezeichnete Rollen verfehlen oft die Berechtigungen, die die Arbeit tatsächlich erfordert.
Bottom-up: die Daten sprechen (Role Mining)
Berechtigungsdaten werden auf Muster analysiert: Welche Zugriffe treten gemeinsam auf, und welche Gruppen von Mitarbeitenden ähneln sich? Rollenkandidaten entstehen in Wochen statt Monaten – aber Mining auf Rohdaten zementiert auch die Fehler der Vergangenheit. Angesammelte und veraltete Berechtigungen werden zu Rollen, wenn niemand Fragen stellt.
Der hybride Ansatz
Die Daten schlagen vor, das Business entscheidet
Der Ansatz, der in der Praxis funktioniert, kombiniert beides: Role Mining liefert Rollenkandidaten aus den tatsächlichen Daten, und der Fachbereich gleicht sie mit der Realität ab. Der Rolleneigentümer sieht einen Vorschlag, der auf dem aufbaut, was die Mitarbeitenden der Abteilung bereits haben, und muss nur über die Abweichungen entscheiden: Gehört diese Berechtigung wirklich in die Rolle, oder ist sie aus einer anderen Zeit geerbt?
Damit löst der hybride Ansatz das Problem beider Extreme. Die Bottom-up-Analyse stellt sicher, dass die Rollen zur tatsächlich geleisteten Arbeit passen, und die Top-down-Validierung stellt sicher, dass Altlasten nicht als Birthright-Zugriff ewig weiterleben. Das Ergebnis sind weniger, besser begründete Rollen – und Rolleneigentümer, die verstehen, was sie verantworten.
Das Vorgehen
Hybrides Role Mining in vier Schritten
- Datenbasis bereinigen
Verwaiste Konten, ungenutzte Berechtigungen und Direktzuweisungen ohne Eigentümer entfernen, bevor die Analyse läuft. Mining auf unsauberen Daten erzeugt unsaubere Rollen.
- Rollenkandidaten schürfen
Berechtigungsmuster je Abteilung, Tätigkeit oder Standort analysieren und den Algorithmus Rollenkandidaten mit Abdeckungsgrad und Abweichungen vorschlagen lassen.
- Mit dem Fachbereich validieren
Rolleneigentümer prüfen die Kandidaten: Benennung, Inhalt und Abgrenzung. Berechtigungen, die niemand begründen kann, fliegen heraus – nicht in die Rolle hinein.
- Pilotieren, ausrollen, pflegen
Mit einer Abteilung starten, die Wirkung auf Anträge und Rezertifizierung messen und nachjustieren. Ein Rollenmodell ist kein Einmalprojekt, sondern ein laufender Prozess – und Rollen brauchen vom ersten Tag an einen Eigentümer und eine Befristungskontrolle.
IVIP
Wo kommt IVIP ins Spiel?
Role Mining ist nur so gut wie die Daten, auf denen es läuft – und genau hier macht eine Identity Visibility and Intelligence Platform den Unterschied. Eine IVIP führt Berechtigungsdaten aus AD, Entra ID und den Fachanwendungen in einem konsolidierten Bild zusammen und liefert damit den Rohstoff für die Analyse. Die Bereinigung in Schritt eins ist das Heimspiel der Plattform: Verwaiste Konten, ungenutzte Zugriffe und verborgene Zuweisungen sind genau das, was ihre Analysen finden.
Mehrere IVIP-Plattformen können aus den Mustern in den Daten auch selbst Rollenkandidaten vorschlagen – und zeigen, welchen Anteil der Berechtigungen einer Abteilung eine vorgeschlagene Rolle abdeckt. Das macht sie zum natürlichen Maschinenraum des hybriden Ansatzes, egal ob das Rollenmodell für eine kommende IGA-Lösung bestimmt ist oder ein bestehendes gestrafft werden soll.
Und die Arbeit endet nicht mit dem Go-live: Rollenmodelle driften. Mitarbeitende wechseln die Tätigkeit, Systeme kommen hinzu, und Ausnahmen häufen sich. Ein laufend aktualisierter Überblick zeigt, wann die Realität dem Modell entwachsen ist – damit die Rollen angepasst werden, bevor die Abweichung zum Risiko wird.
Soll Ihr Rollenmodell auf Daten gebaut werden?
Wir helfen, die Datenbasis zu bereinigen, das Role Mining durchzuführen und das Modell im Fachbereich zu verankern – als Teil eines IGA-Projekts oder als eigenständige Aufgabe. Ergebnisse auf Englisch, Dialog auf Deutsch.
