Wissensraum · Deep Dive 10 von 22
Identity & Access Management unter DORA
Die oft unterschätzte Achillesferse digitaler Resilienz
IAM-Lifecycle (Joiner/Mover/Leaver) · Privileged Access Management · Zero Trust · Kontextbasierte Zugriffssteuerung · Segregation of Duties
Was dieser Deep Dive Ihnen zeigt
Die oft unterschätzte Achillesferse digitaler Resilienz – warum IAM unter DORA zentral wird.
Ein erheblicher Anteil sicherheitsrelevanter Vorfälle steht im Zusammenhang mit fehlerhaftem Identity- und Berechtigungsmanagement: zu weitreichende Zugriffsrechte, nicht deaktivierte Benutzer- oder Servicekonten, fehlende Funktionstrennung (Segregation of Duties) oder unzureichende Kontrolle privilegierter Zugänge.
DORA adressiert diese Risiken nicht isoliert, sondern als Teil der operativen Resilienz und Governance. Zugriffe müssen nachvollziehbar, überprüfbar und risikobasiert gesteuert werden.
1. Gängige IAM-Ansätze – und ihre Reifegrade
A) Rollenbasiertes IAM (RBAC) (weit verbreitet, in der Praxis oft unübersichtlich)
Rollen entwickeln sich historisch und ungeplant
Berechtigungen werden weitervererbt („Copy-and-Paste“)
Eingeschränkte Transparenz
Unvollständige oder schwer nachvollziehbare Audit-Trails
Einordnung
RBAC ist nicht grundsätzlich ungeeignet, scheitert jedoch oft an Pflege, Governance und Transparenz.
B) Attributbasiertes IAM (ABAC)
Berücksichtigt Kontextinformationen (Rolle, Ort, Zeit, Gerät)
Ermöglicht feinere Steuerung
Setzt konsistente und hochwertige Stammdaten voraus
Einordnung
ABAC kann leistungsfähig sein, erfordert jedoch organisatorische Reife und stabile Datenqualität.
C) Prozess- und risikobasiertes IAM (DORA-orientierter Ansatz)
Ausrichtung an kritischen Geschäftsprozessen
Klare, nachvollziehbare Berechtigungsketten
End-to-End-Transparenz über Identitäten und Zugriffe
Regelmäßige Reviews und Rezertifizierungen
Technische Kontrollen für privilegierte Zugänge (PAM)
Strukturierte Steuerung von Dienstleister- und Maschinenidentitäten
2. Welche Anforderungen sich aus DORA ergeben
Kritische Zugänge klar definieren
Regelmäßige Rezertifizierungen
Auditfähige Prozesse und Nachweise
Starke Authentisierung (z. B. MFA)
Privilegierte Zugriffe wirksam absichern (PAM)
Zugriffe von Drittdienstleistern kontrollieren
IAM mit kritischen Prozessen und Systemen verknüpfen
Entscheidend ist nicht das Tool, sondern die Wirksamkeit der Kontrollen.
3. Fallstudie
Ausgangssituation
Ein Mitarbeitender verlässt das Unternehmen. Der Austritt wird formal korrekt gemeldet.
Was tatsächlich geschieht
Der Account im zentralen Verzeichnis wird deaktiviert
Cloud- und SaaS-Konten bleiben aktiv
API-Schlüssel werden nicht gelöscht
Ein Admin-Zugang in einem Altsystem bleibt bestehen
Was folgt
Ein zuvor kompromittierter, nach dem Austritt nicht widerrufener API-Schlüssel wird von einem Angreifer weiterverwendet, um Zugriff zu erlangen.
Folgen
Datenabfluss
Meldepflichtiger Incident
Vertrauensverlust bei Kunden und Partnern
Erheblicher operativer Aufwand zur Bereinigung
Ursachen
Kein zentrales Identity-Lifecycle-Management (Joiner/Mover/Leaver)
Fehlendes Mapping von Identitäten zu Prozessen
Keine regelmäßige Rezertifizierung
Keine Absicherung privilegierter Zugänge
Fehlendes Monitoring und Logging
Praxis-Impuls
Resilienz beginnt bei der Frage, wer worauf zugreifen darf – und warum. Stellen Sie Ihrem IAM-Team die Frage: Können wir heute in Echtzeit sehen, wer Zugriff auf welche kritischen Systeme hat – inkl. Dienstleister und Maschinenkonten? Wenn die Antwort zögerlich ausfällt, ist Ihr größtes Sicherheitsrisiko möglicherweise bereits drin.
Was bleibt
IAM unter DORA ist Governance-Thema, nicht nur Technik. Wer Zugriff hat, auf welcher Basis und wie wird das kontrolliert – das sind keine reinen IT-Fragen.
Privileged Access ist der kritische Punkt. Ein erheblicher Anteil sicherheitsrelevanter Vorfälle steht im Zusammenhang mit privilegierten Zugängen. Diese müssen besonders geschützt, beschränkt, überwacht und nachvollziehbar verwaltet werden; ob dafür ein eigenes PAM-System erforderlich ist, hängt von Risiko und Komplexität ab.
IAM wird bei Outsourcing zum Knackpunkt. Wenn Drittanbieter Zugriff auf Systeme haben, muss deren Identität und Berechtigung revisionssicher nachweisbar sein. Das ist oft die größte Schwachstelle.
IAM ohne Lieferketten-Sicherheit ist unvollständig. Wenn ein Zugangsmanagement-Anbieter kompromittiert wird, kollabiert die gesamte Architektur. Unter NIS2 und DORA ist das ein kritisches Risiko.