Google Workspace als IAM-Lösung für kleine und mittelständische Teams

Millionen von Unternehmen setzen auf Google Workspace, das in jedem Plan bereits die Kernkomponenten eines Identity Providers enthält. Für die große Mehrheit ist das bereits der Fall: Wenn Ihr Team „Mit Google anmelden“ für Apps wie Slack oder Notion nutzt, authentifiziert Google Ihre Nutzer bereits und fungiert als Ihr Identity Provider. Wo Google jedoch an seine Grenzen stößt, ist die Governance – also die Verwaltung des gesamten Lebenszyklus von Zugriffen über alle Ihre Tools hinweg. Mit ein paar kleinen Anpassungen können Sie ein Setup realisieren, das auf Automatisierung, die Integration all Ihrer Apps und Skalierbarkeit bei Unternehmenswachstum setzt, ohne dabei Ihr Budget zu sprengen.

Für kleinere Teams mit weniger als hundert oder nur wenigen hundert Nutzern kann das Identitätsmanagement schlank bleiben. Es gibt keinen Grund, eine teure IAM-Plattform wie Okta oder Sailpoint zu kaufen. Sie können Google Workspace mit Governance-Tools der nächsten Generation wie Corma kombinieren. Dies bietet eine schnellere und kostengünstigere Alternative zur Einführung einer dedizierten Enterprise-Plattform für Identitäts- und Zugriffsmanagement wie Okta. Dieses Setup automatisiert Provisionierung, Deprovisionierung, Zugriffsüberprüfungen und die Erkennung von Schatten-IT, wodurch der Zeitaufwand für das Zugriffsmanagement von über 30 Stunden pro Monat auf wenige Minuten reduziert wird.

In diesem Artikel untersuchen wir, was Google Workspace als Identity Provider leistet und was nicht, welche fünf wesentlichen Einschränkungen bei der Nutzung von Google als Identity Provider bestehen und wie Sie diese beheben können, sowie wie der schlanke Identitätsmanagement-Stack aus Google und Corma das Zugriffsmanagement optimiert.

Die schlanke IAM-Lösung: Automatisierung, Integration und Skalierbarkeit

Ein intelligentes System für Identitäts- und Zugriffsmanagement für kleine Teams sollte drei Grundprinzipien priorisieren: Automatisierung, Integration und Skalierbarkeit. Google Workspace in Kombination mit Corma erfüllt alle drei und bietet eine schlanke IAM-Lösung, die Zeit spart und den manuellen Aufwand reduziert.

Priorität 1: Automatisierung

Automatisierung ist der Grundstein eines schlanken IAM-Systems. Mit Corma können kleine Teams die zeitaufwendigsten Aufgaben automatisieren, einschließlich der Benutzerprovisionierung, Deprovisionierung und Zugriffsanfragen.

Wenn ein neuer Mitarbeiter in Ihr Unternehmen eintritt, stellt Corma sicher, dass er vom ersten Tag an Zugriff auf alle benötigten Tools hat. Rollenbasierte Vorlagen weisen automatisch die korrekten Berechtigungen zu, sei es das Hinzufügen zu bestimmten Slack-Kanälen, GitHub-Teams oder Salesforce-Berechtigungssätzen. Dies macht die manuelle Kontoerstellung überflüssig und verringert das Risiko menschlicher Fehler.

Das Offboarding verläuft ebenso nahtlos. Ausgelöst durch Ihr HRIS oder Google Workspace weist Corma Dokumente einem Manager zu, entzieht den Zugriff über alle Anwendungen hinweg und protokolliert jeden Schritt bis zum Abschluss. Dies stellt sicher, dass ehemalige Mitarbeiter keinen Zugriff mehr auf Unternehmenstools haben, was Sicherheitsrisiken minimiert. So konnte beispielsweise Maxio, ein Unternehmen mit einem zweiköpfigen IT-Team für 240 Mitarbeiter in 88 Anwendungen, die Offboarding-Zeit mit Corma von Stunden auf Sekunden reduzieren.

Auch Zugriffsanfragen werden optimiert. Mitarbeiter können Zugriff auf die benötigten Tools anfordern, ohne die IT mit Direktnachrichten zu überfluten. Corma leitet diese Anfragen an die zuständigen Genehmiger weiter, führt sie automatisch aus und protokolliert jede Aktion zu Revisionszwecken. Das spart nicht nur Zeit, sondern ermöglicht es Mitarbeitern auch, schnell den benötigten Zugriff zu erhalten.

Priorität 2: Integration

Ein schlankes IAM-System muss sich nahtlos in die Tools integrieren, die Ihr Team bereits verwendet. Google Workspace dient als Basis und bietet ein zentrales Benutzerverzeichnis sowie Single-Sign-On-Funktionen. Corma baut auf diesem Fundament auf und lässt sich in über 400 Anwendungen integrieren, darunter wichtige Tools wie Slack, GitHub und Salesforce.

Im Gegensatz zu Google Workspace, das SCIM-Provisionierung nur für etwa 57 Anwendungen unterstützt, nutzt Corma Integrationskonten, um das Zugriffsmanagement über all Ihre Tools hinweg zu automatisieren – auch für solche ohne SCIM-Unterstützung. Das bedeutet, dass Sie den Zugriff für praktisch jede Anwendung verwalten können, die Ihr Team nutzt, ohne Enterprise-Upgrades oder manuelle Eingriffe.

Corma lässt sich zudem in Ihr HRIS-System integrieren, wodurch Benutzerprovisionierung und -deprovisionierung automatisch basierend auf Änderungen in Ihrem Mitarbeiterverzeichnis ausgelöst werden. Dies schafft eine zentrale Quelle der Wahrheit für Benutzerzugriffe, reduziert das Risiko von Schatten-IT und stellt sicher, dass jedes Konto konsistent verwaltet wird.

Priorität 3: Skalierbarkeit

Wenn Ihr Team wächst, muss Ihr IAM-System mitwachsen. Eine schlanke IAM-Lösung wie Google Workspace + Corma ist darauf ausgelegt, mühelos zu skalieren und mehr Benutzer, Anwendungen und komplexe Zugriffsanforderungen zu bewältigen, ohne den administrativen Aufwand zu erhöhen.

Mit Corma können Sie ganz einfach neue Anwendungen zu Ihrem Stack hinzufügen und rollenbasierte Zugriffsvorlagen für verschiedene Teams und Positionen definieren. Dies stellt sicher, dass neue Mitarbeiter bei der Expansion Ihres Unternehmens schnell eingearbeitet werden und bestehende Mitarbeiter ohne Verzögerung Zugriff auf die benötigten Tools erhalten. Wenn Mitarbeiter das Unternehmen verlassen oder ihre Rolle wechseln, wird ihr Zugriff automatisch aktualisiert, was das Risiko verwaister Konten oder unbefugter Zugriffe minimiert.

Skalierbarkeit bedeutet auch Kosteneffizienz. Für ein Team von 100 Mitarbeitern kostet der schlanke IAM-Stack aus Google Workspace und Corma etwa 10.200 Dollar pro Jahr. Im Vergleich dazu können Enterprise-IAM-Lösungen wie Okta über 20.400 Dollar jährlich kosten, zuzüglich weiterer 200.000 Dollar an „Single-Sign-On-Steuer“, die durch das Upgrade jeder Anwendung auf eine Enterprise-Stufe anfällt. Das macht den schlanken Ansatz nicht nur skalierbarer, sondern auch deutlich erschwinglicher für kleine und wachsende Teams.

‍

Was Google Workspace Identity & Access Management eigentlich ist

Nachdem wir uns angesehen haben, was Sie von Ihrem IAM-Setup erwarten sollten, schauen wir uns nun an, wie es in der Praxis mit Google Workspace funktioniert. Identity and Access Management (IAM) bedeutet, zu kontrollieren, wer in Ihren Systemen existiert und worauf diese Personen zugreifen können. Ein Identitätsanbieter verwaltet diese Identitäten und verifiziert Benutzer bei der Anmeldung. Google Workspace fungiert als Identitätsanbieter, und für die meisten Unternehmen leistet es mehr, als ihnen bewusst ist.

Die wichtigsten Identitätsmanagement-Funktionen in Google Workspace

Google Workspace bietet ein verwaltetes Benutzerverzeichnis, das als zentrales Register für Mitarbeiterkonten und als „Single Source of Truth“ für Anmeldungen dient. Es ermöglicht Single Sign-On über die Option „Mit Google anmelden“, sodass Mitarbeiter sich mit ihrem Google-Konto bei Apps anmelden können, ohne separate Passwörter zu benötigen. Diese Funktion wird von über 1,8 Millionen Websites und Apps genutzt und ist in jedem Workspace-Tarif enthalten. Darüber hinaus unterstützt Google Workspace Single Sign-On via SAML, wobei Administratoren Apps in der Google Admin-Konsole verknüpfen, damit Benutzer sich über Google statt über separate Logins anmelden können. Auch dies ist in jedem Workspace-Tarif enthalten und nicht an eine bestimmte Stufe gebunden.

Die Multi-Faktor-Authentifizierung fügt neben dem Passwort einen zweiten Verifizierungsschritt hinzu, beispielsweise über eine Authenticator-App. Die SCIM-Bereitstellung automatisiert die Erstellung, Aktualisierung und Deaktivierung von Benutzerkonten in Google und über 57 SaaS-Apps von Drittanbietern; sie ist im Basistarif enthalten, jedoch je nach Tarifstufe begrenzt.

Diese Funktionen bilden eine grundlegende Identitätsebene, da Google Identitäten bestätigt und Anmeldungen absichert. Sie steuern jedoch nicht den gesamten Lebenszyklus des Zugriffs über alle von Ihrem Team genutzten Tools hinweg.

Kostenloses Google SSO vs. kostenpflichtige Identitäts-Add-ons von Google

Google Workspace beinhaltet die Option „Mit Google anmelden“ – den Login-Button, den die meisten Teams bereits nutzen – sowie SAML-basiertes Single Sign-On. Viele Drittanbieter-Apps erfordern jedoch ein eigenes Enterprise-Upgrade, um SAML zu aktivieren. Zu den kostenpflichtigen Add-ons von Google gehört Cloud Identity (manchmal auch Google Identity genannt), das die Authentifizierung durch Geräteverwaltung stärkt, aber keine Governance-Funktionen hinzufügt. Google Cloud Identity and Access Management steuert Berechtigungen innerhalb der Google Cloud, jedoch nicht die Anmeldungen bei SaaS-Apps.

Das Fazit lautet: Google Workspace deckt die Authentifizierung gut ab, aber bei der Governance – also Bereitstellung, Entzug von Zugriffsrechten, rollenbasierter Zugriffskontrolle und Zugriffsüberprüfungen – stößt es an seine Grenzen.

Die Grenzen von Google als Identitätsanbieter (IdP)

Wenn IT-Führungskräfte, die Google Workspace nutzen, darüber sprechen, wo das System für sie an seine Grenzen stößt, heben sie meist fünf kritische Lücken hervor:

1. Die erste Einschränkung ist das unvollständige Offboarding. Wenn ein Mitarbeiter das Unternehmen verlässt, erfolgt das Offboarding nicht vollständig durchgängig. Das bedeutet, dass der Zugriff auf jede App, bei der Sie den Entzug der Rechte manuell vergessen, für den ehemaligen Mitarbeiter bestehen bleibt – ein Sicherheitsrisiko und ein Verstoß gegen Compliance-Vorgaben.
2. Die zweite Einschränkung ist die mangelhafte rollenbasierte Zugriffskontrolle bei Drittanbieter-Apps. Neue Mitarbeiter landen in Apps wie Slack oder GitHub möglicherweise ohne die richtigen Berechtigungen oder Teamzuordnungen, was zu Produktivitätsverlusten und manuellem Nachbesserungsaufwand führt.
3. Die dritte Einschränkung ist die begrenzte SCIM-Bereitstellung. Google unterstützt die automatische Bereitstellung nur für etwa 57 Apps. Die meisten realen Tech-Stacks decken nur 15 bis 25 Prozent per SCIM ab, was Lücken hinterlässt und manuelle Kontoerstellungen sowie Aktualisierungen erforderlich macht.
4. Die vierte Einschränkung ist das Fehlen eines nativen Workflows für Zugriffsüberprüfungen. Es gibt keine integrierte Möglichkeit, Zugriffsprüfungen für SOC 2- oder ISO-Audits zu automatisieren, was zu zeitaufwendiger manueller Nachweiserbringung führt.
5. Die fünfte Einschränkung ist Shadow ITMitarbeiter können sich weiterhin bei Apps außerhalb von Google Single Sign-On anmelden, was zu nicht verwalteten Konten, Sicherheitslücken und Compliance-Risiken führt.

Der Lean Identity Management Stack: Google Workspace + Corma

Anstatt Google durch einen zweiten Identity Provider wie Okta zu ersetzen oder eine umfassende Enterprise-Plattform für Identity and Access Management mit hohen Kosten und langen Einführungszeiten einzuführen, erweitern schlanke Teams Google Workspace um eine Governance-Ebene.

Google Workspace bietet ein integriertes Benutzerverzeichnis, das als Single Source of Truth dient, und Corma liest diese Daten aus, um die Funktionen zu erweitern. Single Sign-On via SAML 2.0 und Multi-Faktor-Authentifizierung sind in Google Workspace integriert und bleiben bei der Nutzung von Corma erhalten. Auch die OAuth 2.0-App-Autorisierung ist fester Bestandteil von Google Workspace und verbleibt bei Google.

Die Bereitstellung in Google Workspace basiert auf SCIM und unterstützt nur 57 Apps, während Corma über 400 Integrationen bietet und kein SCIM erfordert. HRIS-gesteuertes Onboarding und Offboarding sind in Google Workspace nicht verfügbar, werden aber bei der Nutzung von Corma über HRIS- oder Google Workspace-Profilattribute automatisiert. Der Entzug von Zugriffsrechten in nachgelagerten Apps wird in Google Workspace nicht vollständig unterstützt, da eine Kontosperrung aktive Sitzungen nicht beendet; Corma hingegen entzieht Lizenzen und hebt Berechtigungen direkt innerhalb der jeweiligen SaaS-App auf.

Google Workspace verfügt über keinen nativen Workflow für Zugriffsüberprüfungen, die für SOC 2- oder ISO 27001-Compliance erforderlich sind, aber Corma bietet automatisierte Access Reviews. Die Entdeckung von Shadow IT ist für die Google Admin-Konsole unsichtbar, während Corma diese über OAuth-Logs und das Scannen von Einladungs-E-Mails aufdeckt. Self-Service-Zugriffsanfragen sind in Google Workspace nicht verfügbar, werden jedoch von Corma weitergeleitet, ausgeführt und protokolliert.

Warum dies der Lean Stack ist

Der erste Grund ist die Kosteneffizienz. Es ist nicht notwendig, jede SaaS-App auf eine Enterprise-Version hochzustufen, um Single Sign-On oder SCIM freizuschalten. Für 100 Mitarbeiter beispielsweise sollte der Lean Stack aus Google und Corma unter 10.000 € pro Jahr liegen, verglichen mit 30.000 € oder mehr für Okta, zuzüglich potenzieller 100.000 € an „Single Sign-On-Steuer“ durch App-Upgrades.

Der zweite Grund ist die schnelle Implementierung. Eine Governance-Ebene wie Corma ist in Tagen statt in Monaten einsatzbereit.

Der dritte Grund ist die Benutzerfreundlichkeit. Es ist kein zertifiziertes oder spezialisiertes IT-Personal erforderlich, da Generalisten aus IT, HR oder Operations die Verwaltung übernehmen können.

Wie Corma Google Workspace als IGA-Ebene erweitert

Für kleine und mittelständische Teams mit weniger als 500 Mitarbeitern liegen die größten Herausforderungen im Identitätsmanagement in der Automatisierung von Onboarding und Offboarding sowie der Optimierung von Audit-Berichten für SOC 2- oder ISO 27001-Compliance. Corma löst diese Probleme auf verschiedene Weise.

Erstens automatisiert Corma das Onboarding und Offboarding. Neue Mitarbeiter erhalten ab dem ersten Tag Zugriff auf alle benötigten Konten mittels rollenbasierter Vorlagen, wie z. B. Slack-Kanäle, GitHub-Teams oder Salesforce-Berechtigungen. Das Offboarding wird durch das HRIS oder Google Workspace ausgelöst; Corma weist Dokumente einem Manager zu, entzieht den Zugriff in allen Apps – einschließlich Shadow IT – und protokolliert jeden Schritt bis zum Abschluss. So konnte beispielsweise Maxio, ein zweiköpfiges IT-Team, das 240 Mitarbeiter über 88 Apps hinweg unterstützt, den Offboarding-Prozess durch dieses Setup von Stunden auf Sekunden reduzieren.

Zweitens optimiert Corma die Automatisierung von Zugriffsüberprüfungen. Automatisierte Workflows leiten Überprüfungen mit Kontext – etwa wer den Zugriff genehmigt hat und wie der Beschäftigungsstatus ist – an die richtigen Personen weiter. Markierte Zugriffe werden in derselben Sitzung widerrufen und Korrekturmaßnahmen automatisch protokolliert.

Drittens kümmert sich Corma um die Entdeckung von Shadow IT. Es nutzt Browser-Erweiterungen, Desktop-Agenten sowie das Scannen von OAuth-Logs und Einladungs-E-Mails, um nicht verwaltete Apps aufzudecken, und bietet eine zentrale Datenquelle darüber, wer Zugriff auf welche Ressourcen hat.

Schließlich ermöglicht Corma Self-Service-Zugriffsanfragen. Mitarbeiter können Zugriffe anfordern, ohne die IT mit Direktnachrichten zu überfluten; diese Anfragen werden automatisch weitergeleitet, ausgeführt und aufgezeichnet.

FAQ

Ist Google Workspace ein Identity Provider?

Ja, das ist es. Google Workspace verwaltet Ihr Benutzerverzeichnis, authentifiziert Logins und meldet Benutzer über „Mit Google anmelden“ und SAML bei anderen Apps an. Die meisten Teams nutzen es bereits als Identity Provider, ohne es zu wissen. Die Lücke liegt in der Governance, die Bereitstellung, Zugriffsüberprüfungen und ein sauberes Offboarding umfasst.

Kann ich Google Workspace als meinen einzigen Identity Provider verwenden?

Ja, für die meisten Teams mit weniger als 500 Mitarbeitern kann Google Workspace die Logins übernehmen, während eine schlanke Governance-Ebene wie Corma die Bereitstellung, Überprüfungen und das Offboarding abdeckt – ganz ohne die Kosten oder die Komplexität von Okta.

Brauchen kleine Unternehmen einen dedizierten Identity Provider?

Sie haben wahrscheinlich bereits einen. Wenn sich Ihr Team mit Google bei Apps anmeldet, ist Google Workspace Ihr Identity Provider. Die Frage ist nicht, ob Sie einen separaten Identity Provider kaufen sollten, sondern ob Sie Google um eine Governance-Ebene ergänzen sollten.

Kann ich die gesamte Login-Authentifizierung über Google Workspace verwalten?

Größtenteils ja. Für Apps, die „Mit Google anmelden“ oder SAML unterstützen, kann Google als zentraler Login dienen. Die Ausnahme bilden Apps, bei denen Benutzer eigene Benutzernamen und Passwörter festlegen – genau hier entziehen sich Konten Ihrer Kontrolle. Corma macht diese Shadow-IT-Apps sichtbar, damit sie nicht unentdeckt bleiben.

Wann reicht Google Workspace allein für Identity and Access Management aus?

Für sehr kleine Teams von etwa 20 bis 30 Personen mit einem überschaubaren App-Stack kann Google allein ausreichen. Darüber hinaus werden Offboarding und Zugriffsüberprüfungen unüberschaubar – genau dann ergänzen Teams Google um Corma, anstatt zu Okta zu wechseln.

Fazit: Der schlanke Weg nach vorn

Für kleine und mittelständische Unternehmen bietet die Kombination aus Google Workspace und Corma eine kosteneffiziente, schnelle und einfach zu verwaltende Alternative zu Enterprise-Plattformen für Identity and Access Management. Google bleibt dabei der Identity Provider für die Authentifizierung, während Corma als Governance-Ebene die Bereitstellung, das Offboarding, Zugriffsüberprüfungen und die Erkennung von Shadow IT automatisiert.

Das Ergebnis ist ein schnellerer Rollout, geringere Kosten ohne zusätzliche SSO-Gebühren oder teure Enterprise-Upgrades und kein Bedarf an spezialisiertem IT-Personal, da HR- oder Operations-Teams die Verwaltung übernehmen können. Wenn Sie weniger als 500 Mitarbeiter haben und manuelle Zugriffsverwaltung eliminieren möchten, ist dieser schlanke Stack wahrscheinlich genau das, was Sie brauchen.