Access Management (Zugriffsmanagement)

Was ist Access Management?

Access Management (Zugriffsmanagement) ist der operative Teil des Identity and Access Management, der im Moment des Zugriffs entscheidet, ob eine Person oder ein System eine Anwendung nutzen darf und was dort erlaubt ist. Es umfasst Authentifizierung, Autorisierung, die bei der Anmeldung geltenden Richtlinien sowie die Vergabe und den Entzug von Rechten. IAM ist der Oberbegriff, Access Management der Teil, der in Echtzeit handelt.

Das Wichtigste in Kürze

• Access Management entscheidet bei jeder Anmeldung, wer eine Anwendung nutzen darf und was diese Person darin tun kann.
• Access Management umfasst Authentifizierung, Autorisierung sowie Vergabe und Entzug von Rechten, während Access Governance nachweist, dass die Zugriffe gerechtfertigt bleiben.
• Ein Identity Provider setzt seine Access-Management-Regeln nur für per Single Sign-On angebundene Anwendungen durch, SaaS-Tools mit lokalen Logins bleiben aussen vor.
• Die NIS2-Richtlinie zählt Konzepte für die Zugriffskontrolle zu den Pflichtmassnahmen der Cybersicherheit, Multi-Faktor-Authentifizierung dort, wo sie angemessen ist.

So funktioniert Access Management

• Identifikation: Die Person oder der Dienst gibt eine Identität an, meist ein Konto in einem Verzeichnis oder bei einem Identity Provider.
• Authentifizierung: Die Identität wird per Passwort, Passkey, zweitem Faktor oder Zertifikat geprüft.
• Autorisierung: Rolle, Gruppe oder Attribut bestimmen, welche Anwendungen und Aktionen erlaubt sind.
• Durchsetzung von Richtlinien: Bedingungen wie Gerätekonformität oder Standort können einen zusätzlichen Faktor verlangen oder den Versuch blockieren.
• Vergabe und Entzug: Konten und Rechte entstehen beim Eintritt, werden beim Rollenwechsel angepasst und beim Austritt entfernt.

Access Management, IAM oder Access Governance: Wo liegt der Unterschied?

Die drei Begriffe beschreiben Ebenen desselben Themas. Identity and Access Management ist das gesamte Feld. Access Management ist die Durchsetzungsebene: Es lässt die richtige Person hinein und hält alle anderen draussen, Anfrage für Anfrage. Access Governance liegt darüber und beantwortet eine andere Frage, nämlich ob die heute bestehenden Zugriffe noch gerechtfertigt sind, mit Reviews, Zertifizierungen und Auditnachweisen.

Für die Compliance ist der Unterschied wichtig. Artikel 21 der NIS2-Richtlinie nennt Konzepte für die Zugriffskontrolle unter den Risikomanagementmassnahmen im Bereich der Cybersicherheit, ebenso Multi-Faktor-Authentifizierung, wo sie angemessen ist. Diese Regeln bei der Anmeldung durchzusetzen ist Access Management, sie gegenüber Prüfern nachzuweisen ist Governance.

Beispiele und Anwendungsfälle

Ein Softwareunternehmen mit 250 Mitarbeitenden nutzt Microsoft Entra ID für Single Sign-On zu 40 Anwendungen und erzwingt MFA bei jeder Anmeldung. Auf dem Papier ist das Access Management gelöst. In der Praxis bezahlt das Finanzteam 15 weitere Tools mit eigenen Logins, und die Entwicklung nutzt ein Monitoring-Tool, in dem Konten von Hand angelegt werden. Keine dieser Anmeldungen läuft über den Identity Provider, also greift dort keine seiner Richtlinien, und ein in Entra ID bearbeiteter Austritt lässt diese Konten offen.

Corma erweitert das Access Management auf diesen Teil des Anwendungsbestands. Die Plattform erkennt die genutzten SaaS-Anwendungen, verbindet sich mit dem Identity Provider und automatisiert Provisionierung und Deprovisionierung in den Anwendungen, auch in solchen ohne SCIM, damit Vergabe und Entzug von Zugriffen überall demselben Workflow folgen.

Verwandte Begriffe

• Identity and Access Management (IAM)
• Zugriffs-Governance
• Single Sign-On (SSO)
• Multi-Faktor-Authentifizierung (MFA)
• Rollenbasierte Zugriffskontrolle (RBAC)
• Identity-and-Access-Management-Plattform von Corma

FAQ

Was ist der Unterschied zwischen IAM und Access Management?

IAM umfasst das gesamte Feld, von der Anlage von Identitäten bis zu ihrer Governance. Access Management ist der Teil, der bei jedem Zugriff auf eine Anwendung authentifiziert, autorisiert und Richtlinien durchsetzt.

Ist Access Management dasselbe wie Zugriffskontrolle?

Nicht ganz. Zugriffskontrolle ist der Mechanismus, der eine Aktion erlaubt oder verweigert, etwa eine Rolle oder eine Berechtigungsliste. Access Management ist der umfassendere Prozess, der diese Kontrollen einrichtet, anwendet und dauerhaft pflegt.

Welche Tools gehören zum Access Management?

Identity Provider mit Single Sign-On und MFA, Werkzeuge für Privileged Access Management sowie Plattformen, die Provisionierung und Zugriffsanfragen über SaaS-Anwendungen hinweg automatisieren.

Deckt Access Management auch Anwendungen ausserhalb von Single Sign-On ab?

Nur wenn etwas sie verwaltet. Anwendungen mit lokalen Logins sind für den Identity Provider unsichtbar, deshalb müssen ihre Konten direkt erkannt und verwaltet werden. Genau das leisten SaaS-Management und automatisierte Deprovisionierung.

Demo anfragen