IT Glossary
Zugriffs-Governance belegt, wer auf was zugreift und warum. Erfahren Sie, worin sie sich von der operativen Zugriffsverwaltung unterscheidet.
August 7, 2026
Zugriffs-Governance ist die Disziplin, festzulegen, zu überprüfen und nachzuweisen, wer auf welche Systeme Zugriff hat und aus welchem Grund. Wo die Zugriffsverwaltung Rechte vergibt und entzieht, beantwortet die Zugriffs-Governance die Aufsichtsfrage: Ist der aktuelle Zustand der Zugriffe korrekt, begründet und gegenüber einer prüfenden Stelle belegbar. Sie umfasst Richtlinie, Transparenz über Berechtigungen, regelmässige Überprüfungen, Zertifizierung und Nachweis.
Die Zugriffsverwaltung ist operativ: Sie provisioniert Konten, setzt Single Sign-On durch und wendet die Richtlinie bei der Anmeldung an. Die Zugriffs-Governance ist beaufsichtigend: Sie prüft, ob der entstandene Zustand dem entspricht, was die Organisation tatsächlich beabsichtigt hat. Ein Unternehmen kann eine ausgezeichnete Zugriffsverwaltung betreiben und trotzdem durch ein Audit fallen, weil das Ergebnis nie zertifiziert wurde.
Ein Anbieter von Gesundheitssoftware, der eine ISO-27001-Zertifizierung vorbereitet, muss nachweisen, dass der Zugriff auf Systeme mit Patientendaten quartalsweise von einer benannten verantwortlichen Person überprüft wird. Sein Identitätsanbieter belegt, wer sich authentifizieren kann, nicht wer welche Berechtigung in welcher Anwendung hält. Diese zweite Sicht aufzubauen ist die Governance-Arbeit, und Corma automatisiert sie, indem es die Berechtigungen jeder angebundenen Anwendung in einen einzigen Überprüfungszyklus zusammenführt. Satelia hat diesen Weg für seine Identity Governance in einem regulierten Gesundheitsumfeld gewählt.
Zugriffs-Governance ist die Disziplin. Identity Governance and Administration ist die Softwarekategorie, die sie umsetzt und Governance mit Provisionierung und Lebenszyklusautomatisierung verbindet.
Die Verantwortung liegt üblicherweise bei Sicherheit oder Compliance, während die Überprüfungsentscheidungen den Führungskräften und Anwendungsverantwortlichen gehören, die verstehen, was eine Berechtigung tatsächlich bedeutet.
Quartalsweise für Systeme mit regulierten oder finanziellen Daten, jährlich für weniger kritische Anwendungen, und sofort bei jedem Rollenwechsel oder Austritt.
Einen datierten Nachweis darüber, welche Berechtigungen überprüft wurden, wer entschieden hat, was entzogen wurde, und die Bestätigung, dass die Entzüge im Zielsystem tatsächlich umgesetzt wurden.
