Jede Identität unter Kontrolle.
Auch KI‑Agenten.

Sie brauchen dieselben Regeln wie Mitarbeitende: einen benannten Eigentümer, einen Lebenszyklus und eine regelmäßige Rezertifizierung. Bei KI-Agenten kommt hinzu, dass sie zur Laufzeit selbst entscheiden, welche Werkzeuge sie aufrufen. Wie ein Kontrollmodell dafür aussieht, beschreiben wir in unserem White Paper zur Agentenidentität, kostenlos und ohne Formular.

Von einem Big Bang raten wir ab. Stellt man alle Anwendungen und Prozesse auf einmal um, sind Fachbereiche, Betrieb und Revision gleichzeitig überlastet, und ein Fehler trifft sofort die ganze Organisation. Wir führen schrittweise ein, zuerst die Anwendungen mit dem höchsten Risiko, danach die übrigen in festen Wellen mit Test und Freigabe. Jede Welle liefert einen prüfbaren Zwischenstand, und der Betrieb bleibt stabil.

Mit Nachweisen, die aus dem IAM selbst kommen: wer welche Berechtigung wann beantragt, genehmigt und bestätigt hat und wann sie entzogen wurde. Die Delegierte Verordnung (EU) 2024/1774 zu DORA verlangt in Artikel 20 und 21 ein geregeltes Identitäts- und Zugriffsmanagement mit klarer Rechenschaft. Wir ordnen jede Kontrolle der passenden Fundstelle zu, damit der Prüfer den Nachweis direkt findet.

Adminrechte gibt es nur auf Zeit. Administratoren arbeiten im Alltag mit einem Standardkonto und erhalten privilegierte Rechte per Just-in-Time-Zugriff nur für eine konkrete Aufgabe, nur für deren Dauer, nach Freigabe und mit Protokoll. Danach fallen die Rechte automatisch weg. Im Normalbetrieb gibt es damit keine offenen Adminrechte, die ein Angreifer übernehmen könnte.

Pauschal lässt sich das nicht beantworten. Den fachlichen Kern beherrschen die etablierten Systeme alle, ob SailPoint IdentityIQ, One Identity Manager oder Omada Identity Suite: Lebenszyklus, Rollen, Rezertifizierung und Funktionstrennung. Vor der Auswahl steht deshalb das Target Operating Model. Es legt fest, wer die Plattform betreibt, wer Rollen und Anbindungen pflegt und welche Ressourcen dafür im Unternehmen tatsächlich zur Verfügung stehen. Erst danach lassen sich die übrigen Kriterien sinnvoll gewichten, etwa Betrieb im eigenen Rechenzentrum oder als SaaS, die Konnektoren für Ihre Anwendungen, die Komplexität des Rollenmodells und die Kosten über die gesamte Laufzeit. Diese Bewertung machen wir mit Ihnen, bevor eine Lizenz gekauft wird.