Identity & Access Management
Identity & Access Management wird kritisch, wenn Berechtigungen über hunderte Anwendungen, unterschiedliche Identitätstypen und gewachsene Organisationsstrukturen verteilt sind - und trotzdem jederzeit nachvollziehbar sein muss, wer worauf zugreifen darf, warum dieser Zugriff besteht und wer ihn verantwortet. ORCITA verbindet Identity Governance, Lifecycle Management, Access Governance und Privileged Access mit der technischen IAM-Landschaft und den regulatorischen Anforderungen des Unternehmens.
IAM Experience
Unsere Senior Consultants arbeiten seit vielen Jahren an Identity- und Access-Management-Systemen in komplexen Enterprise-Umgebungen - von Identity Lifecycle und Rollenmodellen über IGA und Rezertifizierung bis zu Privileged Access und regulatorischer Governance.
Die Plattformen haben sich verändert. Die Kernfragen bleiben: Woher kommt eine Identität? Wer verantwortet sie? Welche Zugriffe sind gerechtfertigt? Was geschieht bei Veränderungen? Und kann das Unternehmen diese Entscheidungen gegenüber Audit und Aufsicht nachvollziehbar belegen?
Ein IAM-System verwaltet Berechtigungen. Identity Governance macht sie verantwortbar.
Wenn IAM zum Governance-Problem wird
IAM-Probleme entstehen selten an einer einzelnen technischen Komponente. Sie entstehen an den Übergängen zwischen HR, Organisation, Identity Governance, Verzeichnisdiensten, Anwendungen, Fachbereichen, IT-Betrieb und Compliance.
Mitarbeiter arbeiten seit Jahren mit Anwendungen und Berechtigungen. Aber bei Audit oder Rezertifizierung lässt sich nicht belastbar erklären, welche Zugriffe tatsächlich bestehen, warum sie erforderlich sind und wer sie genehmigt hat.
Neue Mitarbeiter erhalten zuverlässig einen Account. Schwieriger wird es bei Managerwechsel, organisatorischer Veränderung, Kostenstelle, Rollenwechsel, externen Mitarbeitern oder Vertragsende.
Eine zentrale Governance-Plattform ist vorhanden, aber viele Anwendungen, Gruppen oder Berechtigungen liegen außerhalb ihrer Reichweite. Damit entsteht Governance nur für den integrierten Teil der Landschaft.
Administrative, technische und hochprivilegierte Accounts lassen sich nicht wie normale Benutzerberechtigungen behandeln. Ownership, Credential Management, Session Control und Break-Glass-Zugriffe brauchen eigene Governance.
Wie ORCITA übernimmt
Wir übernehmen IAM dort, wo Governance, Prozesse und technische Plattformen gemeinsam funktionieren müssen. Das kann ein konkretes Auditproblem sein, ein neues Rollenmodell, die Integration weiterer Anwendungen oder eine umfassende IAM-Transformation.
Für Organisationen, die Berechtigungen nicht nur provisionieren, sondern nachvollziehbar steuern müssen.
Berechtigungen werden nicht nur technisch verwaltet, sondern fachlich verantwortet und nachvollziehbar kontrolliert.
Für Organisationen, in denen Joiner, Mover und Leaver über HR, IAM, Directory Services und Fachanwendungen hinweg funktionieren müssen.
Organisatorische Veränderungen führen kontrolliert zu den richtigen technischen Konsequenzen.
Für Unternehmen, deren zentrale IGA-Plattform nur einen Teil der Applikationslandschaft abdeckt.
Identity Governance wächst von einzelnen integrierten Systemen zu einem belastbaren Enterprise-Modell.
Für privilegierte Zugriffe, bei denen normale IAM-Prozesse nicht ausreichen.
Privilegierter Zugriff wird kontrolliert, nachvollziehbar und organisatorisch verantwortbar.
Für Unternehmen, bei denen Prozesse, Plattformen und Governance gleichzeitig verändert werden müssen.
IAM wird nicht als isoliertes Toolprojekt behandelt, sondern als kontrollierte Veränderung des gesamten Identity Operating Models.
Identity Lifecycle
Lifecycle Governance wird dort anspruchsvoll, wo organisatorische Veränderungen technische Konsequenzen haben. Joiner, Mover und Leaver müssen fachlich entschieden, technisch ausgeführt und nachweisbar kontrolliert werden.
Regulatory Context
DORA, MaRisk, NIS2, ISO 27001 und Datenschutzanforderungen führen zu unterschiedlichen Detailanforderungen. Im IAM laufen sie jedoch auf wiederkehrende Kontrollfragen hinaus.
ORCITA übersetzt regulatorische und Audit-Anforderungen in Governance, Prozesse und technische Controls.
Technology Experience
Unsere Teams bringen Projekterfahrung aus unterschiedlichen Generationen und Bereichen von IAM, IGA, Access Management und Privileged Access mit.
Selected Experience
Unsere Senior Consultants bringen langjährige IAM-Erfahrung aus Energie, Versicherungen, Finanzdienstleistungen und komplexen Enterprise-Landschaften mit.
Die folgenden Beispiele zeigen Projektsituationen, in denen Governance, Prozesse und Technologie gemeinsam verändert werden mussten.
Energy & Utilities · Access Governance
Ein Unternehmen der Energiewirtschaft stand vor der Aufgabe, Zugriffe über eine Landschaft von rund 700 Business-Applikationen nachvollziehbarer zu machen.
Eine zentrale IGA-Plattform war vorhanden, erfasste jedoch nur einen vergleichsweise kleinen Teil der Anwendungen vollständig.
Für viele Anwendungen fehlte damit ein zentraler, belastbarer Nachweis darüber, welche Benutzer tatsächlich Zugriff hatten.
Gleichzeitig mussten Verantwortliche in den Fachbereichen in die Lage versetzt werden, Zugriffe regelmäßig zu überprüfen und zu bestätigen.
Die technische Frage, ob eine Anwendung in IGA integriert ist, wurde damit zu einer Governance-Frage: Kann das Unternehmen seinen tatsächlichen Zugriff belegen?
Im Projekt wurde ein pragmatisches Governance-Modell entwickelt, das auch Anwendungen berücksichtigt, die noch nicht vollständig in die zentrale IGA-Plattform integriert waren.
Anwendungen wurden hinsichtlich ihrer vorhandenen Benutzer- und Gruppenstrukturen analysiert. Access-Strukturen wurden über zentrale Verzeichnis- und Governance-Mechanismen nachvollziehbarer gemacht und mit einem regelmäßigen User-Access-Review-Modell verbunden.
Application Manager und Führungskräfte wurden in die fachliche Verantwortung für die Überprüfung bestehender Zugriffe eingebunden.
Der Access-Nachweis wurde nicht länger ausschließlich vom Integrationsgrad einzelner Anwendungen abhängig gemacht.
Das Unternehmen konnte Identity Governance schrittweise über eine große, heterogene Applikationslandschaft ausweiten.
Enterprise / Retail & Real Estate · Identity Lifecycle
Ein großes Unternehmen mit komplexer Organisations- und Systemlandschaft entwickelte seine Identity-Lifecycle-Prozesse weiter.
Personaldaten, Identity Governance, Active Directory, Entra ID, Messaging und Service Management mussten über mehrere Systeme hinweg zusammenspielen.
Neben internen Mitarbeitern mussten auch externe Personen und technische Identitäten berücksichtigt werden.
Die Erstellung eines neuen Accounts war nur ein Teil der Aufgabe. Schwieriger waren Veränderungen während des Lebenszyklus: Managerwechsel, organisatorische Veränderungen, Kostenstellenwechsel, Einsatzort, Vertragsende, externe Identitäten, technische Identitäten und Verantwortungswechsel.
Ohne klare fachliche und technische Prozesse entstehen genau an diesen Übergängen Berechtigungen, die nicht mehr zur aktuellen organisatorischen Realität passen.
Die Identity-Lifecycle-Prozesse wurden fachlich und technisch getrennt modelliert und anschließend miteinander verbunden.
Joiner-, Mover- und Leaver-Prozesse wurden über HR-Daten, Identity Governance, Directory Services und nachgelagerte Services nachvollziehbar beschrieben.
Parallel wurden eigene Governance- und Lifecycle-Modelle für externe und technische Identitäten entwickelt, einschließlich Ownership, Approval, Offboarding und Rezertifizierung.
Aus einzelnen Provisionierungsschritten entstand ein nachvollziehbares Lifecycle-Modell, das organisatorische Veränderungen mit ihren technischen Auswirkungen verbindet und Verantwortlichkeiten sichtbar macht.
Insurance · Identity Governance & Regulatory Control
Ein Kunde aus der Versicherungsbranche plante, Identity Governance und Berechtigungsstrukturen stärker an regulatorischen Anforderungen und einer nachvollziehbaren fachlichen Verantwortung auszurichten.
In einer solchen Umgebung reicht es nicht aus, technisch nachzuweisen, dass ein Benutzer Zugriff besitzt. Entscheidend ist, warum dieser Zugriff besteht, wer ihn verantwortet, wer ihn genehmigt hat, wann er zuletzt überprüft wurde und ob er weiterhin erforderlich ist.
Historisch gewachsene Rollen, unterschiedliche Genehmigungswege und technische Berechtigungsstrukturen erschweren eine einheitliche Governance.
Gleichzeitig steigen die Anforderungen an Ownership, Approval, Rezertifizierung, privilegierte Zugriffe, Audit Trail sowie nachvollziehbare Rollen- und Berechtigungskonzepte.
Im Projekt wurden Rollen- und Berechtigungskonzepte, Ownership- und Approval-Strukturen sowie Rezertifizierungsprozesse gemeinsam betrachtet und mit den relevanten regulatorischen Kontrollanforderungen verbunden.
Dazu gehören Entwicklung und Bewertung von Rollen- und Berechtigungskonzepten, Ownership- und Approval-Strukturen, Rezertifizierung sowie die Verbindung von Identity Governance mit Anforderungen aus DORA-, MaRisk- und ISO-27001-nahen Kontrollumgebungen.
Identity Governance wird von einer technischen Berechtigungsverwaltung zu einem nachvollziehbaren Kontrollsystem, in dem fachliche Verantwortung, technische Umsetzung und Auditierbarkeit zusammengeführt werden.
Privileged Access · Enterprise Security
In großen Enterprise-Umgebungen existieren neben regulären Benutzerkonten administrative und technische Accounts mit weitreichenden Zugriffsmöglichkeiten auf kritische Systeme.
Diese Accounts folgen häufig anderen Lebenszyklen und Verantwortungsmodellen als normale Mitarbeiteridentitäten.
Ein privilegierter Zugriff kann technisch notwendig und gleichzeitig ein erhebliches Kontrollrisiko sein.
Kritisch werden insbesondere dauerhafte administrative Berechtigungen, geteilte oder technische Accounts, unklare Ownership, Credential Management, Notfallzugriffe, fehlende regelmäßige Überprüfung und die Trennung zwischen normalem und privilegiertem Zugriff.
Unsere PAM-Erfahrung verbindet technische Privileged-Access-Plattformen mit Identity Governance.
Dazu gehören Governance für privilegierte Accounts, Safes und Zugriffsstrukturen, Approval- und Ownership-Modelle, Credential- und Session-Kontext sowie die Einbindung privilegierter Zugriffe in übergreifende Rezertifizierungs- und Kontrollprozesse.
Privilegierter Zugriff wird nicht als isolierte Security-Technologie behandelt, sondern als kontrollierter Bestandteil des Identity Operating Models.
IAM Transformation
Ein neues IAM-Tool löst kein altes Ownership-Problem.
IAM Transformation
Wer eine historisch gewachsene Governance unverändert auf eine neue Plattform migriert, erhält häufig nur ein moderneres System für dieselben strukturellen Probleme.
Unsere IAM-Transformationserfahrung beginnt deshalb vor der Produktkonfiguration.
Plattformmigration und Governance-Transformation müssen als ein zusammenhängendes Programm behandelt werden.
Specialist Team
Komplexe IAM-Probleme liegen zwischen Fachlichkeit, Security, Compliance, Architektur und technischer Umsetzung. ORCITA stellt deshalb Teams nach dem konkreten Governance- und Transformationsproblem zusammen.
Teamgröße und Rollen folgen dem Problem - nicht einem vorgegebenen Staffing-Modell.
Verantwortet Zielbild, Governance, Stakeholder-Abstimmung und Gesamtsteuerung.
Übersetzt fachliche, regulatorische und organisatorische Anforderungen in Rollen, Prozesse, Controls und Plattformanforderungen.
Verbindet Governance mit Zielarchitektur, Integrationen, Identity Data und technischen Plattformen.
Übernimmt Konzeption und Umsetzung von Lifecycle-, Access-Governance-, Rollen- und Rezertifizierungsanforderungen.
Verbindet privilegierte Access-Technologie mit Governance, Ownership und Kontrollprozessen.
Was sich verändert
Für Berechtigungen existieren nachvollziehbare fachliche Verantwortung, Genehmigung und Begründung.
Eintritt, Veränderung und Austritt führen zu den notwendigen Änderungen an Accounts und Berechtigungen.
Kontrolle hängt nicht mehr ausschließlich davon ab, ob jede Anwendung bereits vollständig in die zentrale IGA-Plattform integriert ist.
Administrative und technische Zugriffe erhalten eigene Governance, Ownership und Kontrollmechanismen.
Insights
Insight
Application Onboarding ist kein technischer Eintrag in einem Tool. Es entscheidet, ob Berechtigungen später kontrollierbar bleiben.
Regulatory Note
Regulatorische Anforderungen scheitern selten an fehlenden Dokumenten. Kritisch ist die Verbindung zwischen Kontrolle, Prozess und realer Umsetzung.
Field Note
Identity Lifecycle ist kein administrativer Nebenprozess. Er ist der Beweis, ob Organisation, HR, IAM und Fachbereiche zusammenarbeiten.
Identity & Access Management
Zeigen Sie uns Identity-Landschaft, Governance-Problem und Zielbild. Wir ordnen ein, wo das eigentliche Risiko liegt und welche Kombination aus Governance, Prozess, Plattform und Delivery notwendig ist.