Identity & Access Management

Was macht ein Identity und Access Manager?

Er verwaltet Identitäten und Rechte über ihren ganzen Lebensweg: Eintritt, Wechsel der Abteilung, Vertretung, Austritt. Das klingt nach Verwaltung und ist eine Sicherheitsaufgabe, weil die meisten schweren Vorfälle über ein Konto laufen, das zu viel durfte oder längst hätte gelöscht sein müssen. Die Werkzeuge sind Verzeichnisdienste, Anmeldedienste mit mehreren Faktoren, Rollen- und Berechtigungsmodelle, Governance-Plattformen für Prüfkampagnen und die Verwaltung privilegierter Zugänge.

Der zweite Teil ist Projektarbeit. Anwendungen werden an die zentrale Anmeldung angeschlossen, Rollenmodelle mit Fachbereichen erarbeitet, Rezertifizierungen aufgesetzt, administrative Konten aus dem Alltag herausgelöst. Der dritte Teil ist Aufräumen: In fast jedem gewachsenen Unternehmen gibt es Sammelkonten, Rechte aus alten Stellen und Dienstkonten mit unbekanntem Zweck. Diese Bestände abzubauen, ohne den Betrieb anzuhalten, ist die eigentliche Kunst des Berufs.

Wie wird man Identity und Access Manager?

Der Zugang führt über den IT-Betrieb. Wer Verzeichnisdienste, Anmeldeverfahren und Berechtigungen in einer großen Umgebung betreut hat, bringt die Grundlage mit; Fachinformatiker für Systemintegration mit Praxis und Informatikabsolventen sind die häufigsten Herkünfte. Ein Teil der Stellen entsteht aus dem SAP-Umfeld, wo Berechtigungswesen eine eigene Disziplin mit eigener Sprache ist.

Nachweise sind hier vor allem plattformbezogen: Zertifizierungen zu Microsoft Entra und den Verzeichnis- und Anmeldediensten, zu den verbreiteten Governance- und PAM-Produkten oder zum SAP-Berechtigungswesen. Allgemeine Managementzertifikate wie CISM helfen, wenn die Stelle in Richtung Steuerung geht; für den Betrieb zählt die Erfahrung mit dem Produkt, das im Haus läuft. Wer prüfen statt betreiben will, findet über CISA den Anschluss an die Auditseite.

Was der Beruf verlangt

Geduld mit Menschen. Jede Wegnahme einer Berechtigung ist für jemanden eine Zumutung, und rechtfertigen müssen Sie sie – gegenüber Fachbereichen, die seit Jahren mit zu viel Rechten arbeiten und darin keinen Fehler sehen. Wer diese Gespräche nicht führen mag, kommt in diesem Beruf nicht weit, denn die Technik ist der einfachere Teil.

Dazu kommt Sorgfalt unter Zeitdruck. Ein fehlerhaft ausgerolltes Rollenmodell sperrt am Montagmorgen eine Abteilung aus; ein vergessenes Konto bleibt jahrelang offen. Beides passiert, und beides ist vermeidbar. Die Arbeitszeiten sind überwiegend regulär, Umstellungen an Anmeldediensten liegen aber in Wartungsfenstern, weil sie im Fehlerfall alle betreffen. Rufbereitschaft kommt vor, wenn die Anmeldung zum kritischen Dienst gehört.

Aussichten

Der Bedarf ist hoch und wächst weiter, und das hat zwei Gründe. Der erste ist regulatorisch: Berechtigungsprüfungen und die Kontrolle privilegierter Zugänge stehen in praktisch jedem Auditbericht, ISO 27001 und der IT-Grundschutz verlangen sie ausdrücklich, DORA und NIS2 verschärfen die Erwartung an den Nachweis. Der zweite ist technisch: Mit dem Wechsel in die Cloud ist die Identität an die Stelle des Netzrands getreten, und damit wird sie die wichtigste Grenze, die ein Unternehmen hat. Weiterwege führen in die Sicherheitsarchitektur, in die Beratung und in die Leitung eines Identity-Teams.