IAM-Auswahl: die Kriterien, die unter NIS2 und DORA zählen

Warum es zählt

SAML und OIDC decken moderne Anwendungen ab, und dort sieht der Katalog jedes Vendors beeindruckend aus. Die Anwendungen, die im Audit wehtun, sind die anderen: das ERP im eigenen Rechenzentrum mit eigener Nutzertabelle, das Sammelkonto in der Fertigung, das Tool, das nur einen Header- oder Kerberos-Login spricht. Wenn die Plattform sie nicht erreicht, bleiben diese Systeme außerhalb deiner Zugriffskontrolle und außerhalb deines Nachweises.

Warum es zählt

Push-Benachrichtigungen und Einmalcodes sind besser als Passwörter, aber Angreifer umgehen beides routiniert, über Echtzeit-Phishing-Proxys und Push-Ermüdung. FIDO2 und Passkeys binden die Anmeldung an die echte Website, eine gefälschte Login-Seite kann sie nicht abgreifen. NIS2 Artikel 21 verlangt Multi-Faktor-Authentifizierung, sagt aber nicht welche. Die Qualität des Faktors ist deine Entscheidung, und dein Auditor wird fragen, warum du sie so getroffen hast.

Warum es zählt

Rollen sind das Mittel, mit dem "Need to know" zu etwas wird, das ein System erzwingen und ein Auditor lesen kann. Ohne Rollenmodell werden Berechtigungen einzeln vergeben, vom Kollegen kopiert und nie entfernt, und die Antwort auf "wer darf Zahlungen freigeben" ist eine Datenbankabfrage, die niemand ausführen kann. NIS2 und DORA erwarten beide, dass Zugriff dokumentiert und rollenbasiert vergeben wird.

Warum es zählt

Verwaiste Konten sind der stille Fehler der meisten IAM-Einführungen: Der Externe, der im März gegangen ist, hat im September noch einen funktionierenden Login. Unter NIS2 und DORA musst du zeigen können, dass Zugriff nach Bedarf vergeben und entzogen wird, sobald der Bedarf endet. Diesen Nachweis gibt es nur, wenn die Plattform aus einer führenden Quelle wie dem HR-System liest und nachgelagert per SCIM oder Konnektor ohne Ticket provisioniert und deprovisioniert.

Warum es zählt

Fast jede Organisation hat noch ein Active Directory oder ein LDAP-Verzeichnis, gegen das Dateiserver, Drucker, VPNs und die Hälfte der internen Anwendungen authentifizieren. Die neue Plattform wird entweder zur führenden Quelle für dieses Verzeichnis, synchronisiert sich damit oder läuft daneben, und jede Option entscheidet, wo ein gesperrtes Konto tatsächlich gesperrt ist.

Warum es zählt

Die Konten, die die Identity-Plattform verwalten, können jede andere Identität erzeugen, und Domänen-Admins, Datenbank-Owner und Cloud-Root-Konten können jede Kontrolle unter sich aushebeln. Dauerhafte Privilegien auf diesen Konten sind das Ziel jedes ernsten Einbruchs. Ob die Plattform diese Konten nativ verwahren, rotieren, just in time erhöhen und aufzeichnen kann oder das an ein separates PAM-Produkt abgibt, entscheidet, aus wie vielen Tools deine Geschichte zum privilegierten Zugriff besteht.

Warum es zählt

Provisioning gibt Menschen Zugriff; Governance belegt, dass der Zugriff noch begründet ist. Unter NIS2 müssen Zugriffskontrollrichtlinien und unter DORA die Zugriffsrechte auf kritische Systeme überprüft werden, und der Auditor fragt nach der letzten Rezertifizierungskampagne mit ihren Entscheidungen. Kann die Plattform keine Rezertifizierung ausführen, bei der eine Führungskraft jede Berechtigung bestätigt oder entzieht und der Entzug ausgeführt und protokolliert wird, kaufst du ein zweites Produkt oder führst die Prüfung in einer Tabelle, was dasselbe ist wie gar nicht.

Warum es zählt

Zero Trust heißt, dass jede Zugriffsentscheidung berücksichtigt, wer fragt, von welchem Gerät, in welchem Zustand, für welche Ressource, jedes Mal, statt dem Netzwerkstandort zu vertrauen. Für die Identity-Plattform übersetzt sich das in konkrete Funktionen: Gerätezustand in der Richtlinie, laufende Session-Bewertung, Risikosignale aus dem EDR, Richtlinien pro Anwendung statt pro Netz. Ohne sie bleibt das VPN die Kontrolle und die Identity-Plattform eine Login-Seite.

Warum es zählt

Unter NIS2 und DORA ist das Identity-Log der Nachweis: wer sich von wo authentifiziert hat, welche Berechtigung von wem vergeben wurde, wann ein Konto gesperrt wurde. Lebt das Log nur in der Konsole des Vendors mit einem Fenster von 90 Tagen, oder fehlen darin Admin-Änderungen und fehlgeschlagene Versuche, kannst du die Frage des Auditors nach dem letzten Jahr nicht beantworten und das SIEM nicht füttern, das den Vorfall korrelieren muss.

Warum es zählt

Wer einen Lieferanten anlegt, sollte nicht dessen Rechnung freigeben; wer eine Berechtigung vergibt, sollte sie nicht selbst zertifizieren. Funktionstrennung ist das Mittel, mit dem Betrug und Fehler strukturell schwer gemacht werden, und DORA wie jeder Wirtschaftsprüfer erwarten, dass das System sie erzwingt, nicht ein Richtliniendokument. Die Identity-Plattform ist der Ort, an dem die konfliktären Kombinationen anwendungsübergreifend sichtbar sind.

Warum es zählt

Der Identity Store enthält von jedem Mitarbeitenden Name, Rolle, Gerät, Standort und Anmeldehistorie. Das sind personenbezogene Daten unter der DSGVO, und für eine regulierte Organisation ist es zugleich die Karte, wer was erreichen kann. Wo er gespeichert und von wo er administriert wird, entscheidet über dein Schrems-II-Risiko und über deine Antwort auf die Residenzfrage im DORA-Informationsregister.

Warum es zählt

Die eigene Sicherheit des Vendors ist deine Sicherheit: Ein Einbruch beim Identity Provider ist ein Einbruch in jede Anwendung dahinter. SOC 2 Typ II und ISO 27001 sind die Nachweise, mit denen du den Vendor unter der Lieferkettenmaßnahme von NIS2 und den Drittparteiregeln von DORA in die Lieferantenakte legen kannst, sofern der Scope den Service und die Region abdeckt, die du kaufst.

Warum es zählt

NIS2 Artikel 21 nennt MFA und Zugriffskontrolle unter den geforderten Maßnahmen; DORA erwartet, dass Identitäts- und Zugriffsmanagement für kritische Systeme nachweisbar ist und der Anbieter mit den Vertragsklauseln aus Artikel 30 im Informationsregister steht. Reife ist kein Zertifikat, das der Vendor hält, sondern ob die Plattform die Nachweise erzeugt und der Vertrag die Klauseln trägt.

Warum es zählt

Die meisten Einbrüche beginnen heute mit einem gültigen Zugangsdatum. Die Identity-Plattform sieht jede Anmeldung und ist der erste Ort, an dem ein unmöglicher Ortswechsel, ein neues Gerät, ein Password Spray oder ein wiederverwendetes Session-Token sichtbar wird. Wenn sie diese Signale nicht auslöst, oder nur in einem Dashboard, das niemand beobachtet, entdeckt das EDR den Angriff Wochen später.

Warum es zählt

Anwendungen sprechen miteinander über Tokens, nicht über Passwörter, und die Identity-Plattform stellt diese Tokens aus. Wie sie OAuth-2.0-Scopes, Token-Lebensdauern, Client Credentials für Maschinenidentitäten und den Widerruf eines geleakten Tokens handhabt, entscheidet, ob dein API-Bestand gesteuert ist oder ob jeder Dienst ein langlebiges Secret hält, das niemand rotiert.

Warum es zählt

Mitarbeiteridentitäten sind nur ein Teil der Population. Externe Partner, Kunden, Servicekonten und Maschinenidentitäten übersteigen die Zahl der Beschäftigten meist deutlich, und Vendoren bepreisen sie nach unterschiedlichen Modellen. Eine Plattform, die für 500 Beschäftigte bezahlbar aussieht, wird teuer, sobald 3.000 Lieferanten-Logins und jeder API-Client als abrechenbare Identität zählen.

Warum es zählt

Jede Anwendung zeigt auf die Identity-Plattform, also heißt Einführung, jede einzelne neu anzubinden, Nutzer, Gruppen, Anmeldedaten und MFA-Registrierungen zu migrieren und Alt und Neu monatelang parallel zu betreiben. Der Aufwand misst sich an Anwendungszahl und Legacy-Anteil, nicht an der Lizenzgröße, und hier verlieren die meisten IAM-Projekte ihr erstes Jahr.

Warum es zählt

Eine Identity-Plattform ist das System, das man am schwersten verlässt, weil jede Anwendung auf sie zeigt. Die Migration heraus kostet dasselbe wie die hinein, plus das Risiko, Anmeldedaten, Gruppenstrukturen und Audit-Historie zu verlieren. DORA erwartet für kritische IKT-Dienste eine dokumentierte Exit-Strategie, und das hier ist einer.

Warum es zählt

Du unterschreibst für drei Jahre, und die Plattform muss die Übernahmen, das Kundenidentitätsprogramm und die Explosion der Maschinenidentitäten tragen, die in dieser Zeit kommen. Ob der Vendor in die Richtungen investiert, die du brauchen wirst, und ob die Architektur ohne Neuaufbau auf das Zehnfache an Identitäten skaliert, entscheidet, ob diese Entscheidung im zweiten Jahr erneut ansteht.

Warum es zählt

Eine Plattform, die Nutzer langsam oder verwirrend finden, wird umgangen: Passwörter werden geteilt, MFA-Abfragen blind bestätigt, Schattenkonten entstehen. Eine Plattform, die Administratoren umständlich finden, wird falsch konfiguriert, weil die Ausnahme, deren saubere Konfiguration eine Stunde gedauert hätte, stattdessen schnell konfiguriert wird. Akzeptanz ist der Ort, an dem die bezahlte Sicherheit entweder ankommt oder verloren geht.

Warum es zählt

IAM wird pro Nutzer, pro Identitätstyp, pro Funktionsmodul oder in Bündeln lizenziert, und dieselbe Organisation kostet unter jedem Modell sehr unterschiedlich. Externe Nutzer, Servicekonten, Kunden und die MFA-Hardware fallen in verschiedene Preiszeilen, und das Modell, das zu einem Unternehmen mit 500 Personen passt, passt selten zu einem Konzern mit 30.000 Identitäten und 200 Anwendungen.

Warum es zählt

Das Angebot deckt Jahr eins beim heutigen Nutzerbestand und den heutigen Modulen. Die Kosten, die überraschen, kommen später: das Governance-Modul, das für das Audit doch nötig war, die Log-Aufbewahrung über das Grundfenster hinaus, die Premium-Support-Stufe, die die Migration brauchte, die Preiserhöhung bei der Verlängerung und die Professional Services, die niemand einzeln ausgewiesen hat.

Warum es zählt

Am Ende braucht die Entscheidung eine Zahl pro Vendor, die sich vergleichen lässt: den angebotenen Lizenzpreis für die Konfiguration, die du wirklich betreiben wirst, über die Laufzeit, die du wirklich unterschreibst. Jedes andere Kriterium in diesem Katalog fließt ein, wie viel diese Zahl wert ist; dieses sorgt dafür, dass sie existiert und vergleichbar ist.