Konkret: Access Management steuert, welche Benutzer auf welche Ressourcen zugreifen dürfen. Anwendungen, Datenbanken, Cloud-Services, Netzwerke, physische Systeme. Die richtigen Personen bekommen zur richtigen Zeit den richtigen Zugriff. Nicht mehr, nicht weniger.

In der Praxis ist das selten simpel. Moderne IT-Landschaften bestehen aus Dutzenden Cloud-Diensten, On-Prem-Systemen und Drittanbieter-Lösungen, die alle verknüpft sein wollen. Genau deshalb braucht es ein Access Management, das über alle Systeme hinweg konsistent funktioniert.

Access Management vs. Identity Management

Die beiden Begriffe werden oft in einen Topf geworfen, beantworten aber unterschiedliche Fragen. Identity Management kümmert sich um die digitale Identität selbst: Wer gibt es im Unternehmen, welche Daten gehören zu einer Person, und was passiert bei Eintritt, Wechsel oder Austritt?

Access Management setzt darauf auf und entscheidet bei jedem Zugriff, ob er erlaubt ist.

Das bedeutet konkret: Ohne saubere Identitäten kein sauberes Access Management. Und ohne Access Management bringen dir die schönsten Identitätsdaten nichts.

Erst prüfen, dann freigeben

Authentifizierung und Autorisierung: Die zwei Säulen des Access Managements

Access Management basiert auf zwei Prozessen, die zusammengehören, aber unterschiedliche Aufgaben erfüllen.

Authentifizierung: Bist du wirklich du?

Authentifizierung prüft die Identität eines Benutzers. Du beweist dem System, dass du die Person bist, für die du dich ausgibst. Klassisch über Benutzername und Passwort, heute immer häufiger über zusätzliche Faktoren: ein Code auf dem Smartphone, ein Fingerabdruck oder ein Hardware-Token.

Autorisierung: Was darfst du tun?

Nach erfolgreicher Authentifizierung folgt die Autorisierung. Das System entscheidet anhand von Richtlinien und Rollen, welche Aktionen du ausführen und auf welche Ressourcen du zugreifen darfst.

Ein Beispiel: Dein Vertriebler von vorhin meldet sich am CRM an (Authentifizierung bestanden). Er darf Kundendaten einsehen und Angebote erstellen, aber keine Systemeinstellungen ändern oder Nutzer anlegen. Das ist Autorisierung in Aktion.

In klassischen Login-Prozessen kommt zuerst die Authentifizierung. Erst wenn die Identität geprüft ist, kann das System entscheiden, was ein Nutzer darf.

Der Prozess

Der Access-Management-Prozess: von Antrag bis Entzug

Access Management ist nicht nur Technik, sondern vor allem ein Prozess. Auch ITIL, das bekannte Framework für IT-Service-Management, beschreibt Access Management als eigenen Prozess: Berechtigte Nutzer sollen Services nutzen können, Unberechtigte eben nicht. In der Praxis läuft das in fünf Schritten ab.

1. Antrag: Jemand braucht einen Zugriff, zum Beispiel der neue Vertriebler aufs CRM. Idealerweise passiert das nicht per Mail an die IT, sondern über ein Self-Service-Portal mit klaren Rollen zur Auswahl.
2. Prüfung und Genehmigung: Die Führungskraft oder der Systemverantwortliche gibt den Zugriff frei. Grundlage ist dein Berechtigungskonzept. Kritische Kombinationen, etwa Rechnungen anlegen und freigeben, fallen hier durch die Funktionstrennung auf.
3. Vergabe: Die Berechtigung wird im Zielsystem eingerichtet, im besten Fall automatisch über das IAM-System. Kein Ticket, das drei Tage im Backlog liegt.
4. Überwachung und Review: Zugriffe werden protokolliert und regelmäßig überprüft. Bei der Rezertifizierung bestätigen Verantwortliche, ob jemand eine Berechtigung noch braucht.
5. Entzug: Wechselt jemand die Abteilung oder verlässt das Unternehmen, werden Zugriffe entzogen. Und zwar sofort, nicht erst beim nächsten Audit.

Ein Beispiel: Stell dir vor, eine Projektleiterin bekommt für ein halbes Jahr Zugriff auf die Finanzplanung. Ohne sauberen Prozess hat sie diesen Zugriff drei Jahre später immer noch. Mit Ablaufdatum oder Just-in-Time Access verschwindet er automatisch, sobald das Projekt endet.

Die wichtigsten Bausteine

Die wichtigsten Bausteine im Access Management

Access Management besteht aus mehreren Bausteinen, die einzeln nützlich sind, ihre volle Wirkung aber im Zusammenspiel entfalten.

Strategische Bedeutung

Warum Access Management heute strategisch wichtig ist

Access Management war lange ein Thema, das in der IT-Abteilung administriert wurde. Heute ist es ein strategischer Baustein für Sicherheit, Compliance und Geschäftsgeschwindigkeit.

Zero Trust braucht starkes Access Management

In einer Zero-Trust-Architektur gibt es kein implizites Vertrauen. Jeder Zugriff wird verifiziert, egal ob von innerhalb oder außerhalb des Netzwerks. Das funktioniert nur mit einem Access Management, das Authentifizierung und Autorisierung konsequent durchsetzt. Die Frage ist nicht mehr nur „Bist du im richtigen Netzwerk?“, sondern „Wer bist du, unter welchen Bedingungen greifst du zu, und darfst du das?“

Compliance als Treiber

NIS2, DORA und DSGVO verlangen nachvollziehbare Zugriffskontrollen, dokumentierte Berechtigungsvergabe und regelmäßige Reviews. Sauber aufgebautes Access Management adressiert das direkt: Wer hat wann auf was zugegriffen? Warum hat er diese Berechtigung? Wann wurde sie zuletzt geprüft?

Passwordless ist auf dem Vormarsch

Passkeys, biometrische Verfahren und FIDO2 gewinnen weiter an Bedeutung. Unternehmen, die ihr Access Management jetzt modernisieren, sind für diesen Wandel vorbereitet.

Teil der Identity Fabric

Access Management als Teil der Identity Fabric

Einzelne Tools reichen nicht. SSO löst nicht die Service-to-Service-Kommunikation. PAM sagt nichts darüber aus, ob ein Kunde sich korrekt authentifiziert hat. RBAC funktioniert nur, wenn die Systeme dahinter miteinander reden.

Access Management entfaltet seine volle Wirkung erst als Teil einer integrierten IAM-Architektur, die häufig als Identity Fabric bezeichnet wird. Dieser modulare Rahmen verbindet alle IAM-Bausteine über Cloud, Hybrid und On-Premise hinweg zu einer konsistenten Identitätsinfrastruktur.

FAQ

Häufige Fragen zu Access Management

Was versteht man unter Access Management?

Access Management steuert, wer auf welche Systeme, Daten und Anwendungen zugreifen darf. Es prüft die Identität eines Nutzers (Authentifizierung) und entscheidet anschließend, welche Aktionen er ausführen darf (Autorisierung).

Was ist der Unterschied zwischen Identity Management und Access Management?

Identity Management verwaltet die digitalen Identitäten selbst, also wer im Unternehmen existiert und welche Daten dazugehören. Access Management entscheidet bei jedem Zugriff, ob diese Identität eine bestimmte Ressource nutzen darf.

Was ist Access Management nach ITIL?

In ITIL ist Access Management ein Prozess im IT-Service-Management. Er sorgt dafür, dass berechtigte Nutzer Services nutzen können und unberechtigte nicht. Dazu gehören Antrag, Prüfung, Vergabe, Überwachung und Entzug von Zugriffsrechten.

Welche Methoden gibt es im Access Management?

Die wichtigsten sind Single Sign-On, Multifaktor-Authentifizierung, rollenbasierte Zugriffskontrolle (RBAC), attributbasierte Zugriffskontrolle (ABAC) und Privileged Access Management für besonders kritische Konten.