Ein IAM-System nimmt Attribute entgegen, wendet Logik darauf an und erzeugt Berechtigungen. Dieses System hinterfragt nichts. Steht im HR-System die falsche Abteilung, bekommt die Person eben die Rechte der falschen Abteilung, sauber automatisiert und in Sekunden ausgerollt.

Kurz gesagt: Automatisierung macht gute Daten schneller nutzbar und schlechte Daten schneller gefährlich.

Was Datenqualität im IAM konkret bedeutet

Wenn wir in Projekten über Datenqualität reden, meinen wir fünf messbare Eigenschaften der Identitätsdaten:

• Vollständigkeit: Alle Pflichtattribute sind gefüllt. Kein Datensatz ohne Abteilung, Vorgesetzten oder Eintrittsdatum.
• Richtigkeit: Die Werte stimmen mit der Realität überein. Die Abteilung im System ist die Abteilung, in der die Person tatsächlich sitzt.
• Aktualität: Änderungen kommen zeitnah an. Ein Wechsel zum Monatsersten darf nicht erst Mitte des Monats im IAM landen.
• Konsistenz: Dasselbe Attribut hat in allen Systemen denselben Wert und dasselbe Format.
• Eindeutigkeit: Eine Person, eine Identität. Keine Dubletten, keine Karteileichen.

Fällt eine dieser fünf Eigenschaften weg, wird es problematisch.

Führendes System

Warum HR das führende System ist und wo die Grenze verläuft

In den meisten Unternehmen ist HR die Stelle, an der der Lebenszyklus einer Person am verlässlichsten dokumentiert wird. Vertrag, Eintritt, Wechsel, Austritt laufen dort ohnehin zusammen, weil sie arbeitsrechtlich sauber erfasst werden müssen.

Deshalb liegt es nahe, HR im IAM als führendes System zu setzen. Identitäten und Berechtigungen brauchen nämlich eine dokumentierte, nachvollziehbare Grundlage.

Führend heißt aber nicht zuständig für alles, und genau diese Unterscheidung geht in Projekten oft unter.

HR liefert Name, Vertragsdaten, Abteilung und Vorgesetzten. Die E-Mail-Adresse und die Gruppenmitgliedschaften entstehen dagegen erst im IAM, die kann HR gar nicht liefern. Und Dinge wie Gebäude oder Arbeitsplatz kommen aus ganz anderen Systemen.

HR liefert die Person, das IAM baut die Identität

Die Arbeitsteilung ist eigentlich simpel. HR sagt, wer da ist und in welcher Rolle. Das IAM übersetzt das in Konten, Gruppen und Berechtigungen.

Wie dieser Übersetzungsprozess abläuft, haben wir im Artikel zum Identity Lifecycle Management beschrieben. Hier geht es um die Schicht darunter: um die Datenbasis, ohne die der beste Joiner Mover Leaver Prozess nichts bringt.

Aus der Praxis

3 Datenprobleme, die den IAM-Rollout ausbremsen

Externe stehen gar nicht im HR-System

Der Klassiker. Berater, Werkstudenten über eine Agentur, Wartungstechniker vom Maschinenhersteller, freie Entwickler: Sie alle arbeiten in deinen Systemen, aber sie haben keinen Arbeitsvertrag und damit keinen HR-Datensatz.

Was passiert stattdessen? Jemand aus der IT legt den Account händisch an. Ohne Enddatum, ohne Verantwortlichen, ohne Wiedervorlage.

Zwei Jahre später fällt bei der Rezertifizierung auf, dass da noch jemand Zugriff hat, den niemand kennt.

Doppelbeschäftigungen bringen die Zuordnung durcheinander

Eine Person, zwei Verträge. Die Teilzeitkraft im Vertrieb, die zusätzlich einen Minijob im Lager hat. Oder der Kollege, der intern in eine Tochtergesellschaft wechselt und dort eine zweite Personalnummer bekommt.

Das HR-System sieht zwei Datensätze und das ist aus HR-Sicht völlig korrekt. Das IAM baut daraus zwei Identitäten mit zwei Konten und zwei Rechtebündeln, ohne zu wissen, dass dahinter derselbe Mensch steckt.

Genau da wird es für Prüfer interessant. Die Funktionstrennung, also die Regel, dass niemand einen Vorgang allein anlegen und freigeben darf, wird pro Identität geprüft.

Über zwei Identitäten sammelt eine Person in Summe Rechte an, die sie in einer einzigen nie bekommen hätte. Auf dem Papier sieht alles sauber aus, in der Realität nicht.

Dazu kommt der Alltagsärger: Die Rezertifizierung läuft doppelt, Lizenzen werden doppelt gezählt, und beim endgültigen Austritt wird oft nur eine der beiden Identitäten deaktiviert, weil niemand von der zweiten weiß.

Abteilungswechsel kommen zu spät oder gar nicht an

Der Wechsel ist zum Ersten wirksam, im HR-System wird er aber erst nachgetragen, wenn die Vertragsänderung unterschrieben zurück ist. Manchmal dauert das länger. In dieser Zeit hat die Person die Rechte des alten Teams und die Aufgaben des neuen.

Das Ergebnis ist Privilege Creep, nur eben nicht durch einen schlechten Prozess, sondern durch eine langsame Quelle. Und weil niemand die alten Rechte aktiv entzieht, sammeln sich über die Jahre Berechtigungen an, die keiner mehr begründen kann.

Wie du das strukturiert wieder loswirst, zeigen wir im Beitrag zu Identity Governance und Administration.

Checkliste

Checkliste: 5 Fragen vor dem IAM-Rollout

Bevor die erste Schnittstelle gebaut wird, geh diese fünf Fragen durch. Bleibst du bei einer hängen, hast du deine erste Aufgabe gefunden.

Unser Expertenrat

Unser Expertenrat bei amiconsult

Setz HR und IAM an einen Tisch, bevor du das Tool auswählst. Wir haben schon Projekte gesehen, in denen die Toolentscheidung stand, bevor überhaupt jemand mit der Personalabteilung gesprochen hatte. Das rächt sich schnell.

Und plan die Datenbereinigung als eigenen Meilenstein mit eigenem Budget ein. Sie verschwindet sonst schnell im Projektalltag.

Wenn mehrere Quellsysteme zusammenkommen, lohnt außerdem ein Blick auf Identity Fabric als Architekturgedanken.