Cloud- und Identitätsmanagement einfach erklärt

Cloud- und Identitätsmanagement bezeichnet die zentrale Verwaltung von Benutzerkonten, digitalen Identitäten und Zugriffsrechten in Cloud- und Hybridumgebungen.

Ziel ist es, sicherzustellen, dass Benutzer nur auf die Anwendungen, Daten und Systeme zugreifen können, die sie für ihre Aufgaben benötigen. Dabei spielt es keine Rolle, ob Mitarbeitende im Büro, im Homeoffice oder unterwegs arbeiten.

Was ist Cloud-Identitätsmanagement?

Eine digitale Identität bildet einen Benutzer, ein Gerät, eine Anwendung oder einen technischen Dienst innerhalb einer IT-Umgebung ab.

Zu einer Benutzeridentität gehören beispielsweise:

• Benutzername und Kontaktdaten
• Abteilung und Position
• Gruppenmitgliedschaften
• Rollen und Berechtigungen
• registrierte Geräte
• verwendete Authentifizierungsmethoden
• Zugriff auf Anwendungen und Daten

Eine zentrale Identitätsplattform verwaltet diese Informationen und prüft bei jeder Anmeldung, wer auf welche Ressource zugreifen darf.

Bekannte Lösungen sind unter anderem Microsoft Entra ID, Okta und Ping Identity.

Welche Aufgaben übernimmt das Identitätsmanagement?

Cloud-Identitätsmanagement umfasst mehr als das Anlegen und Löschen von Benutzerkonten.

Zu den wichtigsten Aufgaben gehören:

• Benutzerkonten zentral verwalten
• Zugriffsrechte vergeben und entziehen
• Anmeldungen absichern
• Anwendungen mit einer zentralen Identität verbinden
• Geräte und Standorte bei Zugriffsentscheidungen berücksichtigen
• administrative Konten besonders schützen
• Zugriffe protokollieren und überprüfen
• Benutzer beim Ein- und Austritt automatisiert verwalten

Damit bildet das Identitätsmanagement eine zentrale Sicherheitsinstanz zwischen Benutzern und Unternehmensressourcen.

Was ist der Unterschied zwischen Authentifizierung und Autorisierung?

Bei der Authentifizierung wird geprüft, ob ein Benutzer tatsächlich die Person ist, für die er sich ausgibt. Dies kann beispielsweise durch ein Passwort, eine Authenticator-App oder einen Sicherheitsschlüssel erfolgen.

Die Autorisierung legt anschließend fest, auf welche Anwendungen, Dateien und Funktionen der Benutzer zugreifen darf.

Ein Mitarbeiter kann sich also erfolgreich anmelden, ohne automatisch Zugriff auf alle Unternehmensdaten zu erhalten.

Was bedeutet Single Sign-On?

Single Sign-On, kurz SSO, ermöglicht Benutzern den Zugriff auf mehrere Anwendungen mit einer zentralen Anmeldung.

Nach einer erfolgreichen Authentifizierung können beispielsweise Microsoft 365, ein CRM-System und weitere Cloud-Anwendungen genutzt werden, ohne für jeden Dienst ein eigenes Passwort einzugeben.

SSO verbessert den Benutzerkomfort und reduziert die Anzahl separat verwalteter Zugangsdaten. Die zentrale Identität muss dafür jedoch besonders sorgfältig geschützt werden.

Welche Rolle spielt die Multi-Faktor-Authentifizierung?

Die Multi-Faktor-Authentifizierung, kurz MFA, verlangt neben dem Passwort einen weiteren Identitätsnachweis.

Dies kann beispielsweise sein:

• eine Authenticator-App
• ein Hardware-Sicherheitsschlüssel
• ein Passkey
• eine Smartcard
• ein biometrisches Merkmal

MFA erschwert Kontoübernahmen, da ein gestohlenes Passwort allein normalerweise nicht für eine erfolgreiche Anmeldung ausreicht.

Besonders wichtig ist MFA für administrative Konten, Cloud-Dienste, E-Mail-Zugänge und externe Zugriffe.

Was ist bedingter Zugriff?

Beim bedingten Zugriff wird nicht nur geprüft, ob Benutzername und Passwort korrekt sind. Zusätzlich werden weitere Bedingungen bewertet.

Dazu können gehören:

• Standort des Benutzers
• verwendetes Gerät
• Sicherheitsstatus des Geräts
• aufgerufene Anwendung
• erkannte Anmelderisiken
• Rolle des Benutzers
• ungewöhnliches Anmeldeverhalten

Je nach Risiko kann der Zugriff erlaubt, blockiert oder nur nach einer zusätzlichen MFA-Prüfung freigegeben werden.

Was bedeutet rollenbasierte Zugriffskontrolle?

Bei der rollenbasierten Zugriffskontrolle, kurz RBAC, werden Berechtigungen nicht einzeln an jeden Benutzer vergeben. Stattdessen erhalten Benutzer eine Rolle, die zu ihrer Aufgabe passt.

Mögliche Rollen sind beispielsweise:

• Vertriebsmitarbeiter
• Personalabteilung
• Buchhaltung
• IT-Administrator
• externer Dienstleister

Jede Rolle besitzt festgelegte Zugriffsrechte. Dadurch können Berechtigungen einheitlicher und übersichtlicher verwaltet werden.

Grundlage sollte das Prinzip der minimalen Berechtigung sein: Benutzer erhalten nur die Rechte, die sie tatsächlich benötigen.

Wie funktioniert das Onboarding und Offboarding?

Beim Eintritt eines neuen Mitarbeiters müssen häufig mehrere Konten, Gruppenmitgliedschaften und Anwendungszugriffe eingerichtet werden.

Ein zentrales Identitätsmanagement kann diese Abläufe automatisieren. Die benötigten Berechtigungen werden beispielsweise anhand der Abteilung oder Position vergeben.

Beim Austritt müssen alle Zugänge zeitnah deaktiviert und Berechtigungen entzogen werden. Ein unvollständiges Offboarding kann dazu führen, dass ehemalige Mitarbeitende weiterhin Zugriff auf Unternehmensdaten besitzen.

Was ist eine hybride Identität?

Viele Unternehmen betreiben sowohl lokale Systeme als auch Cloud-Dienste.

Bei einer hybriden Identität werden lokale Benutzerkonten, beispielsweise aus einem Active Directory, mit einer Cloud-Identitätsplattform wie Microsoft Entra ID verbunden.

Dadurch können Benutzer mit einer einheitlichen Identität auf lokale Anwendungen und Cloud-Dienste zugreifen.

Die Synchronisation und Absicherung müssen sorgfältig geplant werden, da Fehler oder kompromittierte Konten Auswirkungen auf beide Umgebungen haben können.

Welche Vorteile bietet Cloud-Identitätsmanagement?

Ein zentrales Identitätsmanagement kann Unternehmen mehrere Vorteile bieten:

• einheitliche Verwaltung von Benutzerkonten
• sicherer Zugriff von unterschiedlichen Standorten
• weniger separate Passwörter durch SSO
• automatisiertes Onboarding und Offboarding
• nachvollziehbare Berechtigungen
• bessere Kontrolle administrativer Zugänge
• zentrale Protokollierung von Anmeldungen
• Unterstützung von Compliance- und Audit-Anforderungen
• schnellere Integration neuer Cloud-Anwendungen

Welche Risiken müssen beachtet werden?

Da die zentrale Identitätsplattform den Zugriff auf viele Systeme steuert, ist sie ein attraktives Ziel für Angreifer.

Wichtige Schutzmaßnahmen sind:

• konsequente Nutzung von MFA
• besonders geschützte Administratorkonten
• regelmäßige Prüfung von Rollen und Berechtigungen
• Überwachung auffälliger Anmeldungen
• sichere Wiederherstellungsverfahren
• zeitnahe Deaktivierung nicht benötigter Konten
• begrenzte Rechte für Anwendungen und Dienstkonten
• regelmäßige Zugriffskontrollen

Ein falsch konfiguriertes Identitätsmanagement kann dazu führen, dass Benutzer zu viele Rechte besitzen oder sensible Anwendungen unzureichend geschützt sind.

Fazit

Cloud- und Identitätsmanagement ermöglicht die zentrale Verwaltung von Benutzern, Zugriffsrechten und Anmeldungen in Cloud- und Hybridumgebungen.

Funktionen wie Single Sign-On, Multi-Faktor-Authentifizierung, bedingter Zugriff und rollenbasierte Berechtigungen verbessern Sicherheit und Benutzerkomfort. Voraussetzung ist eine klare Rechtevergabe, eine zuverlässige Überwachung und ein geregelter Identitätslebenszyklus vom Eintritt bis zum Austritt eines Mitarbeiters.