Identity and Access Management (IAM): Wie HR, IT und Security auf einer Datenbasis zusammenwachsen

In den meisten deutschen Unternehmen läuft Identity and Access Management heute über drei oder vier Tools nebeneinander: das HR-System pflegt Stammdaten, das Identity-Tool verwaltet Logins, das MDM provisioniert Geräte, der Steuerberater bekommt die Lohndaten per CSV. Startet ein:e neue:r Mitarbeitende:r am Montag, müssen all diese Systeme Hand in Hand arbeiten, manuell, asynchron, fehleranfällig. Genau hier setzt Identity and Access Management an: Es bündelt diese Zugriffs-Entscheidungen in einem Regelwerk, statt sie über mehrere Tools zu verteilen.

Dieser Beitrag erklärt, was IAM leistet, welche vier Kernfunktionen jede Lösung abdecken muss, wie sich IAM von SSO, MDM und PAM abgrenzt und worauf es in Deutschland besonders ankommt.

Was ist Identity and Access Management (IAM)?

Identity and Access Management ist das Rahmenwerk aus Richtlinien, Prozessen und Technologien, mit dem ein Unternehmen verwaltet, welche Person mit welcher Identität auf welche Ressourcen zugreifen darf. Die deutsche Übersetzung lautet „Identitäts- und Zugriffsmanagement”; im DACH-Markt hat sich aber die englische Abkürzung IAM durchgesetzt.

Im Kern beantwortet ein IAM-System zwei Fragen: Wer ist diese Person? Und welche Rechte hat sie? Dahinter steht eine Identität – ein digitales Konto, das einer realen Person, einer technischen Komponente oder einem KI-Agenten zugeordnet ist – plus ein Set von Berechtigungen für Anwendungen, Daten und Geräte.

Die vier Kernfunktionen von IAM

Ein vollständiges IAM-System deckt vier Funktionsbereiche ab. Wie tief sie integriert sind, unterscheidet sich je nach Anbieter:

• Authentication – Identität nachweisen. Die Plattform prüft, ob eine Person wirklich die ist, für die sie sich ausgibt. Standard ist Passwort plus zweiter Faktor (MFA), etwa über YubiKey oder TOTP-App. Moderne Setups ergänzen verhaltensbasierte Erkennung und Standort-Regeln.

• Authorization – Rechte zuweisen. Sobald die Identität feststeht, regelt Authorization, was diese Person tun darf. Standard ist rollenbasierte Zugriffskontrolle (RBAC): Rechte werden über die Rolle vergeben, nicht individuell.

• User Management – Lifecycle automatisieren. Konten und Berechtigungen werden über den gesamten Mitarbeiter-Lifecycle verwaltet. Beim Eintritt entstehen Konten, beim Rollenwechsel passen sich Rechte an, beim Offboarding werden Zugänge entzogen – idealerweise automatisch über SCIM-Provisioning.

• Audit und Compliance – Nachvollziehbarkeit sichern. Jeder Zugriff, jede Rechte-Änderung, jede Anmeldung wird protokolliert. Audit-Logs sind die Grundlage für interne Revision, externe Audits und Prüfungen durch Datenschutz-Aufsichtsbehörden.

Entscheidend ist nicht, ob ein Anbieter alle vier Funktionen im Funktionsumfang führt, sondern ob sie auf einer Datenbasis aufbauen oder über Sync-Brücken gekoppelt sind.

IAM vs. SSO vs. MDM vs. PAM: Begriffs-Abgrenzung

Im IT-Security-Markt überschneiden sich vier Begriffe, die häufig vermischt werden:

SSO und MDM sind Bestandteile einer ausgewachsenen IAM-Architektur. PAM bleibt häufig ein eigenes Modul, weil privilegierte Konten besondere Audit-Anforderungen haben.

Warum IAM ein HR-Thema ist, nicht nur IT

In klassischen Setups gehört IAM in die IT-Abteilung. Technisch stimmt das – strategisch greift es zu kurz. Jeder Zugriffs-Vorgang folgt einem HR-Ereignis: Onboarding, Rollenwechsel, Beförderung, Offboarding.

Der Trigger sitzt in der Personalakte. Wird ein:e Mitarbeitende:r angelegt, soll IT automatisch wissen, welche Konten zu provisionieren sind. Ein dokumentierter Rollenwechsel muss Berechtigungen anpassen. Ein hinterlegtes Offboarding-Datum muss Zugänge zum Stichtag entziehen – nicht zwei Wochen später, wenn jemand daran denkt.

Genau dort scheitern klassische IAM-Setups. HR-Plattform und Identity-Plattform sind getrennt, die Synchronisation läuft über SCIM-Connectoren oder CSV-Exporte, und Access Drift wird zur Audit-Diagnose. Eine integrierte HR-Plattform löst das Muster auf, indem HR-Stammdaten und Identity-Datenbank dieselben sind.

IAM in der Praxis: Onboarding und Offboarding

An Onboarding und Offboarding zeigt sich die Qualität einer IAM-Architektur am deutlichsten. Beim Eintritt müssen Konten, Geräte und Zugänge zum Starttag bereit sein. Beim Offboarding müssen sie zum Stichtag verlässlich entzogen werden.

Beim Onboarding laufen idealerweise diese Schritte automatisch, sobald HR den Eintritt anlegt:

• Konten anlegen in Google Workspace, Microsoft 365 und allen rollenrelevanten Business-Apps.

• Single Sign-on aktivieren und MFA mit dem:der Mitarbeitenden einrichten.

• Geräte vorbereiten – Laptop versenden, MDM-Profil installieren, FileVault oder BitLocker aktivieren.

• Rollenrechte zuweisen über RBAC, mit zeitgesteuerten Aktivierungen für später benötigte Anwendungen.

Bei Rippling läuft das Onboarding einzelner Mitarbeitender in 90 Sekunden ab, weil HR-Eintrag und IT-Provisioning auf einer Datenbasis liegen.

Beim Offboarding dreht sich der Prozess um: Konten zum Stichtag deaktivieren, Lizenzen zurückfordern, Geräte zurückholen, Daten DSGVO-konform löschen. Jeder Schritt landet im Audit-Log.

Vorteile von IAM für Unternehmen

Eine konsolidierte IAM-Architektur löst vier Probleme, die im Tool-Stack-Modell täglich Zeit und Geld kosten:

• Security. Inaktive Zugänge bleiben nicht wochenlang aktiv. Privilegierte Konten werden zentral kontrolliert. MFA und Conditional Access verhindern Anmeldungen außerhalb definierter Risiko-Profile.

• Compliance. Audit-Logs dokumentieren jede Rechte-Änderung und jeden Zugriff. Bei einer Prüfung lässt sich rekonstruieren, wer wann auf welche Daten zugegriffen hat – ohne nachträgliche Excel-Analyse.

• Effizienz. HR und IT pflegen Stammdaten nur einmal. Onboarding läuft in Minuten statt Tagen. Lizenzen für ausgetretene Mitarbeitende werden automatisch zurückgewonnen.

• Zugriffs-Sichtbarkeit. Wer sieht was? In einer integrierten Plattform ist diese Frage in zwei Klicks beantwortet. In einem Tool-Stack braucht es Exporte aus drei Systemen und manuelle Korrelation.

IAM-Anforderungen in Deutschland: DSGVO, Audit-Trail und Datenschutz

Eine IAM-Lösung, die in Deutschland tragfähig sein soll, muss drei Anforderungen erfüllen:

• DSGVO-Konformität nach Art. 32. Die Datenschutz-Grundverordnung verlangt „geeignete technische und organisatorische Maßnahmen“ für den Schutz personenbezogener Daten: Verschlüsselung, Rechte- und Rollenmanagement, dokumentierte Lösch-Workflows und einen Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter.

• Revisionssicherer Audit-Trail. Jede Anmeldung, jede Rechte-Änderung und jeder Zugriff auf personenbezogene Daten muss protokolliert sein. Das IT-Grundschutz-Kompendium des BSI fordert explizit nachvollziehbare Audit-Logs als Bestandteil eines ordnungsgemäßen Identitätsmanagements.

• Belastbarer Datenschutz und Verarbeitungsverzeichnis. Personenbezogene Daten müssen durch belastbare Mechanismen abgesichert sein – etwa Standardvertragsklauseln oder das EU-US-Data-Privacy-Framework. Ein Verarbeitungsverzeichnis nach Art. 30 DSGVO dokumentiert die Datenflüsse.

Hinzu kommen branchenspezifische Vorgaben: Für lohnabrechnungsnahe Daten greift die ITSG-Zertifizierung des Anbieters, für Sozialversicherungsmeldungen das DEÜV-Meldeverfahren. Wer Identity und Lohnabrechnung trennt, muss beide Compliance-Ketten getrennt pflegen.

Was Rippling als IAM-Plattform anders macht

Viele IAM-Lösungen bestehen aus zugekauften Modulen mit nicht abgestimmten Datenmodellen: Der SCIM-Connector synchronisiert HR-Daten zur Identity-Plattform, das MDM holt sich Stammdaten aus einem dritten System, die Lohnabrechnung läuft komplett separat. Rippling geht einen anderen Weg: HR, IT und Identity laufen auf einer gemeinsam entwickelten Plattform.

Was das in der Praxis bedeutet:

• Federated Identity ohne SCIM-Lag. Rippling unterstützt LDAP, Active Directory, OIDC, RADIUS, SAML und SCIM nativ. Für Legacy-Systeme steht ein Virtual LDAP zur Verfügung. Änderungen in der Personalakte sind sofort in der Identity-Schicht sichtbar.

• MFA und Conditional Access werkseitig. YubiKey, TOTP-Apps und verhaltensbasierte Erkennung sind Teil der Plattform. Sign-in-Regeln lassen sich nach Standort, Rolle oder Risiko-Profil konfigurieren.

• MDM für macOS, Windows, iPhone und iPad. Native Agenten übernehmen Festplatten-Verschlüsselung (FileVault, BitLocker), Remote-Sperre, Remote-Wipe und Zero-Touch-Deployment.

• Audit-Logs als Standard. Jede Aktion wird protokolliert. Rippling ist DSGVO-konform und führt ISO/IEC 27001 als Informations-Sicherheits-Standard.

• Über 600 native App-Integrationen. SSO und Provisioning für Slack, Google Workspace, Microsoft 365, AWS, GitHub und mehr – ohne separate Connector-Pflege.