Unternehmen nutzen eine Vielzahl von Identitäten, um Geschäftsprozesse ausführen zu können. Diese Identitäten können unterschiedlicher Natur sein. Unternehmen benötigen Mitarbeiter aber auch externe Dienstleister, alle sollen eindeutig zuordenbar sein. Identitäten müssen zudem über ihren gesamten Lebenszyklus verwaltet werden.
Benötigt werden diese Identitäten beispielsweise, um Berechtigungen für Zutritt, Zugang und Zugriff zu definieren. Hier kann zunächst eine Verifikation einer Person mit einem Ausweisdokument erfolgen. Aber auch Informations-, Kommunikations-, Sicherheits- und Gebäudetechnik sowie Informationen selbst bestehen aus Objekten, die eindeutig zuordenbar sein müssen. Neudeutsch wird bei diesem Themenkomplex gern vom Asset Management, frei übersetzt der Verwaltung der Aktiva (im betriebswirtschaftlichen Sinne) eines Unternehmens gesprochen.
Wer also die Vermögenswerte nutzen möchte, muss ein berechtigtes Interesse nachweisen. In vielen alltäglichen Prozessen ist dies einfach umsetzbar. Personen müssen die ihnen zugewiesene Tätigkeit ausführen und Ressourcen entsprechend nutzen können. Gleiches gilt für die dazu erforderliche Informationstechnik (IT) und operative Technologie (OT) sowie die notwendigen Applikationen.
Einheitliche Prozesse für die Gesamtheit aller Dienste und Services sind in Unternehmen oft nicht durchgängig etabliert. Beispielsweise organisiert sich die Sicherheitsabteilung losgelöst von der Unternehmens-IT oder das Facility Management orientiert sich im Bereich Gebäudeautomation völlig eigenständig.
Anforderungen aus Compliance-Vorgaben, die für das gesamte Unternehmen gelten, werden dabei auf unterschiedliche Art und in unterschiedlicher Tiefe umgesetzt. Beispielsweise sind Vorgaben von Gesetzgebern, Aufsichtsbehörden oder Versicherungen regelkonform und revisionssicher umzusetzen. Revisionssicherheit bedeutet hierbei, Wirtschaftsprüfern, Auditoren und ggf. auch Richtern nachweisen zu können, regeltreu gehandelt zu haben. Hierzu dienen als probates Hilfsmittel unter anderem Maßnahmen zur Informationssicherheit.
Personaldaten werden typischerweise in eigens dafür entwickelten IT-gestützten Systemen verwaltet. Sollen Zugang und Zugriff von Personen organisiert werden, kommen oft weitere Technologien ins Spiel. Bislang lief es im informationstechnischen Bereich meist so, dass Personen Rollen mit gewissen Rechten zugewiesen wurden, um Dinge auf IT-Systemen, Anwendungen und Verzeichnissen auszuführen. Hierbei erfolgt gewissermaßen die Verwaltung des „Logical Access“. In der Sicherheitstechnik hingegen kennt man ein solches Vorgehen kaum, da die Systeme und die Nutzerkreise häufig zu klein sind. Zugangs- und Zugriffsrechte werden hier oft autark und lokal verwaltet. Wird ein Verzeichnisdienst genutzt, dann allenfalls für vereinzelte Systeme der Sicherheitstechnik. So stellt es sich als eine große bis unüberwindbare Herausforderung dar, auf vielen verschiedenen Systemen, die von unterschiedlichen Anwendern betreut werden einheitlich, regelkonform sowie revisionsfest zu agieren
Ein sogenanntes Identity and Access Management System (IAMS) setzt sich wie ein Regenschirm über alle genannten Verzeichnisdienste. Mit einer Schnittstelle zur Personalverwaltung werden aus den dort vorhandenen Daten Identitäten, denen wiederum dienst- und serviceübergreifend Rollen und somit Berechtigungen zugewiesen werden können. Über Schnittstellen zu den darunter liegenden Verzeichnisdiensten erfolgt der Datenaustausch. Moderne IAM-Systeme bieten die Möglichkeit, Audit-Reports zu generieren und Workflow-Prozesse einfach und transparent zu generieren. Getreu dem WYSISYG-Prinzip (What you see is what you get!).
Im Bereich des „Physical Access“ sind ebenfalls Softwareprodukte am Markt erhältlich, die genau dies machen. Hier werden ebenfalls per Schnittstelle zur Personalverwaltung aus den dort vorhandenen Daten Identitäten erzeugt: Diese Identitäten können nun einem Rollenkonzept folgen, innerhalb dessen Berechtigungen für den Zutritt zu Gebäuden, Bereichen und Räumen zugeordnet werden. Die Berechtigungen werden an die darunter liegenden verschiedenen elektronischen Zutrittskontrollsysteme weitergegeben.
Die Realisierung der erforderlichen Schnittstellen sollte nun idealerweise nicht über „Reverse engineering“ von proprietären Datenstrukturen und -protokollen erfolgen, sondern über offene und standardisierte Programmierschnittstellen wie REST API, SOAP oder WSDL mit textbasierter Übertragung auf XML oder CSV-Basis.
Wunschvorstellung des Autors ist es, künftig auf einer einzigen dedizierten Plattform Identitäten und Berechtigungen verwalten zu können. Es könnten dann einerseits Berechtigungen für den physischen Zutritt entweder mittels elektronischer Zutrittskontrolle (online/offline) oder auch mit mechanischen Schlüsseln organisiert werden. Andererseits kann der logische Zugang zu IT-Systemen genauso
wie der logische Zugriff auf Informationen geregelt werden. Dieser Ansatz stellt eine ganzheitliche Strategie im Sinne von Regeltreue und einer entsprechenden Dokumentation dar.
Zum Nachweis der Identität von Systemen ist eine Public Key Infrastruktur (PKI) erforderlich, um Zertifikate integer für Verschlüsselung und Authentisierungsmechanismen erzeugen zu können. Die Einführung eines IAMS stellt somit eine große Aufgabe dar. Die erforderlichen Ressourcen betreffen hierbei nicht nur Hard- und Software. Ein großer Teil der Aufgabe besteht darin, die geltenden Compliance-Regelungen und die etablierten Arbeitsabläufe abzubilden, bei Bedarf zu optimieren und in der Software zu implementieren. Im Anschluss daran sollte es möglich sein, die Prozesse an einer Stelle durch die jeweils fachverantwortlichen Mitarbeiter transparent und nachvollziehbar zu bearbeiten, die Datenhaltung insbesondere von personenbezogenen Informationen zu minimieren, eine schnelle Nachweiserbringung von Vorgaben zu erbringen und dennoch eine Produktivitätssteigerung zu erreichen.
Ist ein solches IAMS inklusive PKI etabliert, können nach wie vor physische Ausweise mit kontaktbehafteten und kontaktlosen Leseverfahren für Zutritt, Zugang und Zugriff sowie weitere Dienste genutzt werden. Genauso ist es jedoch möglich, andere Authentifizierungslösungen wie Token, webbasierende Lösungen oder auch das Smartphone einzusetzen.
