IAM & IGA in der Verwaltung: Joiner, Mover, Leaver und Access Reviews als Prozess
Identity Governance wird belastbar, wenn Eintritt, Wechsel, Austritt, Berechtigungsanträge, Rezertifizierung und Funktionstrennung aus einer verlässlichen fachlichen Quelle gesteuert werden – statt aus Einzel-Tickets und dauerhaft gewachsenen Gruppen.
Identity Lifecycle beginnt bei der führenden Quelle
Ein IAM-/IGA-Projekt sollte zuerst klären, welche Stelle Beschäftigungsstatus, Organisationseinheit, Rolle und Austrittsdatum fachlich verantwortet. Automatisierung aus uneinheitlichen oder verspäteten Stammdaten beschleunigt sonst nur falsche Berechtigungen. Für Joiner, Mover und Leaver müssen Trigger, Sollzustände und Fehlerpfade dokumentiert werden.
Berechtigungen brauchen Owner und Ablauf
Gruppen und Applikationsrollen sollten nicht nur technisch existieren, sondern einen fachlichen Owner, einen Zweck und – wo sinnvoll – eine Befristung haben. Access Reviews funktionieren nur dann, wenn Reviewer verstehen, welche Aufgabe eine Berechtigung ermöglicht und welche Folgen ein Entzug hat.
Mover sind häufig schwieriger als Joiner und Leaver
Beim internen Rollenwechsel entstehen Überberechtigungen, wenn neue Rechte hinzugefügt, alte aber nicht entzogen werden. Ein Pilot sollte deshalb bewusst Abteilungswechsel, Vertretungen, Projektrollen und befristete Zusatzrechte testen und nicht nur Ein- und Austritt.
IGA ersetzt kein Zielsystem-Design
Provisioning-Konnektoren, SCIM, Gruppen- oder Rollenmodelle und Rückmeldungen aus Fachanwendungen müssen pro Zielsystem geprüft werden. Ein Governance-Workflow kann fehlende APIs, unklare Rollen oder lokale Sonderkonten nicht automatisch lösen.
Rezertifizierung braucht messbare Qualität
Erfolg lässt sich an zeitgerechtem Entzug, Review-Durchlaufzeiten, abgelaufenen Berechtigungen, manuellen Ausnahmen und verwaisten Konten messen. Diese Kennzahlen sind für einen Pilot aussagekräftiger als die Zahl konfigurierter Workflows.