Datenqualität im Identity and Access Management: Von der Forschung zur Praxis

Datenqualität im Identity and Access Management: Von der Forschung zur Praxis

Dieser Artikel fasst die Ergebnisse meiner Doktorforschung zur Datenqualität im Identity and Access Management (IAM) zusammen. Die Forschung wurde in enger Zusammenarbeit mit Nexis durchgeführt und konzentrierte sich auf eine zentrale Frage: Wie können Unternehmen über die Zeit hinweg hochwertige Berechtigungsstrukturen aufrechterhalten?

Identity and Access Management (IAM) ist zu einer zentralen Säule der Cybersicherheit geworden. Unternehmen investieren erheblich in Rollenmodelle, Governance-Prozesse und moderne IAM-Plattformen. Gleichzeitig steigt der regulatorische Druck, digitale Ökosysteme werden komplexer, und die Anzahl der Identitäten – sowohl Human Identities als auch nicht-menschliche – wächst weiter.

Trotz dieser Bemühungen fällt es vielen Unternehmen schwer, eine wirksame und sichere Zugriffskontrolle langfristig aufrechtzuerhalten. In der Praxis beginnen IAM-Initiativen häufig mit einer gut strukturierten Designphase, verlieren dann jedoch im Laufe der Zeit schrittweise an Genauigkeit und Transparenz. Rollen veralten, Ausnahmen häufen sich, und Access Reviews werden zu ressourcenintensiven Compliance-Übungen statt zu wirksamer Risikominderung.

Diese Herausforderungen bildeten den Ausgangspunkt meiner Forschung. In Zusammenarbeit mit Nexis habe ich untersucht, wie sich Berechtigungsstrukturen im Laufe der Zeit entwickeln und welche Faktoren ihre langfristige Qualität und Nachhaltigkeit beeinflussen. Ziel war es, akademische Forschung mit der praktischen Umsetzung in komplexen Unternehmensumgebungen zu verbinden.

IAM als Datenqualitätsproblem 

Eine der zentralen Annahmen dieser Forschung ist, dass IAM nicht in erster Linie ein Technologieproblem ist. Vielmehr ist es grundlegend ein organisatorisches Problem, das eng mit der Datenqualität verknüpft ist.  

Zugriffskontrollentscheidungen basieren auf Daten: 

• Identitäten und ihre Attribute 

• Berechtigungen und Entitlements 

• Rollen- und Richtliniendefinitionen 

• Regeln zur Funktionstrennung (SoD) 

• Organisationsstrukturen 

Wenn diese Daten unvollständig, veraltet oder inkonsistent sind, kann selbst das fortschrittlichste IAM-System keine verlässlichen Ergebnisse liefern. Ungenaue Zugriffskontrollrichtlinien können zu übermäßigen Berechtigungen, Sicherheitslücken oder betrieblichen Störungen führen. Im Laufe der Zeit kumulieren diese Effekte und erhöhen sowohl Risiko als auch Kosten.  

Datenqualität ist in anderen Domänen, etwa Business Intelligence oder Master Data Management, gut etabliert. Die IAM-Forschung hat sie jedoch nicht systematisch berücksichtigt. Bestehende Arbeiten konzentrieren sich häufig auf das initiale Richtliniendesign oder die algorithmische Datenoptimierung und schenken der langfristigen Pflege und Governance deutlich weniger Aufmerksamkeit.  

Drei Bausteine für nachhaltige IAM-Datenqualität 

Um diese Lücke zu schließen, untersuchte meine Forschung die Datenqualität in IAM aus drei miteinander verknüpften Perspektiven: Bewertung, Verbesserung und Access Reviews.

1 Qualitätsbewertung

Die Verbesserung der Datenqualität setzt die Fähigkeit voraus, sie zu messen – dennoch fehlte IAM lange ein konsistentes Framework zur Bewertung der Qualität von Zugriffskontrollrichtlinien. Meine Forschung schloss diese Lücke, indem sie ein konsolidiertes Set an Qualitätsdimensionen identifizierte, darunter Genauigkeit, Redundanz, Komplexität, Konflikte und Wartbarkeit. Eine zentrale Erkenntnis ist, dass diese Dimensionen in zwei Kategorien fallen. Einige beeinflussen Berechtigungsentscheidungen direkt, etwa übermäßiger oder fehlender Zugriff. Andere betreffen die langfristige Nachhaltigkeit, etwa Komplexität oder Redundanz. Letztere verändern die Zugriffsergebnisse nicht unmittelbar, beeinflussen jedoch stark, wie gut ein Unternehmen Zugriffe über die Zeit hinweg aufrechterhalten kann. Eine systematische Übersicht über IAM-Metriken ergänzt diese Perspektive.  

Eine weitere große Herausforderung ist die Bewertung der Berechtigungsgenauigkeit, da der „korrekte“ Zugriffsstatus selten in strukturierter Form verfügbar ist. Um dies zu berücksichtigen, untersuchte meine Forschung den Einsatz von Transaktionslogs, die erfassen, wie sich Identitäten und Zugriffsrechte durch organisatorische Prozesse entwickeln. Die Analyse dieser Logs ermöglicht es, Muster zu identifizieren und inkonsistente oder verdächtige Berechtigungen in großem Maßstab zu erkennen. Eine wirksame IAM-Qualitätsbewertung kombiniert daher strukturelle Metriken mit kontextuellen, prozessgetriebenen Daten. Dies unterstützt kontinuierliches Monitoring und gezieltere Verbesserungen statt reaktiver Bereinigungsmaßnahmen.

2 Kontinuierliche Qualitätsverbesserung

Die Qualitätsbewertung schafft Transparenz, verhindert jedoch nicht ein grundlegendes Problem: Zugriffskontrollstrukturen verschlechtern sich im Laufe der Zeit kontinuierlich. Organisatorische Veränderungen, Systementwicklung und regulatorische Anforderungen formen Identitäten und Richtlinien fortlaufend neu. Dadurch verlieren selbst gut konzipierte IAM-Modelle an Genauigkeit und Wartbarkeit. Ein Großteil der bestehenden Forschung konzentriert sich auf das initiale Richtliniendesign. Meine Arbeit hingegen betrachtet IAM als fortlaufende Governance-Herausforderung statt als einmaliges Optimierungsproblem.  

Um dies zu berücksichtigen, entwickelte ich ein Framework für kontinuierliche Richtlinienverbesserung, das automatisierte Analysen mit strukturierter Governance und menschlicher Entscheidungsfindung kombiniert. Statt sich ausschließlich auf Algorithmen zu verlassen, integriert der Ansatz unterschiedliche Stakeholder-Perspektiven, überwacht die Richtlinienqualität kontinuierlich und erzeugt gezielte Verbesserungsempfehlungen, die Teams validieren und kontrolliert umsetzen können. In einer empirischen Evaluation reduzierte ich die Komplexität und redundante Zugriffe bei einem großen Finanzdienstleister, während die Auditierbarkeit erhalten blieb. Eine weitere Studie führte semantische Abstraktionen für SoD-Richtlinien ein, die Unternehmen helfen, das Richtlinienmanagement drastisch zu vereinfachen, ohne die Durchsetzbarkeit zu verlieren. Kurz gesagt: Nachhaltiges IAM hängt von kontinuierlicher Governance, klaren Verantwortlichkeiten und der Integration des Business-Kontexts ab.

3 Wirksame Access Reviews

Access Reviews sind ein zentraler Kontrollmechanismus in IAM, doch in der Praxis ist ihre Wirksamkeit häufig begrenzt. Angesichts enormer Skalierung und begrenzten Kontexts neigen Reviewer dazu, die meisten Zugriffe zu genehmigen und sich nur auf offensichtliche Anomalien zu konzentrieren. Dadurch erfüllen Access Reviews oft Compliance-Anforderungen, ohne das Risiko wesentlich zu reduzieren. Eine zentrale Herausforderung ist das Fehlen einer klaren „Ground Truth“ für korrekte Zugriffsentscheidungen. Reviews sind zudem menschlich getrieben, wodurch sie anfällig für Bias und Inkonsistenz sind.  

Meine Forschung berücksichtigt dies, indem sie Access Reviews als eine Form crowd-basierter Entscheidungsfindung formalisiert. Diese Perspektive ermöglicht den Einsatz von Machine Learning, um potenziell minderwertige Review-Entscheidungen zu identifizieren und ein sinnvolles Qualitätsmonitoring über reine Abschlussmetriken hinaus einzuführen. Darüber hinaus können digitale Nudges – etwa das Hervorheben riskanter Zugriffe oder das Bereitstellen kontextueller Informationen – Reviewer-Entscheidungen deutlich verbessern. Letztlich erfordern wirksame Access Reviews einen ausgewogenen Ansatz, der datengetriebene Erkenntnisse mit gezielter Unterstützung der menschlichen Entscheidungsfindung kombiniert.  

Von der Forschung zur Praxis bei Nexis 

Die Zusammenarbeit mit Nexis spielte während dieser Forschung eine zentrale Rolle. Praktische Erkenntnisse aus Kundenprojekten, der Zugang zu realen IAM-Daten und der kontinuierliche Austausch mit erfahrenen Praktikern lieferten wesentliche Impulse für die Entwicklung und Validierung der vorgeschlagenen Konzepte. Gleichzeitig trugen die Forschungsergebnisse zur fortlaufenden Weiterentwicklung der NEXIS Plattform bei. Diese enge Verzahnung von akademischer Arbeit und Praxiserfahrung sollte sicherstellen, dass die Ergebnisse nicht nur theoretisch fundiert, sondern auch in komplexen Unternehmensumgebungen anwendbar sind.  

Diese Zusammenarbeit führte zu sieben peer-reviewten wissenschaftlichen Publikationen, die wir gemeinsam verfasst und auf führenden internationalen Konferenzen und in Journals in den Bereichen Security, Privacy und Informationssysteme präsentiert haben. Diese Publikationen sind öffentlich verfügbar und bilden die Grundlage der in diesem Artikel zusammengefassten Ergebnisse.  

Die Zukunft der IAM-Datenqualität 

IAM tritt in eine Phase zunehmender Komplexität ein. Cloud-native Architekturen, dezentrale Identitätsmodelle, nicht-menschliche Identitäten und automatisierte Machine-to-Machine-Interaktionen erweitern den Umfang der Access Governance über traditionelle Unternehmensumgebungen hinaus. Gleichzeitig entwickeln sich regulatorische Erwartungen weiter – mit einem stärkeren Fokus auf kontinuierliche Kontrollen, Auditierbarkeit und nachweisbare Wirksamkeit statt periodischer Compliance-Übungen.  

In diesem Kontext besteht die Herausforderung nicht mehr nur darin, Zugriffskontrolle zu implementieren, sondern sie in dynamischen und heterogenen Umgebungen aufrechtzuerhalten. Statische Rollenmodelle und periodische Bereinigungsinitiativen reichen zunehmend nicht aus. Unternehmen benötigen kontinuierliche Transparenz über Berechtigungsstrukturen, die Fähigkeit, strukturelle Schwächen frühzeitig zu erkennen, sowie Mechanismen, um Richtlinien im Einklang mit organisatorischen Veränderungen anzupassen. Dies erfordert eine stärkere Integration von Datenanalytik, Prozesskontext und organisatorischem Wissen in den IAM-Betrieb.  

Zukünftige IAM-Strategien müssen sich daher in Richtung kontinuierlicher Governance-Modelle bewegen, die automatisiertes Monitoring mit strukturierter menschlicher Entscheidungsfindung kombinieren. Dazu gehört, kontextuelle Daten wie Audit-Logs systematisch zu nutzen, Indikatoren für die Richtlinienqualität kontinuierlich zu bewerten und Entscheidungsumgebungen so zu gestalten, dass Fachexperten konsistente, risikobewusste Entscheidungen treffen können. Darüber hinaus wird die Verbesserung der Qualität sowie des Lifecycle-Managements von Identitäts- und Attributdaten noch kritischer, da Zugriffskontrolle zunehmend von dynamischen, attributgetriebenen Modellen abhängt.  

 

Autor-Info: 

Dr. Sascha Kern ist Team Lead in der Softwareentwicklung bei Nexis und Spezialist für Identity and Access Management (IAM) mit mehr als einem Jahrzehnt Berufserfahrung in diesem Bereich. In den vergangenen Jahren arbeitete Sascha an seiner Doktorforschung in Kooperation mit der Universität Regensburg und konzentrierte sich dabei auf die Rolle der Datenqualität in IAM. Im Dezember 2025 verteidigte er erfolgreich seine Dissertation.