Meine Erkenntnisse von der Identiverse 2026: Wohin sich das Identitätsmanagement als Nächstes entwickelt
26 Jun 2026
Die Identiverse 2026 war eine fantastische Veranstaltung.
Dies war mein zweites Mal, dass ich als CEO von Nexis an der Identiverse teilnahm. Natürlich wird meine Perspektive von den Gesprächen, die ich führe, den Sessions, die ich auswähle (viel zu wenige), und den Themen beeinflusst, die für unsere Kunden am wichtigsten sind. Dennoch ist es immer inspirierend, mehrere Tage umgeben von einigen der klügsten Köpfe im Bereich Identität zu verbringen. Es ist eine großartige Gelegenheit, Ideen zu validieren, Annahmen zu hinterfragen und zu verstehen, wohin sich die Branche entwickelt.
Mehrere Themen stachen für mich während der gesamten Konferenz hervor.
IVIP ist gekommen, um zu bleiben
Eine der interessantesten Diskussionen drehte sich um Identity Visibility and Intelligence Platforms (IVIP). Einige fragten sich, ob die von Gartner neu eingeführte Kategorie ein dauerhaftes Marktsegment oder lediglich ein vorübergehender Trend darstellt.
Nach vielen Gesprächen mit Kunden, Partnern und Analysten ist meine Schlussfolgerung bestätigt und klar: IVIP ist gekommen, um zu bleiben.
Der Grund ist einfach. IVIP adressiert eine der größten Herausforderungen im modernen Identity and Access Management: Transparenz und Behebung über IAM-Silos hinweg.
Seit mehr als zwei Jahrzehnten hat sich der IAM-Markt durch spezialisierte Lösungen entwickelt. Identity Governance, Access Management, Privileged Access Management, Identity Threat Detection, AI-basierte Sicherheitstools und viele andere haben sich alle unabhängig voneinander entwickelt. Jedes löst ein spezifisches Problem extrem gut, aber jedes schafft auch ein weiteres Silo.
Infolgedessen fällt es vielen CISOs und IAM-Verantwortlichen immer noch schwer, eine scheinbar einfache Frage zu beantworten:
Wer hat Zugriff auf was?
Diese Antwort über Dutzende von getrennten Systemen hinweg zu erhalten, bleibt schwierig.
IVIP füllt diese Lücke. Es integriert Identitätsinformationen über die gesamte IAM-Landschaft hinweg, bietet eine einheitliche Ansicht und wendet gleichzeitig Intelligenz an, um Anomalien, Inkonsistenzen und Risiken zu identifizieren. Noch wichtiger ist, dass Transparenz allein nicht mehr ausreicht. Der nächste Schritt ist die Behebung.
Ob man Gartners Visibility, Intelligence, Action (VIA)-Modell folgt oder einfach nur guter Sicherheitspraxis, Intelligenz schafft nur dann Wert, wenn sie zu Maßnahmen führt. Moderne IVIP-Lösungen identifizieren daher nicht nur Abweichungen, sondern empfehlen oder automatisieren auch Korrekturmaßnahmen.
Rollenmanagement ist wichtig
Seit Jahren haben viele das Ende der rollenbasierten Zugriffskontrolle (RBAC) vorhergesagt. Doch fast jedes Gespräch, das ich führte, bestätigte das Gegenteil.
Rollen stimmen weiterhin natürlich mit der Arbeitsweise von Unternehmen überein. Menschen verstehen Stellenfunktionen, geschäftliche Verantwortlichkeiten und Projektzuweisungen. Die Übersetzung dieser Geschäftskonzepte in IT-Autorisierungen bleibt eines der intuitivsten verfügbaren Governance-Modelle.
Die Herausforderung war nie das Rollenkonzept selbst.
Die Herausforderung ist, wie Rollen verwaltet und governed werden.
Die meisten IGA-Plattformen bieten immer noch nur begrenzte Unterstützung für ein echtes Rollen-Lifecycle-Management, Governance und Optimierung. Unternehmen mangelt es häufig an strukturierten Governance-Prozessen für die Erstellung, Überprüfung, Optimierung und Stilllegung von Geschäftsrollen. Die Automatisierung bleibt begrenzt, und eine kontinuierliche Rollenverbesserung fehlt oft gänzlich.
Insbesondere für stark regulierte Unternehmen wird die Rollen-Governance immer wichtiger. Gut verwaltete Rollen verbessern die Transparenz, vereinfachen Zertifizierungen, stärken die Compliance und reduzieren die operative Komplexität erheblich, während die Komplexität einer rein richtlinienbasierten Zugriffskontrolle (PBAC) vermieden wird.
Anstatt zu verschwinden, tritt das Rollenmanagement in Kombination mit attributbasierter Zugriffskontrolle (ABAC) und PBAC in seine nächste Generation ein.
IAM Governance Documentation wird zu einer strategischen Fähigkeit
Ein weiteres Thema, das immer wieder auftauchte, war die IAM Governance Documentation.
In Europa, insbesondere im Finanzdienstleistungssektor, verlangen Vorschriften wie DORA von Unternehmen, eine umfassende Dokumentation für Anwendungen zu führen, die in IAM- und IGA-Umgebungen integriert sind.
Leider verlassen sich viele Unternehmen immer noch auf Word-Dokumente, Excel-Tabellen, SharePoint-Sites und hochgradig manuelle Prozesse. Bis die Dokumentation abgeschlossen ist, haben sich die zugrunde liegenden Systeme bereits geändert. Rollen entwickeln sich weiter, Berechtigungen werden geändert, und Anwendungen entwickeln sich ständig weiter, wodurch die Dokumentation fast sofort veraltet ist.
Governance Documentation muss daher zu einem lebendigen Prozess werden und nicht zu einer Compliance-Übung.
Moderne Governance-Plattformen sollten die Dokumentation kontinuierlich mit der zugrunde liegenden IAM-Landschaft synchronisieren und gleichzeitig die Verantwortung auf Anwendungsbesitzer und Geschäftsinteressenten verteilen. Dies unterstützt nicht nur die Einhaltung gesetzlicher Vorschriften, sondern schafft auch wertvolle Transparenz für Sicherheitsteams.
Interessanterweise beschränkt sich diese Nachfrage nicht mehr nur auf regulierte Branchen. Große Fertigungsunternehmen und andere komplexe Unternehmen erkennen zunehmend den gleichen Bedarf.
Gute Governance dreht sich letztendlich nicht um Regulierung. Es geht darum, Klarheit in komplexen Umgebungen zu schaffen.
Identity Lifecycle Management verdient weiterhin Aufmerksamkeit
Identity Lifecycle Management bleibt eine der Grundlagen einer effektiven Identity Governance.
Viele, insbesondere kleinere Unternehmen, verlassen sich immer noch auf Prozesse, die vor Jahren entwickelt wurden, oft unterstützt durch manuelle Verwaltung, benutzerdefinierte Skripte und isolierte Automatisierung.
Die Provisioning neuer Benutzer ist in der Regel überschaubar, da Unternehmen sich im Voraus vorbereiten können. Organisatorische Änderungen und das Offboarding sind die Bereiche, in denen Schwachstellen sichtbar werden.
Wenn Identitäten nicht konsistent und rechtzeitig entfernt werden, häufen Unternehmen unnötige Risiken an. Ein effektives Lifecycle Management erfordert viel mehr als Provisioning und Deprovisioning. Es erfordert strukturierte Lifecycle-Ereignisse, regelmäßige Zugriffsüberprüfungen, Richtlinienzertifizierungen und kontinuierliche Governance.
Wenn diese Prozesse ordnungsgemäß implementiert werden, reduzieren Unternehmen nicht nur den manuellen Aufwand, sondern verbessern auch die Sicherheit, erhöhen die operative Effizienz und etablieren einen wesentlich stärkeren Governance-Rahmen.
Abschließende Gedanken
Rückblickend bestätigte die Identiverse 2026 etwas, das ich schon seit einiger Zeit glaube: Identity and Access Management war noch nie so spannend.
Der Markt bewegt sich über einzelne Produkte hinaus hin zu integrierter Governance, Intelligenz und Automatisierung. Transparenz, AI-gestützte Entscheidungsfindung, modernes Rollen-Governance und kontinuierliches Lifecycle Management werden zu wesentlichen Fähigkeiten und nicht zu optionalen Verbesserungen.
AI-Governance habe ich in diesem Artikel bewusst nicht behandelt, obwohl sie auch wichtige Themen während der Konferenz waren. Diese verdienen eine eigene, dedizierte Diskussion (vgl. meine Beiträge in [1] oder [2])
Wenn die Identiverse eines gezeigt hat, dann, dass sich IAM weiterhin rasant entwickelt, und ich glaube, die aufregendsten Innovationen liegen noch vor uns.
Referenzen
[1] Warum 99 % genaue AI für Identity Governance nicht gut genug ist