Vom Flickenteppich zur Governance: Die Rolle von IVIP in modernen Identity Fabrics

In Gartners Digital Identity 2025 Hype Cycle ist eine neue Kategorie entstanden: Identity Visibility and Intelligence Platforms (IVIP). Der Begriff findet branchenweit Beachtung und löst Debatten darüber aus, ob er als Platform, als eine Reihe von Fähigkeiten oder als etwas ganz anderes betrachtet werden sollte.

Beginnen wir mit der Definition von IVIP durch Gartner:

„Identity Visibility and Intelligence Platforms sind Produkte, die eine schnelle Integration und Transparenz für Identity and Access Management (IAM)-relevante Daten bieten, typischerweise gepaart mit erweiterten Analysefunktionen (oft AI-gestützt). Diese Innovation bietet eine einzige Ansicht von IAM-Daten, Aktivitäten/Ereignissen, Beziehungen, Konfiguration und Haltung, um die schnelle Verbesserung aller anderen integrierten IAM-Kontrollen und -Fähigkeiten zu ermöglichen, die sowohl eine verbesserte Sicherheit als auch die Geschäftsfähigkeit unterstützen.“ [1]

 

Welches Problem löst IVIP?

Moderne Identity and Access Management-Stacks werden zunehmend komplexer. Ein CISO eines großen Unternehmens verwaltet heute rund 83 verschiedene Cybersecurity-Tools [2]. Viele dieser Tools sind nicht gut integriert. Das Ergebnis ist eine fragmentierte Transparenz identitätsbezogener Daten und fehlende Intelligenz und Einblicke darüber, was tatsächlich abgedeckt, verwaltet oder geschützt wird – wo die Lücken sind und welche potenziellen Risiken bestehen bleiben.

Lassen Sie mich ein Beispiel geben: IGA (Identity Governance and Administration) und PAM (Privileged Access Management) sind relativ ausgereifte Disziplinen. Dennoch kämpfen viele Organisationen immer noch mit einer einfachen, aber kritischen Frage: Wer darf was tun? Rollennamen und Berechtigungen liefern Geschäftsanwendern oft keine aussagekräftigen Antworten, was Zuweisungen und Rezertifizierungen behindert.

Die Situation wird bei privilegierten Konten noch komplexer. Regulierte Unternehmen müssen die Anforderungen an die Segregation of Duties (SoD) erfüllen. Zu oft laufen IGA- und PAM-Systeme parallel ohne echte Integration – das eine deckt die gesamte Belegschaft ab, das andere nur Administratoren. Dies führt zu Konflikten, die unsichtbar bleiben, wenn die Systeme nicht integriert sind.

Nehmen wir HR als Beispiel: Ein System verwaltet Geschäftsrollen, ein anderes verwaltet administrative Konten. Auf dem Papier scheint die SoD intakt zu sein. Aber ohne eine integrierte Sicht bleiben Überschneidungen verborgen – etwa wenn ein Benutzer in einem System eine HR-Administratorrolle innehat, während er in einem anderen System auch widersprüchliche HR-Geschäftsberechtigungen besitzt. Technisch sind die Systeme getrennt. Funktional kann dieselbe Person sowohl sensible Daten definieren als auch manipulieren. Das ist eine direkte SoD-Verletzung, die nur bei einer echten End-to-End-Integration sichtbar wird.

 

Identity Fabrics und die fehlende Schicht

„Die Identity Fabric ist kein abstraktes Ideal […]. Sie ist bewusst als pragmatisches, fähigkeitsorientiertes Framework konzipiert, das sowohl die Modernisierung bestehender IAM-Systeme (Brownfield) als auch, wo anwendbar, aber eher selten, die Schaffung neuer Architekturen (Greenfield) unterstützt. Zusammen mit der/einer IAM-Referenzarchitektur bietet sie ein konkretes Fähigkeitsmodell […]“ Matthias Reinwarth, Director Practice IAM bei KuppingerCole Analysts, [3].

Identity Fabrics definieren die für eine moderne IAM-Umgebung erforderlichen Fähigkeiten. Um dies zu realisieren, muss jede Fähigkeit durch einen bestimmten Dienst oder ein Produkt bereitgestellt werden. Doch die Anbieterlandschaft sieht anders aus: Tools überschneiden sich, lassen Lücken oder decken mehrere Bereiche auf eine Weise ab, die nicht genau zum Identity Fabrics-Modell passt. Unternehmen enden mit einem Flickenteppich von Lösungen, die zusammengeflickt wurden, um das Zielbild annähernd zu erreichen.

Hier kommt IVIP ins Spiel. Das Konzept adressiert den Bedarf an einer Schicht, die alle Arten von Identitäten und alle Arten von IAM umspannt und ein einheitliches Governance-Dashboard bereitstellt. Es schafft Transparenz und Intelligenz über den Flickenteppich hinweg. Aber nicht nur das. Es reicht nicht aus, nur Einblicke zu haben; Optimierung und Behebung werden der Schlüssel sein. Sei es die Optimierung der Berechtigungslandschaft, die Bereitstellung von Empfehlungen für Geschäftsanwender oder das autonome Handeln, wenn man an Identity Security Posture Management (ISPM)-Fähigkeiten denkt, bei denen die Systeme jede Abweichung und Anomalie für ein gelerntes „wie sieht gut aus“ beheben.

In einigen Diskussionen wurde argumentiert, dass es kein Ersatz für ein ordnungsgemäßes Identity Fabric-Design und dessen Implementierung ist. Und das stimmt auch. Es ist jedoch ein pragmatischer Weg, eine ganzheitliche Governance-Schicht über eine Vielzahl von Produkten zu spannen und kritische Lücken in Richtung des idealen Zielbildes einer Identity Fabric zu schließen. Ist das gut oder schlecht? Einige Analysten fragen sich, ob IVIP hilft oder ob es das Risiko birgt, die heutigen fragmentierten Implementierungen zu verstärken. In Wirklichkeit war Fragmentierung schon immer Teil der IT. Die Komplexität ist in den letzten 20 Jahren nur gewachsen, und technologische Fortschritte – generative und agentische AI sind das jüngste Beispiel – sind viel schneller als Unternehmensprodukte mithalten können. Das Ergebnis ist ein Flickenteppich, und die eigentliche Frage ist, wie wir ihn verwalten und gleichzeitig die Ergebnisse verbessern. Es spiegelt einfach die Realität fragmentierter Lösungen und Systeme wider. Es gibt keine Anzeichen dafür, dass sich dies bald ändern wird, noch dass eine perfekt integrierte Identity Fabric auf der Grundlage einzelner Standardprodukte aufgebaut werden kann.

 

Platform oder Fähigkeit?

Ist IVIP also eine Platform? Es kommt darauf an. Im Kern ist es eine Summe von Fähigkeiten – die auf verschiedene Weisen mit verschiedenen Tools erreicht werden können. Wenn ein Produkt genügend Bereiche abdeckt, kann das Label „Platform“ sinnvoll sein. Aber das Label selbst ist weniger wichtig als der Wert, den es bringt.

 

Die Nexis-Perspektive

Nexis  wurde in diesem Zusammenhang auch in Gartners Hype Cycle for Digital Identity 2025 [1] erwähnt – sowohl für IVIP als auch für AI in der Zugriffsverwaltung – was die Relevanz dieser Konzepte für die Zukunft des Identitätsmanagements und die Implementierung von Identity Fabrics unterstreicht.

Aus Sicht von Nexis passt IVIP perfekt zu unseren Fähigkeiten und gibt dem, was wir seit fast zwei Jahrzehnten tun, einen Namen. Unser Ziel war es schon immer, Identity Visibility und Intelligenz für das Geschäft zu schaffen – unterstützt durch intelligente Visualisierungen, intuitive Analysen, AI-Assistenten und eine herausragende Benutzererfahrung – und das Thema dorthin zu bringen, wo es hingehört: auf die Geschäftsseite.

Mit NEXIS 4 verwalten wir Berechtigungen – Richtlinien, Rollen, Segregation of Duties-Richtlinien und Entitlements – über eine Vielzahl von Systemen hinweg. Dies umfasst verschiedene IGA-Umgebungen, Kombinationen aus IGA, NHI und PAM, und unsere ISPM-Fähigkeiten erstrecken sich sogar auf Access Management-Produkte. Dies ermöglicht es uns, Least Privilege-Anwendungsfälle zu unterstützen, indem ungenutzte Berechtigungen entfernt und Kosten reduziert werden, wenn zugewiesene Lizenzen zurückgezogen werden können.

Intelligenz wird durch verschiedene Formen künstlicher Intelligenz und intelligente Visualisierungen zur Informationsdarstellung ermöglicht. Maschinelles Lernen mit verstärktem Training basierend auf Benutzerfeedback hilft, optimale Richtlinien- und Rollenstrukturen zu simulieren und zu entwerfen. NICO, der NEXIS Intelligent Co-Pilot, ist in das System integriert und gibt Benutzern Empfehlungen. Erklärbare AI schult Benutzer und bietet klare Begründungen dafür, warum der Zugriff gewährt oder verweigert werden sollte oder warum andere Aktionen ausgeführt werden sollten. Dies adressiert direkt die wachsende Nachfrage nach Cybersecurity AI-Assistenten, die auch in Gartners Hype Cycle anerkannt werden.

Mit NEXIS 4 und GenAI kann die Erstellung regulatorischer Dokumentationen – wie z. B. die von DORA geforderten Berechtigungskonzepte – beschleunigt werden, was eine angemessene Transparenz in jedem IAM-verwalteten System ermöglicht, sei es für menschliche oder nicht-menschliche Identitäten wie Dienstkonten. Dies ist ein wichtiger Bestandteil unserer übergreifenden Anwendungs-Onboarding-Fähigkeiten. Darüber hinaus kann die Dokumentation nun für AI-basierte Unternehmens-Workflows genutzt werden, um der Zeit voraus zu sein.

Wir sind bestrebt, Geschäftsanwendern Transparenz und Intelligenz in einer Form zu bieten, die sie verstehen können. IVIP ist nicht nur eine technische Annehmlichkeit – es ist ein Business Enabler. Durch die Bereitstellung von Transparenz und Intelligenz über die Identity Fabric hinweg gewinnen Unternehmen Kontrolle, reduzieren Risiken und treffen Governance-Entscheidungen, die einer genauen Prüfung standhalten.

 

Referenzen

[1] Sangiorgio, N., & Harris, N. (14. Juli 2025). Hype Cycle for Digital Identity, 2025 (ID G00830736). Gartner, Inc. https://www.gartner.com/interactive/hc/6718134

[2] IBM Institute for Business Value, & Palo Alto Networks. (2024). Capturing the cybersecurity dividend: How security platforms generate business value. IBM. https://www.ibm.com/thought-leadership/institute-business-value/en-us/report/unified-cybersecurity-platform

[3] Reinhard, M. (16. September 2025). Comments on LinkedIn. LinkedIn. https://www.linkedin.com/feed/update/urn:li:ugcPost:7373351315298631682?commentUrn=urn%3Ali%3Acomment%3A%28ugcPost%3A7373351315298631682%2C7373590864578895872%29&dashCommentUrn=urn%3Ali%3Afsd_comment%3A%287373590864578895872%2C