Von der Forschung zur Praxis: Identity and Access Management bei Nexis voranbringen

Identity and Access Management (IAM) ist ein Schlüssel für moderne Cybersicherheit, bleibt jedoch herausfordernd. Meine Dissertation, die in Zusammenarbeit mit Nexis durchgeführt wurde, adressiert drei Forschungsbereiche: Interoperabilität, Quantifizierung und Access Reviews – mit dem Ziel, Forschung und Praxis zu verbinden.

Dieser Artikel gibt einen Überblick über zentrale Ergebnisse und diskutiert deren Auswirkungen auf Industrie und Wissenschaft, unter Berücksichtigung neuer Trends, die die Zukunft von IAM prägen.

Warum diese Forschung wichtig ist

Im Kern versucht IAM, die Frage zu beantworten: „Wer darf worauf zugreifen?“. In der Praxis kämpfen Unternehmen mit Komplexität, regulatorischem Druck und verteiltem Wissen.

Meine Arbeit adressiert diese Herausforderungen, indem sie IAM-Verbesserungen entlang von drei Dimensionen strukturiert:

• Interoperabilität → IAM-Services und -Daten verbinden.
• Quantifizierung → IAM-Performance messen und steuern.
• Access Reviews (Usability) → Menschliche Entscheidungsfindung verbessern.

Interoperabilität: Das IAM-Ökosystem verbinden

Zentrale Ergebnisse

Moderne IAM-Systeme sind verteilt. Meine Forschung zeigt, dass Interoperabilität für skalierbares IAM essenziell ist.

Beiträge

• Erweiterung des SCIM-Standards zur Unterstützung von Access Management und RBAC.
• Formalisierung und Integration von Transaktionslogs als wertvolle IAM-Datenquelle.
• Definition von Designprinzipien für IAM-APIs: Gültigkeit, Einfachheit und Flexibilität.

Zentrale Erkenntnis

Interoperabilität muss über den reinen Datenaustausch hinausgehen – sie erfordert ein gemeinsames Verständnis von IAM-Datenmodellen über Systemgrenzen hinweg.

Auswirkungen auf die Industrie: Die Ergebnisse senken Integrationskosten für IAM-Anbieter und Kunden und ermöglichen Identity Fabric-Architekturen, die mehrere IAM-Services nahtlos orchestrieren. Darüber hinaus liefert die Arbeit umsetzbare Blaupausen für reale Implementierungen, die bereits durch Fallstudien validiert wurden.

Wissenschaftlicher Beitrag: Die Forschung liefert die erste strukturierte Kombination aus SCIM, RBAC und realen Anbieterpraktiken. Zudem etabliert sie eine formale Grundlage, um Transaktionslogs als verlässliche analytische Basis für IAM zu nutzen.

Quantifizierung: IAM messbar machen

Zentrale Ergebnisse

IAM wird allgemein als komplex und intransparent wahrgenommen. Meine Forschung zeigt, dass systematische Quantifizierung – wenn sie an Geschäftszielen ausgerichtet ist – diese Wahrnehmung adressieren kann.

Beiträge

• Identifikation von 16 messbaren Qualitätsmerkmalen für Zugriffskontrollrichtlinien (ACPs, Regeln, die definieren, wer worauf zugreifen darf).
• Umfassende Erhebung von 43 IAM-Metriken, ausgerichtet an strategischen Zielen und Zielgruppen.
• Mapping zwischen Metriken, Zielen und Stakeholdern.

Zentrale Erkenntnis

Quantifizierung ist nicht nur eine Frage von Metriken – es geht um strategische Ausrichtung. Metriken schaffen nur dann Wert, wenn sie an Ziele wie Sicherheit, Compliance, operative Effizienz und Gesamtqualität gekoppelt sind.

Auswirkungen auf die Industrie: Die Ergebnisse ermöglichen datengetriebene IAM-Governance und richten IAM-Praktiken an etablierten Frameworks wie ITIL oder COBIT aus. Zudem schaffen sie eine gemeinsame Sprache, die die Lücke zwischen technischen und fachlichen Stakeholdern überbrückt.

Wissenschaftlicher Beitrag: Die Forschung führt das erste ganzheitliche Framework ein, das IAM-Ziele, Metriken und Zielgruppen verknüpft, und etabliert die Qualität von Zugriffskontrollrichtlinien (ACP) als eine Form von Datenqualität – und eröffnet damit neue Richtungen für zukünftige Forschung.

Access Reviews: Menschliche Entscheidungsfindung verbessern

Das Problem

Access Reviews sind ein Grundpfeiler für die Compliance mit IGA-relevanten Vorschriften, aber sie sind hochgradig ineffizient: In realen Fallstudien werden nur 1,2 % der Zugriffsrechte entzogen, obwohl ~22,8 % voraussichtlich übermäßig sind.

Zentrale Ergebnisse

Meine Forschung betrachtet Access Reviews als Usability-Herausforderung. Design-Verbesserungen können die Ergebnisse deutlich steigern.

Beiträge: Die Forschung formalisiert das Access Review Problem (ARP) und führt digitale Nudges ein sowie evaluiert diese, insbesondere Choice Defaults und Identity Grids.

Zentrale Erkenntnisse: Identity Grids verbessern die Entscheidungsgenauigkeit und -konsistenz signifikant, während Choice Defaults Entscheidungen in Richtung sichererer Ergebnisse lenken. Diese Verbesserungen gehen jedoch mit Trade-offs einher, da sie den Zeitaufwand und die kognitive Belastung erhöhen.

Zusätzliche praktische Erkenntnis: Eine schwellenwertbasierte Formel ermöglicht es, Access Reviews geringer Qualität auch ohne Ground Truth zu erkennen, indem der Anteil übermäßiger Berechtigungen geschätzt wird. Darüber hinaus hilft eine Begrenzung der Anzahl von Entzügen, eine Verschlechterung der Entscheidungen zu verhindern.

Auswirkungen auf die Industrie: Die Ergebnisse sind direkt auf IAM-Produkte anwendbar und wurden bei Nexis bereits implementiert, was zu verbesserter Compliance und reduziertem Risiko führte. Zudem ermöglichen sie skalierbare Human-in-the-Loop-Security, indem sie effektivere und strukturiertere Entscheidungsprozesse unterstützen.

Wissenschaftlicher Beitrag: Die Forschung etabliert Access Reviews als messbares und vergleichbares Forschungsfeld und liefert experimentelle Evidenz für die Wirksamkeit verhaltensbasierter Interventionen in der Cybersicherheit.

Brücke zwischen Industrie und Wissenschaft

Ein zentrales Thema ist die Übersetzung von Forschungserkenntnissen in praktische Lösungen.

Für die Industrie: Die Arbeit liefert konkrete Design-Artefakte, darunter APIs, Metriken und UI-Patterns, und zeigt validierte Verbesserungen anhand realer Fallstudien. Zudem stellt sie die unmittelbare Anwendbarkeit in IAM-Plattformen sicher, wie sie beispielsweise von Nexis entwickelt werden.

Für die Wissenschaft: Die Forschung führt formale Modelle und Frameworks ein, die IAM-Interoperabilität, IAM-Metriken und -Governance sowie die Usability von Access Reviews abdecken. Darüber hinaus trägt sie empirische Evidenz bei, die aus Nutzerstudien und enger Zusammenarbeit mit der Industrie gewonnen wurde.

Dieser doppelte Beitrag ist entscheidend. Viele IAM-Herausforderungen bleiben ungelöst – nicht wegen fehlender Theorie, sondern wegen fehlender Integration zwischen Forschung und Praxis.

Ausblick: Trends, die IAM prägen

AI Agents

Wir beobachten einen Anstieg von AI Agents, IoT-Geräten und Machine Identities. Diese Entwicklungen erfordern eine umfassende Neubewertung von IAM. Nicht-menschliche Entitäten verhalten sich anders als Menschen und erfordern neue Identitätsmodelle und Governance-Ansätze.

Identity Fabrics

IAM entwickelt sich in Richtung orchestrierter Ökosysteme. Mehrere Services sollten über standardisierte APIs verbunden werden, um einen Echtzeit-Datenaustausch über Systemgrenzen hinweg zu ermöglichen. Dieser Trend unterstreicht die Bedeutung von Interoperabilität, wie in dieser Dissertation untersucht.

Weiterentwicklung von Access Reviews

Access Reviews werden sich voraussichtlich weiterentwickeln, indem sie AI und fortgeschrittenere Analytik integrieren – unterstützt durch bessere UX mittels Behavioral Design und Automatisierung. Trotz dieser Verbesserungen bleiben Access Reviews mühsam und unvollkommen, was den Bedarf an weiterer Forschung unterstreicht.

Fazit

Diese Dissertation zeigt, dass die Weiterentwicklung von IAM einen ganzheitlichen Ansatz erfordert:

• Interoperabilität ermöglicht skalierbare Architekturen.
• Quantifizierung schafft Transparenz und Steuerbarkeit.
• Access Reviews stellen sicher, dass menschliche Entscheidungen wirksam bleiben.

Diese Beiträge zeigen die direkte Wirkung von Forschung, die in Partnerschaft mit Nexis entwickelt wurde.

Während sich IAM weiterentwickelt, wird die Schnittstelle von Daten, Menschen und intelligenten Systemen die nächste Generation von Lösungen definieren. Diese Arbeit legt dafür ein Fundament.