Überblick
Identity and Access Management (IAM) ist die Disziplin, die sämtliche Prozesse rund um das Anlegen, Berechtigen, Authentifizieren und Entfernen aller digitalen Identitäten in einer Organisation umfasst. Privileged Access Management (PAM) ist ihr kritischster Teilbereich: Es sorgt dafür, dass hochprivilegierte Zugriffe – etwa von Domänenadministratoren, Datenbankadministratoren, Root-Konten, Administratorkonten von Netzwerkgeräten und von Anwendungen genutzten Servicekonten – in einem Tresor verwahrt, sitzungsbasiert kontrolliert und lückenlos protokolliert werden. Gemeinsam bilden beide die Grundlage dafür, dass eine Organisation die Frage „Wer hat wann, warum und worauf zugegriffen?“ jederzeit belegbar beantworten kann.
Die meisten Angriffe beginnen heute nicht mit einer technischen Schwachstelle, sondern mit einer kompromittierten Identität. Ein per Phishing gestohlenes Passwort, ein gemeinsam genutztes Administratorkonto oder ein im Code hinterlegtes Servicepasswort ermöglicht es Angreifern, sich direkt von innen zu bewegen, ohne Firewalls überwinden zu müssen. Genau deshalb nehmen Ransomware-Betreiber zur Ausbreitung im Netzwerk vorrangig privilegierte Konten ins Visier. Im Zero-Trust-Ansatz, in dem identitätszentrierte Sicherheit an die Stelle der Perimetersicherheit tritt, gilt die Identität als der neue Sicherheitsperimeter.
Technisch besteht eine moderne IAM- & PAM-Architektur aus mehreren Schichten: Identity Provider wie Active Directory, Microsoft Entra ID, Okta oder Keycloak; Single Sign-On (SSO) über SAML 2.0, OpenID Connect und OAuth 2.0; Multi-Faktor-Authentifizierung (MFA) auf Basis von FIDO2/WebAuthn, TOTP und Push; automatisches Anlegen und Deaktivieren von Konten per SCIM; Passwort-Tresor, Sitzungsisolierung und -aufzeichnung mit PAM-Plattformen wie CyberArk, BeyondTrust oder Delinea; Access Reviews und Kontrollen zur Funktionstrennung (SoD) mit Identity Governance and Administration (IGA). Entscheidend ist dabei weniger das einzelne Produkt als das integrierte Zusammenspiel dieser Schichten untereinander und mit dem SIEM.
Wird das Identitäts- und Privileged-Access-Management vernachlässigt, häufen sich die Risiken schnell. Typische Befunde sind offene Konten ausgeschiedener Mitarbeitender, seit Jahren unveränderte lokale Administratorpasswörter, allgemein bekannte gemeinsame „admin“-Konten, unkontrollierte VPN-Zugänge von Lieferanten sowie eine Rechteanhäufung (Privilege Creep), bei der niemand mehr erklären kann, wer warum auf welches System berechtigt ist. Diese Situation erhöht nicht nur das Risiko eines Sicherheitsvorfalls; sie führt auch zu gravierenden Feststellungen in Prüfungen nach KVKK (türkisches Datenschutzgesetz), BDDK-Vorgaben (türkische Bankenaufsicht), ISO 27001 und PCI-DSS, zu Verwaltungsbußgeldern und dazu, dass nach einem Vorfall keine forensische Untersuchung möglich ist.
Indexline versteht IAM & PAM nicht als einmalige Produktinstallation, sondern als kontinuierlich betriebenen Managed Service. Wir beginnen mit der Analyse Ihrer bestehenden Identitätsinfrastruktur und Ihres Bestands an privilegierten Konten, entwerfen die Zielarchitektur entsprechend dem Risikoprofil und den regulatorischen Pflichten Ihres Unternehmens und setzen sie anhand einer schrittweisen Roadmap um. Nach dem Go-live wird der tägliche Betrieb der Plattform mit SLA-Garantie an das Indexline-Team übergeben. So kann sich Ihr internes Team auf geschäftliche Prioritäten konzentrieren, statt die Identitätsinfrastruktur zu pflegen – während sich Ihr Reifegrad in der Identitätssicherheit messbar weiterentwickelt.
So funktioniert es
Discovery und Inventarisierung: Active Directory, Cloud-Identity-Provider, Server, Datenbanken, Netzwerkgeräte und Anwendungen werden gescannt; sämtliche menschlichen und maschinellen Identitäten sowie privilegierten Konten werden inventarisiert.
Risiko- und Compliance-Analyse: Rechteanhäufung, gemeinsam genutzte Konten, Passwortalter, MFA-Abdeckung und verwaiste Konten werden analysiert; ein Gap-Bericht im Abgleich mit den Anforderungen von KVKK, ISO 27001 und branchenspezifischen Regularien wird erstellt.
Design der Zielarchitektur: Identity Provider, SSO/MFA, PAM-Tresor, Sitzungsmanagement und IGA-Komponenten werden passend zur bestehenden Infrastruktur und zum Budget konzipiert; Rollenmodell (RBAC/ABAC) und Least-Privilege-Richtlinien werden definiert.
Identitätsföderation und SSO: Unternehmensanwendungen werden über SAML 2.0 und OpenID Connect an den zentralen Identity Provider angebunden; Conditional-Access- und risikobasierte MFA-Richtlinien werden aktiviert.
Tresorverwaltung privilegierter Konten: Administrator- und Servicekonten werden in den PAM-Tresor überführt, Passwörter automatisch rotiert und fest hinterlegte Passwörter in Anwendungen und Skripten mittels Secrets Management entfernt.
Sitzungsmanagement und JIT-Zugriff: Administratorzugriffe werden über einen Session-Proxy isoliert und aufgezeichnet; statt dauerhafter Berechtigungen kommt ein genehmigungsbasiertes, zeitlich begrenztes Just-in-Time-Zugriffsmodell zum Einsatz.
Lifecycle-Automatisierung: Das HR-System wird als Identitätsquelle integriert; Kontoanlage, Rechteanpassung und Deaktivierung bei Eintritt, Positionswechsel und Austritt werden über SCIM und Workflows automatisiert.
Managed Operations und kontinuierliche Verbesserung: Die Plattform wird 24/7 überwacht, Anomalie-Alarme werden an das SIEM weitergeleitet, vierteljährliche Access-Review-Kampagnen durchgeführt und monatliche Compliance- und Risikoberichte mit der Geschäftsleitung geteilt.
Wichtigste Funktionen
Zentrales SSO und Föderation
Über SAML 2.0, OpenID Connect und OAuth 2.0 erhalten Benutzer mit einer einzigen Identität sicheren Zugriff auf Cloud- und On-Premises-Anwendungen; Passwortmüdigkeit und Helpdesk-Aufwand sinken.
Adaptive MFA
FIDO2/WebAuthn-Sicherheitsschlüssel, Push-Benachrichtigungen und TOTP-Optionen werden zusammen mit bedingten Authentifizierungsrichtlinien auf Basis von Gerät, Standort und Risikobewertung eingesetzt.
Tresor für privilegierte Konten
Passwörter von Administrator-, Root- und Servicekonten werden in einem verschlüsselten Tresor gespeichert und nach jeder Nutzung oder periodisch automatisch geändert; niemand kennt das dauerhafte Passwort.
Sitzungsüberwachung und -aufzeichnung
RDP-, SSH- und Datenbank-Administratorsitzungen werden über einen Proxy isoliert und auf Video- und Befehlsebene aufgezeichnet; bei riskanten Befehlen kann die Sitzung sofort beendet werden.
Just-in-Time-Zugriff
Dauerhafte Administratorrechte entfallen; bei Bedarf werden Berechtigungen per Genehmigungsworkflow für eine bestimmte Dauer und einen definierten Umfang vergeben und nach Ablauf automatisch entzogen.
Automatisierung des Identitätslebenszyklus
Durch HR-Integration und SCIM werden Joiner-Mover-Leaver-Prozesse automatisiert; sämtliche Zugriffe ausscheidender Benutzer werden innerhalb von Minuten gesperrt.
Access Reviews und SoD
Führungskräften werden periodische Kampagnen zur Rechtebestätigung zugewiesen, Konflikte bei der Funktionstrennung erkannt und alle Entscheidungen als Prüfnachweis archiviert.
Secrets Management
API-Schlüssel, Zertifikate und Datenbankpasswörter in Anwendungen, CI/CD-Pipelines und Container-Umgebungen werden aus dem Code ausgelagert und zentral sowie nachvollziehbar verwaltet.
Vorteile & Nutzen
Die identitätsbasierte Angriffsfläche schrumpft; ein gestohlenes Passwort allein ermöglicht keinen Zugriff mehr auf kritische Systeme.
Die Tresorverwaltung privilegierter Konten und JIT-Zugriff schränken die Möglichkeiten von Ransomware zur lateralen Bewegung und Rechteausweitung im Netzwerk erheblich ein.
Die in Prüfungen nach KVKK, BDDK, ISO 27001 und PCI-DSS geforderten Zugriffsprotokolle und Review-Nachweise liegen jederzeit bereit und sind auswertbar.
Ein- und Austrittsprozesse werden automatisiert; neue Mitarbeitende sind ab dem ersten Tag produktiv, und die Zugriffe ausscheidender Mitarbeitender werden noch am selben Tag gesperrt.
SSO und Self-Service-Passwortrücksetzung verbessern die Benutzererfahrung und reduzieren Passwortanfragen beim Helpdesk deutlich.
Zugriffe von Lieferanten und externen Dienstleistern werden statt über geteilte VPN-Zugänge über kontrollierte, protokollierte und zeitlich begrenzte Sitzungen gesteuert.
Plattformbetrieb, Richtlinienpflege und Audit-Reporting werden an Indexline übergeben; das interne Team erreicht Identitätssicherheit auf Enterprise-Niveau, ohne eigene Spezialisten einstellen zu müssen.
Anwendungsfälle nach Branche
Finanzwesen & Banken
Bei einer Partizipationsbank wurden 1.200 privilegierte Konten in den PAM-Tresor überführt und sämtliche Administratorsitzungen aufgezeichnet; in der folgenden BDDK-Prüfung gab es keine Feststellungen zu Zugriffen mehr.
Gesundheitswesen
In einer Krankenhausgruppe wurden die Zugriffe auf KIS (HBYS) und PACS auf ein rollenbasiertes Modell umgestellt und SSO sowie MFA für Ärztinnen und Ärzte eingeführt; unbefugte Zugriffsversuche auf Patientendaten werden nun in Echtzeit gemeldet.
Fertigung & Industrie
In einem Werk eines Automobilzulieferers wurden Wartungszugriffe von Lieferanten auf das OT-Netzwerk per JIT und Sitzungsaufzeichnung gesteuert; sämtliche dauerhaften VPN-Konten wurden geschlossen.
Öffentlicher Sektor
In einer Großstadtverwaltung wurde der Kontolebenszyklus von 8.000 Mitarbeitenden an das HR-System angebunden; die Zeit bis zur Sperrung der Konten ausgeschiedener Mitarbeitender sank von Wochen auf Minuten.
Einzelhandel & E-Commerce
Bei einem E-Commerce-Unternehmen wurden Administrator- und Servicekonten mit Zugriff auf die Zahlungsinfrastruktur in den Tresor überführt und fest hinterlegte Passwörter in das Secrets Management migriert; das PCI-DSS-Audit wurde ohne Feststellungen abgeschlossen.
Telekommunikation
Im Network Operations Center eines Netzbetreibers wurde der Administratorzugriff auf Tausende Netzwerkgeräte über PAM zentralisiert; gemeinsam genutzte Gerätepasswörter wurden durch automatische Rotation vollständig abgeschafft.
Der Indexline-Ansatz
Die erste Voraussetzung für Erfolg in der Identitätssicherheit ist Transparenz. Die meisten Organisationen erfahren erst nach einer Discovery, wie viele privilegierte Konten sie tatsächlich besitzen – und das Ergebnis fällt meist deutlich umfangreicher aus als erwartet. Deshalb beginnt Indexline jedes Projekt mit einer automatisierten Discovery und Inventarisierung, die neben menschlichen Identitäten auch Servicekonten, API-Schlüssel und Maschinenidentitäten erfasst. Nach dem Grundsatz, dass sich ein nicht messbares Risiko nicht steuern lässt, zeigen wir die Identitäts-Risikolandkarte Ihres Unternehmens vom ersten Tag an mit konkreten Daten auf.
Wir gestalten die IAM- & PAM-Transformation nicht als einzelne große Migration, sondern als Programm, das nach Risikopriorität gestaffelt ist. In der ersten Phase erfolgen die Schritte mit der größten Wirkung: Domänenadministratoren und Konten kritischer Server werden in den Tresor überführt, MFA wird für Fernzugriff und E-Mail verpflichtend. Anschließend wird der SSO-Umfang erweitert, die Lifecycle-Automatisierung eingeführt und in der letzten Phase auf Access Governance und das JIT-Modell umgestellt. Dieser Ansatz liefert ab den ersten Wochen eine messbare Risikoreduktion und minimiert zugleich das Risiko von Betriebsunterbrechungen.
Bei der Technologieauswahl handeln wir bedarfs- statt produktorientiert. Für ein Unternehmen mit hohen Investitionen in das Microsoft-Ökosystem kann eine Architektur auf Basis von Entra ID passender sein, für eine Organisation, die Open Source bevorzugt und Datensouveränität priorisiert, eine Keycloak-basierte Lösung und für eine Bank mit komplexen Anforderungen an privilegierte Zugriffe eine PAM-Plattform der Enterprise-Klasse. Ihre bestehenden Investitionen zu schützen, unnötige Lizenzkosten zu vermeiden und langfristig eine beherrschbare Architektur aufzubauen, hat für uns oberste Priorität.
Identitätssicherheit kann nicht dauerhaft bestehen, wenn sie mit der Benutzererfahrung kollidiert. Zu strenge Richtlinien verleiten Benutzer dazu, Wege zur Umgehung der Kontrollen zu suchen – genau so entstehen geteilte Passwörter und nicht protokollierte Zugriffe. Deshalb schaffen wir mit risikobasiertem Conditional Access, passwortloser Authentifizierung und Self-Service-Prozessen eine Balance, die die Sicherheit erhöht und zugleich die tägliche Arbeit erleichtert. Change Management, Benutzerschulungen und Informationen für Führungskräfte sind fester Bestandteil jedes Projekts.
Im Managed-Service-Modell endet die Verantwortung von Indexline nicht mit dem Go-live – dort beginnt sie erst richtig. Plattformzustand, Richtlinienaktualisierungen, die Anbindung neuer Anwendungen an SSO, Access-Review-Kampagnen und die Untersuchung von Anomalien in Sitzungsaufzeichnungen werden von unserem Team kontinuierlich betreut. In monatlichen Berichten werden Kennzahlen wie MFA-Abdeckung, Anteil der im Tresor verwalteten Konten, Anzahl dauerhafter Berechtigungen und Abschlussquote der Reviews verfolgt; so steigt Ihr Reifegrad in der Identitätssicherheit das ganze Jahr über messbar.
Häufig gestellte Fragen
Worin besteht der Unterschied zwischen IAM und PAM?
IAM steuert die Authentifizierungs- und Autorisierungsprozesse aller Benutzer im Unternehmen; SSO, MFA und der Kontolebenszyklus gehören dazu. PAM konzentriert sich auf hochprivilegierte Zugriffe wie Administrator-, Root- und Servicekonten und bietet Passwort-Tresor, Sitzungsaufzeichnung und Just-in-Time-Berechtigungsvergabe. Ein wirksames Identitätssicherheitsprogramm betrachtet beides gemeinsam.
Müssen wir unsere bestehende Active-Directory-Infrastruktur ersetzen?
Nein. Active Directory bleibt in den meisten Szenarien als Identitätsquelle erhalten. Es wird über Microsoft Entra Connect oder vergleichbare Synchronisierungstools mit dem Cloud-Identity-Provider verbunden, und die PAM-Plattform verwaltet die AD-Konten über den Tresor. Bei Bedarf wird die bestehende Struktur durch das AD-Tiering-Modell und Hardening-Maßnahmen gestärkt.
Mit welchen PAM- und Identitätsplattformen arbeiten Sie?
Wir verfügen über Design- und Betriebserfahrung mit Enterprise-PAM-Lösungen wie CyberArk, BeyondTrust und Delinea sowie mit Identity Providern wie Microsoft Entra ID, Okta und dem Open-Source-Produkt Keycloak. Die Plattformauswahl erfolgt gemeinsam mit Ihnen – abhängig von Ihrer bestehenden Infrastruktur, Ihren regulatorischen Anforderungen, Ihrem Budget und Ihrem Betriebsmodell.
Wie werden Servicekonten und Anwendungspasswörter verwaltet?
Servicekonten werden erfasst und ihre Abhängigkeiten abgebildet; anschließend werden sie in den PAM-Tresor überführt und an die automatische Rotation angebunden. Fest hinterlegte Passwörter in Anwendungscode, Konfigurationsdateien oder CI/CD-Pipelines werden in eine Secrets-Management-Lösung verlagert; Anwendungen rufen das Passwort zur Laufzeit sicher über eine API ab.
Verlangsamt Just-in-Time-Zugriff die Arbeit der Administratoren?
Bei richtiger Konzeption nicht. Für Routinetätigkeiten werden vorab genehmigte, automatisch vergebene kurzzeitige Berechtigungen definiert; ein Genehmigungsworkflow greift nur bei kritischen Systemen und außergewöhnlichen Anfragen. Für Notfälle werden protokollierte Break-Glass-Verfahren vorbereitet. So steigt die Sicherheit, während das operative Tempo erhalten bleibt.
Wie trägt IAM & PAM zur KVKK-Konformität bei?
Das KVKK verlangt als technische Maßnahme, dass der Zugriff auf personenbezogene Daten auf befugte Personen beschränkt und protokolliert wird. Rollenbasierte Berechtigungen, MFA, Aufzeichnungen privilegierter Sitzungen und periodische Access-Review-Berichte erfüllen mit konkreten Nachweisen die Anforderungen an Berechtigungsmatrix, Zugriffsprotokolle und Authentifizierung, die im Leitfaden zu technischen und organisatorischen Maßnahmen der Kişisel Verileri Koruma Kurumu (türkische Datenschutzbehörde) festgelegt sind.
Wie lange dauert das Projekt, und wann sehen wir erste Ergebnisse?
Je nach Umfang dauern Discovery und Design in der Regel 3–6 Wochen. Erste Schritte mit hoher Wirkung, etwa die Tresorverwaltung kritischer privilegierter Konten und die breite Einführung von MFA, gehen meist innerhalb der ersten 6–8 Wochen live. Umfassendes SSO, Lifecycle-Automatisierung und Governance-Phasen werden in den folgenden Monaten schrittweise abgeschlossen.
Welche Aufgaben übernimmt Indexline im Rahmen des Managed Service?
Nach der Plattforminstallation übernimmt Indexline im Rahmen des SLA 24/7-Monitoring, Release- und Patch-Management, Richtlinienaktualisierungen, die Integration neuer Anwendungen und Systeme, den Betrieb des Kontolebenszyklus, die Durchführung von Access-Review-Kampagnen, die Untersuchung von Sitzungsanomalien sowie das monatliche Compliance-Reporting. Befugnisgrenzen und Genehmigungsprozesse werden vorab gemeinsam in einer RACI-Matrix festgelegt.