Überblick
Identity as a Service (IDaaS) ist ein Servicemodell, mit dem Organisationen Benutzeridentitäten, Authentifizierungsprozesse und Zugriffsberechtigungen auf Anwendungen über eine zentrale, cloudbasierte Plattform verwalten. Funktionen wie Single Sign-On (SSO), Multi-Faktor-Authentifizierung (MFA), automatisches Anlegen und Deaktivieren von Benutzerkonten (Provisioning/Deprovisioning), Self-Service-Passwortrücksetzung und Zugriffskontrolle werden in einer einzigen Identitätsschicht gebündelt. So greifen Mitarbeitende, Geschäftspartner und Kunden mit einer einzigen, vertrauenswürdigen Identität und im Rahmen definierter Richtlinien auf On-Premises-, SaaS- und Cloud-Anwendungen zu.
Identität ist der neue Perimeter moderner Unternehmenssicherheit. Mit Remote-Arbeit, der zunehmenden Verbreitung von SaaS-Anwendungen und hybriden Cloud-Architekturen hat die klassische Netzwerkgrenze ihre Bedeutung weitgehend verloren. Angreifer versuchen heute nicht mehr in erster Linie, die Firewall zu überwinden, sondern melden sich direkt mit gestohlenen oder schwachen Passwörtern an. Phishing, Credential Stuffing und Password Spraying sind in Organisationen ohne zentrales, starkes Identitätsmanagement die am häufigsten genutzten initialen Angriffsvektoren. IDaaS reduziert dieses Risiko an der Quelle, indem es die Authentifizierung selbst stärkt.
Technisch basiert das IDaaS-Ökosystem auf offenen Standards. SAML 2.0 und OpenID Connect (OIDC) ermöglichen die föderierte Anmeldung an Webanwendungen, OAuth 2.0 die Autorisierung von API-Zugriffen und SCIM 2.0 die automatische Synchronisierung von Benutzer- und Gruppeninformationen mit Anwendungen. FIDO2/WebAuthn und Passkey-Technologien ermöglichen eine passwortlose und Phishing-resistente Authentifizierung. Microsoft Entra ID, Okta und das Open-Source-Produkt Keycloak sind die führenden Plattformen in diesem Bereich; bestehende Active-Directory- oder LDAP-Verzeichnisse werden über Synchronisierungsagenten an die Cloud-Identitätsschicht angebunden.
In Organisationen ohne zentrales Identitätsmanagement häufen sich die Risiken schnell. Wenn jede Anwendung eine eigene Benutzerdatenbank, unterschiedliche Passwortrichtlinien und verstreute Berechtigungen bedeutet, bleiben Konten ausgeschiedener Mitarbeitender wochenlang aktiv, und es entstehen verwaiste Konten (Orphan Accounts) sowie übermäßige Berechtigungen. Im Audit lässt sich die Frage „Wer greift mit welcher Berechtigung auf welches System zu?“ nicht beantworten. Während das KVKK (türkisches Datenschutzgesetz) verlangt, den Zugriff auf personenbezogene Daten zu kontrollieren und zu protokollieren, erhöht eine fragmentierte Identitätsstruktur sowohl das Risiko von Datenschutzverletzungen als auch das Risiko behördlicher Sanktionen. Anfragen zur Passwortrücksetzung beim Helpdesk verursachen zudem versteckte, aber erhebliche Betriebskosten.
Indexline versteht IDaaS nicht als Lizenzinstallation, sondern als Identitätsbetrieb im Managed-Service-Modell. Wir analysieren Ihre bestehende Verzeichnisstruktur, Ihr Anwendungsinventar und Ihre Zugriffsprozesse und legen gemeinsam mit Ihnen die passende Plattform fest. Anschließend konzipieren wir die Architektur, integrieren die Anwendungen, führen MFA- und Conditional-Access-Richtlinien ein und betreiben die Plattform nach dem Go-live kontinuierlich. Die Überwachung von Identitätsereignissen, die Analyse verdächtiger Anmeldungen, die Aufnahme neuer Anwendungen in das SSO, Richtlinienaktualisierungen und regelmäßige Zugriffsüberprüfungen erfolgen im Rahmen des Managed Service von Indexline – Ihre Teams konzentrieren sich auf ihre geschäftlichen Prioritäten.
So funktioniert es
Identitätsinventar und Analyse: Bestehende Active-Directory-/LDAP-Verzeichnisse, Benutzertypen, Anwendungsinventar, Authentifizierungsmethoden und Zugriffsprozesse werden analysiert; verwaiste Konten und übermäßige Berechtigungen werden dokumentiert.
Architektur und Plattformauswahl: Auf Basis von Geschäftsanforderungen, Regulierung und Budget wird eine geeignete Plattform wie Entra ID, Okta oder Keycloak festgelegt; hybride Verzeichnissynchronisierung, Föderation und Hochverfügbarkeitsarchitektur werden konzipiert.
Verzeichnissynchronisierung: Zwischen dem On-Premises-Verzeichnis und der Cloud-Identitätsschicht wird eine sichere Synchronisierung eingerichtet; die maßgebliche Identitätsquelle (Source of Truth), Attributzuordnungen und Gruppenstruktur werden festgelegt.
Anwendungsintegration: SaaS-, Web- und On-Premises-Anwendungen werden per SAML 2.0 oder OpenID Connect in das SSO eingebunden; bei unterstützten Anwendungen wird das automatische Anlegen und Deaktivieren von Konten über SCIM 2.0 konfiguriert.
MFA und Conditional Access: Conditional-Access-Richtlinien auf Basis von Benutzer-, Geräte-, Standort- und Risikosignalen werden definiert; MFA auf Basis von FIDO2, Passkey, Push-Benachrichtigung oder TOTP wird schrittweise eingeführt.
Lebenszyklusautomatisierung: Durch die Integration mit dem HR-System werden Konto- und Berechtigungsänderungen bei Eintritt, Positionswechsel und Austritt (Joiner-Mover-Leaver) automatisch umgesetzt.
Pilot und schrittweise Migration: Zunächst wird die Produktivumgebung mit einer Pilotgruppe validiert; anschließend erfolgt die Migration abteilungsweise, begleitet von Benutzerschulungen und einem Kommunikationsplan, sodass Betriebsunterbrechungen vermieden werden.
Betrieb als Managed Service und Optimierung: Identitätsereignisse werden 24/7 überwacht, verdächtige Anmeldungen analysiert, regelmäßige Zugriffsüberprüfungen durchgeführt und Richtlinien sowie Abdeckung anhand monatlicher Berichte kontinuierlich verbessert.
Wichtigste Funktionen
Single Sign-On (SSO)
Benutzer greifen mit einer einzigen Identität auf alle SaaS-, Web- und On-Premises-Anwendungen zu. Mit SAML 2.0 und OpenID Connect wird eine standardbasierte Föderation umgesetzt.
Multi-Faktor-Authentifizierung
Mit FIDO2-Sicherheitsschlüsseln, Passkeys, Push-Benachrichtigungen und TOTP wird eine Phishing-resistente MFA-Schicht aufgebaut.
Bedingter und risikobasierter Zugriff
Abhängig von Gerätekonformität, Standort, Sitzungsrisiko und Benutzerrolle wird der Zugriff dynamisch gewährt, eine zusätzliche Verifizierung angefordert oder blockiert.
Automatisches Provisioning
Mit SCIM 2.0 und HR-Integration werden Konten beim Eintritt automatisch angelegt und beim Austritt in allen integrierten Anwendungen sofort deaktiviert.
Hybride Verzeichnisintegration
Die bestehende Active-Directory- und LDAP-Infrastruktur bleibt erhalten und wird sicher an die Cloud-Identitätsschicht angebunden; die doppelte Identitätsverwaltung entfällt.
Self-Service-Portal
Benutzer setzen Passwörter selbst zurück, registrieren MFA-Geräte und beantragen Anwendungszugriffe eigenständig; der Helpdesk wird entlastet.
Zugriffsüberprüfung
In regelmäßigen Zugriffszertifizierungskampagnen bestätigen oder entziehen Führungskräfte die Berechtigungen ihrer Teams; Audit-Nachweise werden automatisch erzeugt.
Überwachung von Identitätsereignissen
Anmelde- und Administrationsprotokolle werden an das SIEM übertragen; Anomalien wie Impossible Travel, ungewöhnliche Standorte und Password Spraying werden 24/7 überwacht.
Vorteile & Nutzen
Das Risiko unbefugter Zugriffe mit gestohlenen Passwörtern sinkt durch starke MFA- und Conditional-Access-Richtlinien deutlich.
Der Zugriff ausgeschiedener Mitarbeitender auf an die Identitätsplattform angebundene Anwendungen wird innerhalb von Minuten gesperrt; das Risiko verwaister Konten wird weitgehend beseitigt.
Benutzer greifen mit einer einzigen Identität auf alle Anwendungen zu; die Passwortmüdigkeit entfällt, Produktivität und Benutzerzufriedenheit steigen.
Da Anfragen zur Passwortrücksetzung und Kontoerstellung per Self-Service und Automatisierung gelöst werden, sinken die Helpdesk-Kosten.
Da Benutzerzugriffe und Berechtigungsänderungen zentral protokolliert und in Echtzeit berichtet werden können, wird die Vorbereitung auf KVKK-, ISO-27001- und branchenspezifische Audits erleichtert.
Neue SaaS-Anwendungen und übernommene Unternehmen werden über einen standardisierten Integrationsprozess innerhalb weniger Tage in die Identitätsinfrastruktur eingebunden.
Dank des Managed-Service-Modells verfügen Sie über eine 24/7 überwachte, kontinuierlich aktualisierte Identitätsplattform, ohne ein eigenes spezialisiertes Identitätsteam aufbauen zu müssen.
Anwendungsfälle nach Branche
Finanzwesen & Banken
Eine Partizipationsbank hat mehr als 40 interne Anwendungen in das SSO aufgenommen und FIDO2 für privilegierte Vorgänge verpflichtend eingeführt; die Erstellung von Zugriffsberichten für Audits verkürzte sich von Wochen auf Stunden.
Gesundheitswesen
Eine Krankenhausgruppe ermöglichte dem im Schichtdienst tätigen medizinischen Personal eine schnelle und sichere Anmeldung; Zugriffe auf KIS (HBYS) und PACS wurden rollenbasiert autorisiert, und der Zugriff auf Patientendaten wird protokolliert.
Fertigung & Industrie
Ein Hersteller mit mehreren Standorten hat Werks- und Zentralbenutzer in einer einzigen Identitätsinfrastruktur zusammengeführt; durch die HR-Integration sank die Zeit für die Kontoerstellung von 3 Tagen auf 15 Minuten.
Einzelhandel & E-Commerce
Verwaiste Konten, die durch die hohe Personalfluktuation in den Filialen entstanden waren, wurden durch automatisches Deprovisioning bereinigt; Anfragen zur Passwortrücksetzung gingen um 60 % zurück.
Öffentlicher Sektor
Eine Behörde hat für Anwendungen, die personenbezogene Daten verarbeiten, Conditional Access und MFA verpflichtend eingeführt; die Anforderungen an die Zugriffskontrolle nach KVKK wurden mit zentralen Protokollen dokumentiert.
Bildung
Eine Universität ermöglichte Studierenden und Lehrenden den Zugriff auf Lernmanagementsystem, E-Mail und Bibliotheksdienste mit einer einzigen Identität; die Kontoerstellung zu Semesterbeginn wurde vollständig automatisiert.
Der Indexline-Ansatz
Identitätsprojekte sind weniger eine Frage der Technologie als der Prozesse. Eine IDaaS-Plattform lässt sich in wenigen Wochen einrichten; solange jedoch nicht geklärt ist, was die maßgebliche Identitätsquelle ist, wie Rollen definiert werden, wer welche Zugriffe genehmigt und wie der Austrittsprozess ausgelöst wird, verlagert die Plattform lediglich das Durcheinander in die Cloud. Deshalb beginnt Indexline jedes Projekt mit einer Identity-Governance-Analyse, die gemeinsam mit HR, IT, Security und den Fachbereichen durchgeführt wird, und baut das technische Design auf diesem Prozessmodell auf.
Im Zero-Trust-Ansatz (NIST SP 800-207) wird jede Zugriffsanfrage unabhängig vom Netzwerkstandort anhand von Identität, Gerät und Kontext verifiziert. IDaaS ist in dieser Architektur die zentrale Komponente, die dem Policy Decision Point (PDP) Identitäts- und Kontextsignale liefert und dank ihrer Conditional-Access-Engine diese Entscheidung in den meisten Szenarien selbst trifft. Indexline setzt Conditional-Access-Richtlinien nicht schlagartig in voller Strenge durch, sondern betreibt sie zunächst im Berichtsmodus, misst ihre Auswirkungen und erzwingt sie dann schrittweise. So steigt das Sicherheitsniveau, ohne dass Benutzer an ihrer Arbeit gehindert werden.
Die passwortlose Authentifizierung ist einer der seltenen Bereiche, in denen Sicherheit und Benutzererlebnis in dieselbe Richtung gehen. SMS und einfache Bestätigungsbenachrichtigungen bieten nur begrenzten Schutz gegen Phishing und MFA-Fatigue-Angriffe. Indexline empfiehlt, die Nutzung von FIDO2-Sicherheitsschlüsseln und Passkeys – beginnend mit Administrator- und privilegierten Konten – breit einzuführen und die Push-Verifizierung mit Nummernabgleich als Standard für die Übergangsphase zu etablieren.
IDaaS ersetzt kein Privileged Access Management, sondern arbeitet mit ihm zusammen. Während Endbenutzeridentitäten auf der IDaaS-Plattform verwaltet werden, sollten hochprivilegierte Zugriffe auf Server, Datenbanken und Netzwerkgeräte mit IAM- & PAM-Lösungen kontrolliert werden – mit Sitzungsaufzeichnung, im Tresor gespeicherten Zugangsdaten und einem Just-in-Time-Berechtigungsmodell. Indexline konzipiert diese beiden Ebenen unter einer gemeinsamen Identitätsstrategie und korreliert Identitätsereignisse gemeinsam im SIEM.
In unserem Managed-Service-Modell ist der Go-live erst der Anfang. Identitätsplattformen verändern sich ständig: Neue Anwendungen kommen hinzu, die Organisationsstruktur wird angepasst, Angriffstechniken entwickeln sich weiter und Plattformanbieter veröffentlichen neue Funktionen. Indexline berichtet monatlich über den Zustand der Richtlinien, die MFA-Abdeckung, die Anzahl verwaister Konten, Trends bei fehlgeschlagenen Anmeldungen und die Abschlussquoten der Zugriffsüberprüfungen, aktualisiert die Roadmap anhand der Ergebnisse und stellt sicher, dass Ihre Identitätsinfrastruktur jederzeit gegen aktuelle Bedrohungen gewappnet ist.
Häufig gestellte Fragen
Worin unterscheidet sich IDaaS von einem On-Premises-Active-Directory?
Active Directory ist ein Verzeichnisdienst für Windows-Systeme im internen Netzwerk und arbeitet mit den Protokollen Kerberos/LDAP. IDaaS hingegen steuert den Zugriff auf SaaS- und Cloud-Anwendungen über moderne Protokolle wie SAML, OpenID Connect und OAuth 2.0 und stellt Funktionen wie MFA und Conditional Access aus der Cloud bereit. In den meisten Organisationen arbeiten beide zusammen: AD bleibt die Identitätsquelle, während IDaaS zur Kontrollschicht für den Cloud-Zugriff wird.
Müssen wir unsere bestehende Active-Directory-Struktur ändern?
Nein. Ihr bestehendes AD- oder LDAP-Verzeichnis wird über Synchronisierungsagenten an die Cloud-Identitätsschicht angebunden; die Benutzer melden sich weiterhin mit ihren vorhandenen Zugangsdaten an. Vor der Migration empfiehlt sich eine Bereinigung des Verzeichnisses (veraltete Konten, inkonsistente Attribute, überflüssige Gruppen); diese Arbeit ist Teil der Analysephase.
Welche IDaaS-Plattform sollten wir wählen?
Die Wahl hängt von Ihrem bestehenden Ökosystem, Ihrem Anwendungsinventar, Ihren regulatorischen Anforderungen und Ihrem Budget ab. Für Microsoft-365-zentrierte Organisationen kann Entra ID die naheliegende Wahl sein; sind ein umfangreicher SaaS-Integrationskatalog und Anbieterunabhängigkeit wichtig, kommt Okta in Betracht; müssen die Daten vollständig in Ihrer eigenen Infrastruktur verbleiben, lässt sich das Open-Source-Produkt Keycloak On-Premises oder in einer inländischen Cloud betreiben. Indexline bewertet diese Kriterien gemeinsam mit Ihnen und gibt eine herstellerneutrale Empfehlung.
Wie wird bei der Nutzung von IDaaS die KVKK-Konformität sichergestellt?
Identitätsdaten sind personenbezogene Daten; daher müssen der Verarbeitungsort, eine etwaige Übermittlung ins Ausland und die Auftragsverarbeitungsverträge geprüft werden. Bei im Ausland gehosteten Plattformen sind die Bestimmungen des KVKK (türkisches Datenschutzgesetz) zur Datenübermittlung ins Ausland zu berücksichtigen; für Organisationen mit Datenlokalisierungspflicht können Lösungen wie Keycloak auf Infrastruktur mit Standort in der Türkei betrieben werden. Zentrale Zugriffsprotokolle und Zugriffsüberprüfungen erleichtern zudem die Dokumentation der technischen Maßnahmen nach KVKK.
Entsteht durch SSO nicht ein Single Point of Failure?
Eine richtig konzipierte IDaaS-Architektur basiert auf Hochverfügbarkeit: Cloud-Plattformen laufen in mehreren Regionen, On-Premises-Komponenten werden redundant aufgebaut. Zusätzlich werden Notfallkonten (Break-Glass) für den Fall definiert, dass die Plattform nicht erreichbar ist – mit sicher verwahrten, starken Zugangsdaten und einer Überwachung, die bei jeder Nutzung einen Alarm auslöst. Aus Sicherheitssicht ist ein einziger, stark geschützter Identitätspunkt zudem weitaus besser zu verteidigen als Dutzende Anwendungen mit schwachen Passwörtern.
Welche MFA-Methode ist am sichersten?
Sicherheitsschlüssel und Passkeys auf Basis von FIDO2/WebAuthn sind Phishing-resistent, da sie die Authentifizierung kryptografisch an den Domainnamen binden. Im Rahmen von NIST SP 800-63B können hardwarebasierte FIDO2-Sicherheitsschlüssel die Anforderungen der höchsten Vertrauensstufe AAL3 erfüllen, während geräteübergreifend synchronisierte Passkeys eine Phishing-resistente Authentifizierung auf AAL2-Niveau bieten. Push-Benachrichtigungen mit Nummernabgleich und TOTP-Apps stellen ein gutes mittleres Niveau dar. SMS und Sprachanrufe werden aufgrund der Risiken durch SIM-Swapping und Phishing nur für die Übergangsphase oder als Ausweichmethode empfohlen.
Lassen sich auch On-Premises-Anwendungen (Legacy) in das SSO einbinden?
Ja. Ältere Webanwendungen ohne SAML- oder OIDC-Unterstützung können über Anwendungs-Proxys, headerbasierte Authentifizierung oder Reverse-Proxy-Lösungen hinter IDaaS gestellt werden. So wird der Fernzugriff unter dem Schutz von Conditional Access und MFA ermöglicht, ohne die Anwendung direkt dem Internet auszusetzen. Für Anwendungen, die keine moderne Methode unterstützen, kann alternativ ein SSO auf Basis eines Passwort-Tresors (Password Vaulting) eingesetzt werden.
Wie lange dauert eine IDaaS-Migration und wie wirkt sie sich auf die Benutzer aus?
In einer mittelgroßen Organisation dauern Analyse, Design und die Integration der ersten Anwendungsgruppe in der Regel 6–10 Wochen; die übrigen Anwendungen werden in Wellen aufgenommen. Die Migration beginnt mit einer Pilotgruppe; den Benutzern werden kurze Leitfäden und Schulungen zur MFA-Registrierung und zum neuen Anmeldeerlebnis bereitgestellt. Dank des schrittweisen Vorgehens entstehen für die Benutzer keine Unterbrechungen; für die meisten bedeutet das Ergebnis weniger Passwörter und schnelleren Zugriff.