Identity Management vs. Identity & Access Management
Autor: Lucas Hoppe | 10. September 2025
Die Begriffe Identity Management (IDM) und Identity & Access Management (IAM) werden oft synonym verwendet, was zu Missverständnissen führen kann. Während IDM die Verwaltung von Identitäten fokussiert, umfasst IAM auch die Steuerung und Überprüfung von Zugriffsrechten auf Systeme und Daten. Dieser Beitrag klärt die Unterschiede und zeigt die Bedeutung beider Konzepte für Sicherheit und Effizienz im Unternehmen auf.
IAM: Der umfassende Rahmen
Identity & Access Management (kurz: IAM) ist der übergeordnete Ansatz. Er bündelt alle Prozesse, Technologien und Richtlinien, die festlegen, wer sich wie ausweist, worauf zugreifen darf und unter welchen Bedingungen. Damit bildet IAM den roten Faden vom Anlegen eines Benutzerkontos über die Vergabe von Rollen und Berechtigungen bis hin zur revisionssicheren Dokumentation aller relevanten Ereignisse.
Zum Funktionsumfang eines IAM gehören typischerweise:
- Identitätsmanagement: Benutzerkonten, Rollen und Attribute werden erstellt und gepflegt.
- Zugriffsmanagement: Es wird entschieden, wer welche Transaktion, API oder Anwendung nutzen darf.
- Authentifizierung: Verfahren wie Passwort, Multi-Faktor-Authentifizierung oder Single Sign-On prüfen, ob jemand wirklich diejenige Person ist, für die er sich ausgibt.
- Autorisierung: Feingranulare Regeln und Rollenmodelle setzen durch, was eine Person in einem System konkret ausführen darf.
- Auditing und Reporting: Ereignisse werden nachvollziehbar protokolliert; Berichte unterstützen Compliance-Nachweise.
- Lifecycle-Management: Konten und Berechtigungen werden beim Eintritt, Rollenwechsel und Austritt automatisiert zugewiesen und wieder entzogen.
So sorgt ein gut aufgesetztes IAM beispielsweise dafür, dass neue Mitarbeitende unmittelbar nach der Einstellung die passenden Rollen für ihre Stelle erhalten, dass temporäre Zugänge befristet sind und dass beim Offboarding alle Zugriffe nachvollziehbar und vollständig enden.
IDM: Der spezialisierte Kern
Identity Management (kurz IDM) ist ein Teilbereich des IAM. Im Mittelpunkt steht die Verwaltung der Identität selbst: also das Benutzerkonto mit seinen Attributen sowie die Synchronisation dieser Stammdaten über verschiedene Verzeichnisdienste und Applikationen hinweg. Ein IDM beantwortet vor allem die Frage „Wer ist wer?“.
Typische Aufgaben im IDM sind die Anlage, Pflege und Stilllegung von Benutzeridentitäten, die Verwaltung von Attributen wie Name, Organisationseinheit oder E-Mail-Adresse, die Synchronisation zwischen Quellsystemen (etwa einem HR-System) und Verzeichnissen wie Active Directory sowie die Provisionierung und Deprovisionierung von Konten. Themen wie Zugriffskontrolle, Autorisierungspolitiken oder Sicherheitsrichtlinien sind nicht der direkte Fokus eines IDM – sie werden im IAM adressiert.
Der Unterschied in einem Satz
IDM verwaltet Identitäten, IAM verwaltet Identitäten plus Zugriffe – inklusive Authentifizierung, Autorisierung, Überwachung und Compliance.
Praktisch bedeutet das: Beide Disziplinen greifen ineinander, doch nur IAM liefert den vollständigen Orchestrierungsrahmen für sichere, regelkonforme und auditierbare Zugriffe.
Warum die Unterscheidung wichtig ist
Die Verwechslung beider Begriffe führt oft zu Lücken in der Sicherheitsarchitektur. Wer nur auf IDM setzt, hat zwar sauber gepflegte Konten, aber nicht zwingend klare Regeln, welche Aktionen ein Konto in welchem System ausführen darf und warum. Ohne IAM fehlen häufig:
- eine durchgängige Zugriffssteuerung über Systeme hinweg,
- konsistente Authentifizierungsstandards wie MFA oder SSO,
- ein belastbares Rollen- und Berechtigungsdesign,
- Auditing und Reporting, die für interne Kontrollen und externe Prüfungen notwendig sind.
Gerade in Zeiten strenger regulatorischer Anforderungen und knapper Ressourcen hilft IAM, Verwaltungsaufwände zu reduzieren, Risiken zu senken und Nachweise schneller zu erbringen. Das IDM bildet dabei die stabile Datenbasis, auf der IAM aufsetzt.
Ein Blick in die Praxis
Stellen Sie sich den Lebenszyklus einer Identität vor: Eine neue Kollegin startet im Unternehmen. Aus dem HR-System wandern die Stammdaten ins IDM, dort wird das Konto samt Kernattributen angelegt und in relevante Verzeichnisse synchronisiert.
Das IAM greift diese Identität auf, ordnet sie anhand der Rolle im Unternehmen den passenden Gruppen und Berechtigungen zu und erzwingt die vorgegebenen Authentifizierungsverfahren. Meldet die Kollegin sich an, prüft die IAM-Schicht die Identität (Authentifizierung) und setzt dann die erlaubten Aktionen durch (Autorisierung). Gleichzeitig protokolliert das Auditing die wichtigen Schritte. Wechselt die Kollegin später die Abteilung, passt das IAM die Rollen an; beim Offboarding werden Zugriffe automatisiert entzogen und dokumentiert.
Ohne IDM wäre diese Automatisierung nicht zuverlässig, ohne IAM bliebe unklar, wozu die Identität im Detail befugt ist und wie das überprüft wird.
Typische Fragen
Wer ist wer?
Das IDM führt die Identitätsstammdaten zusammen und hält sie konsistent über Systeme hinweg.
Wer darf was tun – und warum?
Das IAM entscheidet anhand von Rollen, Attributen und Richtlinien, welche Rechte eine Person erhält, unter welchen Bedingungen sie gelten und wie lange.
Haben wir das belegt?
Auditing und Reporting sind IAM-Aufgaben. Sie liefern die Nachweise, die interne Kontrollen und externe Audits wie ISO- oder SOC-Prüfungen verlangen.
Leitplanken für die Praxis
Wer die beiden Welten sauber aufstellt, orientiert sich an drei Prinzipien. Erstens: klare Zuständigkeiten. IDM verantwortet Identitätsdaten und Synchronisation, IAM verantwortet Authentifizierung, Autorisierung, Governance und Nachweise.
Zweitens: Automatisierung über den gesamten Lebenszyklus. Prozesse für Joiner, Mover und Leaver sollten Ende-zu-Ende durchgängig sein, damit keine Über- oder Unterberechtigungen entstehen. Drittens: Transparenz und Kontrolle. Rollenmodelle, Approval-Workflows, regelmäßige Rezertifizierungen und aussagekräftige Reports sind kein Luxus, sondern Grundlage für Sicherheit und Compliance.
Strategieworkshop & Toolauswahl SAP Benutzerverwaltung
Wir zeigen in diesem Workshop, wie Sie die Benutzerverwaltung im SAP mit Best Practices hinsichtlich Prozesse und Automatisierung verbessern.
Fazit
IDM und IAM sind kein „Entweder-Oder“, sondern zwei Seiten derselben Medaille. IDM liefert die saubere Identitätsbasis, IAM erweitert diese Basis um Zugriffssteuerung, Sicherheitsmechanismen und Nachweispflichten. Wer beides zusammendenkt, senkt operative Aufwände, reduziert Risiken und schafft die Voraussetzungen, um wachsende Compliance-Anforderungen souverän zu erfüllen.
