Rollenbasiertes Identity Management mit Garancy

Steigende Anforderungen erfordern ein neues IAM

Die Thüringer Aufbaubank ist die Förderbank des Freistaats Thüringen. Sie unterstützt unter anderem Unternehmen, Kommunen und Technologievorhaben und arbeitet dabei mit der Landesregierung sowie Banken und weiteren Finanzierungspartnern zusammen.

Für eine Bank in diesem Umfeld spielt ein nachvollziehbares und kontrolliertes Berechtigungsmanagement eine zentrale Rolle. Die TAB verfügte bereits über ein zentrales Tool zur Identitäts- und Berechtigungsverwaltung. Mit steigenden regulatorischen Anforderungen zeigte sich jedoch, dass die damalige Lösung langfristig nicht mehr ausreichen würde.

Eine Prüfung nach § 44 KWG bestätigte den Handlungsbedarf. Die TAB entschied sich deshalb, ihr bisheriges IAM-Konzept zu überarbeiten und eine neue Identity-Management-Lösung einzuführen. Neben der Unterstützung regulatorischer Anforderungen war der Bank insbesondere eine gute Usability wichtig. Positive Erfahrungen anderer Banken mit Garancy flossen ebenfalls in die Entscheidung ein.

„Kein Recht ohne Rolle“ als Leitprinzip

Der zentrale Ansatz des neuen Berechtigungsmanagements lautet: Kein Recht ohne Rolle. Berechtigungen werden grundsätzlich über Rollen beantragt und vergeben. Einzelrechte sind nur für Ausnahmefälle vorgesehen, beispielsweise für temporäre Lese- oder Schreibrechte auf Projektverzeichnisse.

Rollen und Profile waren bei der TAB bereits zuvor Bestandteil des Berechtigungsmanagements. Mit Garancy konnte dieser Ansatz jedoch deutlich konsequenter und detaillierter umgesetzt werden. Rollen werden nach fachlichen Aufgaben, Stellen und Funktionen zugeschnitten und bilden damit das Need-to-know-Prinzip wesentlich systematischer ab.

Basis-, Organisations-, Fach- und Funktionsrollen schaffen Struktur

Für Anwendungen mit Benutzerverwaltung werden Berechtigungskonzepte definiert. Einzelne Rechte – beispielsweise Lesen, Schreiben oder Administrieren – werden anschließend in verschiedene Rollentypen gebündelt. Die TAB unterscheidet dabei insbesondere:

• Basisrollen für grundlegende Zugriffe wie Zeiterfassung, E-Mail, Active Directory oder Netzlaufwerke

• Organisationsrollen für bestimmte Organisationseinheiten

• Fachrollen, die aus Stellenbeschreibungen und fachlichen Aufgaben abgeleitet werden

• Funktionsrollen für bereichsübergreifende Funktionen

Wer dieselbe Stellenbeschreibung und Aufgabe hat, erhält damit grundsätzlich auch dieselbe Fachrolle und die dazugehörigen Zugriffsrechte.

So entsteht ein nachvollziehbares Rollenmodell, das die organisatorische Struktur der Bank mit der technischen Berechtigungsvergabe verbindet.

Weniger administrativer Aufwand bei der Rechtevergabe

Das rollenbasierte Konzept vereinfacht insbesondere die Berechtigungsvergabe bei Neueinstellungen und Aufgabenwechseln. Statt für jede Person einzelne Rechte zusammenzustellen, kann aus einem bestehenden Set von Rollen genau das Profil ausgewählt werden, das für die jeweilige Tätigkeit benötigt wird.

Basis-, Fach-, Organisations- und gegebenenfalls Funktionsrollen bilden gemeinsam das individuelle Berechtigungsprofil. Dadurch sinkt der administrative Aufwand bei der Rechtevergabe deutlich.

Ziel des Ansatzes ist es, Rollen möglichst direkt aus den organisatorischen Informationen abzuleiten. Meldet das HR-System beispielsweise einen neuen Beschäftigten mit Organisationseinheit und Stellenbeschreibung, können daraus die vorgesehenen Organisations- und Fachrollen abgeleitet werden.

Kritikalität bestimmt die Kontrolle

Ein weiterer wichtiger Bestandteil des IAM-Konzepts ist die Bewertung kritischer Berechtigungen. Nicht jedes Zugriffsrecht birgt dasselbe Risiko. Administrative Berechtigungen können beispielsweise besonders kritisch sein. Gleiches gilt für technische Benutzer oder fachliche Zugriffe, mit denen sensible Transaktionen durchgeführt werden können.

Die TAB nutzt dafür sogenannte Informationscontainer, in denen ähnliche Informationen und Daten zusammengefasst werden. Rechte in den jeweiligen Systemen werden diesen Informationscontainern zugeordnet. Dadurch lässt sich die Kritikalität der verarbeiteten Informationen auf die entsprechenden Zugriffsrechte und schließlich auf Rollen übertragen.

Aus der Kritikalität ergibt sich wiederum, wie häufig eine Rolle rezertifiziert werden muss. Die in der Referenz beschriebenen Intervalle reichen von halbjährlichen über jährliche bis hin zu dreijährlichen Kontrollen. Damit verbindet die TAB fachliche Schutzbedarfsbewertungen direkt mit ihrem Berechtigungsmanagement.

Drei Organisationen in einer IAM-Struktur

Eine zusätzliche Herausforderung des Projekts bestand darin, nicht nur die Thüringer Aufbaubank selbst, sondern auch zwei Tochtergesellschaften innerhalb des IAM abzubilden.

Garancy unterstützt damit drei organisatorisch getrennte Mandanten innerhalb der gemeinsamen IAM-Struktur. Diese Mandantenfähigkeit ermöglicht es, zentrale IAM-Prinzipien über mehrere Gesellschaften hinweg anzuwenden und gleichzeitig deren organisatorische Besonderheiten zu berücksichtigen.

Kernsysteme und weitere Anwendungen zentral einbinden

Zu den zentralen Systemen der IAM-Landschaft gehören SAP mit relevanten Stamm- und HR-Daten, Microsoft Active Directory sowie eigenentwickelte Anwendungen für die Bearbeitung von Zuschüssen und Darlehen. Hinzu kommen die TAB-Informationssysteme, in denen Daten für Auswertungen und Reporting verarbeitet werden, sowie eine Portallösung für die Kommunikation mit Antragstellenden.

Weitere Anwendungen lassen sich über Garancy in das Berechtigungsmanagement integrieren. Voraussetzung dafür ist jeweils ein definiertes Berechtigungskonzept, das festlegt, welche Zugriffe bestehen und wie diese in Rollen abgebildet werden. So entstand schrittweise eine zentrale IAM-Struktur, die rund 65 Systeme umfasst.

Ergebnisse auf einen Blick

• Rund 65 angebundene Systeme

• 5.540 technische Rollen

• 12.700 Einzelrechte

• Rund 1.100 verwaltete Konten, einschließlich technischer User und externer Mitarbeitender

• Rollenbasierte Vergabe nach dem Prinzip „Kein Recht ohne Rolle“

• Basis-, Organisations-, Fach- und Funktionsrollen für eine strukturierte Rechtevergabe

• Risikobasierte Rezertifizierungsintervalle anhand der Kritikalität von Berechtigungen

• Drei Mandanten innerhalb einer gemeinsamen IAM-Struktur

• Weniger administrativer Aufwand bei der Berechtigungsvergabe

Access Governance mit klarer Verantwortung

Die Einführung von Garancy ist bei der TAB nicht nur ein Technologieprojekt. Ein wesentliches Ziel besteht darin, die Verantwortung für Berechtigungen stärker dort zu verankern, wo sie fachlich entsteht.

Die Fachbereiche kennen die Anwendungen, Daten und Aufgaben ihrer Mitarbeitenden und sollen deshalb auch Verantwortung für die Gestaltung der entsprechenden Berechtigungen übernehmen. IT-Steuerung, Organisation, Technik und Fachbereiche arbeiten dafür innerhalb eines gemeinsamen IAM-Rahmens zusammen.

Damit verbindet die Thüringer Aufbaubank regulatorische Anforderungen mit einem praxisnahen Governance-Modell: Berechtigungen werden aus fachlichen Aufgaben abgeleitet, über Rollen strukturiert und entsprechend ihrer Kritikalität kontrolliert.

Rollenbasiertes IAM als Basis für sichere und effiziente Prozesse

Die Success Story der Thüringer Aufbaubank zeigt, wie sich Berechtigungsmanagement von einer technischen Einzelbetrachtung zu einem fachlich gesteuerten Governance-Prozess weiterentwickeln lässt.

Mit Garancy verfolgt die TAB konsequent den Ansatz „Kein Recht ohne Rolle“. Zugriffsrechte werden anhand von Aufgaben, Stellen und Funktionen strukturiert, kritische Berechtigungen gezielt kontrolliert und unterschiedliche Gesellschaften und Systeme in einer gemeinsamen IAM-Struktur zusammengeführt.

Das Ergebnis ist ein Berechtigungsmanagement, das regulatorische Anforderungen, IT-Sicherheit und operative Effizienz miteinander verbindet.