Merkur Versicherung: Rollenbasiertes Identity & Access Management mit Garancy

Von einzelnen Tickets zum zentralen Berechtigungsmanagement

Die 1798 in Graz gegründete Merkur Versicherung AG ist das älteste Versicherungsunternehmen Österreichs. Gleichzeitig hat das Unternehmen seine Prozesse und IT-Landschaft kontinuierlich weiterentwickelt. Bereits während der Pandemie verfügte die Merkur beispielsweise mit dem „eWorkplace“ über einen elektronischen Arbeitsplatz, über den Korrespondenz digital eingeht und per Workflow an die zuständigen Mitarbeitenden weitergeleitet wird.

Mit der wachsenden Zahl solcher Anwendungen stiegen jedoch auch die Anforderungen an das Berechtigungsmanagement. Für jedes System muss geregelt sein, wer worauf zugreifen darf – und wie lange diese Berechtigung bestehen soll.

Bis zur Einführung von Garancy wurden diese Zugriffe über das Ticketsystem Jira verwaltet. Die Fachbereiche stellten für benötigte Berechtigungen einzelne Tickets ein, die anschließend von den Administratoren der jeweiligen Zielsysteme umgesetzt wurden.

Das Problem: Berechtigungen orientierten sich an einzelnen Personen statt an Rollen. Für jede Anforderung musste ein separates Ticket erstellt werden. Eine zentrale Übersicht darüber, wer zu welchem Zeitpunkt über welche Berechtigungen verfügte, fehlte.

Besonders bei externen Audits sorgte das für zusätzlichen Aufwand. Die benötigten Informationen mussten aus einzelnen Systemen und aus der Ticketverwaltung zusammengetragen werden.

Aus Security-Perspektive war deshalb eine zentrale Lösung gefragt, die jederzeit transparent macht, wer welche Rechte besitzt – und mit der sich diese Rechte ebenso zuverlässig vergeben wie wieder entziehen lassen.

Flexible Integration als entscheidendes Auswahlkriterium

2019 entschied sich die Merkur Versicherung für die Einführung einer zentralen IAM-Lösung. Gemeinsam mit einem externen Beratungsunternehmen evaluierte sie den Markt. Von zunächst zehn betrachteten Herstellern kamen drei in die engere Auswahl. Die Entscheidung fiel schließlich auf die Lösung von Garancy.

Ein wichtiges Auswahlkriterium war die Integration in die individuelle IT-Landschaft der Versicherung. Neben Microsoft Active Directory und weiteren darüber angebundenen Systemen sollten unter anderem Lotus Notes, eWorkplace und das eigenentwickelte Merkur Information System (MIS) integriert werden. Gerade die Anbindung der selbst entwickelten Kernversicherungssoftware spielte eine entscheidende Rolle.

Rollen statt personenbezogener Einzelberechtigungen

Parallel zur Einführung von Garancy entwickelte die Merkur Versicherung ein neues Rollenkonzept. Dafür wurden bestehende Systeme und Berechtigungsstrukturen grundlegend analysiert und bereinigt.

Welche Zugriffe auf Ordner, Dateien und Systeme wurden tatsächlich noch benötigt? Welche Berechtigungen waren historisch gewachsen, aber nicht mehr erforderlich? Und welche mussten dauerhaft erhalten bleiben?

Das neue Rollenkonzept schuf die Grundlage, diese Fragen systematisch zu beantworten.

Seit der Einführung von Garancy werden neue Berechtigungen rollenbasiert vergeben. Die dafür relevanten Rolleninformationen werden im HR-System Infoniqa gepflegt. Angaben wie Abteilung und Stellenprofil bilden die Basis für zwei grundlegende Rollentypen: eine organisatorische Rolle und eine Business-Rolle.

Die organisatorische Rolle bildet die Zugehörigkeit zu einer Abteilung ab, während die Business-Rolle die konkrete Tätigkeit beschreibt. Die Definition dieser Rollen erfolgte durch die IT in Abstimmung mit den Systemeignern und den Verantwortlichen der jeweiligen Fachbereiche.

Statt Benutzer anschließend manuell über Tickets in den einzelnen Anwendungen anzulegen, übermittelt Infoniqa die Rollenprofile an Garancy. Das IAM-System ordnet ihnen die entsprechenden Berechtigungen zu.

Führungskräfte überprüfen im Rahmen regelmäßiger Rezertifizierungen, ob Rollen und Berechtigungen weiterhin zur jeweiligen Tätigkeit passen.

Self-Service: Führungskräfte verwalten Zugriffe selbst

Zusätzlich zu den grundlegenden Organisations- und Business-Rollen nutzt die Merkur Versicherung weitere Funktionsrollen. Damit können Führungskräfte einzelnen Mitarbeitenden zusätzliche, fein granulierte Zugriffe gewähren oder entziehen – beispielsweise für Projekte oder Vertretungen. Insgesamt wurden bei der Merkur Versicherung rund 1.000 Rollen eingerichtet.

Die Fachbereiche wurden schrittweise in die neue Berechtigungsverwaltung eingebunden. Disziplinarische Führungskräfte können Zugriffsrechte für ihre Teams über das Garancy-Portal selbst verwalten, ohne für jede Änderung die IT einschalten zu müssen.

Das ist insbesondere bei kurzfristigen Vertretungen hilfreich. Wo früher zunächst ein Jira-Ticket erstellt und durch die IT bearbeitet werden musste, können entsprechende Funktionsrollen heute direkt über das Portal verwaltet werden.

Die Fachbereiche gewinnen damit Flexibilität, während die IT von wiederkehrenden administrativen Aufgaben entlastet wird.

Berechtigungen automatisch und zeitlich begrenzt vergeben

Das rollenbasierte Konzept hilft der Merkur Versicherung auch dabei, unerwünschte Berechtigungen beim Wechsel zwischen Abteilungen oder beim Austritt von Mitarbeitenden zu vermeiden.

Garancy ermöglicht es zudem, Start- und Ablaufdaten für Rollen zu definieren. Soll beispielsweise eine projektbezogene Berechtigung nur für einen bestimmten Zeitraum gelten, kann ihr Entzug automatisch berücksichtigt werden. Ein separates manuelles Ticket für die spätere Änderung ist damit nicht mehr erforderlich.

Mit dem Garancy Access Intelligence Manager kann die IT darüber hinaus Zugriffsrechte und damit verbundene Risiken analysieren. Die Lösung ermöglicht ein dynamisches 360-Grad-Monitoring sowie die historische Betrachtung von Berechtigungsdaten.

Damit kann die IT Berichte zur Berechtigungsstruktur erstellen, potenzielle Zugriffsrisiken identifizieren und die Daten multidimensional analysieren.

HR, Organisation und IAM greifen ineinander

Besonders deutlich werden die Vorteile der Automatisierung beim Onboarding. Früher konnte es mehrere Tage dauern, bis neue Mitarbeitende über die erforderlichen Accounts und Zugriffe verfügten. Eine Führungskraft musste zunächst ein Ticket erstellen, das anschließend von den zuständigen IT-Administratoren bearbeitet wurde.

Heute beginnt der Prozess bereits im HR-System. Sobald die Personalabteilung die Daten eines neuen Mitarbeitenden erfasst, werden die relevanten Informationen über das IAM an die nachgelagerten Prozesse übergeben.

Garancy wird damit zur Schnittstelle zwischen HR, Organisation und Systemadministration. Änderungen aus dem HR-Umfeld können direkt in die Berechtigungsverwaltung einfließen.

Auch bei organisatorischen Veränderungen zeigt sich der Vorteil dieses Ansatzes. Nach der Übernahme des Österreich-Geschäfts der Nürnberger Versicherung AG durch die Merkur-Gruppe im Jahr 2022 sollten rund 120 Beschäftigte in den Konzern integriert werden. Dafür mussten zunächst die entsprechenden Rollen vorbereitet werden. Sobald die neuen Mitarbeitenden im HR-System geführt wurden, konnte Garancy ihnen anhand dieser Rollen die vorgesehenen Berechtigungen zuordnen.

IAM-Implementierung vollständig remote umgesetzt

Die IT-Landschaft der Merkur Versicherung wird in einem externen Rechenzentrum betrieben. Dort implementierten die Fachkräfte von Garancy auch die IAM-Lösung, konfigurierten das System und führten die erforderlichen Schulungen durch.

Die Implementierung erfolgte vollständig remote. Bei der Integration einzelner Zielsysteme mussten dabei auch technische Herausforderungen gelöst werden – etwa wenn Anwendungen den Zugriff über eine Standardschnittstelle zunächst nicht unterstützten.

Mehr Transparenz für Audits und Access Governance

Ein wesentlicher Vorteil der zentralen IAM-Plattform liegt in der Transparenz über bestehende Zugriffsrechte. Informationen müssen für Audits nicht mehr aufwendig aus verschiedenen Zielsystemen und Tickets zusammengetragen werden. Stattdessen bildet die zentrale Berechtigungsverwaltung die Grundlage für eine nachvollziehbarere Prüfung.

Gleichzeitig unterstützen rollenbasierte Vergabe, regelmäßige Rezertifizierung und zeitlich begrenzte Zugriffsrechte die Umsetzung von IT-Sicherheits- und Governance-Anforderungen. Mit dem Garancy Access Intelligence Manager erhält die IT darüber hinaus Möglichkeiten, Berechtigungsstrukturen systematisch zu analysieren und potenzielle Risiken zu identifizieren.

Skalierbares IAM für eine wachsende Organisation

Die Success Story der Merkur Versicherung zeigt, wie sich ein historisch gewachsenes, personenbezogenes Berechtigungsmanagement in eine zentral gesteuerte und rollenbasierte IAM-Struktur überführen lässt.

Garancy verbindet HR-Daten, Rollen und Berechtigungen mit den angebundenen Zielsystemen. Führungskräfte können definierte Zugriffsrechte für ihre Teams selbst verwalten, während die IT einen zentralen Überblick über Berechtigungsstrukturen und potenzielle Risiken erhält.

Damit schafft die Merkur Versicherung die Grundlage für effizientere Prozesse, mehr Transparenz und ein Berechtigungsmanagement, das sich auch bei organisatorischen Veränderungen flexibel anpassen lässt.