IT-Awards 2026 Die beliebtesten IAM- und PAM-Anbieter 2026

Anbieter zum Thema

Ergon Informatik AG

cidaas by Widas ID GmbH

secunet Security Networks AG

SEPPMAIL - Deutschland GmbH

Unternehmen stehen 2026 vor einer doppelten Herausforderung: Zugriffe müssen sicher kontrolliert werden und zugleich sollen sie eine verteilte, au­to­ma­ti­sier­te IT-Land­schaft beherrschbar halten. Hybride Arbeit, Multi-Cloud, SaaS und nicht-menschliche Identitäten verändern die An­for­de­rungen an Identity and Access Management (IAM) und Privileged Access Management (PAM) deutlich.

Identitäten sind längst nicht mehr nur Benutzerkonten von Mitarbeitern. Anwendungen, Work­loads, APIs und Maschinen benötigen eigene Zugriffsrechte, und auch KI-Agenten werden inzwischen als Identitäts- und Governance-Frage behandelt. Entscheidend ist, welche Identität unter welchen Bedingungen auf welche Ressource zugreifen darf.

Die Leser von Security-Insider haben abgestimmt. Beim Klick auf die Bildergalerie sehen Sie die drei beliebtesten Anbieter der Security-Insider Awards 2026 aus dem Bereich IAM & PAM:

Bildergalerie

Von statischen Modellen zu kontinuierlicher Zugriffskontrolle

Klassische Rollenmodelle bleiben eine wichtige Grundlage, reichen in dynamischen Umgebungen allein jedoch häufig nicht aus. Moderne Zugriffskontrollen ergänzen Rollen um Attribute und Kontextfaktoren wie Gerätezustand, Standort, Uhrzeit, Sensitivität der Ressource und das aktuelle Risikoniveau. Berechtigungen lassen sich so situationsabhängig einschränken oder an eine zusätzliche Authentisierung knüpfen.

Das entspricht dem Zero-Trust-Gedanken: Vertrauen folgt nicht allein aus der Identität oder einem einmal erteilten Zugriffsrecht. „Kontinuierlich“ heißt dabei nicht, bei jedem Schritt neu zu authentisieren, sondern Richtlinien und Risiken fortlaufend zu bewerten – bei kritischen Zugriffen möglichst über die gesamte Sitzung.

Phishing-resistente Verfahren rücken in den Fokus: Passkeys auf Basis von FIDO/WebAuthn und Public-Key-Kryptografie sind eine Alternative zu Passwörtern und phishinganfälliger MFA. Schwächere Verfahren verschwinden dadurch nicht automatisch; Fallbacks und Recovery-Prozesse können das Gesamtsystem angreifbar halten.

Selbst starke Authentisierung schließt Missbrauch nicht aus. Identity Threat Detection and Response (ITDR) ergänzt die IAM-Frage, welcher Zugriff zulässig ist, um die Frage, ob eine berechtigte Identität missbraucht wird – etwa erkennbar an ungewöhnlichen Anmeldungen, verdächtigen Privilegienänderungen oder atypischen Zugriffen. ITDR ist weniger ein einzelnes Produkt als vielmehr ein Ansatz, der Identity-Systeme mit Sicherheitsüberwachung und automatisierten Reaktionen verbindet.

IT-Awards 2026

Das sind die Gewinner der IT-Awards 2026

Fokus auf Privilegien, Maschinen und KI-Agenten

Auch PAM verändert sich. Just-in-Time Access, Just-Enough-Administration, getrennte Administrationskonten und der Verzicht auf dauerhafte Privilegien verkleinern die Angriffsfläche. Dauerhaft privilegierte Konten existieren in der Praxis jedoch weiterhin, etwa aus Legacy- oder Notfallgründen; der Weg zu begrenzten Berechtigungen ist noch nicht abgeschlossen.

Dabei geht es nicht mehr nur um menschliche Administratoren. Service Accounts, Workload- und Maschinenidentitäten sowie die zugehörigen Zertifikate, Secrets und API-Zugänge bilden eine wachsende Welt nicht-menschlicher Zugriffsbeziehungen. Sie müssen zugeordnet, angemessen berechtigt, überwacht und bei Wegfall des Bedarfs deaktiviert werden; ein vollständiger Überblick ist in automatisierten Umgebungen jedoch oft schwer zu gewinnen. Belastbare Größenordnungen fehlen; Studien beziffern das Verhältnis nicht-menschlicher zu menschlichen Identitäten sehr unterschiedlich.

Hinzu kommen KI-Agenten, die Anwendungen aufrufen, Daten verändern oder Aktionen in anderen Systemen auslösen. Damit werden IAM und PAM zur Frage der KI-Governance: Welche Identität besitzt ein Agent, in wessen Auftrag handelt er, und was darf er lesen und ausführen? Nicht jeder Agent braucht eine eigene Identität; je nach Architektur genügen delegierte Nutzerrechte. Entscheidend ist eine nachvollziehbare Autorisierung: Agenten gehören in Lifecycle- und Privileged-Access-Prozesse, und jede Aktion sollte möglichst eindeutig einer Identität und – soweit nötig – dem verantwortlichen Benutzer oder Prozess zuordenbar sein.

So überschneiden sich IAM, PAM, Secrets Management und Workload-Identity-Management zunehmend, auch wenn sie eigene Schwerpunkte behalten. Entscheidend ist die Kontrolle der Berechtigungen über den gesamten Lebenszyklus.

Regulierung hebt Identity Security auf Governance-Ebene

NIS2 und die darauf beruhenden nationalen sowie sektorspezifischen Vorgaben konkretisieren Anforderungen an Zugriffskontrolle, Least Privilege, Need-to-know, Aufgabentrennung und die regelmäßige Überprüfung von Berechtigungen. Für bestimmte digitale Dienste konkretisiert die EU-Durchführungsverordnung die Anforderungen an privilegierte und administrative Konten u.a. durch starke Authentisierung, separate Administrationskonten, individuelle und eingeschränkte Administratorrechte sowie Protokollierung.

IAM wird damit zunehmend zur Governance-Aufgabe: Unternehmen müssen nachvollziehbar dokumentieren können, welche Rechte bestehen, wie sie vergeben und überprüft werden und ob sie noch benötigt werden – dies gilt auch für externe Dienstleister, deren Zugriffe zu begrenzen sind. Im Finanzsektor enthalten DORA und die zugehörigen technischen Standards ausdrückliche Vorgaben zur Zugriffskontrolle, darunter Need-to-know, Need-to-use, Least Privilege und besondere Regeln für privilegierte Zugriffe.

Daraus lässt sich eine Empfehlung ableiten: IAM- und PAM-Projekte sollten nicht länger isoliert betrachtet werden. Sinnvoll ist eine integrierte Identity-Security-Architektur für menschliche und nicht-menschliche Identitäten: mit Identity Inventory, automatisierten Lifecycle-Prozessen, risikobasierten Zugriffskontrollen, phishing-resistenter Authentisierung, zeitlich begrenzten Privilegien und Anbindung an Monitoring und Response.

Identity Security entwickelt sich damit zunehmend zu einer kontinuierlichen Management- und Überwachungsaufgabe. Unternehmen sollten beurteilen können, warum, worauf, wie lange und unter welchen Bedingungen ein Zugriff nötig ist – und diesen bei verändertem Risiko schnell anpassen oder entziehen können. Das gilt für Mitarbeiter ebenso wie für Maschinen, Workloads, APIs und KI-Agenten.

Die gesammelten Eindrücke der Preisverleihung der IT-Awards 2026 im Rahmen des Galaabends und alle Gewinner aller Insider-Portale finden Sie in unserer großen Award-Galerie und im Video.

IT-Awards 2026 – die große Bildergalerie

Bildergalerie mit 206 Bildern

(ID:50972199)