Mobile-Menu

Zugriffs- und Benutzerverwaltung sichert Unabhängigkeit Warum digitale Souveränität beim IAM beginnt

Ein Gastbeitrag von Ingo Steuwer* 5 min Lesedauer

Anbieter zum Thema

Univention GmbH
sysob IT-Distribution GmbH & Co. KG
Fsas Technologies GmbH
FTAPI Software GmbH

Digitale Souveränität fängt nicht im europäischen Rechenzentrum an, sondern bei der Software, die den Zugriff auf die IT ermöglicht – dem Identity and Access Management. Dieses kann zum Gatekeeper werden und für abgeschottete Silos sorgen oder aber über offene Schnittstellen quasi unbegrenzte Möglichkeiten für die Integration unterschiedlichster IT-Dienste bieten.

Wer das IAM – im Idealfall eine offene Lösung – kontrolliert, behält die Kontrolle über die gesamte IT. Insofern beginnt digitale Souveränität bei der Zugriffs- und Identitätsverwaltung und nicht im Rechenzentrum. (Bild: © spyarm - stock.adobe.com)
Wer das IAM – im Idealfall eine offene Lösung – kontrolliert, behält die Kontrolle über die gesamte IT. Insofern beginnt digitale Souveränität bei der Zugriffs- und Identitätsverwaltung und nicht im Rechenzentrum.
(Bild: © spyarm - stock.adobe.com)

Identity and Access Management (IAM) kann eine Blackbox sein, die keinerlei Kontrolle gewährt, was mit den Benutzerdaten passiert und wer auf sie Zugriff hat, oder sie kann durch Quelloffenheit Transparenz und damit Vertrauen gewähren. Der Dienst kann zum Hersteller-Lock-in und zur Kostenfalle werden oder aber als Open-Source-Lösung die Möglichkeit für den Anbieterwechsel oder den Eigenbetrieb bieten. Aber welche Faktoren sind dafür entscheidend?

Digitale Abhängigkeit – das unterschätzte Eigentor

Ein fehlerhaftes Microsoft-Update der Sicherheitsfirma Crowdstrike legte im Juli 2024 weltweit IT-Systeme lahm – vom Check-in-Schalter bis zur Arztpraxis. Ein einzelner Softwarefehler dieser Software reichte, um weltweit komplette Infrastrukturen ins Stolpern zu bringen.

Auch wirtschaftlich kann die Abhängigkeit von einer marktbeherrschenden Lösung schnell kritisch werden: Nach der Übernahme durch Broadcom hat VMware sein Lizenzmodell runderneuert – mit immensen Preissprüngen. Viele Unternehmen mussten über Nacht migrieren oder tief in die Tasche greifen. Wer dachte, Enterprise-Software stünde für Stabilität, kannte die neue Realität noch nicht – wenn Hersteller ihre Strategie ändern, sind Kunden oft machtlos.

Kurz gesagt: Digitale Abhängigkeit ist kein Theoretikum, sondern erlebte Praxis. Sie kostet Geld, Nerven – und im Worst Case den Kontrollverlust über die gesamte IT und damit in der Regel auch über alle Prozesse. Kein Wunder also, dass zur Zeit der Begriff „souveräne Clouds“ Hochkonjunktur hat. Doch Vorsicht: Ein Rechenzentrum mit EU-Label macht noch lange keine Souveränität.

Sogenannte „souveräne Clouds“ sind oft nur Etikettenschwindel

So sollen Delos oder Google-Derivate in deutschen Rechenzentren betrieben werden, aber was nützt ein europäisches Rechenzentrum, wenn darin Software läuft, die weder offen noch unabhängig ist? Wenn Funktionen sich per Update über Nacht ändern können, Schnittstellen Blackboxes bleiben und nicht klar ist wer das entscheidet und dabei vielleicht wirtschaftliche oder nationale Interessen maßgeblich sind, die nicht mit den eigenen übereinstimmen?

Wenn ein US-Unternehmen in Deutschland eine Cloud betreibt, unterliegt es weiterhin dem US-amerikanischen Recht – einschließlich der Pflicht, Daten an Behörden wie die NSA herauszugeben. Wer das „souverän“ nennt, verkauft Etiketten – nicht Unabhängigkeit. Das musste gerade erst Anton Carniaux, Chefjustiziar von Microsoft France, zugeben, als er bei einer Anhörung nicht ausschließen konnte, dass Microsoft France im Zweifelsfall Daten an die US-Regierung weitergeben muss.

Sicherheit, Datenschutz – und Kontrolle

Digitale Souveränität beginnt, wenn Organisationen selbst bestimmen, wer auf welche Daten zugreifen darf und welche Anwendungen und Services den Benutzern zur Verfügung stehen – datenschutzkonform und komfortabel. Genau das ermöglicht eine Lösung für Identitäts- und Zugriffsmanagement. Gleichzeitig wird das IAM dadurch aber auch zum entscheidenden Faktor, der die digitale Souveränität der Organisation selbst einschränken kann.

Denn wer das IAM kontrolliert, kontrolliert den Zugriff auf sämtliche Daten und Dienste – über alle Systeme hinweg. Deshalb ist es so wichtig, dass gerade das IAM offen konzipiert ist und unter der eigenen Kontrolle bleibt. Sonst kann es zum Gatekeeper werden oder den reibungslosen Betrieb der Organisations-IT gefährden.

Ein IAM kann aber auch Mehrwerte für die Organisation bieten, die über die reine Bereitstellung von Nutzerinformationen z. B. in einem Verzeichnisdienst deutlich hinausgehen. Ein offen konzipiertes IAM vermittelt zwischen Nutzenden und Anwendungen, verwaltet Benutzer-Identitäten effizient über deren gesamten Lebenszyklus hinweg, ermöglicht anwendungsübergreifendes Single Sign-on (SSO) und Datenschutz und ist in der Lage, verschiedenste Dienste über etablierte Standards wie SAML, OpenID Connect oder SCIM so miteinander zu integrieren, dass sie nahtlos zusammenspielen.

IAM offen, interoperabel und transparent gestalten

Auch sollte ein IAM auch immer für sicher Prozesse in der Organisations-IT sorgen, wie beispielsweise das sichere Abmelden von Benutzern, das oft genug vergessen wird. So sorgt ein Single Logout (SLO) dafür, dass beim Logout tatsächlich alle genutzten Sessions beendet werden und nicht zum Einfallstor für Angriffe werden. Smarte IAM-Systeme unterstützen dabei sowohl Frontend- als auch Backchannel-SLO, abhängig von den Fähigkeiten der angebundenen Anwendungen.

Ein weiteres zentrales Element souveräner IT, für das ein gutes IAM sorgt, ist das konsequente User-Lifecycle-Management: Berechtigungen können automatisch angepasst oder veraltete Benutzer-Konten zuverlässig entfernt werden – nicht nur aus dem IAM, sondern auch aus den angebundenen Anwendungen und Datenspeichern. Nur so lässt sich verhindern, dass Schattenidentitäten bestehen bleiben oder Daten zurückbleiben. Offene Provisionierungs-Schnittstellen wie SCIM machen genau das möglich – synchronisiert, nachvollziehbar und ohne manuelle Workarounds.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Ein Rechenzentrum allein sorgt also noch nicht für digitale Souveränität. Wer wirklich unabhängig agieren will, kann mit einem Identity and Access Management die volle Kontrolle über jede einzelne Komponente der Organisations-IT behalten – von der Infrastruktur bis zur Anwendung. Und wirklich nachhaltig und sicher geht das nur mit einer Open-Source-Lösung. Denn nur mit offenem Quellcode lässt sich die Speicherung und Verarbeitung von sensiblen Daten nachvollziehen, Funktionen anpassen und Anbieter wechseln.

So gelingt der eigene souveräne Stack

Eine Blaupause für eine souveräne Betriebs-Infrastruktur liefert der Sovereign Cloud Stack (SCS), ein vom Bundeswirtschaftsministerium gefördertes Projekt der Open Source Business Alliance (OSBA). SCS definiert technische Standards für Interoperabilität, Modularität und Portabilität – inklusive Referenz-Implementierung und realitätsnahem Testbetrieb eines „Infrastructure-as-a-Service“-Stacks (IAAS).

Wie eine souveräne Arbeitsumgebung darauf aufbauen kann, zeigt Opendesk: Statt auf eine geschlossene Komplettlösung zu setzen, kombiniert das Projekt bewährte Open-Source-Komponenten, wie etwa Open-Xchange für E-Mail, Kalender und Kontakte, Nextcloud für Dateifreigaben, Collabora für gemeinsame Dokumentbearbeitung, Element für Messaging, OpenProject als Projektmanagement-Software und Nubus als zentrales IAM. Der modulare Aufbau funktioniert – unter anderem beim Robert Koch-Institut und in der Bundestagsverwaltung.

Ein weiteres Beispielprojekt ist der Aufbau des landesweiten Verzeichnisdienstes im Land Schleswig-Holstein, bei dem Nubus als führendes IAM mit integriertem Verzeichnisdienst zum Einsatz kommt und so den sicheren Zugang sowohl zu Fachanwendungen als auch zu Endgeräten ermöglicht und dafür noch in diesem Jahr das bisher eingesetzte Active Directory ablösen soll.

Beide Projekte sind Vorbilder und gute Beispiele für einen souveränen Software-Stack, der Schritt für Schritt wachsen kann – kontrollierbar, erweiterbar und zukunftssicher.

Schritt für Schritt zur digitalen Selbstbestimmung

Digitale Souveränität ist also keine Frage der Geodaten, sondern der Kontrolle, der Gestaltungsfähigkeit und der Selbstbestimmung bei der Software. Der Weg dahin beginnt mit einem ehrlichen Blick auf bestehende Abhängigkeiten. Wo fehlen Alternativen? Welche Systeme lassen sich nicht selbst gestalten? Setze ich wirklich die IT ein, die meine Organisation den besten Dienst leistet? Die gute Nachricht: Der Ausstieg muss nicht radikal sein.

Viele Projekte starten erfolgreich mit einem überschaubaren Pilot, mit der Unterstützung professioneller Partner und mit hybriden Lösungen, bei denen ein offenes IAM eine Brücke zwischen der neuen und der alten Welt schlägt, indem es Datenfluss und technisches Zusammenspiel effizient ermöglicht.


* Der Autor Ingo Steuwer beschäftigt sich seit über 20 Jahren mit Open Source Software und dem Schwerpunkt Identity- und Access Management – als Entwickler, Berater und Produktmanager. In seiner aktuellen Rolle als VP Platform and Technology bei der Univention GmbH ist er für die technische Produktstrategie verantwortlich.

Bildquelle: Univention GmbH

(ID:50536765)

Weiterführende Inhalte