Beschreiben Sie den Identitätslebenszyklus von der Bereitstellung bis zur Deaktivierung. Wo scheitern die meisten Organisationen?

Das Identity-Lifecycle-Management gehört zur IAM-Domäne und ist dort, wo Governance auf den Tagesbetrieb trifft. Interviewer fragen es, weil defekte Lebenszyklusprozesse hinter einem großen Teil realer Sicherheitsvorfälle stehen.

Die Lebenszyklusphasen

• Joiner (Bereitstellung) — wenn jemand eingestellt oder eingearbeitet wird, erhält die Person Konten und Berechtigungen entsprechend ihrer Rolle, idealerweise über eine rollenbasierte Bereitstellung, damit sie genau das bekommt, was der Job braucht, und nicht mehr.
• Mover (Änderung) — bei Beförderung, Versetzung oder Projektwechsel muss der Zugriff angepasst werden: neue Rechte hinzufügen und alte Rechte entfernen. Der klassische Fehler hier ist, den alten Zugriff bestehen zu lassen.
• Leaver (Deaktivierung) — bei Kündigung oder Vertragsende wird jeglicher Zugriff umgehend entzogen, idealerweise automatisch und sofort bei feindseligen Austritten.

Durchgängig bestätigen periodische Zugriffsüberprüfungen / Rezertifizierungen, dass Personen weiterhin benötigen, was sie haben, und dass keine Konten von der Richtlinie abgedriftet sind.

Wo Organisationen scheitern

Zwei Fehler dominieren:

• Rechteanhäufung — Mover sammeln über Jahre Berechtigungen über Rollen hinweg an, verletzen still das Prinzip der geringsten Rechte und bauen ein gefährlich überberechtigtes Konto auf. Regelmäßige Rezertifizierung ist das Gegenmittel.
• Verwaiste Konten — Leaver (oder Dienstkonten), deren Zugriff nie deaktiviert wurde. Sie sind bevorzugte Ziele für Angreifer und ehemalige Mitarbeitende und eine häufige Prüfungsfeststellung.

Automatisierung als Lösung

Manuelle Lebenszyklusprozesse brechen unter der Last der Skalierung zusammen. Die Bereitstellung an das HR-System als maßgebliche Quelle zu binden, SCIM für automatisierte Joiner/Mover/Leaver zu nutzen und über SSO zu zentralisieren verkleinert das Risikofenster und macht Überprüfungen durchsetzbar statt nur wünschenswert.

Worauf Interviewer achten

Den vollständigen Joiner-Mover-Leaver-Ablauf mit dem ausdrücklichen Punkt, dass Mover veralteten Zugriff verlieren müssen, das Erkennen von Zugriffsüberprüfungen als wiederkehrende Kontrolle und das Benennen von Rechteanhäufung und verwaisten Konten als die zentralen Fehler — idealerweise mit Verknüpfung der Behebung zu Automatisierung und geringsten Rechten.