Identity & Access Management (IAM) für Unternehmen und Kommunen in Hamburg und Schleswig-Holstein

IAM beantwortet bei jeder Anmeldung zwei Fragen: Wer ist das wirklich, und was darf diese Identität tun? Das BSI behandelt das Thema im IT-Grundschutz-Baustein ORP.4 „Identitäts- und Berechtigungsmanagement“, so heißt IAM dort. In der Praxis besteht IAM aus fünf Bausteinen:

• Identitätsverwaltung. Ein persönliches Konto pro Person, mit festem Ablauf von der Anlage bis zur Löschung.
• Authentifizierung. Der Nachweis der Identität: Kennwort plus zweiter Faktor oder passwortlos per Windows Hello for Business, FIDO2-Sicherheitsschlüssel oder Passkey.
• Berechtigungen. Rollen und Gruppen steuern den Zugriff auf Dateiablagen, SharePoint, DATEV oder die Praxissoftware. Jede Rolle bekommt nur die Rechte, die ihre Aufgabe braucht.
• Privilegierte Zugänge. Administratorkonten sind vom Alltagskonto getrennt, zeitlich begrenzt und besonders stark abgesichert.
• Kontrolle und Nachweis. Anmeldeprotokolle, regelmäßige Rechteprüfung und eine Dokumentation, die Prüfer und Versicherer akzeptieren.

B2E-IAM steuert die Konten Ihrer eigenen Belegschaft. Bei den meisten unserer Kunden bilden Microsoft Entra ID (früher Azure Active Directory) und das lokale Active Directory die Basis. In einer Steuerkanzlei heißt das zum Beispiel: Rollen für Berufsträger, Lohn, Finanzbuchhaltung, Sekretariat und Auszubildende, abgestimmt mit der DATEV-Rechteverwaltung.

• Single Sign-on. Eine Anmeldung öffnet Microsoft 365 und alle Cloud-Anwendungen, die SAML 2.0 oder OpenID Connect unterstützen.
• Ein- und Austritt nach Checkliste (Joiner-Mover-Leaver). Eintritt, Abteilungswechsel und Austritt laufen nach festem Ablauf. Auf Wunsch prüfen wir die Kopplung an Personio oder Factorial.
• MFA für alle Konten. Microsoft Authenticator mit Zahlenabgleich für die Cloud, dazu der zweite Faktor direkt an der Windows-Anmeldung.
• Wenig Rechte als Standard (Least Privilege). Rollen je Abteilung statt Einzelrechten, getrennte Admin-Konten und Windows LAPS für lokale Administratorkennwörter.
• Conditional Access. Anmeldung nur von verwalteten, Intune-konformen Geräten und Sperre veralteter Anmeldeprotokolle.

Customer Identity & Access Management (CIAM) steuert die Anmeldung Ihrer Endkunden an Portalen, Shops und Apps, getrennt von den Konten Ihrer Belegschaft. Das wird relevant, sobald Sie Kunden, Mandanten, Mitgliedern oder Bürgern einen eigenen Login anbieten. Typische Fälle sind ein Mandantenportal für den Belegaustausch, der Mitgliederbereich einer gemeinnützigen Organisation oder das Kundenportal eines Logistikbetriebs für Sendungsdaten. Datenschutzrechtliche Fragen klären Sie mit Ihrem Datenschutzbeauftragten, wir setzen die technischen Vorgaben um.

• Selbstregistrierung mit E-Mail-Bestätigung und Self-Service für Kennwort, Profil und Kontolöschung
• Social Login mit einem vorhandenen Konto bei Google, Apple oder Microsoft, wenn Sie das wünschen
• Passkeys für die passwortlose Anmeldung nach dem FIDO2-/WebAuthn-Standard. Gefälschte Anmeldeseiten laufen damit ins Leere
• Einwilligungen nach DSGVO: Zustimmungen werden protokolliert, nur nötige Daten abgefragt, ein Auftragsverarbeitungsvertrag mit dem Betreiber liegt vor
• Login-Seite in Ihren Farben und unter Ihrer Domain

B2B-IAM gibt externen Firmen kontrollierten Zugang zu Ihren Anwendungen, ohne dass Sie jedes Partnerkonto selbst pflegen. Die Partnerfirma bleibt für ihre eigenen Leute verantwortlich, Sie behalten die Kontrolle über die Rechte. Für Logistik und maritime Wirtschaft ist das der häufigste Fall: Speditionen, Reedereiagenten und Werkstätten greifen auf dieselbe Plattform zu, und jede Firma sieht nur ihre eigenen Vorgänge.

• Federation per SAML 2.0 oder OpenID Connect. Mitarbeitende des Partners melden sich mit ihrem eigenen Firmenkonto an. Scheidet dort jemand aus, endet auch der Zugang bei Ihnen.
• Eine Einheit pro Partnerfirma. In Keycloak bildet die Funktion „Organizations“ jede Partnerfirma mit eigener E-Mail-Domain und eigenem Identity Provider ab.
• Delegierte Verwaltung. Eine benannte Person beim Partner lädt Kolleginnen und Kollegen ein oder entfernt sie.
• Befristete Zugänge. Freigaben für Projekte, Wartungseinsätze oder Prüfungen bekommen ein Ablaufdatum.

Fehlendes IAM zeigt sich als Summe kleiner Lücken, die erst im Ernstfall auffallen. In unseren IT-Sicherheitsanalysen finden wir diese Muster am häufigsten:

• Konten ehemaliger Mitarbeitender oder Dienstleister, die Monate nach dem Austritt noch aktiv sind
• Sammelkonten wie „empfang“ oder „buchhaltung“, bei denen niemand nachvollziehen kann, wer was getan hat
• Dauerhafte lokale Administratorrechte im Arbeitsalltag und dasselbe lokale Admin-Kennwort auf allen PCs
• MFA nur in Microsoft 365, während Windows-Anmeldung, VPN und Remotedesktop beim Kennwort allein bleiben
• Partnerzugänge ohne Ablaufdatum, die nach Projektende niemand mehr kennt
• Keine Antwort auf die Frage „Wer hatte im März Zugriff auf die Lohnordner?“

Welche Plattform passt, entscheidet sich an vier Fragen: Wer meldet sich an, wo sollen die Daten liegen, wer betreibt das System, und welche Lizenzen sind schon vorhanden? Wir arbeiten herstellerneutral und kombinieren die Bausteine bei Bedarf.

Microsoft Entra ID und Active Directory

Entra ID ist der Verzeichnisdienst von Microsoft 365 und bei den meisten unserer Kunden schon lizenziert. Welche IAM-Funktionen Sie nutzen können, hängt vom Plan ab. Das richten wir als Teil unserer Microsoft-365-Betreuung ein.

Mehr erfahren

Bare.ID: Plattform auf Keycloak-Basis

Bare.ID ist eine IAM-Plattform der Bare.ID GmbH aus Wiesbaden. Sie baut auf Keycloak auf und ergänzt es um eine Verwaltungsoberfläche und Unternehmensfunktionen. Laut Hersteller läuft der SaaS-Betrieb in deutschen Rechenzentren, alternativ hybrid oder im eigenen Netz. Bare.ID ist nach ISO/IEC 27001 zertifiziert. Wir sind Partner von Bare.ID.

Mehr erfahren

Keycloak: Open Source für eigene Anwendungen

Keycloak ist eine Open-Source-Software für Anmeldung, Single Sign-on und Rechtevergabe in Web-Anwendungen, Portalen und APIs. Das Projekt entstand bei Red Hat und gehört seit 2023 zur Cloud Native Computing Foundation. Keycloak spricht OpenID Connect, OAuth 2.0 und SAML 2.0, bindet ein vorhandenes Active Directory per LDAP an und unterstützt Passkeys. Wir führen Keycloak ein, betreuen es und betreiben es auf Wunsch für Sie.

REINER SCT Login: zweiter Faktor an der Windows-Anmeldung

REINER SCT Login vom Hersteller REINER SCT aus Furtwangen sichert die Windows-Anmeldung im Active Directory mit einem zweiten Faktor ab, per Hardware-Token oder App. Damit kommt niemand mit einem erbeuteten Kennwort an den PC oder den Terminalserver. Wir sind Security Partner und Distributor von REINER SCT.

Mehr erfahren

Keycloak ist eine Marke der Linux Foundation. IT-Service Johannsen ist von der Linux Foundation weder beauftragt noch zertifiziert.

Ab etwa 20 Arbeitsplätzen ist Microsoft 365 Business Premium meist die wirtschaftliche Basis, weil Entra ID P1, Intune und Defender for Business enthalten sind. Wir prüfen Ihre vorhandenen Lizenzen, bevor Sie etwas zukaufen.

Wir setzen IAM als Projekt um und betreiben es danach als Managed Service. Diese Leistungen kombinieren wir passend zu Ihrer Ausgangslage:

• IAM-Bestandsaufnahme. Auswertung von Konten, Gruppen, Admin-Rollen, MFA-Abdeckung und Freigaben in Active Directory, Entra ID und Microsoft 365, mit priorisierter Befundliste.
• Rollen- und Berechtigungskonzept (RBAC). Rollen je Abteilung, dokumentiert als Rollenmatrix.
• MFA für Cloud und Arbeitsplatz. Microsoft Authenticator, Windows Hello for Business, FIDO2-Sicherheitsschlüssel und REINER SCT Login.
• Privilegierte Zugänge. Getrennte Admin-Konten, Entra Privileged Identity Management, Windows LAPS und dokumentierte Notfallkonten.
• Kundenportale und Partnerzugänge. Einführung von Bare.ID oder Keycloak, Anbindung Ihrer Anwendungen per OpenID Connect oder SAML 2.0, auf Wunsch mit Betrieb durch uns.
• Rechteprüfung (Rezertifizierung). Fachverantwortliche bestätigen regelmäßig, wer welche Rechte behält.
• Dokumentation. Rollenmatrix, Prozessbeschreibung und Berichte für NIS-2, ISO/IEC 27001, Datenschutz und Versicherer.

Die NIS-2-Pflichten gelten seit dem 6. Dezember 2025 für wichtige und besonders wichtige Einrichtungen. Ob Ihr Unternehmen dazugehört, klären wir in der NIS-2-Beratung. Auch nicht betroffene Unternehmen bekommen diese Anforderungen oft über Kunden, die selbst unter NIS-2 fallen.

Die Prinzipien sind überall dieselben, die Rollen sehen aber unterschiedlich aus:

• Kommunen und öffentliche Verwaltung. Bare.ID für Bürger- und Mitarbeiterportale, REINER SCT Login für die Windows-Anmeldung im lokalen Active Directory. Beides setzen wir häufig zusammen ein.
• Steuerkanzleien. Mandatsbezogene Zugriffe, getrennte Rechte für Berufsträger und Auszubildende, abgestimmt mit der DATEV-Rechteverwaltung. Ein Mandantenportal ist ein CIAM-Fall.
• Arztpraxen. Rollen für Empfang, Ärztinnen und Ärzte sowie Abrechnung. Schneller, nachvollziehbarer Benutzerwechsel an gemeinsam genutzten Empfangs-PCs, abgestimmt mit der KBV-IT-Sicherheitsrichtlinie.
• Gemeinnützige Organisationen. Befristete und ehrenamtliche Zugänge mit Ablaufdatum. Ein Mitgliederbereich ist ein CIAM-Fall.
• Logistik und maritime Wirtschaft. Schicht-PCs ohne Smartphone und Partnerzugänge für Speditionen und Dienstleister als B2B-Fall.

Als IT-Dienstleister in Hamburg mit zweitem Standort in Schleswig betreuen wir Sie mit festen Ansprechpartnern.