IAM ohne PAM? – Wie Handball                ohne Trainer am Spielfeldrand

In der Informationssicherheit spielen mehrere Disziplinen eng zusammen: Identity Management (IM), Access Management (AM), Privileged Access Management (PAM) und Identity Governance & Administration (IGA). Gemeinsam bilden sie den Kern eines effektiven Identity & Access Managements (IAM) – und sorgen dafür sicher, dass Unternehmen Zugriffe gezielt steuern, Missbrauch verhindern und Compliance-Anforderungen erfüllen.  

Um ihre Rollen anschaulich zu machen, hilft ein Blick auf eine Handballmannschaft: 
IM, PAM und IGA sind im IAM wie die Vorbereitung, das Spiel und die Nachbearbeitung unter der Leitung eines Trainers. 

Identity Management (IM) ist wie die Arbeit des Trainers oder Teammanager vor dem Anpfiff: 
Es geht darum, die Mannschaft optimal aufzustellen und sicherzustellen, dass jeder weiss, was er zu tun hat. 

Im Detail bedeutet das: 

• Mannschaft verwalten – Neue Spieler ins Team integrieren, Spieler transferieren oder verkaufen (klassische Joiner–Mover–Leaver-Prozesse) 

• Spieler an die richtige Position setzen – Rollen, Verantwortlichkeiten und Berechtigungen klar zuordnen 

• Verantwortung übergeben – klar definieren, wer für welche Aufgabe zuständig ist und für welchen Zeitraum 

• Spielzüge definieren – Prozesse und Abläufe so gestalten, dass im laufenden Spiel(-Betrieb) alles ineinandergreift 

IM sorgt dafür, dass beim Spielstart alle Spieler zur richtigen Zeit am richtigen Ort sind, die Regeln klar sind und das Team die nötige Struktur hat. 

Privileged Access Management ist eine zentrale Unterdisziplin des Access Management und beginnt, sobald der Schiedsrichter anpfeift. PAM sorgt dafür, dass der Trainer das Geschehen im Blick behält und bei Bedarf live eingreifen kann.  

Das umfasst: 

• Überwachung in Echtzeit – das „Spielgeschehen“ jederzeit im Blick behalten 

• Timeout-Karte ziehen – in kritischen Situationen sofort unterbrechen 

• Situationsgerechtes Eingreifen – gezielt Privilegien vergeben oder entziehen, wenn es notwendig ist 

• Spielaufzeichnung – alle Aktionen lückenlos protokollieren

• Schnelles Reagieren bei Regelverstössen – Zugriffsrechtebei einer «Unsportlichkeit» sofort entziehen PAM-Lösungen sind damit die Sicherheitslinie im Live-Betrieb – flexibel, präzise und bereit, den Unterschied zwischen Sieg und Niederlage zu machen

Nach dem Abpfiff beginnt die Analysephase – die Domäne der IGA. 
Hier werden Aufzeichnungnen geprüft, Fehler erkannt und Verbesserungen geplant. 

Konkret bedeutet das: 

• Spielaufzeichnung auswerten – Audit-Logs und Berichte prüfen 

• Nicht mehr benötigte Spielzüge entfernen – überflüssige Berechtigungen entziehen 

• Funktionstrennung sicherstellen – verhindern, dass ein Spieler gleichzeitig Angriff und Torwart ist 

• Optimierung der Aufstellung – Rollen und Prozesse anpassen, um Risiken zu minimieren 

Identity Governance stellt sicher, dass aus jedem Spiel gelernt wird – und die Sicherheit und Effizienz kontinuierlich steigen. 

IAM ohne PAM ist wie ein Trainer, der die Mannschaft zwar perfekt vorbereitet, aber beim Spiel nicht dabei ist – und sich später beim Video-Review fragt: „Wie ist der Ball eigentlich ins eigene Tor gekommen?“ 
Umgekehrt kann auch PAM ohne eine klare IAM-Strategie nicht sein volles Potenzial entfalten.  
Erst das Zusammenspiel von Identity Management, PAM und IGA sorgt für eine lückenlose und effiziente Zugriffssicherheit – und damit für den Gewinn einer ganzen Meisterschaftssaison statt nur eines einzelnen Spiels. 

• Advisory Services – Wir analysieren Ihre Rahmenbedingungen (Regulatorien, Gesetze, Normen wie ISO/IEC 27001, DORA, TISAX, NIS2 oder SOX) und zeigen, wie IAM- und PAM-Lösungen diese Anforderungen optimal erfüllen. 

• Integration Services – Wir konzipieren und implementieren IAM- und PAM-Lösungen, damit Ihre «Mannschaft» bestens vorbereitet ist. 

• Operation Services – Wir begleiten Sie während der gesamten Saison: Unterstützung im laufenden Betrieb, Optimierung deiner Prozesse und schnelle Hilfe, falls „Spieler“ (Systeme oder Zugriffsrechte) ausfallen. 

Mit der IPG an Ihrer Seite haben Sie das komplette Trainer- und Betreuerteam, um deine Informationssicherheit auf Meisterschaftsniveau zu bringen.

Dieser Bericht beruht auf Expertenwissen, Stefan Huber ist Head of Technical Consulting Schweiz und ehemaliger Handballer.