Identitäts- und Geräteüberprüfung

Ein Identitätsanbieter ist das zentrale System, das Benutzer authentifiziert und Token für andere Dienste ausstellt. Moderne IdPs unterstützen SSO, MFA und bedingten Zugriff. Beispiele: Okta, Azure AD (Entra ID), Google Workspace, Ping Identity.

SSO ermöglicht es Benutzern, sich einmal beim IdP zu authentifizieren und auf mehrere Anwendungen zuzugreifen, ohne ihre Zugangsdaten erneut einzugeben. Es basiert auf den Protokollen SAML 2.0 oder OIDC. Sicherheitsvorteil: Weniger Zugangsdaten bedeuten weniger Gelegenheiten für deren Diebstahl; Sicherheitskontrollen werden beim IdP zentralisiert.

Zwei vorherrschende SSO-Protokolle:

• SAML 2.0 — XML-basiert, für Unternehmen, von älteren Anwendungen umfassend unterstützt
• OIDC (OpenID Connect) — JSON-/JWT-basiert, modern, baut auf OAuth 2.0 auf und wird von Cloud- und mobilen Anwendungen verwendet

Beide delegieren die Authentifizierung an den IdP und geben ein signiertes Token an die Anwendung zurück.

Moderne IdPs unterstützen bedingten Zugriff: Zugriffsentscheidungen basieren auf Risikosignalen:

• Benutzerrolle und Gruppenmitgliedschaft
• Gerätekonformitätsstatus
• Geografischer Standort
• Tageszeit
• Risikowert (Anomalie bei der Anmeldung)

Hochriskante Signale lösen eine Step-up-MFA aus oder blockieren den Zugriff vollständig.

MDM registriert und verwaltet Geräte und setzt Sicherheitsrichtlinien durch:

• Bildschirmsperre per PIN oder biometrischer Authentifizierung verlangen
• Festplattenverschlüsselung verlangen
• Betriebssystem-Updates erzwingen
• Möglichkeit zur Fernlöschung
• Konformitätsberichte für den IdP für den bedingten Zugriff

Beispiele: Microsoft Intune, Jamf (Apple), VMware Workspace ONE.

Gerätezertifikate verknüpfen eine kryptografische Identität mit jedem verwalteten Gerät. Sie werden von einer unternehmenseigenen CA über MDM ausgestellt. Zero-Trust-Richtlinien können ein gültiges Gerätezertifikat verlangen, bevor Zugriff gewährt wird — nicht verwaltete persönliche Geräte werden selbst mit gültigen Benutzerzugangsdaten blockiert.

Zero Trust verwendet EDR-Telemetriedaten als Signal für den Gerätezustand. Ein IdP kann vor der Zugriffsgewährung abfragen, ob EDR installiert ist und ordnungsgemäß funktioniert. Erkennt EDR ein kompromittiertes Gerät, löst die Integration in den bedingten Zugriff automatisch den Entzug des Zugriffs aus.

JIT-Zugriff (PIM — Privileged Identity Management) gewährt erweiterte Berechtigungen nur bei Bedarf und für eine begrenzte Dauer; dafür ist eine Genehmigung erforderlich. Es gibt keine dauerhaft zugewiesenen Administratorrollen. Azure AD PIM, temporäre AWS-IAM-Anmeldedaten und HashiCorp Vault implementieren dieses Prinzip.

Auch Anwendungen müssen ihre Identität verifizieren. Mögliche Ansätze:

• Dienstkonten mit kurzlebigen Token
• mTLS — gegenseitiges TLS, bei dem Client und Server Zertifikate vorlegen
• SPIFFE/SPIRE — Framework für Workload-Identitäten in Microservices

In SaaS- und Cloud-Umgebungen verhindert die Identitätsisolierung den mandantenübergreifenden Zugriff. Der Identitätsbereich jedes Kunden muss strikt isoliert sein. Ein Fehler, durch den ein Mandant auf die Daten eines anderen zugreifen kann, ist eine kritische Schwachstelle.

Über die alltägliche Authentifizierung hinaus stellt die Identitätsgovernance Folgendes sicher:

• Regelmäßige Zugriffsüberprüfungen (Zertifizierungen) — Führungskräfte prüfen, wer Zugriff hat
• Automatisierte Bereitstellung und Deprovisionierung über SCIM
• Verwaiste Konten werden erkannt und entfernt
• Funktionstrennung wird durchgesetzt

Welche Zero-Trust-Komponente gewährt erweiterte Berechtigungen nur bei Bedarf, für eine begrenzte Zeit und mit Genehmigung, statt Administratorrollen dauerhaft zuzuweisen?

Zero-Trust-Identität: zentraler IdP mit SSO (SAML/OIDC), MFA und Richtlinien für bedingten Zugriff. Geräteüberprüfung durch MDM-Konformitätsprüfungen und Gerätezertifikate. JIT/PIM beseitigt dauerhaft vergebene Administratorrechte. Dienstidentitäten werden durch mTLS und SPIFFE umgesetzt. Identitätsgovernance mit Zugriffsüberprüfungen und automatisierter SCIM-Bereitstellung stellt sicher, dass das Prinzip der geringsten Rechte dauerhaft eingehalten wird.