IGA #0–#70: Identity Governance als Disziplin erklärt
Die Leitfrage der Serie: Wie bleibt Zugriff fachlich legitimiert, zeitlich gültig und nachweisbar steuerbar – auch dann, wenn sich Organisation, Aufgaben und Risiken verändern?
Ausgangspunkt
Die Serie entstand nicht aus Theorie, sondern aus wiederkehrender Praxiserfahrung: IAM- und IGA-Systeme entwickeln sich zu zentralen Datenhalden, Verantwortung wird stillschweigend an die Technik delegiert, Regeln werden definiert, aber nicht kontrolliert. Ziel war, IGA fachlich zu erklären – jenseits von Tools und Produkten – und Bewusstsein für klare Verantwortlichkeiten und saubere Grenzen zu schaffen.
Die elf Kapitel
- #0Prolog · Governance ist kein technisches Nebenprodukt, sondern die bewusste Steuerung von Entscheidungsrechten.
- #1–#8Orientierung und Grundlogik · Zugriff ist eine Entscheidung, kein Ticket. Operating Model, Minimum Viable Evidence, Governance-Objekte.
- #9–#15Decision Governance · Decision Records, Policy-to-Decision Trace, Kriterien statt Bedarfsaussagen, Timeboxing.
- #16–#22Ownership und Verantwortung · Application, Role, Data und Control Owner. RACI, Delegation, Grenzen von Verantwortung.
- #23–#30Lifecycle und Drift · Zustandslogik statt Ereigniskette. Joiner, Mover, Leaver, Reorganisation, Desired vs. Actual State.
- #31–#37Ausnahmen und Sonderfälle · Exception Records, Kompensationskontrollen, Exception Debt, Rückbau.
- #38–#44Zugriffsmodelle · RBAC, ABAC, ReBAC, Task/Scope – und warum ein Modellwechsel keine Governance ersetzt.
- #45–#51Privileged Access · Eligibility vs. Activation, Just-in-Time, Break-Glass, Session Accountability.
- #52–#58Non-Person Identities · Taxonomie, Ownership, Lifecycle, Least Privilege und Rotation für technische Identitäten.
- #59–#64Evidenz & Audit · Kontrollkette, Evidenz vs. Logs, wirksame Reviews, Umgang mit Findings, Governance-KPIs.
- #65–#69Reifegrad & Skalierung · Reifegradmodelle, Governance vor dem Antrag, Operating Rhythm, IGA unter Veränderungsdruck.
- #70Verdichtung · Zehn Leitsätze, ein Betriebsmodell: Entscheidung → Umsetzung → Kontrolle → Korrektur.
Was daraus geworden ist
Aus der Serie ist die Fachlektüre „Zugriff ist eine Entscheidung“ entstanden – ausformuliert, um drei Kapitel erweitert und mit einem durchgehenden Fallbeispiel. Und eine unbequeme Anschlussfrage, die der Essay „Die Stellvertreter“ aufnimmt: Wenn Governance in all diesen Projekten das fünfte Rad war – wo ist die Verantwortung für den einzelnen Zugriff eigentlich geblieben?