ITIL®-gestützte Implementierung von Identity Management

Inhaltsverzeichnis

Abbildungsverzeichnis

Tabellenverzeichnis

Abkürzungsverzeichnis

Danksagung

Kurzfassung

Abstract

1 Einleitung
1.1 Problemstellung
1.2 Motivation und Relevanz
1.3 Aufbau und Inhalt der Arbeit

2 Digital Identity
2.1 Definition
2.2 Terminologie und Aufbau
2.2.1 Subjects, Attributes und Claims
2.2.2 Credentials, Authentication und Authorisation
2.2.3 Praxisbezug zur realen Welt
2.3 Security und Privacy

3 Identity Management
3.1 Definition
3.2 Digital Identity Life Cycle
3.2.1 Creation/Provision Phase
3.2.2 Propagation Phase
3.2.3 Use Phase
3.2.4 Maintenance Phase
3.2.5 Termination/Deprovision Phase
3.3 IDM-Komponenten
3.4 IDM-Architektur

4 Treiber des Identity Management
4.1 Security
4.2 Compliance
4.3 Kostenreduktion und operative Effizienz
4.3.1 Automatisches Provisioning
4.3.2 Single Sign On
4.3.3 Self-Service-Portale
4.4 Moderne Geschäftsanforderungen
4.4.1 Service Oriented Architecture
4.4.2 Federation

5 Erfolgsfaktoren des Identity Management

6 IDM im IT Service Management
6.1 Begriffsbestimmung IT Service Management
6.2 Identity Management als Service

7 ITIL
7.1 Fokus
7.2 Historie
7.3 ITIL-Module
7.3.1 Service Delivery – taktische Ebene
7.3.2 Service Support – operationelle Ebene

8 Vorgehensmodell zur Einführung von IDM
8.1 Methodik
8.1.1 Projektphasen
8.1.2 ITIL-Prozessauswahl
8.1.3 Projektmanagement
8.2 Konzeptphase
8.2.1 Request for Change
8.2.2 Zieldefinition
8.2.3 Anforderungsanalyse
8.2.4 Projektausbaustufen
8.3 Entwicklungsphase
8.3.1 ITIL Change Management
8.3.2 Ist-Analyse
8.3.3 ITIL Service Level Management
8.3.4 Process Architecture
8.3.5 Data Architecture
8.3.6 Interoperability Framework
8.3.7 Policies
8.3.8 Technical Reference Architecture
8.3.9 Produktauswahl
8.4 Implementierungsphase
8.4.1 ITIL Release Management
8.4.2 Release-Planung
8.4.3 Testszenarien
8.4.4 Roll-Out-Planung
8.4.5 Betriebseinführung

9 Praktische Umsetzung bei SEIDEL Elektronik
9.1 Firmenvorstellung
9.2 IDM bei SEIDEL Elektronik
9.3 Konzeptphase
9.4 Entwicklungsphase
9.5 Implementierungsphase
9.6 Weitere Vorgehensweise

10 Zusammenfassung

11 Conclusio und Ausblick

Literaturverzeichnis

Abbildungsverzeichnis

Abbildung 1: Aufbau einer Digital Identity

Abbildung 2: Zusammenhang zwischen Identity, Security und Privacy

Abbildung 3: Teilidentitäten bzw. Profiles einer Digital Identity

Abbildung 4: Unterschiedliche Teilidentitäten eines Subjects

Abbildung 5: Digital Identity Life Cycle

Abbildung 6: Komponenten des Identity Management

Abbildung 7: Identity Management Architecture

Abbildung 8: Treiber des Identity Management

Abbildung 9: Wertbeitrag des Identity Management

Abbildung 10: SSO Authentifizierungsverfahren mittels PIN und Tokencode

Abbildung 11: Identity Federation Beispielszenario

Abbildung 12: Identity Federation Modelle

Abbildung 13: IDM As A Service

Abbildung 14: ITIL Publication Framework

Abbildung 15: ITIL-Prozesse auf den Management Ebenen

Abbildung 16: Service Desk als Schnittstelle zu IT-AnwenderInnen

Abbildung 17: Der Incident Management Prozess

Abbildung 18: Position des Problem Management Prozesses

Abbildung 19: Schnittstellen des Change Management

Abbildung 20: Bausteine des Vorgehensmodells zur Implementierung von IDM

Abbildung 21: IDM-Projektphasen und -Vorgänge

Abbildung 22: Relevante ITIL-Prozesse für die Implementierung von IDM

Abbildung 23: Schnittstellen zwischen ITIL-Prozessen und Projekt Management

Abbildung 24: Konzeptphase eines IDM-Projekts

Abbildung 25: Quellen für IDM-bezogenen RfC

Abbildung 26: Ausbaustufen eines IDM-Projekts

Abbildung 27: Entwicklungsphase eines IDM-Projekts

Abbildung 28: Aktivitäten innerhalb des Change Management Prozesses

Abbildung 29: Struktur eines IDM-Service-Katalogs

Abbildung 30: Reifestufen des Identity Management

Abbildung 31: Hub-and-Spoke-Architektur von Meta- bzw. Virtual Directories

Abbildung 32: Komplexe Datenflüsse innerhalb der IT-Infrastruktur

Abbildung 33: Policy Stack auf Basis des Interoperability Frameworks

Abbildung 34: Benutzerbasierende Zugriffskontrolle

Abbildung 35: Rollenbasierende Zugriffskontrolle

Abbildung 36: Beispiel für eine IDM Reference Architecture

Abbildung 37: Implementierungsphase eines IDM-Projekts

Abbildung 38: Aktivitäten innerhalb des Release Management Prozesses

Abbildung 39: Unternehmensstruktur der SEIDEL Gruppe

Abbildung 40: SEIDEL IDM Projektphasen

Abbildung 41: SEIDEL IDM Roadmap

Abbildung 42: SEIDEL IDM-Datenflüsse

Abbildung 43: SEIDEL Policy Stack

Tabellenverzeichnis

Tabelle 1: Auflistung aller Projektvorgänge zur Einführung von IDM

Tabelle 2: Beispiele für identitätsbezogene Risikoszenarien

Tabelle 3: Service Levels für das Zurücksetzen von Kennwörtern

Tabelle 4: IDM-Prozesscharakteristika der 1. und 2. Reifestufe

Tabelle 5: IDM-Prozesscharakteristika der 3. und 4. Reifestufe

Tabelle 6: Beispiele für identitätsbezogene Prozesse

Tabelle 7: Exemplarische Evaluierungskriterien von Identity Prozessen

Tabelle 8: Datenflussrichtungen

Tabelle 9: Mögliche Status Level

Tabelle 10: Exemplarische Kennwortrichtlinien

Tabelle 11: Auflistung der zehn führenden Hersteller für IDM Product Suites

Tabelle 12: SEIDEL Risk Scoring

Tabelle 13: SEIDEL Prozess Bewertung

Tabelle 14: SEIDEL Interoperability Framework

Abkürzungsverzeichnis

Abbildung in dieser Leseprobe nicht enthalten

Danksagung

An dieser Stelle möchte ich mich bei all jenen Menschen bedanken, die mich bei der Erstellung dieser Arbeit unterstützt und maßgeblich zum erfolgreichen Abschluss meines Studiums beigetragen haben.

Ein ganz besonderer Dank gilt meiner Familie, insbesondere meiner Mutter, die mir bei all meinen Entscheidungen zur Seite stand und stets Vertrauen in meine Handlungen setzte. Ich schätze dies sehr.

Weiterhin bedanke ich mich bei meiner Lebensgefährtin, die mir durch ihre persönliche und moralische Unterstützung auch in schwierigen Zeiten stets Halt und Motivation gab.

Außerdem möchte ich mich bei Herrn FH Prof. DI. Dr. Erwin Zinser für seine hervorragende menschliche und fachliche Betreuung bedanken. Sein schnelles und kompetentes Auffassungsvermögen sowie seine raschen Hilfestellungen trugen wesentlich zu meiner Motivation und der zeitgerechten Fertigstellung dieser Arbeit bei.

Ferner gilt mein Dank auch meinem Betreuer bei SEIDEL Elektronik, Herrn Wolfgang Galler, der mit seinen wertvollen Erfahrungsberichten und Informationen den Machbarkeitsbeweis des entwickelten Vorgehensmodells durch die praktische Anwendung bei SEIDEL Elektronik ermöglichte.

Nicht zuletzt bedanke ich mich bei meinen KorrekturleserInnen für ihre konstruktiven Verbesserungsvorschläge und ihre aufgewendete Zeit und Geduld.

Abbildung in dieser Leseprobe nicht enthalten

Kurzfassung

Die Dynamik moderner Geschäftsanforderungen und Geschäftsbeziehungen erfordert von IT-Organisationen eine flexible Unterstützung und die zielgerechte Anpassungsfähigkeit ihrer Systeme und Dienstleistungen.

Das definierte Ziel der vorliegende Diplomarbeit ist die Entwicklung eines für IT-Verantwortliche relevanten Leitfadens zur Implementierung eines unternehmensweit integrierten Identity Management Systems, das sich durch eine zentrale, effiziente und nachvollziehbare Benutzerverwaltung auszeichnet und somit den für moderne Geschäftsprozesse und gesetzliche Richtlinien erforderlichen Sicherheitskontext ermöglicht.

Dazu werden die wesentlichen Termini und Konzepte einer digitalen Identität in den unternehmerischen Kontext gebracht und zudem der Aufbau sowie die wesentlichen Treiber und Erfolgsfaktoren für die Einführung eines Identity Management Systems evaluiert. Ferner erfolgt die Integration der serviceorientierten Disziplin des IT Service Managements, in der die Funktionalitäten des Identity Managements als integrierte und flexibel zuordenbare Dienste beschrieben werden. Die dadurch entstehende Transparenz befähigt IT-Verantwortliche neben der erheblichen Kostenreduktion und dem damit verbundenen Return on Investment, auch den klaren Wertbeitrag von Identity Management aufzeigen zu können.

Ein selbst entwickeltes Vorgehensmodell erläutert die notwendigen Schritte und kombiniert die Konzepte und Prozesse der IT Infrastructure Library mit den Methoden des Projektmanagements. Dieser Ansatz gewährleistet den Aufbau einer qualitativ hochwertigen Identity Management Architektur.

Die praktische Anwendung bei der Firma SEIDEL Elektronik beschreibt die Anpassung an konkrete Organisationsstrukturen und beweist letztlich die wirtschaftliche Relevanz sowie die universelle Einsatzmöglichkeit des generisch aufgebauten Vorgehensmodells.

Abstract

The dynamics of modern business needs and business relations cause the requirements of IT to be able to react highly flexible in areas of support and adjustment of their systems and service activities.

The defined goal of this diploma thesis is to develop and elaborate a guideline that shows IT managers how to implement a companywide and integrated Identity Management system which provides central, efficient and comprehensible user management and fulfills the requirements of modern business processes and legal principles.

Hence, this work specifies the basic terms and concepts of a digital identity and evaluates the necessary architecture as well as the crucial drivers and success factors for implementing an Identity Management system. Moreover, the thesis incorporates the service oriented discipline of IT Service Management which defines the functionalities of Identity Management as integrated and highly flexible services. The consequently improved transparency enables IT managers not only to prove considerable cost savings and the derived return on investment but also to evince the created value by the implementation of Identity Management.

A self-developed procedure model outlines the essential steps and combines the concepts and processes of the IT Infrastructure Library with the methods and tools provided by Project Management. This approach enables the construction of a high-quality Identity Management Architecture.

The successful practical application at SEIDEL Electronics describes the individual alignment to a specific organizational structure and demonstrates the scientific proof of concept as it substantiates the business relevance and versatility of the generic described procedure model.

1 Einleitung

Zunehmend stärker werdender Wettbewerb bedingt durch die Globalisierung und die weltweite Vernetzung der Märkte sowie ansteigende Kundenwünsche und rasante Technologiefortschritte erfordern heutzutage von Unternehmen nahezu dauerhafte Veränderungs- und Anpassungsfähigkeiten. Geschäftsprozesse und Geschäftsbeziehungen müssen schnellstmöglich an die dynamischen Marktverhältnisse angepasst werden, um die langfristige Wettbewerbsfähigkeit aufrecht zu erhalten.

Die in diesem Zusammenhang beteiligten betrieblichen Geschäftsprozesse zeichnen sich in verstärktem Maße durch die Abhängigkeit von den unterstützenden Informationstechnologien aus. Folglich müssen sich unternehmensinterne IT-Organisationen als kundenorientierte Dienstleister definieren, deren Service-Qualität, Effizienz und Flexibilität bei der zielgerechten Ausrichtung ihrer Leistungen als geschäftskritische Unternehmensfähigkeiten zu verstehen sind, welche einen nachvollziehbaren Wertbeitrag zum Geschäftserfolg leisten.

Aufgrund der Tatsache, dass auch IT-gestützte Geschäftsprozesse keinesfalls identitätslos ablaufen, müssen die Service-Betreiber sicherstellen können, dass ihre Dienste zu bestimmten Zeitpunkten auch nur von autorisierten Personen in Anspruch genommen werden können. Die Komplexität und der ständige Wandel dieser Geschäftsabläufe sowie die von ähnlicher Dynamik gekennzeichneten Personalveränderungen konfrontieren IT-Organisationen mit einer Reihe neuer Herausforderungen.

1.1 Problemstellung

Die Verwaltung von IT-Benutzerinformationen und das Zuweisen bzw. Entziehen von Berechtigungen für den Zugriff auf Unternehmensressourcen ist für IT-Organisationen aufgrund der oben erwähnten modernen Geschäftsanforderungen in keinster Weise trivial.

Personalverschiebungen, Mitarbeiterfluktuation, Firmenübernahmen sowie neuartige Geschäftsbeziehungen und dynamische Geschäftsabläufe führen zu ständigen Änderungsanfragen bezüglich der betroffenen Identitätsdaten. Hinzu kommen weit verbreitete, gewachsene IT-Landschaften bestehend aus heterogenen Systemen, in denen redundant vorhandene Benutzerinformationen isoliert auf der Ebene einzelner Insellösungen für zusätzlichen Verwaltungsaufwand sorgen.

Die Folge dieser Komplexität sind hohe Administrationskosten, zeitintensive Arbeitsschritte, Dateninkonsistenz und damit erhöhte Sicherheitsrisiken und mangelnde Transparenz. Vor allem Letztere kann durch das Aufkommen neuer Richtlinien sogar zum Verstoß gegen gesetzliche Regulatoren führen und wirkt sich durch die damit verbundenen Strafen besonders negativ aus.

Hohe Investitionskosten, fehlende methodische Vorgehensweisen und ungewisse Auswirkungen auf die Qualität der vorhandenen Services halten IT-Verantwortliche häufig davon ab, die erforderlichen Veränderungen durchzuführen und in weiterer Folge die von den übergeordneten Geschäftsprozessen geforderte Flexibilität erbringen zu können.

1.2 Motivation und Relevanz

Die Motivation dieser Arbeit basiert auf der Anforderung zahlreicher Unternehmen über detaillierte Instruktionen zu verfügen, welche die Vorgehensweise zur Ablöse der heterogenen Identitätssilos von isolierten Insellösungen durch eine zentrale Benutzerverwaltung, respektive ein zentrales Identity Management erläutern. Das Ziel dieser Bemühungen ist neben der Reduzierung von Administrationsaufwänden mit dem Erreichen des für moderne Geschäftsprozesse erforderlichen Sicherheitsniveaus bzw. der damit verbundenen und geforderten Flexibilität definiert.

Verstärkt wird die beschriebene Anforderung durch neue gesetzliche Regulatoren, welche umfangreiche Transparenz und Nachvollziehbarkeit aller identitätsbezogener Vorgänge fordern.

Zu diesem Zweck wird in dieser Arbeit ein Vorgehensmodell präsentiert, welches branchenunabhängig in einem Unternehmen jeder Größe universell eingesetzt werden kann und die erforderlichen Aktivitäten zur schrittweisen Integration eines unternehmensweiten Identity Management Systems beschreibt. Eine derartige Integration beschränkt sich jedoch keinesfalls auf technische Lösungen bzw. Produkte, sondern greift tief in bestehende Organisationsabläufe und Strukturen ein. Dies erfordert folglich das Verständnis und die Unterstützung aller beteiligten Personen.

Durch den dabei angewandten methodischen Ansatz soll eine neue Perspektive entwickelt werden, welche die Funktionalitäten des Identity Managements als integrierte und transparente Services beleuchtet und folglich IT-Verantwortlichen dabei hilft, Identity Management nicht als Kostenverursacher, sondern als elementarer Erfolgsfaktor zu präsentieren.

Die in diesem Zusammenhang angewandte Verknüpfung mit der Disziplin des IT Service Management illustriert IT-Verantwortlichen die Definition der IT-Leistungen in Form von kundenorientierten Services, die flexibel zu neuartigen Geschäftsprozessen zusammengefasst werden können. Zudem ermöglichen die standardisierten Prozesse und Werkzeuge des IT Service Management eine gesicherte Qualität der vorhandenen Services bei der finalen Implementierung einer IDM-Lösung.

1.3 Aufbau und Inhalt der Arbeit

Der allgemeine Aufbau dieser Arbeit gliedert sich in sechs Hauptabschnitte, welche im Folgenden überblicksartig vorgestellt werden.

Im ersten Teil dieser Arbeit werden die elementaren Begrifflichkeiten und Konzepte einer digitalen Identität erläutert und in den unternehmerischen Kontext des Identity Managements gebracht. Dabei werden die einzelnen Phasen im Lebenszyklus einer digitalen Identität beleuchtet und mit praktischen Beispielen aus dem unternehmerischen Umfeld verdeutlicht. Überdies werden die Komponenten des Identity Managements behandelt und der Aufbau bzw. die Bestandteile einer Identity Management Architecture skizziert.

Der zweite Abschnitt beinhaltet eine prägnante Beschreibung der wesentlichen Treiber für eine Identity Management Lösung, um den resultierenden Nutzen für Organisationen deutlich aufzeigen zu können. Darüber hinaus werden zusammenfassend die bedeutendsten Erfolgsfaktoren bei der Implementierung einer unternehmensweiten und integrierten Identity Management Lösung aufgelistet.

Im Anschluss daran wird Identity Management mit der für IT-Organisationen zunehmend bedeutsamen Disziplin des IT Service Managements in Beziehung gebracht. Zudem wird der in diesem Zusammenhang weltweit verbreitetste und berühmteste Ansatz der IT Infrastructure Library vorgestellt.

Den Kernpunkt dieser Arbeit bildet ein selbst entwickeltes Vorgehensmodell zur unternehmensweiten Einführung von Identity Management, bei dem die Konzepte und Prozesse der IT Infrastructure Library mit den Methoden des Projektmanagements vereint werden, um so den Aufbau einer qualitativ hochwertigen und serviceorientierten Identity Management Architecture zu ermöglichen.

Als Proof of Concept des zuvor beschriebenen Vorgehensmodells wird im anschließenden Abschnitt die praktische Anwendung bei der Firma SEIDEL Elektronik illustriert. Zu diesem Zweck wird das Unternehmen SEIDEL Elektronik und dessen strategische Ziele und operative Aktivitäten im Hinblick auf Identity Management kurz vorgestellt und eine exemplarische Auswahl der Ergebnisse einzelner Projektschritte dargelegt.

Abschließend werden die Kernpunkte und Ergebnisse der vorliegenden Arbeit noch einmal zusammengefasst, kritisch reflektiert und durch einen Ausblick auf zukünftige Entwicklungen im Bereich Identity Management abgerundet.

2 Digital Identity

In diesem einleitenden Kapitel werden die wesentlichen Begrifflichkeiten und Konzepte bezogen auf den Terminus Digital Identity vorgestellt. Darüber hinaus soll durch praktische Beispiele der Zusammenhang zu realen Welt verdeutlicht werden.

2.1 Definition

Obwohl es eine Vielzahl an Definitionen und Betrachtungsperspektiven zum Begriff Identität (engl. Identity) gibt, sind es vor allem die zwei elementaren Beschreibungsmerkmale „Individualität“ und „Übereinstimmung“, die den Terminus Identität, wie er auch im weiteren Verlauf dieser Arbeit verwendet werden soll, am treffendsten beschreiben und sinngemäß den Grundgedanken vieler Definitionen darstellen.

Im Allgemeinen beschreibt Identität eine einzigartige Kombination von Merkmalen, die eine Person oder Sache individuell unverwechselbar und somit eindeutig identifizierbar machen (Houghton Mifflin Company, 2004). Auf eine Person bezogen sind hier Merkmale, wie der Name, die DNA oder die Sozialversicherungsnummer eines Menschen gemeint. Meyers Lexikon Online definiert Identität zudem als die

„ […] völlige Übereinstimmung einer Person oder Sache mit dem, was sie ist oder als was sie bezeichnet wird.“ (Meyers Lexikonverlag, 2007)

Während der Begriff Identität und seine Zusammenhänge im deutschen Sprachgebrauch überwiegend geläufig und bekannt sind, ist die exakte Beschreibung einer digitalen Identität (engl. Digital Identity) keineswegs trivial, für das korrekte Verständnis und den weiteren Verlauf dieser Arbeit jedoch essenziell.

Kurz formuliert bezeichnet eine Digital Identity die digital gespeicherte und in der Regel elektronisch übermittelte Teilmenge jener Charakteristika, die ein Objekt aus der realen Welt identifizieren (Gutierrez, 2006 S. 6). Diese Objekte müssen nicht zwangsläufig natürlichen Personen entsprechen, sondern können beispielsweise auch juristische Personen, Computersysteme, Applikationen, Services oder Webservices repräsentieren.

Philip Windley, anerkannter Experte und Unternehmensberater auf dem Fachgebiet der Wertschöpfung durch den Einsatz von Information Technology (IT), leitet aus diesen Grundgedanken auch seine Definition einer Digital Identity ab.

“A digital identity contains data that uniquely describes a person or thing (called the subject or entity in the language of digital identity) but also contains information about the subject’s relationships to other entities.” (Windley, 2005 S. 8) .

Windley erweitert dabei die zuvor genannten Beschreibungsmerkmale um das Element des Verhältnisses bzw. der Verbindung zu anderen Objekten. Um die Relevanz dieser Verbindungen zu anderen Objekten zu verdeutlichen, sei an dieser Stelle auf das Beispiel eines Grundbucheintrags in der zentralen elektronischen Grundbuchdatenbank verwiesen.

„Das Grundbuch ist ein von den Abbildung in dieser Leseprobe nicht enthalten Bezirksgerichten geführtes öffentliches Verzeichnis, in das Grundstücke und die an ihnen bestehenden dinglichen Rechte eingetragen werden [...]“ (Justiz, 2007) .

Der exakt einem bestimmten Grundstück zugeordnete Eintrag umfasst die Grundstücksnummer, welche die entsprechende Liegenschaft als solche eindeutig identifiziert, sowie eine Reihe anderer Merkmale, wie Angaben zur Fläche, Lage, Nutzung und Grenzen. Darüber hinaus enthält ein solcher Datensatz aber auch die Beziehung zu anderen Objekten der realen Welt, wie z.B. den, im Eigentumsblatt eingetragenen, Namen des Eigentümers oder der Eigentümerin bzw. die Namen der Eigentümer oder Eigentümerinnen (Justiz, 2007).

Aufgaben des Digitalen Identity Management (IDM) sind folglich die Generierung, Verwaltung, Nutzung und eventuelle Zerstörung solcher und ähnlicher Datensätze, respektive Digital Identities. Während einige Digital Identities – wie der oben erwähnte Datensatz eines Grundstücks – allerdings eher zum Zwecke der Bestandsaufnahme angelegt werden, liegt der Fokus des Digital Identity Management eher auf Identitäten, denen Berechtigungen auf gewisse Ressourcen (z.B. der Zutritt zu einem Gebäude oder der Zugriff auf bestimmte Dateien) bzw. Transaktionen (Banküberweisungen etc.) zugeordnet werden. Erst die Verbindung zu autorisierten Handlungen und Aktivitäten machen den Einsatz von Digital Identities sinnvoll (Windley, 2005 S. 8).

2.2 Terminologie und Aufbau

Kim Cameron, „Identity and Access Architect“ bei Microsoft und Betreiber eines Experten Weblogs für Digital Identities, definiert Digital Identity wie folgt:

„[…] a set of claims made by one digital subject about itself or another digital subject.“ (Cameron, 2005)

Für das einwandfreie Verständnis der Beschaffenheit und der Besonderheiten einer Digital Identity ist es erforderlich mit der speziellen Nomenklatur dieses Fachbereichs vertraut zu sein. Die wichtigsten Begrifflichkeiten dieser Terminologie sollen im folgenden Abschnitt anhand des Aufbaus einer Digital Identity hinreichend erklärt werden.

2.2.1 Subjects, Attributes und Claims

Windley beschreibt ein Subject oder Entity als eine Person, eine Organisation, ein Computerprogramm, ein Gerät oder eine andere Sache, die eine Zugriffsanforderung auf eine Ressource stellt. Ressourcen sind beispielsweise Webseiten, Dateien auf Datenträgern, Datenbanken aber auch bestimmte Services oder Transaktionen, wie zum Beispiel eine Kreditkarten Transaktion (Windley, 2005 S. 8).

Identitäten selbst bestehen, wie bereits im vorherigen Abschnitt erwähnt, aus einer Sammlung von Daten und Merkmalen eines Subjects, ausgedrückt in Attributes, Preferences und Traits. Windley definiert den Unterschied zwischen diesen drei Begrifflichkeiten wie folgt:

„Attributes are acquired, describing information about a subject such as medical history, past purchasing behavior, bank balance, credit rating, dress size, age, and so on. Preferences represent desires such as preferred seating on an airline, favorite brand of hot dog, using encryption standards over another, preferred currency, and so on. Traits are like attributes, features of the subject, but they are inherent rather than acquired. Another way of thinking about the difference between attributes and traits is that the former my change, but traits change slowly, if at all. Examples of traits include blue eyes for a person, or how and where a company was incorporated.“ (Windley, 2005 S. 9)

Sofern im weiteren Verlauf dieser Arbeit keine zwingende Unterscheidung erforderlich ist, werden der Einfachheit halber bei der Verwendung der deutschen Bezeichnung Attribute implizit alle drei der oben genannten Begrifflichkeiten mit eingeschlossen.

Um auf eine Ressource Zugriff zu erhalten, behauptet das Subject durch verschiedene Authentifizierungsmerkmale seine Identität ausweisen zu können (Windley, 2005 S. 8). Diese Behauptung wird in der Fachsprache als Claim bezeichnet. Im Folgenden werden einige Beispiele für Claims im oben angeführten Sinne aufgelistet (Cameron, 2005 S. 5):

- Claims zeichnen sich allenfalls nur durch einen eindeutigen Identifier aus. Als Identifier wird jene Information bezeichnet, welche die Identity eines Subjects innerhalb einer bestimmten Umgebung eindeutig identifiziert. Dies könnte beispielsweise die Personalnummer oder E-Mail Adresse eines Angestellten in einem Personenverzeichnis oder auch der Global Unique Identifier im Verzeichnisdienst Active Directory von Microsoft sein (Chong, 2004 S. 20).
- Claims können sämtliche persönliche Identifikationsdaten, wie Name, Adresse, Geburtsdatum oder Staatsbürgerschaft umfassen.
- Ein Claim kann fernerhin nur die Information über eine gewisse Gruppenzugehörigkeit des Subjects beinhalten, wie z.B. die Angabe des Alters, das ein Subject gegebenenfalls als Teil der Gruppe „Erwachsene“ identifiziert.
- Zudem können Claims auch Behauptungen über Leistungsfähigkeiten und Potenziale eines Subjects darstellen, wie zum Beispiel die Fähigkeit Dateien zu modifizieren, oder die Befähigung eine Kreditkartentransaktion bis zu einem gewissen Limit durchführen zu können.

2.2.2 Credentials, Authentication und Authorisation

Um einen Claim, also eine Identitätsbehauptung, bestätigen zu können, müssen Subjects nachhaltige Beweise aufweisen können. Diese Beweise werden im Fachjargon Credentials genannt und lassen sich, zusammen mit den sich daraus ergebenden Authentifizierungsverfahren, in drei Kategorien gliedern (Srivastava, 2006 S. 114).

- Besitz (das Subject hat etwas)

z.B.: Chipkarte, Token Card, digitale Zertifikate

- Wissen (das Subject weiß etwas)

z.B.: Kennwörter, persönliche Identifikationsnummer (PIN)

- Biometrische Merkmale (das Subject ist etwas)

z.B.: Fingerabdrücke, Iriserkennung, Stimmenerkennung

Abbildung 1 fasst im Folgenden den mehrschichten Aufbau einer Digital Identity zusammen:

Abbildung in dieser Leseprobe nicht enthalten

Abbildung 1: Aufbau einer Digital Identity

Quelle: modifiziert übernommen aus: (Lewis, 2003 S. 21).

Ein Subject präsentiert demnach seine Credentials, um nachweislich die Echtheit seiner Identitätsmerkmale zu bestätigen, die beispielsweise für den Zugriff auf eine Ressource oder das Ausführen einer Transaktion erforderlich sind. Dabei entscheidet eine sogenannte Security Authority (auch als Policy Enforcement Point (PEP) bezeichnet) , die durchaus als eine dritte, unabhängige Partei auftreten kann, mittels spezieller Authentifizierungsmechanismen über die Echtheit der übermittelten Credentials. Dieser Verifikationsvorgang wird Authentication genannt und schafft folglich eine Vertrauensstellung (engl. Trust) zwischen mehreren Subjects (Windley, 2005 S. 9).

Der Komplexitätsgrad dieser Authentication kann dabei je nach Höhe des Risikos, welches mit der entsprechenden Ressource verknüpft ist, variieren. Während beispielshalber die Eingabe eines simplen Kennworts für den Zugriff auf einen Artikel einer Internetzeitung in der Regel als ausreichend empfunden wird, werden von einer Transaktion, wie einem elektronischen Geldtransfer, strengere Authentifizierungsmechanismen erwartet. Dies könnte unter Umständen eine Kombination aus den oben genannten Mechanismen der Authentication sein: Eingabe von Passwort (Wissen), sowie Eingabe einer Transaktionsnummer (TAN) aus einer TAN-Liste (Besitz) (Srivastava, 2006 S. 114).

In manchen Fällen reicht zur Identifikation eines Subjects bereits die Authentifizierung einer kleinen Auswahl an Attributen. Wenn eine Website etwa nur Personen über 18 Jahren Zugang zu bestimmten Inhalten gewähren will, so muss diese Seite eine Benutzerin bzw. einen Benutzer nicht als eine bestimmte Person identifizieren, sondern lediglich das Alter der Person authentifizieren, also eine relativ kleine Teilmenge der gesamten Identitätsmerkmale (Gutierrez, 2006 S. 7).

Die Auswahl jener Identitätsmerkmale, die für den Zugriff auf Ressourcen oder Transaktionen erforderlich sind, erfolgt in einer vordefinierten Security Policy. Diese Security Policy beinhaltet sämtliche Definitionen und Regeln, die das Zuweisen von Berechtigungen für die angefragten Ressourcen beschreiben (Windley, 2005 S. 9).

An einem sogenannten Policy Decision Point (PDP) werden die von der Security Authority authentifizierte Identitäten mit den entsprechenden Einträgen in der Security Policy assoziiert und folglich das effektive Berechtigungsausmaß (z.B. Modifizieren einer Datei) für die angefragte Ressource oder den angefragten Service bestimmt. Vom PDP, der gegebenenfalls auch von der Security Authority selbst verkörpert werden kann, wird das Ergebnis dieser Assoziation als Authority Decision Assertion (ADA) wieder zurück zum PEP gesendet, der im letzten Schritt die vom Subject angefragte Aktion im Vorgang der Authorisation erlaubt oder verweigert (Windley, 2005 S. 9).

In Anlehnung an die oben genannten Definitionen soll ergänzend erwähnt werden, dass jene Identitätsmerkmale, die ein Subject eindeutig identifizieren, auch stark von der im Kontext befindlichen Umwelt und der darin vorkommenden Identitäten abhängig sind. Während alle MitarbeiterInnen eines kleineren Unternehmens in der Regel allein durch ihren Namen eindeutig identifizierbar sind, ändert sich die Situation, sollte es sich um ein Unternehmen mit deutlich höheren Mitarbeiterzahlen handeln; dann reicht das Attribut Name allein nicht mehr aus, um die Identität jeder einzelnen Person der Unternehmens unverkennbar bestimmen zu können.

Jedoch sei an dieser Stelle explizit darauf hingewiesen, dass Identities nicht zwingend einzigartig sein müssen. Wenngleich ein eindeutiger Identifier sich in vielen Fällen als nützlich erweist, ist dieser keinesfalls obligatorisch und in gewissen Kontexten allenfalls unzweckmäßig (Cameron, 2005 S. 5). Das im folgenden Abschnitt angeführte Beispiel aus der realen Welt soll diese Tatsache veranschaulichen und die oben erklärten Begriffsdefinitionen bekräftigen.

2.2.3 Praxisbezug zur realen Welt

Ein Student (Subject) möchte für eine Kinovorstellung eine für StudentInnen ermäßigte Eintrittskarte erwerben (Zugriff auf eine Ressource). Um zu beweisen, dass er auch wirklich studiert, und ihm folglich auch eine Ermäßigung zusteht, überreicht er seinen Studentenausweis (Credential) der Kassiererin an der Kinokasse (Security Authority). Dieser Studentenausweis weist spezifische Credentials auf, welche die Ausführung von diversen Vorgängen auf bestimmten Ressourcen (z.B. das Ausleihen eines Buches an der Universitätsbibliothek oder das Erwerben von ermäßigten Zugtickets) ermöglicht. In diesem Zusammenhang sei kurz darauf hingewiesen, dass dieser Ausweis jedoch nicht die erforderlichen Attribute aufweist, die es dem Besitzer oder der Besitzerin gestatten würden, ebenso ein Kraftfahrzeug zu lenken.

Die Kassiererin an der Kinokasse überprüft in weiterer Folge erstmals sorgfältig, ob es sich überhaupt um einen gültigen Studentenausweis handelt (Validation des Credential) und überprüft anhand des Fotos (biometrisches Merkmal), ob die Person, die den Ausweis überreicht hat, auch der authentische Besitzer dieses Ausweises ist. Sobald die Kassiererin anhand der Übereinstimmung des Fotos mit der physikalischen Erscheinung des Studenten von der Authentizität des Ausweises überzeugt ist, untersucht sie dessen Gültigkeitsdatum (Attribute) und überprüft anhand eines Vergleichs mit dem aktuellen Datum die Anforderung an Gültigkeit (Security Policy). Die Kassiererin kommt nach gründlicher Kontrolle zum Schluss, dass es sich um einen gültigen Ausweis handelt (Authority Decision Assertion), und erteilt dem Studenten schließlich die Berechtigung, eine ermäßigte Eintrittskarte zu erwerben.

Die genaue Einbettung der oben genannten Begrifflichkeiten und Konzepte in ein ganzheitliches Identity Management System wird in den folgenden Kapiteln dieser Arbeit näher diskutiert.

2.3 Security und Privacy

Digital Identity wird häufig als eine zentrale Komponente in einem umfassenden IT-Sicherheitskonzept bezeichnet. In engem Zusammenhang mit der Problematik der Sicherheit (engl. Security) steht jedoch auch das Thema der Privatsphäre (engl. Privacy). Security, respektive die Sicherung von Informationen und Ressourcen vor unbefugtem Zugriff, Zerstörung oder unberechtigter Veränderung, kann nur dann gewährleistet werden, wenn auch eine dahinter liegende integrierte Digital Identity Infrastruktur vorhanden ist. Der Begriff Privacy bezeichnet dabei den Schutz sämtlicher Attribute einer Identität vor einer Verwendung, die über die sich im Kontext befindliche Transaktion und dem damit verbundenen Bedarf des Subjects hinausgeht (Windley, 2005 S. 11).

Vereinfacht erläutert bedeutet dies, dass jene Informationen, die ein Subject bei einer Transaktion zum Beweis seiner Identität preisgeben muss, so minimal wie möglich sein sollen, um ferner nicht zwangsläufig für andere Transaktionen oder Parteien weiterverwendet oder zum Nachteil des Subjects missbraucht zu werden. Eine Ausnahme bildet dabei natürlich eine Gegebenheit, in der eine derartige Verknüpfung vom Subject ausdrücklich erwünscht oder gefordert wird (Srivastava, 2006 S. 114).

Aufgrund der Tatsache, dass ein gutes Konzept für Privacy eine entsprechende Gewährleistung der Informationssicherheit voraussetzt, schließt Windley auf einen zirkulären Zusammenhang zwischen Identity und den beiden oben genannten Elementen Security und Privacy. Diese gegenseitige Kohärenz soll in Abbildung 2 verdeutlicht werden (Windley, 2005 S. 11):

Abbildung in dieser Leseprobe nicht enthalten

Abbildung 2: Zusammenhang zwischen Identity, Security und Privacy

Quelle: modifiziert übernommen aus: (Windley, 2005 S. 11).

Nach dem Prinzip der minimalen Datenübermittlung wird folglich beim Aufbau eines Trusts zwischen mehreren Parteien immer nur eine Teilmenge der gesamten Attribute des zu identifizierenden Subjects übermittelt. Der jeweilige Kontext bestimmt, welche Untermenge an Attributen ausreicht, um einen entsprechenden Trust für die Fortführung der Transaktion aufzubauen. Aufgrund der Tatsache, dass in unterschiedlichen Kontexten auch unterschiedliche Teilmengen an Attributen erforderlich sind, entsteht eine Vielzahl divergenter Identitätssichten, so genannter Teilidentitäten (Srivastava, 2006 S. 112) . Die Burton Group bezeichnet diese Teilidentitäten mit dem Begriff Profiles und definiert diese wie folgt:

„Profiles provide the information that adds context and meaning to an identity. Common profile information such as a person’s address and telephone number may be spread across the system and widely used, for example. But various applications, sites, companies, and other entities will maintain profiles associated with a unique identifier that are specific to a given application context or business function. […] Like credentials, then, profiles are much more transient than the unique identifiers they define.“ (Lewis, 2003 S. 23)

Abbildung 3 illustriert die Einordnung von Profiles in den zuvor diskutierten schichtförmigen Aufbau einer Digital Identity. Dabei werden ein oder mehrere Attribute zu kontextspezifischen Profiles zusammengefasst, wodurch einer Digital Identity letztlich ihre Bedeutung verliehen wird.

Abbildung in dieser Leseprobe nicht enthalten

Abbildung 3: Teilidentitäten bzw. Profiles einer Digital Identity

Quelle: modifiziert übernommen aus: (Lewis, 2003 S. 21).

Abbildung 4 demonstriert die verschiedenen Teilidentitäten in unterschiedlichen Kontexten der realen Welt:

Abbildung in dieser Leseprobe nicht enthalten

Abbildung 4: Unterschiedliche Teilidentitäten eines Subjects

Quelle: (Crauß, et al., 2001).

In der realen Welt bedeutet dies, dass BenutzerInnen von bestimmten IT-Services und Transaktionen mit der Problematik konfrontiert werden, zahlreiche Zugangsdaten für die entsprechenden Teilidentitäten verwalten zu müssen. Eine sichere Verwaltung wachsender Identitätsinformationen stellt sowohl für NutzerInnen, als auch für AnbieterInnen von IT-Services ein äußerst schwer handzuhabendes Problem dar. Negative Folgen daraus sind unter anderem fehlende Transparenz, aufwendige und unzureichende Datenpflege sowie mangelnde Benutzerfreundlichkeit.

Um diesen Problemen dennoch entgegenwirken zu können, bedarf es einer umfassenden, integrierten Identity Management Lösung, die im folgenden Kapitel (Kapitel 3: „Identity Management“) dieser Arbeit detaillierter beschrieben werden soll.

3 Identity Management

Innovative Technologien der Informations- und Telekommunikationsbranche haben weltweit eine Veränderung der Wirtschaft ausgelöst. Die Konvergenz der Märkte, die Allgegenwärtigkeit von Informationstechnik und Telekommunikation (ITK) und die gestiegenen Erwartungen der Kunden erfordern von Unternehmen neben anpassungsfähiger Organisationsstrukturen auch die Entwicklung neuer und flexibler Geschäftsmodelle. Geschäftsprozesse und Dienstleistungen werden über Netzwerk basierende, automatische IT-Services abgebildet und bilden dabei die Schnittstelle zu Mitarbeiterinnen und Mitarbeitern, Kunden, Lieferanten und Geschäftspartnern.

Aufgrund der Tatsache, dass IT-gestützte Geschäftsprozesse im Allgemeinen nicht identitätslos ablaufen können, müssen Anbieter die entsprechenden Service-Empfänger anhand von digital übermittelten Merkmalen identifizieren können. Um in weiterer Folge eine Entscheidung bezüglich der Zugriffsberechtigung für die angefragte Leistung treffen zu können, müssen die übermittelten Digital Identities korrekt interpretiert und verifiziert werden. Dazu bedarf es einer sicheren und zuverlässigen Infrastruktur, welche identitätsbezogene Daten konsistent, hochverfügbar und geschützt bereithält (Windley, 2005 S. 3).

Unternehmen stehen dabei einer Vielzahl an neuen Herausforderungen gegenüber. Innerhalb der Unternehmensgrenzen ringen IT-Verantwortliche mehrfach mit der Problematik der multiplen Teilidentitäten (siehe Kapitel 2.3: „Security und Privacy“), die von Mitarbeiterinnen und Mitarbeitern für den Zugriff auf unterschiedliche Unternehmensressourcen (wie z.B. diverse Datenbankanwendungen) verwaltet werden müssen. Die Begleiterscheinungen dieser Situation sind neben der mangelnden Benutzerfreundlichkeit auch erhebliche Kosten, bedingt durch den enormen Verwaltungsaufwand, Produktivitätsnachlass und unzureichende Security (Kuhlmann, 2006).

Durch den Vormarsch der ITK Technologien in sämtliche Geschäftsbereiche einer Organisation verschwimmen auch die Unternehmensgrenzen zunehmend. Um weiterhin wettbewerbsfähig zu bleiben, sind Unternehmen gezwungen ihre Wertschöpfungskette entsprechend zu erweitern und dabei unternehmensinterne Ressourcen bzw. Informationen über die traditionellen Sicherheitsschranken hinaus zugänglich zu machen. Dies ermöglicht die direkte Anbindung von externen Partnern und Lieferanten an Geschäftsprozesse, die bisher intern abgewickelt wurden. Die sich daraus ergebenden Sicherheitsrisiken, sowie die gesetzlichen Richtlinien für das Handeln nach dem geltenden Recht (siehe Kapitel 4.2: „Compliance“), machen ein integriertes IDM-System unverzichtbar (Windley, 2005 S. 3).

Während in Kapitel 4 („Treiber des Identity Management“) dieser Arbeit ausführlich auf die Treiber des Identity Management eingegangen wird, werden im folgenden Abschnitt die wesentlichen Begrifflichkeiten eines IDM-Systems definiert und die dafür nötige IDM-Architektur vorgestellt.

3.1 Definition

Für einen zielgerichteten Einsatz und die akkurate Verwaltung der in Kapitel 2 („Digital Identity“) beschriebenen Digital Identities bedarf es einer unterstützenden Architektur, bestehend aus kontextspezifischen Prozessen und Technologien. Jamie Lewis, CEO und „Research Chair“ bei Burton Group, definiert den Begriff Identity Management deshalb wie folgt:

„Identity Management is the set of business processes, and a supporting infrastructure, for the creation, maintenance, and use of digital identities.“ (Lewis, 2003 S. 24)

Der wesentliche Aspekt dieser Definition sei dabei der Zusammenhang zwischen identitätsbezogenen Geschäftsprozessen und den eingesetzten Technologien. Lewis geht davon aus, dass erfolgreiches Identity Management nur dann gelingen kann, wenn beide der oben genannten Faktoren für sich selbst funktionieren und ferner bestmöglich aufeinander abgestimmt sind. Während vollständige und einwandfreie Prozesse durch eine ineffiziente technische Realisierung der Infrastruktur behindert werden, sind umgekehrt auch perfekt eingesetzte Technologien wirkungslos, wenn die damit verknüpften Prozesse und Abläufe inkonsistent oder fehlerhaft sind (Lewis, 2003 S. 24).

Innerhalb einer Organisation erfordert diese gegenseitige Korrelation eine kontinuierlich angepasste, wechselseitige Zielausrichtung bei der Entwicklung und dem Aufbau der oben genannten Bereiche. Vereinfacht formuliert dienen Identity Management Lösungen folglich der Verwaltung von Identitäten über den Zeitraum ihrer gesamten Lebensdauer (beispielsweise im Rahmen eines Arbeiter- bzw. Angestelltenverhältnis in einem Unternehmen) und umfassen folglich alle identitätsbezogenen Prozesse, die während dieses gesamten Lebenszyklus vorkommen. Diese Prozesse werden im folgenden Abschnitt (Kapitel 3.2: „Digital Identity Life Cycle“) anhand des Digital Identity Life Cycle genauer erläutert.

Ferner soll im weiteren Verlauf dieser Arbeit der Begriff Identity Management sinngemäß mit dem in der Literatur häufig verwendeten Terminus Identity & Access Management (I&AM) gleichgesetzt werden.

3.2 Digital Identity Life Cycle

Das folgende Kapitel erklärt die einzelnen Phasen des Lebenszyklus einer Digital Identity und stellt exemplarisch den Zusammenhang zu den Abläufen und Aktivitäten innerhalb einer Organisation dar. Ergänzend erwähnt sei an dieser Stelle die Tatsache, dass die chronologischen Abläufe dieses Lebenszyklus, wie er in Abbildung 5 verbildlicht wird, für jegliche Art von Digital Identities gültig sind. Darüberhinaus ist ein genaues Verständnis der im Folgenden beschriebenen Phasen für die Entwicklung einer an die Geschäftsanforderungen angepassten IDM-Strategie unerlässlich.

Abbildung in dieser Leseprobe nicht enthalten

Abbildung 5: Digital Identity Life Cycle

Quelle: modifiziert übernommen aus: (Windley, 2005 S. 29).

3.2.1 Creation/Provision Phase

Die erste Phase des Digital Identity Life Cycle umfasst sämtliche Prozesse, die das Bereitstellen von Services oder Ressourcen für eine entsprechende Identität (z.B. Mitarbeiterin oder Mitarbeiter) in einem IT-System vorbereiten. Der wesentliche Vorgang ist hier das Einrichten (engl. Creation oder Registration) der Digital Identity mitsamt aller Attribute, Credentials und Profiles, welche für die erforderlichen Berechtigungen und Privilegien notwendig sind. Die Zuweisung der Attribute kann sowohl standardmäßige Einträge, wie Name, Adresse oder Telefonnummer, als auch systemspezifische Einträge umfassen, wie beispielsweise Bankverbindung oder Windows Login Informationen (Windley, 2005 S. 30).

Kommt etwa eine neue Mitarbeiterin in ein Unternehmen, so muss deren Digital Identity allenfalls jene Attribute und Credentials aufweisen, die für das System der Gehaltsabrechnung bzw. die Benutzung des Computers an ihrem Arbeitsplatz erforderlich sind.

Diese Zuweisung dieser Eigenschaften und Privilegien wird allgemein mit dem englischen Begriff Provisioning bezeichnet und kann sowohl von Administratoren als auch mit Hilfe eines Workflow gestützten Self-Service-Systems durchgeführt werden. Ein hierfür erforderlicher Sicherheitsmechanismus besteht beispielsweise aus einer im Workflow vorgesehenen Autorisierung durch verantwortliche Personen, wie exemplarisch einer Abteilungs- oder Betriebsleiterin (Windley, 2005 S. 30).

In Unternehmen mit einer Vielzahl von Abteilungen wird der initiale Provisioning- bzw. Creation-Prozess üblicherweise von einer zentralen Personalabteilung gestartet. Die große Herausforderung liegt hierbei in der optimalen Koordination mit den tatsächlichen – häufig dezentral über die Firmenstruktur verteilten – Prozessen, welche für die Verwaltung von Ressourcen und Systemen verantwortlich sind (Lewis, 2003 S. 25).

Registration und Provisioning werden vor allem dann zu einer kritischen Aufgabe eines Unternehmens, wenn die zu erfassenden Digital Identities über die eigenen Unternehmensgrenzen hinausgehen und Identitäten wie zum Beispiel Kunden, Lieferanten oder Geschäftspartner umfassen.

Die mit solchen Identitäten verknüpften Prozesse für die Verwaltung und die Bereitstellung von Ressourcen und Services müssen in vielen Fällen sehr speziellen Erfordernissen gerecht werden. Diese ergeben sich angesichts diverser Geschäftsanforderungen oder Security und Privacy Angelegenheiten und erfordern neben der Flexibilität von Prozessen und Infrastruktur unter Umständen auch den Einsatz von ergänzenden, spezifischen Technologien (Lewis, 2003 S. 25).

Die Thematik dieser Szenarien wird unter dem Begriff Federation zusammengefasst und in Kapitel 4.4.2 („Federation“) als ein wesentlicher Treiber einer Identity Management Lösung näher erläutert.

3.2.2 Propagation Phase

Nachdem eine Digital Identity erfolgreich generiert wurde, und die Zuweisung aller Attribute, Credentials und Profiles erfolgt ist, muss der gesamte Datensatz an alle beteiligten IT-Systeme verbreitet werden. Dieser Prozess wird im Digital Identity Life Cycle mit dem englischen Begriff Propagation bezeichnet. Je nach Größe der vorhandenen IDM-Infrastruktur erstreckt sich dieser Vorgang vom simplen Speichern des Datensatzes in eine lokale Datenbank bis hin zu einer komplexen Verteilung und Synchronisation der Identitätsinformationen zwischen zahlreichen, miteinander verknüpften Verzeichnissen und Systemen (Windley, 2005 S. 30). Die dafür eingesetzten unterschiedlichen Technologien und Konzepte werden in Kapitel 8.3.5 („Data Architecture“) dieser Arbeit detailliert dargestellt.

Propagation Prozesse weisen einen hohen Grad an Automatisierbarkeit auf und sollten jedenfalls skalierbar, nachvollziehbar und vor allem zuverlässig sein (Lewis, 2003 S. 26). Ferner muss eine Propagation auch nach jeder Änderung an der Digital Identity stattfinden, da sonst eine entsprechende Datenintegrität und Datenkonsistenz im gesamten IT-System nicht gewährleisten werden kann (Windley, 2005 S. 31).

3.2.3 Use Phase

In der Use Phase werden Digital Identities von ihren BenutzerInnen oder von entsprechenden Systemen zu verschiedenen Einsatzzwecken genutzt (Windley, 2005 S. 31). Klassische Anwendungsfälle sind der von MitarbeiterInnen initiierten Zugriff auf eine Unternehmensressource (zum Beispiel das Öffnen einer Datei) und die von einem System automatisch durchgeführte Transaktion (etwa bei einer Rechnungslegung).

3.2.4 Maintenance Phase

In Abhängigkeit von Art und Verwendungszweck sind Digital Identities im Laufe ihrer Lebenszeit einer Veränderung ihrer Attribute ausgesetzt. Im Kontext einer Organisation werden solche Veränderungen beispielsweise durch einen Namens- oder Wohnortswechsel einer Mitarbeiterin oder durch Positionsänderungen und den damit verbundenen alternierenden Aufgabengebieten ausgelöst (Windley, 2005 S. 31).

Derartige Dynamiken erfordern die Modifikation der betreffenden Digital Identity und ziehen in häufigen Fällen eine Vielzahl an weiteren korrelierenden Maßnahmen nach sich. Vom jeweiligen Zusammenhang abhängig, könnte die bereits erwähnte Positionsänderung einer Mitarbeiterin unter Umständen auch das Anlegen eines neuen Accounts, die Deaktivierung von alten Accounts, sowie eine Anpassung der entsprechenden Berechtigungen zu Folge haben (Lewis, 2003 S. 26). Aufgrund von diversen Geschäftsanforderungen oder der Integration von neuen Systemen, bedarf es darüber hinaus oftmals einer erheblichen Erweiterung der bereits vorhandenen Attribute einer Digital Identity.

Nach Abschluss jeglicher Änderung an einer Digital Identity ist diese jedenfalls erneut an alle beteiligten Systeme zu kommunizieren. Dieser Vorgang wird als Repropagation bezeichnet und stellt einen äußert kritischen und herausfordernden Prozess innerhalb eines IDM-Systems dar (Windley, 2005 S. 31).

Im unternehmerischen Kontext zählt die Wartung, respektive die Änderungen und Anpassungen von Digital Identities, zu den aufwendigsten und damit kostenträchtigsten Aufgaben im Alltag eines IT-Helpdesks. Bedingt durch steigende Personalfluktuation, zeitlich begrenzte Dienstverhältnisse und dynamische Unternehmensorganisationen können die Veränderungen der damit verknüpften Digital Identities bereits als Normalzustand bezeichnet werden. Identity Management Systeme weisen in diesem Zusammenhang ein enormes Potenzial zur Kosteneinsparung auf. Dieses Potenzial wird in Kapitel 4.3 („Kosten“) ausführlich erläutert.

3.2.5 Termination/Deprovision Phase

Sobald eine Identität am Ende ihres Lebenszyklus angekommen ist, muss diese auch durch vordefinierte Prozesse und Policies an allen beteiligten Systemen vollständig und korrekt aufgelöst werden (Lewis, 2003 S. 27).

Auslöser für die Beseitigung nicht mehr benötigter Digital Identities sind beispielsweise die Kündigung einer Mitarbeiterin oder die Auflösung eines Vertragsverhältnisses mit Lieferanten, externen Beratern oder anderen Geschäftspartnern. Kontextbezogene Policies bestimmen dabei den zeitlichen Abstand zwischen dem initiierenden Ereignis der realen Welt und dem endgültigen Entzug aller zuvor zugewiesenen Zugangs- und Zugriffsberechtigungen der korrespondierenden Digital Identity. Die maximal tolerierbare Größe dieses zeitlichen Abstandes wird von unternehmensspezifischen Faktoren, wie der Art der Geschäftsbranche, dem Sensibilitätsgrad der Daten bzw. Ressourcen, der Position der Mitarbeiterin bzw. des Mitarbeiters oder den grundlegenden Sicherheitsanforderungen bestimmt (Lewis, 2003 S. 27).

Fehler in den zuständigen Prozessen sowie Nachlässigkeit in der Deprovision Phase stellen insbesondere bei sensiblen und unternehmenskritischen Daten sehr große Sicherheitsrisiken für Unternehmen dar. Nicht korrekt aufgelöste Identitäten können Außenstehenden unbefugten Zugriff auf Unternehmensressourcen ermöglichen und in Folge Datenmissbrauch, Datenmanipulation und Datendiebstahl zur Folge haben. Im Übrigen sind solche Digital Identities bevorzugtes Angriffsgebiet für Hacker, die mittels dieser vergessenen und nicht kontrollierten Identitäten unbemerkt in die Systeme eines Unternehmens eindringen können (Windley, 2005 S. 32).

[...]