IAM-Tools nur applikationsunabhängig

Jens Habler von Hapag-Lloyd greift im CIO-Jahrbuch 2014 ein leidiges Thema auf: "In zehn Jahren werden mehr als 80 Prozent aller Unternehmen über ein applikationsunabhängiges Identity Management verfügen", wettet der Senior Director IT Infrastructure & Operational Management. Die Betonung liegt auf applikationsunabhängig! Natürlich bieten die großen Softwarehersteller jetzt schon IAM an, zur Not auch solche Lösungen, die fremde Applikationen verwalten. Aber die Frage nach der Unabhängigkeit der Lösungen bleibt. "Ein applikationsabhängiges Identitäts-Management führt fast zwangsläufig zu einer Locked-in-Situation mit dem jeweiligen Hersteller", meint Habler: "Bei der Vielzahl der Services, die in den nächsten Jahren entstehen werden, ist dies aber grundsätzlich zu vermeiden."

Soweit würde wahrscheinlich jeder CIO zustimmen. Aber das Verlockende an den IAM-Lösungen der großen Anbieter ist halt doch: Sie sind vermeintlich einfacher und schneller zu etablieren. Und die Zeit drängt aus zwei Gründen.

1. Bring Your Own Device (BYOD)

Gemäß einer Studie des IT-Branchenverbandes Bitkom greifen rund 40 Prozent der Arbeitnehmer während der Arbeitszeit zum eigenen Smartphone. Sie rufen zu 77 Prozent berufliche E-Mails ab, browsen zu 65 Prozent im Internet oder tragen zu 63 Prozent Termine in den Kalender ein. Private IT-Ausstattung hat somit längst Eingang in die Unternehmen gefunden. Der Einsatz der privaten Smartphones und Tablets ist ebenso schwer zu ignorieren wie zu administrieren: IT-Verantwortliche haben aus rechtlichen Gründen keinen vollständigen Zugriff auf ein privates Smartphone. Steigt dann noch die Fluktuation, steigt auch die Fehlerzahl bei den Zugriffsrechten. Insbesondere dort, wo es verschiedene Identitäten je Mitarbeiter gibt, vergessen die Vorgesetzten dann, alle Zugriffsrechte ihrer abgehenden Mitarbeiter zu beschränken.

2. Cloud

In einer weiteren Bitkom-Umfrage von Januar 2014 gaben 40 Prozent der Befragten an, dass sie im Jahr 2013 Cloud Computing eingesetzt haben. Im Vergleich zum Vorjahr bedeutet dies einen Anstieg von drei Prozentpunkten. Hier sind besonders Unternehmen mit mehr als 2000 Mitarbeitern Cloud-affin: 70 Prozent aller befragten Unternehmen in dieser Größe setzen bereits auf die Wolke. Kritisch sehen die Betriebe die Cloud allerdings hinsichtlich des Zugriffs auf die Daten. Rund 77 Prozent der Befragten sehen dies als Haupthemmnis für eine Einführung oder intensivere Nutzung von Cloud-Services.

Genau hier bringen sich etablierte Anbieter in Stellung. "Ich denke, die rasante Einführung neuer Anwendungen, mobiler Geräte und Cloud-Services macht Unternehmensgrenzen viel durchlässiger", sagt stellvertretend Gerd Rademann von IBM Security Systems. Zwingend brauche es dann auch eine bessere Security. Wenn diese vom selben Hersteller komme wie einzelne Applikationen, findet Rademann das naturgemäß unproblematisch. Er hebt auf andere Vorteile der großen Anbieter ab, zum Beispiel, dass sein Unternehmen IAM mit Analytik kombiniert. "Damit können Verhaltensanomalien schneller entdeckt und somit Attacken und damit verbundene Schäden besser unterbunden werden", lobt Rademann.

Kleine Anbieter folgen lieber den Argumenten von Habler. So betont Professor Gerd Rossa, Vorstandsvorsitzender der iSM Secu-Sys AG, wie die unabhängigen IAM-Lösungen sich zu einer erstaunlichen funktionellen Breite entwickelt hätten. Er verweist auf Zahlen, nach denen der potenzielle Markt 2014 auf etwa vier Milliarden US-Dollar angewachsen sei. Derzeit bieten circa 25 Anbieter IAM-Systeme im engeren Sinn an. Durch die Nutzung von Cloud-Diensten, wie etwa Rossas "bi-Cube Anywhere", könnten auch schon Unternehmen mit nur einigen 100 Anwendern Identitäts-Management nutzen.

Rossa weist auch darauf hin, dass sich auf dem Markt einige applikationsabhängige Anbieter wie Oracle, SAP oder Microsoft befinden, deren Einsatz stark an deren eigener Applikationswelt ausgerichtet ist. "Ein IAM ist dann eine zukunftsfähige Investition, wenn es eine zentrale und vor allem neutrale Plattform für jedwede Applikation und IT-Substruktur sein kann", sagt Rossa: "Es muss eine Architektur bieten, die über einen internen IAM-Bus verfügt, um auch Applikationen integrieren zu können, die es heute noch nicht gibt und an die heute auch noch keiner denkt."

Die angesprochenen Anbieter sehen das anders. So weist Michael Kranawetter, Chief Security Advisor bei Microsoft Deutschland, auf die Offenheit der eigenen Systeme hin. Azure Active Directory sei eine umfassende Identitäts- und Cloud-Verwaltungslösung, die einen sicheren Zugriff nicht nur auf Microsoft-Online-Dienste wie Office 365 biete, sondern auch auf Nicht-Microsoft-SaaS-Anwendungen. Kranawetter betont die Convenience, die sich daraus ergibt: "So kann ein Single-Sign-on für Cloud-Anwendungen von Windows, Mac und iOS-Geräten realisiert werden." Benutzer können Cloud-Anwendungen aus einer Web-basierten Anwendung mit ihren Unternehmens-Anmeldeinformationen starten. Offene Entwicklerschnittstellen seien bereits heute realisiert. SAML 2.0, WS-Federation und OpenID Connect liefen auf Plattformen wie .net, Java, Node.js und PHP. Entsprechend skalierten reST-basierte Grafik-API, OAuth 2.0, Open-Source-Client-Bibliotheken für Android, iOS, .net und Windows Store.

Microsofts Angaben zufolge behandelt das Azure Active Directory jeden Tag Milliarden von Authentifizierungen von mehr als 200 Millionen aktiven Nutzern und bietet ein SLA von 99,9 Prozent. Dabei widerspricht Kranawetter den Verfechtern eines applikationsunabhängigen Identitäts-Managements: "Dass das Access Management von Cloud Providern wie zum Beispiel Microsoft nicht an Drittanbieter gegeben wird, ist ein alltäglicher Wunsch unserer Kunden."

Also, Wette verloren?

Wir schreiben zwar noch nicht das Jahr 2024, aber bis jetzt ist die Bereitschaft nicht gerade groß, IAM in die Hände unabhängiger - und somit kleinerer - Anbieter zu geben. Zunächst bleibt auch die Frage bestehen: Werden 2024 überhaupt 80 Prozent der Unternehmen ein Identitäts-Management einsetzen? Viel spricht dafür. Die wachsende Zahl an Anwendungen, Cloud-Diensten und auch Betriebssystemen verlangt dies förmlich. Werden die in der Wette prognostizierten 80 Prozent applikationsunabhängig sein? Noch lässt sich keine Tendenz erkennen. Natürlich versuchen CIOs ihre IT so weit wie möglich unabhängig zu halten. Gleichzeitig sind sie aber auch bemüht, die Zahl der Provider gering zu halten, um die Komplexität gering zu halten. Die Wette ist also noch nicht entschieden.