Die Stellvertreter
Warum Verantwortung im Zugriffsmodell nie angekommen ist
Worum es geht
Nach siebzig Beiträgen über Rollen, Rezertifizierung, privilegierte Zugriffe und Zuständigkeiten bleibt eine einfache Erkenntnis: Identity Governance beantwortet nur eine einzige Frage – wer darf was entscheiden, und wer trägt die Verantwortung dafür? Der Essay prüft, ob diese Verantwortung im Zugriffsmodell je angekommen ist. Und findet an ihrer Stelle Stellvertreter: Konstruktionen, die wie Entscheidungen aussehen, ohne welche zu sein.
Das ist keine Mängelliste. Jeder dieser Befunde ist bekannt, hat eigene Literatur und eigene Lösungen – manche seit fünfzehn Jahren. Dass sie trotzdem fortbestehen, ist das Argument: Es sind nicht mehrere Probleme, sondern eines.
Ich habe über viele Jahre Projekte zu Identity Governance begleitet. Banken, Versicherungen, Mittelstand, Konzerne. Unterschiedliche Architekturen, unterschiedliche Werkzeuge, unterschiedliche Reifegrade. Eines war in all diesen Projekten gleich: Governance kam zuletzt.
Es wäre bequem, das den Fachbereichen anzulasten. Sie haben sich der Verantwortung für Zugriffe entzogen, so lautet die übliche Erzählung, also musste jemand anderes einspringen. Diese Erzählung ist nicht falsch. Aber sie ist unvollständig, und der fehlende Teil betrifft mein eigenes Fach.
Wir in der zentralen IAM-Funktion haben es den Fachbereichen ermöglicht, sich zu entziehen. Wir haben Rollenmodelle gebaut, damit niemand mehr über einzelne Berechtigungen urteilen muss. Wir haben Rezertifizierungen so lange vereinfacht, bis sie in wenigen Minuten erledigt waren. Wir haben übernommen, was andere nicht tragen wollten, in guter Absicht und aus guten Gründen. Und wir haben damit dafür gesorgt, dass eine bestimmte Frage nie gestellt werden musste.
Wenn Governance in all diesen Projekten das fünfte Rad war – wo ist dann die Verantwortung für den einzelnen Zugriff eigentlich geblieben?
Der vollständige Text erscheint hier, sobald der Entwurf abgeschlossen ist.
Aufbau
- IDer Begriff · Was Verantwortung im Zugriffsmodell ist – und was nicht. Vier Bedingungen.
- IIDas Werkzeug · Der Stellvertreter – und die Probe: Was passiert, wenn man es besser macht?
- IIIDer Beweis · Die Kette: Entscheidung, Umsetzung, Kontrolle, Korrektur – und auf jeder Stufe ein Stellvertreter.
- IVDie Einwände · „Das gab es früher auch“ und „Es liegt am Umgang, nicht am Werkzeug“.
- VDie Ursache · Woher die Menge kommt: Regulierung, Möglichkeit, Anreiz.
- VIDie Fortsetzung · Mit neuen Mitteln: Was gerade mit der Governance von KI-Agenten geschieht.
- VIIUrteil und Forderung · Offenlegen. Weniger Entscheidungen, dafür echte. Woran man es misst.