Joiner, Mover, Leaver: der Identity Lifecycle

Beim Eintritt entstehen Konto und Grundrechte. Der entscheidende Punkt ist die Quelle: Wenn die Personaldaten führend sind, entstehen Zugänge aus einem gepflegten Datensatz. Wenn stattdessen ein Ticket den Anstoß gibt, hängt die Qualität der Zugänge daran, wie gut das Ticket ausgefüllt wurde.

Der häufigste Fehler ist die Vorlage „wie die Kollegin". Sie ist bequem und erzeugt zuverlässig zu viele Rechte, weil sie den angesammelten Bestand der Vorlage mitkopiert – einschließlich dessen, was diese aus einer früheren Aufgabe behalten hat.

Beim Wechsel kommen neue Rechte dazu. Die alten müssten gleichzeitig verschwinden – und genau das passiert selten, weil es niemandem auffällt: Der neue Zugriff wird eingefordert, der alte fehlt niemandem.

Über mehrere Wechsel hinweg entsteht daraus die Ansammlung, die in Prüfungen auffällt: Personen, deren Rechtebestand die Summe aller Aufgaben ist, die sie je hatten. Das ist nicht nur ein Prüfungsproblem – es ist der Grund, warum ein einzelnes übernommenes Konto in einem Vorfall so weit reicht.

Der Wechsel ist deshalb das Ereignis, an dem sich der Nutzen eines Lebenszyklusverfahrens entscheidet. Ein Verfahren, das nur Eintritt und Austritt beherrscht, löst das kleinere Problem.

Beim Austritt sollen alle Zugänge enden – nicht nur der im Verzeichnis, sondern auch die in Fachanwendungen, Cloud-Diensten, Werkzeugen mit eigener Benutzerverwaltung und bei externen Anbietern. Die letzten drei sind erfahrungsgemäß diejenigen, an die niemand denkt.

Zwei Dinge machen den Unterschied: eine vollständige Liste der Systeme, die eigene Konten führen, und ein definierter Umgang mit dem, was nicht einfach gelöscht werden kann – Postfächer, Dateiablagen, laufende Vorgänge. Ein Austrittsverfahren, das an solchen Fällen jedes Mal hängen bleibt, wird umgangen.

Der klassische JML-Zyklus denkt an Angestellte. Die schwierigeren Fälle sind andere: Externe ohne Personalstammsatz, Aushilfen mit wiederkehrenden Einsätzen, Praktikantinnen mit Befristung und technische Konten, die keiner Person gehören.

Für alle gilt derselbe Grundsatz: Ein Zugang braucht ein Ende – entweder ein Datum oder eine benannte verantwortliche Person, die regelmäßig bestätigt, dass er noch gebraucht wird. Zugänge ohne beides sind die, die Jahre überdauern.