Best Practices Cybersecurity IAM Grundlagen

Identity Lifecycle Management: Warum der Lebenszyklus einer Identität nie mit dem Onboarding endet

Ein digitaler Lebenszyklus endet nie mit dem Onboarding, weshalb eine durchgängige Identitäts- und Zugriffsstrategie das Fundament moderner Unternehmenssicherheit bildet.

17. September 2026
10 Min. Lesezeit

Ein Entwickler wird zum Engineering Director befördert. Für seine neue Rolle benötigt er zusätzliche administrative Berechtigungen. Gleichzeitig behält er möglicherweise Zugriff auf Produktionscode, Entwicklungsumgebungen oder SSH-Keys, die für seine bisherige Tätigkeit notwendig waren.

Genau hier entsteht ein typisches Sicherheitsproblem: Privilege Creep, das bedeutet, Berechtigungen wachsen mit, werden aber bei einem Rollenwechsel nicht konsequent entfernt. Genau deshalb muss Identity Lifecycle Management weiter gedacht werden als reines Onboarding. Eine digitale Identität durchläuft während ihrer gesamten Zugehörigkeit zu einer Organisation verschiedene Phasen: Eintritt, Rollenwechsel, laufende Überprüfung und Austritt. Werden diese Prozesse nicht durchgängig gesteuert, entstehen unnötige Berechtigungen, verwaiste Konten und potenzielle Angriffspunkte.

Lifecycle

Das Wichtigste im Überblick

Identity Lifecycle Management verhindert, dass Berechtigungen nach einem Rollenwechsel oder Austritt einfach bestehen bleiben – vom Eintritt über einen Rollenwechsel bis hin zum Austritt.

Das Joiner-Mover-Leaver-Modell schafft klare Prozesse für Provisionierung, Berechtigungsänderungen, Überprüfung und Deprovisionierung.

Automatisierte Prozesse reduzieren manuelle Fehler, verhindern Privilege Creep und schaffen Transparenz über Berechtigungen in hybriden und komplexen Unternehmensumgebungen.

Was ist Identity Lifecycle Management?

Identity Lifecycle Management bezeichnet die strukturierte Verwaltung digitaler Identitäten und ihrer Berechtigungen über deren gesamten Lebenszyklus. Dazu gehören die Anlage und Provisionierung beim Eintritt, die Anpassung von Zugriffsrechten bei Rollenwechseln, die laufende Überprüfung sowie die vollständige Deprovisionierung beim Austritt. In diesem Zusammenhang geht es nicht nur um Benutzerkonten. Auch externe Nutzer, Dienstleister und zunehmend nicht-menschliche Identitäten wie Service Accounts, APIs oder technische Konten müssen berücksichtigt werden.

Der Identity Lifecycle im Detail: Joiner, Mover, Leaver

In der Praxis wird der Identity Lifecycle häufig über das Joiner-Mover-Leaver-Modell beschrieben.
Es bildet die wichtigsten Veränderungen einer digitalen Identität ab und schafft einen Rahmen für automatisierte Prozesse.

Joiner – Provisioning: Beim Eintritt wird die digitale Identität angelegt und mit den für die Rolle erforderlichen Basisberechtigungen ausgestattet. Fehler in dieser Phase führen schnell zu übermäßigen Rechten und damit zu einem Sicherheitsrisiko.

Mover – Access Management: Wenn sich die Position, Abteilung oder Verantwortung verändert, betrifft das auch die jeweiligen Berechtigungen. Entscheidend ist es dabei, nicht nur neue Rechte hinzuzufügen, sondern gleichzeitig überflüssige alte Rechte konsequent zu entfernen. Genau hier lässt sich Privilege Creep verhindern.

Review – Monitoring: Berechtigungen sollten regelmäßig überprüft werden. So lassen sich ungenutzte Rechte, verwaiste Konten und Abweichungen von definierten Rollen frühzeitig erkennen.

Leaver – Deprovisioning: Beim Austritt müssen sämtliche Zugriffe vollständig und zeitnah entzogen werden. Das betrifft nicht nur das zentrale Verzeichnis, sondern auch Fachanwendungen, Cloud-Dienste, VPN-Zugänge und weitere angebundene Systeme.

Gerade beim Rollenwechsel entstehen häufig Konflikte zwischen bisherigen und neuen Berechtigungen. Eine systematische Betrachtung von Funktionstrennungen hilft dabei, kritische Berechtigungskombinationen frühzeitig zu erkennen.

Lifecycle Access

Warum manuelle Prozesse hier an ihre Grenzen stoßen

In vielen Unternehmen wird ein Austritt im zentralen Verzeichnis sauber verarbeitet: Das Benutzerkonto im Active Directory wird deaktiviert. Damit ist der Prozess jedoch nicht zwangsläufig abgeschlossen. Berechtigungen in Fachanwendungen, Cloud-Plattformen, Datenbanken oder Drittanwendungen können weiterhin bestehen bleiben.

Diese unvollständige Deprovisionierung führt zu sogenannten Ghost Accounts beziehungsweise zu verwaisten Zugängen. Für Angreifer sind solche Konten interessant, weil sie häufig nicht mehr aktiv genutzt, aber auch nicht vollständig entfernt wurden. Eine automatisierte Deprovisionierung über mehrere Systeme hinweg reduziert dieses Risiko deutlich.

Ein weiterer Aspekt wird dabei zunehmend relevant: Nicht nur Menschen besitzen digitale Identitäten. Service Accounts, API-Keys, Anwendungen und andere Non-Human Identities benötigen ebenfalls definierte Verantwortlichkeiten und Lebenszyklen. Werden solche Identitäten angelegt, verändert oder abgeschaltet, müssen auch ihre Berechtigungen nachvollziehbar gesteuert werden.

Das gleiche Lifecycle-Prinzip gilt auch für andere digitale Sicherheitsobjekte: Entscheidend ist dabei, dass eine Identität beziehungsweise ein Zugang nicht einfach angelegt wird, sondern dass sie über ihren gesamten Lebenszyklus kontrolliert bleiben.

Identity Lifecycle Management als Fundament für Identity Security und Compliance

Ein sauber gesteuerter Identity Lifecycle unterstützt vor allem nachvollziehbare Prozesse. Unternehmen können dokumentieren, wann eine Identität angelegt, wann Berechtigungen verändert und wann Zugriffe entzogen wurden. Das erleichtert interne Kontrollen, Audits und die revisionssichere Nachvollziehbarkeit von Berechtigungsentscheidungen.

Gerade für IT- und Security-Verantwortliche ist diese Transparenz relevant, um jederzeit nachvollziehen zu können, wer Zugriff auf welche Systeme hat und warum. Ein automatisierter Lifecycle-Prozess schafft hierfür eine konsistente Datengrundlage und reduziert die Abhängigkeit von manuellen Einzelprüfungen. Moderne IGA-Ansätze verbinden Lifecycle-Prozesse deshalb mit Governance, Reporting und automatisierten Prüfungen.

Auch für Identity Security ist Identity Lifecycle Management ein zentraler Baustein. Werden Berechtigungen bei Rollenänderungen automatisch angepasst und beim Austritt konsequent entzogen, lässt sich das Prinzip der geringstmöglichen Berechtigung (Least Privilege) praktisch umsetzen. Damit unterstützt Identity Lifecycle Management zugleich moderne Sicherheitsansätze wie Zero Trust Security, bei denen Zugriffe nicht dauerhaft als gegeben betrachtet werden.

Lifecycle Access Thumb

Vom Flickenteppich zur automatisierten IAM-Lösung

Ein häufiger Ausgangspunkt für eine automatisierte IAM-Lösung ist eine gewachsene Systemlandschaft: Das HR-System liefert Mitarbeiterdaten, das zentrale Verzeichnis verwaltet Benutzerkonten, Cloud-Verzeichnisse steuern weitere Zugänge, und Fachanwendungen besitzen eigene Berechtigungsmodelle. Werden diese Systeme isoliert betrachtet, entsteht kein durchgängiger Lifecycle.

Eine integrierte Lösung verbindet die relevanten Datenquellen und Zielsysteme miteinander. Änderungen aus dem führenden System können automatisiert verarbeitet werden. Beim Eintritt werden Konten und Berechtigungen provisioniert, beim Rollenwechsel angepasst und beim Austritt systemübergreifend entzogen. Dadurch werden Prozesse nicht nur schneller, sondern auch nachvollziehbarer und weniger fehleranfällig. OEDIV SecuSys versteht die automatisierte Provisionierung und zentrale Schnittstellenfunktion einer IAM-Lösung für Unternehmen als wesentliche Bestandteile einer modernen Berechtigungsverwaltung.

Entscheidend ist dabei nicht allein die eingesetzte Technologie. Vor der Automatisierung müssen Rollen, Verantwortlichkeiten, Genehmigungen und Schnittstellen sauber definiert sein. Erst dann kann die Technik den Prozess zuverlässig abbilden.

Wie OEDIV SecuSys Sie beim Identity Lifecycle Management unterstützt

OEDIV SecuSys unterstützt Unternehmen bei der Analyse und Weiterentwicklung ihrer bestehenden Identitäts- und Berechtigungsprozesse. Dazu gehören beispielsweise die Betrachtung der aktuellen Joiner-Mover-Leaver-Prozesse, die Identifikation manueller Arbeitsschritte sowie die Bewertung vorhandener Systeme und Schnittstellen.

Als herstellerunabhängiger Partner begleitet OEDIV SecuSys Unternehmen auch bei der Auswahl einer passenden Lösung. Dabei stehen nicht einzelne Produkte, sondern die Anforderungen, der Reifegrad und die bestehende IAM-Landschaft im Mittelpunkt.

Das Leistungsportfolio umfasst unter anderem Assessments, Strategie- und Prozessberatung, Rollen- und Berechtigungskonzepte sowie die Implementierung und Integration von IAM-Lösungen.

Auch nach der Einführung begleitet OEDIV SecuSys Unternehmen bei Bedarf beim langfristigen Betrieb und bei der Weiterentwicklung ihrer IAM-Umgebung. So lässt sich Identity Lifecycle Management Schritt für Schritt an neue Anwendungen, organisatorische Veränderungen und steigende Sicherheitsanforderungen anpassen.

Identity Lifecycle Management: Vom Eintritt bis zum Austritt aus dem Unternehmen konsequent mitdenken

Beim Identity Lifecycle Management geht es vor allem um Durchgängigkeit. Ein sicherer Onboarding-Prozess allein reicht nicht aus. Entscheidend ist, dass Berechtigungen bei jeder Veränderung der Identität angepasst und beim Austritt vollständig entfernt werden.

Gerade in komplexen Unternehmensumgebungen mit On-Premises-Systemen, Cloud-Anwendungen und zahlreichen Fachsystemen lässt sich dieser Anspruch dauerhaft kaum über manuelle Prozesse erfüllen. Automatisierte Lifecycle-Prozesse schaffen hier die notwendige Transparenz, reduzieren Fehler und unterstützen eine belastbare Identity Security.

Sie möchten Ihren Identity Lifecycle strukturieren, automatisieren und sicherer gestalten? Sprechen Sie mit den IAM-Experten von OEDIV SecuSys.

FAQ

FAQ zu Identity Lifecycle Management

Hier finden Sie Antworten auf die wichtigsten Fragen 

zu unseren Leistungen und Lösungen

Was ist Identity Lifecycle Management?
Identity Lifecycle Management bezeichnet die Verwaltung einer digitalen Identität über ihren gesamten Lebenszyklus. Dazu gehören die Anlage beim Eintritt, die Anpassung von Berechtigungen bei Rollen- oder Aufgabenwechseln, die laufende Überprüfung sowie die vollständige Deprovisionierung beim Austritt. Ziel ist, dass Identitäten jederzeit nur die benötigten Zugriffsrechte besitzen.
 Joiner Mover Leaver beschreibt die drei zentralen Veränderungen einer digitalen Identität. „Joiner“ steht für den Eintritt und die Provisionierung, „Mover“ für Rollen- oder Aufgabenwechsel mit einer entsprechenden Anpassung der Berechtigungen und „Leaver“ für den Austritt und die Deprovisionierung. In der Praxis wird der Prozess häufig um ein kontinuierliches Monitoring ergänzt.
 IAM ist der übergeordnete Bereich für die Verwaltung digitaler Identitäten und Zugriffe. Identity Lifecycle Management konzentriert sich auf den zeitlichen Lebenszyklus einer Identität – von der Anlage über Veränderungen bis zur Löschung. IAM umfasst darüber hinaus beispielsweise Authentifizierung, Autorisierung, Single Sign-on, Governance und weitere Sicherheitsfunktionen.
 Privilege Creep bezeichnet das schrittweise Ansammeln von Berechtigungen, wenn Nutzer bei Rollen- oder Aufgabenwechseln neue Rechte erhalten, alte aber oft versehentlich behalten. Verhindern lässt sich dies durch definierte Rollenmodelle, automatisierte Berechtigungsanpassungen und regelmäßige Überprüfungen. Besonders wichtig ist es, bei einem Mover-Prozess alte, nicht mehr benötigte Rechte konsequent zu entfernen.
 Beim Deprovisioning werden Zugriffe beim Austritt oder Ende einer Tätigkeit entzogen. Fehler in dieser Phase können dazu führen, dass Konten, Sessions, Tokens oder Berechtigungen bestehen bleiben. Solche verwaisten Zugänge können ein erhebliches Sicherheitsrisiko darstellen. Deshalb sollte der Entzug automatisiert, systemübergreifend und möglichst unmittelbar erfolgen.
Newsletter

Bleiben Sie informiert

Abonnieren Sie unseren Newsletter und erhalten Sie regelmäßig Einblicke
zu Identity & Access Management.

    Mit der Anmeldung akzeptieren Sie unsere Datenschutzbestimmungen.

    Weiterlesen

    Weitere Artikel

    Der erste Schritt zu einer sicheren IAM-Strategie?

    Ob Einführung, Modernisierung oder Optimierung – in einem unverbindlichen Strategiegespräch analysieren wir Ihre Anforderungen
    und entwickeln gemeinsam die passende IAM-Strategie für Ihr Unternehmen.

    vertrieb­@secusys.de

    Strategiegespräch anfragen