Warum lohnt sich dieser Kurs?
Ein Berechtigungskonzept überzeugt nicht durch Technik, sondern durch seine Begründung. Das Seminar erklärt anhand eines Zugriffs im Enterprise-Resource-Planning-System (ERP), wie Identity Governance nachvollziehbare, auditfeste Antworten liefert – im Zusammenspiel mit ISO/IEC 27001, DORA, DSGVO, NIS-2 und NISG 2026.Kursüberblick
Wer darf worauf zugreifen – und warum? Genau das ist die Kernfrage der Identity Governance: Zugriffsrechte so vergeben und dokumentieren, dass sie sich im Ernstfall nachvollziehbar begründen lassen. In vielen Unternehmen kann das niemand mehr sauber erklären. Genau das prüfen Auditor*innen im Rahmen von ISO/IEC 27001 – und hier setzt das Seminar an: Aus einer vagen Begründung wird eine nachvollziehbare, risikobasierte Aussage.Am Beispiel eines sensiblen Zugriffs im Enterprise Resource Planning (ERP) wird sichtbar, wie sich unterschiedliche Vertrauensstufen für Identität und Anmeldung unterscheiden lassen – und wie sich das in gängigen Identity-and-Access-Management-Tools (IAM) wie Entra ID, Okta, Ping oder CyberArk wiederfindet. Verschiedene Berechtigungsmodelle – von Rechten, die Eigentümer*innen selbst vergeben, bis zu klaren Rollen- und Regelkonzepten – werden an einem Fallbeispiel verglichen, statt nur an ihren Kürzeln erklärt.
Den rechtlichen Rahmen liefern mehrere Regelwerke: die Finanzbranche über DORA, der Datenschutz über die DSGVO, neue Cybersicherheits-Vorgaben über NIS-2 und NISG 2026 – im Seminar miteinander in Beziehung gesetzt. Ein kurzer Ausblick wirft zum Schluss ein Schlaglicht auf die KI-Verordnung und ihre Bedeutung für die Identity Governance.
Kursinhalte
Berechtigungsmodelle: DAC, MAC, RBAC und ABAC im Vergleich- Discretionary Access Control (DAC) überlässt Rechtevergabe dem Eigentümer
- Mandatory Access Control (MAC) regelt Zugriffe über zentrale Vorgaben
- Role Based Access Control (RBAC) bündelt Rechte in fachlichen Rollen
- Attribute Based Access Control (ABAC) entscheidet anhand von Attributen
- Ein Fallbeispiel misst Nachvollziehbarkeit und Minimalprinzip nach NIS-2
- Der Digital Operational Resilience Act (DORA) gilt für Finanzunternehmen
- Art. 9 Abs. 3 lit. b und d DORA behandelt unbefugten Zugriff und Fehler
- Art. 9 Abs. 4 lit. c und d DORA regelt Minimalprinzip und Authentifizierung
- Art. 32 Abs. 1 lit. b und Abs. 4 DSGVO setzt den Erforderlichkeitsmaßstab und fordert Mindeststandards für Sicherheitsmaßnahmen
- Offenlegung an unbefugte Dritte kann einen Data Breach nach der DSGVO darstellen
- Identity Assurance Level (IAL) bewertet die Prüfung der Identität
- Authentication Assurance Level (AAL) misst die Stärke der Authentifizierung
- Federation Assurance Level (FAL) bewertet föderierte Anmeldeverfahren
- Privilegierte Zugriffe im Enterprise Resource Planning (ERP) als Beispiel
- Das Asset-Inventar erfasst privilegierte Profile als eigene Einträge
- Anhang A der ISO/IEC 27001:2022 umfasst Controls wie A.8.5
- Control A.8.5 behandelt die sichere Authentisierung
- Das Statement of Applicability (SoA) begründet Controls risikobasiert[BS1]
- ISO 19011 regelt die Planung von Auditumfang und Auditiefe
- Die Reichweite der Zertifizierungsaussage folgt aus den Schwerpunkten
- Art. 12 KI-VO regelt die Protokollierung in Bezug auf Hochrisiko-KI-Systeme
- Art. 14 KI-VO regelt die menschliche Aufsicht in Bezug auf Hochrisiko-KI-Systeme
- Beide Artikel werfen offene Fragen der Identitäts-Governance auf
Zielgruppe
- CISOs und Informationssicherheitsbeauftragte, die Berechtigungskonzepte verantworten
- Security Experts mit IAM- und PAM-Bezug, die Assurance-Level festlegen
- ISMS-Verantwortliche im laufenden Betrieb, die das SoA pflegen
- Compliance-Verantwortliche nach NIS-2 und NISG 2026, die Nachweise vorbereiten
- IT-Sicherheitsverantwortliche im Finanzsektor, die DORA-Vorgaben umsetzen
- Interne Auditoren und externe Berater, die Berechtigungskonzepte prüfen
