1. Identität, Authentifizierung und Autorisierung unterscheiden
Ein Identitätsanbieter verwaltet digitale Identitäten und kann einen zentralen Anmeldedienst bereitstellen. Die Authentifizierung prüft anhand von Zugangsdaten, Passkeys oder weiteren Faktoren, ob eine Person tatsächlich die angegebene Identität besitzt. Die Autorisierung bestimmt, was diese authentifizierte Person sehen oder tun darf. Eine erfolgreiche Anmeldung bedeutet keinen uneingeschränkten Zugriff.
Im Betrieb ist diese Unterscheidung entscheidend: Eine deaktivierte Anmeldemethode, eine entfernte Anwendungszuweisung und eine entzogene Administrationsrolle sind unterschiedliche Änderungen. Ein verlässlicher Zugriffsprozess benennt das gewünschte Ergebnis, identifiziert das zuständige System und prüft den erreichten Zustand, statt jede Änderung als Kontolöschung zu behandeln.
- Dokumentieren Sie für jede wichtige Anwendung, wer die Anmeldung prüft und wo Berechtigungen tatsächlich gesteuert werden.
2. Den Lebenszyklus verwalten, nicht nur die Anmeldung
Die Verwaltung des Benutzerlebenszyklus umfasst das Anlegen, Ändern, Sperren und Stilllegen von Identitäten bei Veränderungen des Beschäftigungsverhältnisses. Anwendungszuweisungen verbinden Personen oder Gruppen mit Diensten; sie beschreiben nicht zwangsläufig jede Berechtigung innerhalb dieser Dienste. Eine Lizenz gewährt ein Nutzungsrecht, belegt aber allein keinen aktuellen Zugriff.
Privilegierter Zugriff betrifft erweiterte Befugnisse, beispielsweise die Mandantenadministration oder Änderungen an Sicherheitseinstellungen. Behandeln Sie ihn getrennt von gewöhnlicher Anwendungsnutzung, mit klarer Zuständigkeit und Genehmigung. Andernfalls kann ein einfacher Abteilungswechsel dazu führen, dass alte Administrationsrechte neben neuen fachlichen Zugriffsrechten bestehen bleiben.
- Unterscheiden Sie bei Prüfungen zwischen privilegierten Rollen, Anwendungszuweisungen und Lizenzzuordnungen.
3. Identitätsinformationen mit betrieblichen Datensätzen verbinden
Ein Konto wird betrieblich aussagekräftiger, wenn es mit Beschäftigten, Führungskräften, Abteilungen, Geräten und Anwendungsverantwortlichen verknüpft ist. Diese Beziehungen zeigen, wer Zugriffe genehmigen sollte, ob ausgeschiedenen Beschäftigten noch Geräte zugeordnet sind und welches Budget eine Lizenz trägt.
Nutzen Sie nach Möglichkeit stabile Kennungen. Prüfen Sie mehrdeutige Zuordnungen, statt sich ausschliesslich auf Namen oder E-Mail-Adressen zu verlassen. Externe Mitarbeitende, gemeinsam genutzte Konten und Personen mit mehreren Konten brauchen ausdrückliche Regeln. Dokumentieren Sie Herkunft und Aktualität: Ein importierter Kontostatus und ein von der Führungskraft bestätigter fachlicher Bedarf beantworten unterschiedliche Fragen.
- Benennen Sie Verantwortliche für nicht zugeordnete Konten und widersprüchliche Beschäftigungs- oder Zuordnungsdaten.
4. Zugriffsprüfungen und Austritte getrennt absichern
Regelmässige Zugriffsprüfungen bewerten, ob Berechtigungen weiterhin notwendig und angemessen begrenzt sind. Der Austrittsprozess reagiert auf einen konkreten Abgang und erfordert meist den koordinierten Rechteentzug, die Geräterücknahme und die Übertragung von Zuständigkeiten. Keiner der Prozesse sollte voraussetzen, dass das Entfernen einer zentralen Identität sämtliche Anwendungssitzungen oder lokal verwalteten Konten beendet.
Ein fiktives Beispiel: Eine Mitarbeiterin wechselt von der Finanzabteilung in den Vertrieb. Ihre Identität bleibt aktiv, doch Finanzfreigaben und privilegierte Berichtszugriffe müssen geprüft werden. Vertriebsanwendungen benötigen möglicherweise neue Zuweisungen; Dokumente und wiederkehrende Aufgaben brauchen neue Verantwortliche. Eine blosse Änderung des Abteilungsfeldes würde den Wechsel nicht abschliessen.
- Dokumentieren Sie Prüfentscheidungen, Ausnahmen, Zuständigkeiten und die Bestätigung des erreichten Zugriffszustands.
5. Lojycals Rolle und Integrationsgrenzen verstehen
Lojycal verbindet betriebliche Datensätze und Abläufe und bietet Identitätsintegrationen sowie rollenbeschränkte Vorgänge. Die eigenen MFA-, Passkey- und mandantenbezogenen Zugriffskontrollen belegen nicht, dass angebundene Anwendungen gleichwertige Kontrollen durchsetzen.
Klären Sie für Microsoft Entra ID, Okta und Google Workspace die aktuelle Verfügbarkeit der Anbindung und die unterstützten Vorgänge für Ihren Tarif und Arbeitsbereich. Setzen Sie keine gleichwertigen Lese-, Bereitstellungs-, Gruppenverwaltungs- oder Entzugsfunktionen voraus. Eine unterstützte Integration belegt keine eingerichtete Verbindung; Zugangsdaten, Berechtigungen, Zuordnungen und Organisationsrollen bestimmen die ausführbaren Vorgänge.
- Fragen Sie, welche Identitätsobjekte gelesen werden, welche Aktionen unterstützt werden und wie deren Ergebnis geprüft wird.
6. Einen abgegrenzten Zugriffsvorgang evaluieren
Beginnen Sie mit einer Beschäftigtengruppe und wenigen Anwendungen. Dokumentieren Sie die massgebliche Personaldatenquelle, die Zuständigkeit für Identitäten und die Genehmigungsregeln, bevor Sie Änderungen aktivieren. Testen Sie Kontozuordnungen und prüfen Sie die benötigten Verbindungsberechtigungen.
Verfolgen Sie in einem autorisierten Testszenario einen Rollenwechsel von der Anfrage über die Genehmigung bis zum Zielsystem. Prüfen Sie, ob nicht unterstützte Aktionen als sichtbare manuelle Aufgaben erscheinen, statt als scheinbar erledigte Arbeit. Bewerten Sie die Ausnahmebehandlung ebenso sorgfältig wie den Erfolgsfall.
- Prüfen Sie das Verhalten bei nicht zugeordneten Identitäten, fehlenden Berechtigungen und veralteten Datensätzen.
- Bestätigen Sie den Funktionsumfang für Ihren Arbeitsbereich und vergleichen Sie vor einer Entscheidung die Tarife unter /pricing.