AD, IAM und EAM: Unterschied einfach erklärt für HR und IT

Drei Ebenen rund um Identitäten und Zugriffe

Aus Sicht von HR- und IT-Projekten lassen sich die drei Begriffe klar voneinander abgrenzen:

• Active Directory (AD): Verzeichnisdienst, in dem technische Identitäten und Gruppen geführt werden, häufig im Microsoft-Umfeld.
• Identity and Access Management (IAM): übergeordneter fachlicher und technischer Rahmen für Identitäten, Rollen und Berechtigungen im Unternehmen.
• Enterprise Access Management (EAM): spezialisierte Steuerung besonders kritischer und privilegierter Zugriffe.

In vielen Organisationen greifen diese Ebenen ineinander: HR liefert die organisatorische Wahrheit, IAM übersetzt sie in Berechtigungen, AD und EAM setzen diese technisch um.

Was ist Active Directory (AD)?

Active Directory ist ein Verzeichnisdienst von Microsoft, in dem Benutzerkonten, Gruppen und Ressourcen einer Organisation verwaltet werden. Ohne Eintrag im AD können sich Mitarbeitende in vielen Unternehmen nicht am System anmelden.

Typische Aufgaben von Active Directory

In der Praxis werden im AD unter anderem verwaltet:

• Benutzerkonten (Login-Namen, E-Mail-Adressen, Passwörter)
• Gruppen (z. B. Organisationseinheiten, Projektteams, Rollen)
• Zugehörigkeiten zu Organisationseinheiten
• Computer- und Serverobjekte
• Grundlegende Zugriffsrechte in der Microsoft-Welt (z. B. Fileserver, SharePoint, Exchange)

Nach Beobachtung von CLEVIS fungiert das AD in vielen Unternehmen als technisches Telefonbuch und Türsteher:

• Wer im AD angelegt ist, kann sich anmelden.
• Wer in der richtigen Gruppe ist, erhält Zugriff auf bestimmte Laufwerke, Anwendungen oder Daten.

Rolle des AD im Zusammenspiel mit HR

Aus HR-Sicht ist das AD vor allem dann relevant, wenn es um Onboarding, Abteilungswechsel und Offboarding geht:

• Beim Eintritt eines Mitarbeitenden wird ein Konto im AD angelegt.
• Bei einem Wechsel ändern sich Gruppen und Berechtigungen.
• Beim Austritt wird das Konto gesperrt oder gelöscht.

In modernen Systemlandschaften werden diese Schritte zunehmend automatisiert, gesteuert durch ein IAM-System, das Informationen aus dem HR-Kernsystem bezieht.

Was ist Identity and Access Management (IAM)?

Identity and Access Management (IAM) beschreibt das Gesamtsystem aus Prozessen, Richtlinien und Technologien, mit denen ein Unternehmen Identitäten und Zugriffsrechte verwaltet. Ein IAM-System ist dabei meistens die technische Drehscheibe.

Bestandteile eines IAM

Ein modernes IAM umfasst typischerweise:

• Identitätsverwaltung: Anlage, Änderung und Löschung von Benutzeridentitäten
• Rollen- und Berechtigungskonzepte: Definition, welche Rolle auf welche Ressourcen zugreifen darf
• Joiner-Mover-Leaver-Prozesse: Eintritt, Rollenwechsel und Austritt von Mitarbeitenden
• Genehmigungs- und Rezertifizierungsprozesse: Wer gibt welche Rechte frei, wie oft werden sie überprüft?
• Anbindung von Zielsystemen: z. B. Active Directory, Fachanwendungen, Cloud-Services

Nach Einschätzung von CLEVIS dient IAM als Bruecke zwischen HR und IT:

• HR-Systeme bilden die organisatorische Realität ab (Stellen, Rollen, Organisationseinheiten).
• Das IAM übersetzt diese Informationen in konsistente und nachvollziehbare Berechtigungen.
• Zielsysteme (z. B. AD, Fachapplikationen) erhalten ihre Rechte automatisiert aus dem IAM.

Warum IAM fuer HR eine Schlüsselrolle spielt

Für HR-Abteilungen ist IAM aus mehreren Gründen relevant:

• Sicherheit und Compliance: Zugriffe werden nachvollziehbar, doppelte oder veraltete Berechtigungen lassen sich vermeiden.
• Effizienz: Onboarding, Rollenwechsel und Offboarding werden beschleunigt und teilweise automatisiert.
• Transparenz: Es wird sichtbar, welche Rollen im Unternehmen existieren und welche Rechte daran hängen.

In abgeschlossenen Projekten zeigt sich: Unternehmen, die frühzeitig eine klare IAM-Logik mit HR verzahnen, tun sich bei HR-Digitalisierung und Self-Service-Konzepten deutlich leichter.

Was ist Enterprise Access Management (EAM)?

Enterprise Access Management (EAM) befasst sich mit der Verwaltung besonders sensibler und privilegierter Zugriffe: zum Beispiel auf Admin-Konten, Kernsysteme oder sicherheitskritische Anwendungen.

In vielen Organisationen überschneidet sich der Begriff mit Privileged Access Management (PAM).

Typische EAM- bzw. PAM-Szenarien

Zu den Anwendungsfällen von EAM gehören unter anderem:

• Verwaltung von Administratorkonten (z. B. Domain-Admins, System-Admins)
• Steuerung des Zugriffs auf Kernsysteme (z. B. Kernbanksysteme, Produktionssteuerung, kritische Datenbanken)
• Protokollierung und Überwachung von hochprivilegierten Sitzungen
• Zeitlich begrenzte Vergabe von erhöhten Rechten (“Just-in-Time”-Berechtigungen)

Ziel ist es, nicht nur zu definieren, wer Zugriff hat, sondern auch:

• wie dieser Zugriff beantragt, genehmigt und dokumentiert wird,
• unter welchen Bedingungen er zeitlich begrenzt wird,
• wie Zugriffe protokolliert und später geprüft werden können.

EAM im Zusammenspiel mit IAM und AD

Im Gesamtbild moderner Systemlandschaften gilt häufig folgende Rollenverteilung:

• HR-System: führt die Personal- und Organisationsdaten.
• IAM-System: übersetzt HR-Rollen in technische Berechtigungen.
• AD und Fachsysteme: setzen Berechtigungen technisch um.
• EAM/PAM-Lösungen: steuern und überwachen besonders kritische Zugriffe.

Damit ergänzt EAM das IAM um eine zusätzliche Sicherheits- und Kontrollschicht für besonders sensible Bereiche.

IAM und EAM in HR-Digitalisierungsprojekten

In Projekten rund um HR-Digitalisierung, HR-IT-Architektur und Systemeinrichtungen zeigt sich, dass die frühe Einbindung von IAM- und EAM-Überlegungen typische Probleme vermeidet:

• Unklare oder historisch gewachsene Berechtigungen in HR- und Zeitsystemen
• Fehlende Trennung von administrativen und fachlichen Rollen
• Manuelle Sonderlösungen für einzelne Mitarbeitende

Ein strukturierter Blick auf Identitäten und Zugriffe wird insbesondere dann relevant, wenn mehrere Systeme (HR-Core, Zeitwirtschaft, Payroll, Learning, Bewerbermanagement) nahtlos zusammenspielen sollen.