Der Einsatz von künstlicher Intelligenz (KI) verändert Geschäftsprozesse, Entscheidungswege und den Umgang mit Daten grundlegend. Damit rücken Fragen nach Berechtigungen, Verantwortlichkeiten und Kontrollmechanismen stärker in den Fokus. Identity & Access Management (IAM) übernimmt dabei eine Schlüsselrolle für die sichere und vertrauenswürdige Nutzung von KI.
Neugierig geworden?
Welchen Zweck erfüllt IAM in der IT-Governance?
Identity & Access Management ist ein zentraler Baustein moderner IT-Governance. Es stellt sicher, dass Mitarbeitende, Partner und externe Dienstleister ausschließlich auf die Systeme, Anwendungen und Daten zugreifen können, die sie für ihre jeweilige Aufgabe benötigen. Dadurch werden Sicherheitsrisiken reduziert und gleichzeitig gesetzliche sowie regulatorische Anforderungen unterstützt.
Im Rahmen der IT-Governance schafft IAM klare Regeln für die Verwaltung digitaler Identitäten und Berechtigungen über deren gesamten Lebenszyklus hinweg. Dieser beginnt beispielsweise mit der automatisierten Bereitstellung von Benutzerkonten beim Eintritt eines Mitarbeitenden, umfasst Anpassungen bei Rollen- oder Aufgabenwechseln und endet mit der Entziehung von Zugriffsrechten beim Austritt. Auf diese Weise ermöglicht IAM eine konsistente und nachvollziehbare Steuerung von Berechtigungen.
Unternehmen erhalten dadurch Transparenz darüber, wer zu welchem Zeitpunkt auf welche Ressourcen zugreifen darf. Gleichzeitig unterstützt IAM die Einhaltung von Compliance-Anforderungen. Regelmäßige Rezertifizierungen, Audit-Protokolle und rollenbasierte Zugriffskonzepte helfen dabei, nachzuweisen, dass sensible Informationen angemessen geschützt werden.
IAM verbindet damit Sicherheitsanforderungen mit Governance- und Compliance-Prozessen und schafft die Grundlage für eine kontrollierte und nachvollziehbare digitale Unternehmensumgebung
Vorteile eines gut strukturierten IAM-Systems
Ein gut strukturiertes IAM-System bietet weit mehr als Schutz vor unbefugten Zugriffen. Einer der wesentlichen Vorteile liegt in der Verbesserung der IT-Sicherheit. Verfahren wie Multi-Faktor-Authentifizierung, rollenbasierte Berechtigungsmodelle und automatisierte Zugriffsprüfungen tragen dazu bei, das Risiko von Datenverlusten, missbräuchlichen Zugriffen und Cyberangriffen zu reduzieren.
Gleichzeitig steigert IAM die Effizienz der IT-Abteilung. Automatisierte Prozesse für das Anlegen, Ändern und Deaktivieren von Benutzerkonten reduzieren manuelle Aufwände und minimieren Fehlerquellen. Neue Mitarbeitende erhalten schneller die benötigten Zugriffsrechte, während nicht mehr erforderliche oder veraltete Berechtigungen konsequent entzogen werden können.
Auch die Nutzer profitieren von einem modernen IAM-System. Single Sign-On ermöglicht beispielsweise den Zugriff auf verschiedene Anwendungen mit nur einer Anmeldung und verbessert damit sowohl die Benutzerfreundlichkeit als auch die Produktivität.
Darüber hinaus schafft IAM Transparenz über vorhandene Berechtigungen und Verantwortlichkeiten. Unternehmen profitieren dadurch von einer besseren Kontrolle ihrer digitalen Ressourcen, geringeren administrativen Aufwänden und einer höheren Compliance-Sicherheit.
Herausforderungen für das IAM durch neue Technologien
Mit der fortschreitenden Digitalisierung steigen auch die Anforderungen an moderne IAM-Lösungen. Cloud-Plattformen, hybride IT-Landschaften und Software-as-a-Service-Anwendungen führen dazu, dass Identitäten und Zugriffsrechte über zahlreiche Systeme und Plattformen hinweg verwaltet werden müssen. Eine zentrale und konsistente Steuerung dieser heterogenen Umgebungen erfordert leistungsfähige Integrationen und flexible Governance-Modelle.
Auch der zunehmende Einsatz von künstlicher Intelligenz verändert die Anforderungen an das IAM grundlegend. Während IAM-Systeme traditionell vor allem menschliche Benutzer sowie technische Konten verwalten, entstehen durch KI-Agenten zunehmend autonome, nicht-menschliche Identitäten. Diese können eigenständig auf Anwendungen, Daten und APIs zugreifen und Aktionen im Auftrag von Benutzern oder anderen Systemen durchführen. Dadurch steigt nicht nur die Anzahl der zu verwaltenden Identitäten, sondern auch die Komplexität ihrer Berechtigungen und Abhängigkeiten.
Eine wesentliche Herausforderung besteht darin, auch für KI-Agenten Prinzipien wie Least Privilege und Zero Trust konsequent umzusetzen. Agenten sollten nur auf diejenigen Ressourcen zugreifen können, die sie für ihre jeweilige Aufgabe tatsächlich benötigen, sonst können bestehende Zugriffsrechte indirekt weitergegeben oder Informationen aus unterschiedlichen Systemen zusammengeführt werden. Ohne klare Regeln und ausreichende Transparenz besteht das Risiko, dass KI-Anwendungen Zugriff auf Informationen erhalten, die für den jeweiligen Anwendungsfall nicht erforderlich sind. Auch müssen ihre Identitäten eindeutig zuordenbar und ihre Aktivitäten nachvollziehbar sein. Werden stattdessen gemeinsam genutzte Service Accounts oder weitreichende Berechtigungen verwendet, können kompromittierte oder fehlerhaft agierende KI-Systeme erheblich Sicherheitsrisiken verursachen.
IAM muss deshalb stärker mit der Governance von KI-Systemen verzahnt werden. Ziel ist es, sowohl die Nutzung von KI-Anwendungen als auch deren Zugriffe auf Daten und Systeme transparent, kontrollierbar und nachvollziehbar zu gestalten.
Damit gewinnt auch die Identity Governance an Bedeutung. Unternehmen müssen festlegen, wer für eine KI-Identität verantwortlich ist, wie Berechtigungen vergeben und regelmäßig überprüft werden und wann eine Identität deaktiviert wird. Klassische IAM-Kontrollen müssen dafür teilweise weiterentwickelt werden.
Regulatorische Anforderungen für eine sichere KI-Nutzung
Insbesondere für Banken reicht es daher nicht aus, lediglich ein technisch geeignetes KI-Tool auszuwählen. Bereits vor dem produktiven Einsatz muss geklärt werden, wie die Anwendung in bestehende Governance-, Sicherheits- und Risikomanagementprozesse integriert wird.
Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) betont in diesem Zusammenhang unter anderem die Bedeutung klarer Verantwortlichkeiten, angemessener Risikobewertungen, einer kontrollierten Datenverarbeitung und geeigneter Sicherheitsmechanismen. Auch beim Einsatz externer Anbieter müssen bestehende Abhängigkeiten und Risiken berücksichtigt werden.
Während des Betriebs müssen Nutzung, Zugriffe und relevante Entscheidungen nachvollziehbar dokumentiert werden. Gleichzeitig sollten Risiken regelmäßig überprüft und Berechtigungen fortlaufend kontrolliert werden.
IAM wird damit zu einem wesentlichen Bestandteil einer sicheren KI-Governance.
Entscheidend sind unter anderem folgende Fragen:
- Wer darf welches KI-System nutzen?
- Auf welche Daten und Systeme darf es zugreifen?
- Welche Aktionen darf ein KI-System oder KI-Agent selbstständig ausführen?
- Wie werden Berechtigungen vergeben und entzogen?
- Und wie lassen sich Zugriffe und ausgeführte Aktionen im Nachhinein nachvollziehen?
Diese Fragen zeigen, dass klassische IAM-Prinzipien auch auf KI-Systeme und technische Identitäten übertragen werden müssen. Gleichzeitig müssen bestehende IAM-Konzepte erweitert werden, um der zunehmenden Nutzung, Vernetzung und Automatisierung solcher Systeme gerecht zu werden.
Gerade für Banken sollten diese Anforderungen deshalb bereits vor der Einführung einer KI-Anwendung berücksichtigt werden. Dafür haben wir als msg for banking eine spezielle KI-Checkliste erstellt, um eine strukturierte Unterstützung bei der Prüfung der wesentlichen regulatorischen, organisatorischen und technischen Anforderungen zu bieten. Die Checkliste führt dabei Schritt für Schritt durch die relevanten Themen und hilft, frühzeitig zu erkennen, welche Voraussetzungen vor dem Einsatz eines KI-Tools geschaffen werden müssen.
Fazit
Künstliche Intelligenz bietet Unternehmen erhebliche Potenziale zur Effizienzsteigerung und Automatisierung von Prozessen. Um diese Chancen nachhaltig zu nutzen, müssen jedoch Risiken, Zugriffsrechte und regulatorische Vorgaben kontinuierlich überwacht werden. Ein leistungsfähiges IAM bildet hierfür das zentrale Fundament, um die notwendige Transparenz und Kontrolle für eine sichere und vertrauenswürdige KI-Nutzung zu erreichen.
