Identitätsmanagement Who is who in der öffentlichen Verwaltung?

Anbieter zum Thema

cit GmbH

Governikus GmbH & Co. KG

SmartDocuments Deutschland GmbH

Im Kontext der Verwaltungsdigitalisierung denken wir bei digitalen Identitäten zunächst einmal an BundID, Steuer-ID oder auch Registereinträge. Aber natürlich müssen auch die Identitäten der Mitarbeitenden der öffentlichen Verwaltung selbst verwaltet werden.

Ziel des Identitätsmanagements innerhalb eines Amts oder einer Behörde ist es, dass die Mitarbeiter der öffentlichen Verwaltung einfach, zeitnah, nachvollziehbar, regelkonform und so automatisiert wie möglich Benutzerkonten und Berechtigungen für Anwendungen erhalten. Und zwar genau die, die sie für ihre täglichen Aufgaben innerhalb der jeweiligen Fachverfahren brauchen. Mit der Einstellung eines Mitarbeiters beginnt der Lebenszyklus seiner digitalen Identität. Wenn der Betreffende im Personalverwaltungssystem (PVS) angelegt wurde, sollte man eine Identität im System für das Identitätsmanagement erzeugen können – idealerweise bereits vor dem ersten Arbeitstag.

Austausch

Digitale Identitäten: neuer Arbeitskreis des NEGZ

Die Identität bereits vor Arbeitsbeginn zu erstellen, bietet einige Vorteile. Vorgesetzte können im Vorfeld die notwendigen Berechtigungsanträge stellen oder die betreffende Person im IT-Servicemanagement angelegen, um Bestellungen für den Arbeitsplatz auszulösen. Beim Erzeugen der Identität ist es wichtig, dass nur Daten, die für die Prozesse rund um die Identität relevant sind, aus dem PVS heraus bereitgestellt werden. Das sind typischerweise Daten, mit denen man die Benutzerkennung und die E-Mail-Adresse generiert, sowie Informationen zur Automatisierung oder Genehmigungen wie z. B. für den jeweiligen Fachbereich von Mitarbeitenden und Vorgesetzten.

Im Idealfall wurden innerhalb der Institution bereits digitale Prozesse zum Lebenszyklus von Identitäten definiert. Sollte das nicht der Fall sein, bietet es sich an, derzeit gelebte Prozesse zu betrachten und sie in digitale Prozesse zu überführen. Oder besser noch, sie gemäß den neuen Möglichkeiten zu optimieren. Parallel zum Anlegen der neuen Identität kann man automatisch Benutzerkonten einrichten und Berechtigungen zuweisen. Vollautomatische Prozesse ermöglichen somit die Anmeldung am Arbeitsplatz und gewähren Zugriff auf die üblichen und benötigten Anwendungen eines Sachgebietes.

Für Benutzerkonten und Berechtigungen, die nicht vollautomatisch vergeben werden können, kommt ein elektronisches Antragsverfahren mit einer oder mehreren Freigaben zum Einsatz. Sobald der Antrag genehmigt ist, wird er möglichst automatisch in Systemen und Applikationen umgesetzt. Ist eine automatisierte Umsetzung nicht möglich, weil es sich z.B. um ein System ohne Schnittstelle handelt oder das System nicht unter eigener Kontrolle ist, empfiehlt es sich, einen Arbeitsauftrag im Ticketsystem zu erstellen.

Vergleicht man diesen Eintrittsprozess mit denen anderer Wirtschaftssegmente wie der herstellenden Industrie oder streng regulierten Unternehmen wie Banken und Versicherungen, gibt es keine wesentlichen Unterschiede. Ebenso verhält es sich mit einem internen Abteilungs- oder Arbeitsplatzwechsel von Mitarbeitenden in der öffentlichen Verwaltung. Etwa, wenn Mitarbeiter temporär in einem anderen Sachgebiet aushelfen oder für ein Projekt abgestellt werden. In jedem Fall ändern sich die Zugriffsberechtigungen. Im Falle einer längeren Abwesenheit wie z.B. Elternzeit oder ein Sabbatical sollten die Berechtigungen der Mitarbeiter für diesen Zeitraum stillgelegt werden.

Endet ein Arbeitsverhältnis, folgt der Prozess im Wesentlichen den gleichen Richtlinien wie in allen anderen Unternehmen. Berechtigungen sollte man zeitgenau zum letzten aktiven Arbeitstag entziehen, Daten sichern, respektive verschieben und die Verantwortlichkeiten des Mitarbeiters neu zuweisen, etc.

Über sämtliche Vorgänge hinweg benötigt man ein umfangreiches Reporting. Dies berücksichtigt Fragenkomplexe rund um „Wer hat Zugriffsberechtigungen auf was, seit wann, warum, wer hat es genehmigt?“ und viele ähnliche mehr. Zugriffsberechtigungen sollten auch nach längerer Zeit noch korrekt sein und aus den richtigen Gründen vorliegen. Dieser digital unterstützte Prozess der Rezertifizierung innerhalb des Identitätsmanagements erleichtert den Verantwortlichen die Arbeit enorm und stellt sicher, dass die Daten akkurat und aktuell sind. Grundsätzlich gilt: die Einhaltung von IT-Richtlinien und Vorgaben ist innerhalb der öffentlichen Verwaltung ebenso wichtig wie in streng regulierten Unternehmen. Die Zeiten, in denen man Papierakten einfach wegschließen konnte, sind vielerorts vorbei. Die E-Akte benötigt zuverlässige digitale Kontrollmechanismen. Genauso sollte es in den unterschiedlichen Fachverfahren möglich sein, die Aufgabentrennung (Segregation of Duties, SoD) der Mitarbeiter zu überwachen.

Die externen Mitarbeiter

Selbstverständlich gibt es auch in der öffentlichen Verwaltung externe Mitarbeiter, die auf IT-Systeme zugreifen und Anwendungen nutzen. Folglich muss man sämtliche Prozesse rund um Eintritt und Austritt externer Mitarbeiter ebenfalls abbilden. In einigen Fällen gibt es Systeme, in denen externe Mitarbeiter separat verwaltet werden und die sich dann analog zum PVS in das Identity-Management-System überführen lassen. Gibt es kein solches führendes System, können Externe auch direkt im System für Identitätsmanagement verwaltet werden. Dabei müssen die Verantwortlichkeiten ebenso berücksichtigt werden (wer für die Pflege der Daten des betreffenden externen Mitarbeiters zuständig ist) wie die Eintritts- und vor allem die Austrittsdaten.

Im Identity-Management-System sollte kein externer Mitarbeiter ohne einen zuständigen internen Mitarbeiter oder ein definiertes Austrittsdatum existieren – insbesondere dann, wenn die Daten Externer nicht in einem führenden System vorgehalten werden.

Die IT-Mitarbeiter

Obwohl IT-Mitarbeiter aus Sicht des Identity-Management-Systems zunächst einmal wie alle anderen Angestellten betrachtet werden, gibt es dennoch einige Besonderheiten. IT-Mitarbeiter verwenden im Allgemeinen nicht nur ihre persönlichen Benutzerkonten, sondern auch Benutzerkonten für IT-Systeme – sogenannte privilegierte Benutzerkonten. Hier liegt zudem auch meist die Verantwortung für technische Benutzerkonten, die von Systemen und Applikationen verwendet werden. Im Wettstreit um den optimalen Schutz von Daten und Identitäten kommen zwei eigene Disziplinen zum Tragen: Das Privileged Access Management (PAM) und die Verwaltung von Non Human Identities (NHI). Beide verdienen eine eigene tiefergehende Betrachtung, hier sind sie nur der Vollständigkeit halber erwähnt.

Um welche Systeme geht es?

Prinzipiell geht es um alle Systeme, zu denen Mitarbeiter Zugriff benötigen beziehungsweise aus denen relevante Daten gelesen werden. Das sind in erster Linie das PVS als Quelle und alle Systeme, die sich in der Verwaltung befinden oder von ihr genutzt werden. Unabhängig davon, ob sie sich in einem kommunalen Rechenzentrum oder in der Cloud befinden.

Und es sind die Systeme, die aus Sicht des Identitätsmanagements einen Unterschied zwischen öffentlicher Verwaltung und Wirtschaft machen. Es kommen spezialisierte Applikationen zum Einsatz, die außerhalb der öffentlichen Verwaltung nicht vorkommen. Dies ist per se nichts Ungewöhnliches. Stark regulierte Branchen wie Banken und Versicherungen waren Vorreiter bei der Adaption des Identitätsmanagements. Aber ausnahmslos jeder Bereich, egal ob herstellende Industrie, Banken, Versicherungen oder Gesundheitswesen verfügt über dedizierte Applikationen.

Was bedeutet das für die öffentliche Verwaltung?

Systeme und Applikationen, die in der öffentlichen Verwaltung seit der E-Government-Initiative verstärkt Einzug gehalten haben, werden nach und nach ebenso selbstverständlich Teil der Identitätsverwaltung sein, wie es bei Kernbankensystemen oder Krankenhausinformationssytemen (KIS) schon der Fall ist. Auch wenn sich Systeme und Applikationen unterscheiden, so sind sich die Prozesse und Anforderungen übergreifend sehr ähnlich. Erfahrungen und Best Practice anderer Sektoren können helfen, Richtlinien und Vorgaben einzuhalten und digitale Identitäten und deren Zugriffe sicher zu verwalten.

Die Autoren:

Studie zur IT-Sicherheit

Zugriffsberechtigung Externer ist ein Sicherheitsrisiko

(ID:50444831)