Identität statt IP-Adresse On- und Offboarding: die Achillesferse hybrider Netzwerke

In hybriden IP-Infrastrukturen steuern heute zunehmend Identitäten den Netzwerkzugang, nicht mehr primär die IP-Adressen. Der Beitrag zeigt Risiken im On- und Offboarding und wie orchestrierte Identitätsprozesse Sicherheit und Compliance verbessern.

IP-basierte Infrastrukturen sind heute hochdynamisch. Nutzer, Geräte, Anwendungen und externe Partner kommen und gehen kontinuierlich. Campus-Netze, Cloud-Services, mobile Endgeräte, VPN-Zugänge und API-basierte Integrationen bilden ein verteiltes System, das sich nicht mehr ausschließlich über Firewalls, VLANs oder statische Regeln kontrollieren lässt.

Der zentrale Bezugspunkt heutiger IP-Netze ist nicht die Netzadresse, sondern die Identität – von Menschen, Systemen, Diensten und Maschinen. Identitätsmanagement bildet dabei den technischen und Prozess-seitigen Rahmen, um digitale Identitäten über ihren gesamten Lebenszyklus hinweg zu verwalten und konsistent in Netzwerk- und Betriebsprozesse einzubinden. Fehlt diese Integration, entstehen Sicherheitslücken, Compliance-Risiken und der operative Betrieb wird instabil.

On- und Offboarding als strukturelles Netzwerkrisiko

In klassischen Architekturen basiert die Zugriffskontrolle auf stabilen Perimetern wie Firewalls, VLAN-Strukturen oder festen Standortnetzen. Hybride Infrastrukturen brechen dieses Modell auf.

• Nutzer wechseln Rollen,

• Geräte sind nur temporär im Netz,

• Anwendungen werden dynamisch bereitgestellt,

• externe Akteure greifen projekt- oder zeitbasiert zu.

Onboarding bedeutet deshalb nicht nur, Benutzerkonten anzulegen. Jede neue Identität erhält Zugriffe auf Netzsegmente, Anwendungen oder Schnittstellen. Diese Zugriffe haben direkte Auswirkungen auf den Netzwerkbetrieb. Fehlen klare Rollen, zeitliche Vorgaben und Kontextregeln, werden Berechtigungen unübersichtlich und lassen sich nur schwer kontrollieren.

Noch kritischer ist das Offboarding. Bleiben Konten, Zertifikate, API-Schlüssel oder VPN-Zugänge aktiv, entstehen verwaiste oder so genannte „Zombie“-Identitäten. Sie zählen zu den häufigsten Ursachen für Sicherheitsvorfälle in komplexen IP-Umgebungen – insbesondere bei externen Dienstleistern und Partnern.

Wer heute im IP-Netz arbeitet – und warum Identitäten zählen

Moderne Netzwerke werden nicht nur von Menschen genutzt. Maschinen, virtuelle Instanzen, IoT-Geräte und KI-Agenten kommunizieren permanent miteinander. Jede dieser Entitäten benötigt eine eigene Identität.

Für das Onboarding bedeutet das konkret:

• Identitäten müssen eindeutig, überprüfbar und lebenszyklusorientiert angelegt werden.

• Zugriffsrechte sind rollen-, zeit- und kontextabhängig zu vergeben.

• Netzwerkzugänge, Applikationsrechte und technische Schnittstellen müssen konsistent abgestimmt sein.

Offboarding erfordert dieselbe Konsequenz: Wird auch nur ein Element, etwa ein Zertifikat oder ein technischer Service-Account, übersehen, bleibt das Netzwerk angreifbar.

Sicherheit und Compliance lassen sich nicht mehr trennen

Regulatorische Vorgaben wie DSGVO, DORA oder NIS2 verlangen eine nachvollziehbare Steuerung und Dokumentation von Zugriffen. Für Netzwerk- und Infrastrukturteams bedeutet das vor allem Transparenz.

In der Praxis sind Identitätsmanagement, Netzwerkzugang und Prozesssteuerung jedoch häufig auf getrennte Systeme verteilt. Typische Fragen lassen sich dann nur schwer beantworten:

• Wer hatte wann Zugriff auf welches Netzsegment?

• Welche Rechte wurden bei Rollenwechseln angepasst?

• Wurden beim Offboarding tatsächlich alle Zugänge entzogen?

Ohne übergreifende Orchestrierung bleiben diese Fragen offen. Das bringt Risiken für Betrieb und Audit mit sich.

Vom Zugriffspunkt zur orchestrierten Identitätssteuerung

Immer mehr Organisationen setzen daher auf orchestrierte On- und Offboarding-Prozesse. Ziel ist es, den gesamten Identitätslebenszyklus als durchgängigen, technisch kontrollierten und auditfähigen Prozess abzubilden:

• Identitätsebene: Zentrale Verwaltung digitaler Identitäten

• Netzebene: Steuerung von IP-, VPN- und Segmentzugriffen

• Anwendungsebene: Konsistente Rechtevergabe

• Prozessebene: Freigaben, Prüfungen, revisionssichere Protokollierung

Netzwerkzugriffe werden nicht mehr isoliert konfiguriert, sondern aus dem Kontext einer Identität heraus gesteuert. Das erhöht die Sicherheit und hilft, Compliance-Anforderungen zu erfüllen. Zudem reduziert es den manuellen Betriebsaufwand.

Praxisbeispiel: Versicherungen als Hochrisikoumfeld

In den meisten Unternehmen greifen Mitarbeitende über unterschiedliche Wege auf IT-Systeme zu – aus dem internen Netz, per VPN oder über cloudbasierte Anwendungen. In Versicherungen ist dieses Zugriffsmodell besonders anspruchsvoll. Neben internen Mitarbeitenden arbeiten dort Außendienstorganisationen, Makler, temporäre Projektpartner und IT-Dienstleister parallel mit hochsensiblen Kunden- und Vertragsdaten. Gleichzeitig unterliegen Versicherungen strengen regulatorischen Vorgaben zu Nachvollziehbarkeit, zeitlicher Begrenzung und revisionssicherer Dokumentation.

Beim Onboarding wird zunächst eine digitale Identität im zentralen Verzeichnisdienst angelegt und eindeutig einer fachlichen Rolle zugeordnet, etwa „Sachbearbeitung Schaden“, „Außendienst Vertrieb“ oder „externer IT-Dienstleister“. Diese Rollen sind genehmigt, dokumentiert und oft zeitlich befristet.

Auf dieser Basis steuert das Orchestrierungssystem automatisiert mehrere technische Schritte: Es schaltet rollenbasierte Zugriffe auf definierte Netzwerksegmente über NAC- oder Firewall-Regeln frei, stellt VPN- oder Remote-Zugänge bereit und weist Zertifikate, Tokens oder Mehrfaktor-Authentifizierung zu. Alle beteiligten Systeme werden koordiniert gesteuert, und jeder Schritt wird protokolliert.

Beim Offboarding greift derselbe Prozess in umgekehrter Reihenfolge. Endet ein Projekt, wechselt eine Rolle oder verlässt eine Person das Unternehmen, entzieht das System synchron alle Zugänge: Netzwerkfreigaben werden geschlossen, VPN-Zugänge deaktiviert, Zertifikate widerrufen und abhängige Berechtigungen entfernt. Gerade in Versicherungen ist diese Synchronität entscheidend, da Zugriffe häufig über mehrere Netze und Anwendungen hinweg bestehen.

Identitäts- und Prozessplattformen als Integrationsschicht

Technisch wird dies über integrierte Identitäts- und Prozessplattformen gelöst. Sie fungieren als Orchestrierungsschicht zwischen Netzwerk-Infrastruktur, Identitäten und Fachanwendungen. Solche Plattformen ersetzen bestehende IP-Komponenten nicht, sondern binden Verzeichnisdienste, NAC, PKI, VPN-Gateways und APIs über standardisierte Schnittstellen ein.

Kobil mPower ist ein Beispiel dafür: Die Identitäts- und Prozessplattform orchestriert den gesamten Lebenszyklus digitaler Identitäten und steuert darauf aufbauend automatisiert Netzwerk-, Anwendungs- und Systemzugriffe konsistent über den gesamten Lebenszyklus hinweg.

Fazit

Mitarbeiter kommen und gehen – On- und Offboarding gehört zum Alltag in modernen IP-Netzwerken. Sobald Zugriffe jedoch über Cloud-Dienste, VPNs oder externe Zugänge erfolgen oder zusätzlich Systeme, Maschinen oder KI-Agenten eingebunden sind, lassen sich Berechtigungen nicht mehr allein über klassische Netzwerkregeln steuern.

Entscheidend ist, dass Zugriffe eindeutig mit Personen, technische Identitäten und Rollen verknüpft sind und über klar definierte Prozesse gesteuert werden. Nur so bleiben Berechtigungen nachvollziehbar und lassen sich beim Offboarding vollständig entziehen. Die Grundlage dafür bildet ein durchgängiges Identitäts- und Prozessmanagement, das Zugriffe über Netzwerk, Anwendungen und Betrieb hinweg automatisiert steuert – und damit zur Grundlage moderner IP-Architekturen wird.

Über den Autor

Ismet Koyun ist Gründer und CEO von Kobil.

(ID:50766201)