Identity Access Management (IAM) und IT-Sicherheit sind das tragende Fundament jeder modernen, regulierten IT-Landschaft. Steigende aufsichtsrechtliche Anforderungen aus MaRisk, BAIT, DORA, NIS-2 und ISO 27001:2022, hybride Cloud-Architekturen sowie das konsequente Zero-Trust-Modell verlangen ein IAM, das das Least-Privilege-Prinzip durchgängig umsetzt und jederzeit auditfähig ist. Gewachsene Berechtigungsstrukturen, heterogene Zielsysteme und schwache Rollen-Governance führen dagegen zu Prüfungsfeststellungen, überhöhten Zugriffsrisiken und ineffizienten Rezertifizierungen. Vetrexa unterstützt Sie herstellerunabhängig als erfahrener Partner – von der IAM-Zielarchitektur über die Toolauswahl (SailPoint IIQ, Microsoft Entra ID, CyberArk, One Identity, NEXIS) bis zum operativen Betrieb inklusive KPI-Steuerung. Unser Fokus liegt auf stark regulierten Sektoren wie Banking, Versicherung, Automotive und Public Sector, in denen wir seit vielen Jahren nachweislich Governance-, Compliance- und Effizienzergebnisse liefern.
Überblick
Warum IAM & Security?
Digitalisierung, Cloud-Migration und Zero-Trust-Modelle verändern die Sicherheitslogik grundlegend. Zugleich verschärfen MaRisk, BAIT, DORA und ISO 27001 die Anforderungen an Nachweisbarkeit, Kontrolle und Auditfähigkeit. Viele Organisationen kämpfen mit gewachsenen Berechtigungsstrukturen, heterogenen Zielsystemen und ineffizienten Rezertifizierungen. Genau hier setzen wir an – als unabhängige Beratung ohne Toolbindung, mit Fokus auf tragfähige Governance und messbare Ergebnisse.
Unser Ansatz umfasst die gesamte Wertschöpfung: von der IAM-Strategie über Zielarchitektur, Toolauswahl und Implementierung bis zur Optimierung im Betrieb. Wir bringen Erfahrung aus zahlreichen Programmen in EMEA, APAC und den USA mit klarem Branchenfokus auf Banking, Versicherung und Industrie – dort, wo Regulatorik, Skalierung und Komplexität aufeinandertreffen.
Der regulatorische Druck steigt 2026 spürbar weiter: Die MaRisk-Novelle konkretisiert Anforderungen an das IT-Berechtigungsmanagement (AT 7.2 und BT), BAIT und die europäische DORA-Verordnung mit ihren Level-2 RTS (Regulatory Technical Standards) fordern ein durchgängiges ICT-Third-Party-Risikomanagement, granulare Zugriffsprotokolle, dokumentierte Notfallprozesse sowie belastbare Business-Continuity-Nachweise. Parallel weitet NIS-2 den Kreis der pflichtigen Unternehmen deutlich aus, unter anderem in Industrie, Energie, Gesundheit und öffentlichen Einrichtungen, und verlangt formelle Risiko- und Meldeprozesse. ISO 27001:2022 hat mit den neuen Controls A.5.15 bis A.5.18 den Fokus auf Access Control, Identitätsmanagement, Authentifizierungsinformationen und Rechteentzug geschärft. Wir übersetzen diese Anforderungen in konkrete Kontrollen: Rezertifizierungsintervalle nach Kritikalität, SoD-Matrix mit dokumentierten Ausnahmen, Break-Glass-Konten mit vollständiger PAM-Session-Recording-Kette, Access Reviews mit Owner-Attestierung sowie automatisierte Reports für Wirtschaftsprüfung, Innenrevision und Aufsicht (BaFin, Bundesbank, EZB).
Unser Leistungsspektrum
Was wir für Sie umsetzen
01
IAM-Zielarchitektur & Strategie
Wir entwickeln aus Ihrer Geschäfts- und IT-Strategie eine tragfähige IAM-Zielarchitektur – inklusive Betriebsmodell, Sourcing-Strategie und Roadmap. Dabei berücksichtigen wir hybride Cloud-Landschaften, Legacy-Kernsysteme sowie Third-Party-Anbindungen und leiten daraus ein konsistentes Identity-Fabric-Zielbild ab. Ergebnis ist eine belastbare Blaupause mit klarer Governance, Rollenverantwortung und quantifizierbaren KPIs für Programm-Steering-Committees.
Identity-Fabric-Architektur mit hybriden Cloud-Anbindungen
Sourcing- und Build-vs-Buy-Bewertung inkl. TCO
02
SailPoint IIQ – Implementierung & Optimierung
Von der Ersteinführung bis zur Modernisierung bestehender Installationen: konfigurativ, performant und auditfähig. Wir bringen tiefe Erfahrung mit SailPoint IdentityIQ mit – von der Datenmodell-Definition über konfigurierbare Rezertifizierungskampagnen bis hin zu maßgeschneiderten BeanShell-Rules und Custom-Connectoren. Für bestehende Plattformen liefern wir strukturierte Health-Checks, Upgrade-Pfade und Performance-Optimierung.
Konfiguration von Provisioning und Workflows
Anbindung von Zielsystemen (SAP, AD, ServiceNow)
Rezertifizierungskampagnen und Policy-Modelle
Performance-Tuning und Health-Checks
UAT-Konzepte, Cutover und Hypercare
Migration IIQ 8.x auf aktuelle LTS-Releases
Custom-Connector-Entwicklung und BeanShell-Rule-Design
03
Privileged Access Management (PAM)
Wir bringen privilegierte Zugriffe unter Kontrolle – von Konzeption bis zur Absicherung kritischer Systeme. Zentrale Bestandteile sind PAM-Session-Recording mit revisionssicherer Ablage, Just-in-Time (JIT) Access mit Freigabe-Workflows sowie klar definierte Privileged Access Thresholds (PAT), die Aktivitäten mit erhöhtem Risiko automatisch eskalieren. Ergänzend härten wir Servicekonten, entkoppeln Legacy-Systeme und binden alle Aktivitäten sauber in SIEM und Threat-Detection ein.
PAM-Zielbild und Betriebsmodell
Tresor- und Session-Konzepte (CyberArk, One Identity)
Just-in-Time-Access und Break-Glass-Prozesse
Integration in SIEM und Monitoring
Härtung von Servicekonten und Legacy-Systemen
PAM-Session-Recording mit revisionssicherer Aufbewahrung
Delegation Chains und Vier-Augen-Genehmigung für Break-Glass
04
RBAC & SoD-Modellierung
Klare Rollenmodelle sind die Grundlage effizienter Governance. Wir konsolidieren, entrümpeln und modellieren nachhaltig – mit datenbasiertem Rollen-Mining und einer belastbaren SoD-Matrix, die aufsichtsrechtliche Konfliktkategorien abbildet. Ergebnis sind fachlich verständliche Business-Rollen, technisch handhabbare Systemrollen und ein Lifecycle mit klaren Ownern, der Rollenwildwuchs nachhaltig verhindert.
Analyse und Bereinigung gewachsener Rollen
Rollen-Mining und Business-Rollen-Design
SoD-Regelwerke und Konfliktprüfung
Rollen-Ownership und Lifecycle-Prozesse
Modellierung mit NEXIS Plattform / IVIP
SoD-Matrix mit Ausnahme- und Kompensationskontrollen
ABAC-Erweiterungen für risikobasierte Feinsteuerung
05
Rezertifizierung & Audit-Readiness
Wir machen Ihre Zugriffslandschaft prüfungssicher – gegenüber interner Revision, Wirtschaftsprüfern und Aufsicht. Wir konzipieren risikobasierte Rezertifizierungskampagnen, die Bulk-Bestätigungen unterbinden, Access Reviews auf Owner-Ebene verankern und Feststellungen konsequent nachverfolgen. Ergebnis sind auditierbare Kontrollen entlang MaRisk AT 7.2, BAIT, DORA und ISO 27001:2022 mit vollständigem Nachweispfad.
Rezertifizierungsprozesse nach MaRisk und DORA
Ownership-Konzepte und Eskalationslogik
KPI- und Compliance-Dashboards (Power BI)
Audit-Vorbereitung und Findings-Management
Nachhaltige Kontrolldokumentation
Rezertifizierungskampagnen mit risikobasierter Priorisierung
Access Reviews mit Owner-Attestierung und Vier-Augen-Prinzip
06
Connector-Entwicklung
Individuelle Anbindungen dort, wo Standardkonnektoren an Grenzen stoßen – robust, wartbar und dokumentiert. Wir setzen bewährte Muster für Idempotenz, Retry und Rate-Limiting ein und liefern eine belastbare Betriebsdokumentation inklusive Monitoring-Konzept. So werden auch komplexe HR-Trigger, Cloud-APIs und Legacy-Systeme sauber in IGA-Workflows und Delegation Chains integriert.
SAP-Integration (HR, ERP, S/4HANA)
Active Directory und Entra ID
ServiceNow-Integrationen und Fulfilment
MIM/FIM-Erweiterungen und Migrationspfade
REST/SOAP-Konnektoren mit Fehlerbehandlung
Event-basierte HR-Trigger für Joiner-Mover-Leaver
Betriebs- und Monitoring-Handbuch je Konnektor
Methodik
Unser Vorgehen in 4 Phasen
01
Analyse
Aufnahme von Ist-Architektur, Berechtigungslandschaft, regulatorischen Anforderungen und Reifegrad. Ergebnis: fundierte Standortbestimmung und Handlungsfelder.
02
Strategie
Entwicklung der IAM-Zielarchitektur, Auswahl passender Tools, Definition von Betriebsmodell und Governance sowie einer priorisierten Umsetzungs-Roadmap.
03
Implementierung
Aufsetzen von Prozessen, Konfiguration der Zielsysteme, Anbindung der Fachbereiche, Datenmigration, Test und kontrollierter Rollout je Wave.
04
Optimierung
Kontinuierliche Verbesserung im Betrieb: KPI-Steuerung, Rezertifizierungszyklen, Performance-Tuning und Anpassung an regulatorische Änderungen.
Regulatorik
Regulatorik & Compliance im Detail
Wie wir IAM-Kontrollen konkret an aufsichtsrechtlichen Rahmenwerken ausrichten.
MaRisk & BAIT
Die MaRisk-Novelle 2026 und die BAIT konkretisieren die Anforderungen an das IT-Berechtigungsmanagement (AT 7.2 sowie die IT-spezifischen BT-Kapitel). Wir verankern die Prinzipien Least-Privilege, Funktionstrennung und Nachvollziehbarkeit in konkreten Prozessen: risikobasierte Rezertifizierungsintervalle, SoD-Kontrollen, Berechtigungsantrags-Workflows und lückenlose Protokollierung. Alle Kontrollen werden auditfähig dokumentiert und mit KPI-Dashboards gegenüber Innenrevision, Wirtschaftsprüfer und BaFin belegt.
DORA (inkl. Level-2 RTS)
Der Digital Operational Resilience Act ist seit 17. Januar 2025 verbindlich – die Level-2 RTS zu ICT-Third-Party-Risikomanagement, Incident-Klassifizierung und Threat-Led Penetration Testing konkretisieren die Umsetzung 2026 weiter. Wir liefern das IAM-seitige Fundament: Governance-Strukturen, Zugriffs- und Änderungsprotokolle, Third-Party-Access-Kontrolle, Notfallzugriffe mit Session-Recording sowie Reporting an die zuständigen Aufsichtsbehörden. Ergebnis ist ein prüfungsfähiger DORA-Nachweis für Ihre kritischen IKT-Funktionen.
ISO 27001:2022 & NIS-2
Die überarbeitete ISO 27001:2022 mit Annex A und den Controls A.5.15 bis A.5.18 stellt Access Control, Identitätsmanagement, Authentifizierungsinformationen und Rechteentzug ins Zentrum. NIS-2 weitet den regulierten Kreis auf viele Industrie-, Energie- und Public-Sector-Unternehmen aus und verlangt formalisierte Risiko-, Melde- und Trainingsprozesse. Wir mappen Ihre IAM-Kontrollen auf beide Rahmenwerke, ergänzen fehlende Nachweise und bereiten Zertifizierungsaudits systematisch vor.
Referenzen
Projekterfahrung IAM & Security
Ausgewählte Projekt-Referenzen nach Branche – ohne Nennung von Kundennamen.
Banking
IAM Governance & Audit-Readiness
Aufbau einer COBIT-basierten IAM-Governance mit auditfähigen Rezertifizierungsprozessen und Power-BI-Dashboards für die KPI-Steuerung gegenüber Prüfern und Aufsicht.
Toolset: ServiceNow, Jira/XRay, Confluence, Power BI
Design und Umsetzung revisionssicherer Rezertifizierungen inklusive Owner-Reviews, Eskalationslogik und Reporting – aufgesetzt in SailPoint IIQ mit klarer Ownership-Struktur.
Aufbau eines DORA-konformen Governance-, Reporting- und ICT-Third-Party-Risikomanagement-Frameworks: Register der IKT-Drittparteiverträge, Incident-Klassifizierung nach RTS, Access-Logging kritischer Systeme sowie Krisenübungen und Meldeprozesse an die Aufsicht. Ergebnis war ein prüfungsfähiger DORA-Nachweispfad rechtzeitig zu den Level-2 RTS-Fristen.
Toolset: ServiceNow GRC, Confluence, Power BI
Methodik: DORA RTS, ITIL, Requirements Engineering
Industrie
IGA-Tool-Evaluierung & POC-Definition
Strukturierte Evaluierung von IGA-Lösungen mit Requirements-Workshops, Fit/Gap-Analyse, Scoring-Matrix und POC-Design als Entscheidungsgrundlage für das Management.
Konsolidierung heterogener Berechtigungslandschaften über mehrere Werke und Landesgesellschaften hinweg. Aufbau einer harmonisierten Business-Rollen-Taxonomie, Migration auf SailPoint IIQ und Einführung SoD-basierter Kontrollen für SAP- und Engineering-Systeme.
Toolset: SailPoint IIQ, SAP, Active Directory, Confluence
Methodik: Rollen-Mining, Fit/Gap, TISAX-Alignment
Public Sector
IAM-Modernisierung & NIS-2-Readiness
Beratung einer öffentlichen Einrichtung bei der Ablösung gewachsener AD-Strukturen und Aufbau einer NIS-2-konformen IAM-Governance mit klaren Verantwortlichkeiten, Incident-Prozessen und Zero-Trust-Bausteinen. Fokus auf datenschutzrechtliche Anforderungen und barrierefreie Prozesse.
Toolset: Microsoft Entra ID, Active Directory, ServiceNow
Fachbereiche fordern immer neue Sonderrollen an, bestehende werden nicht bereinigt – das Ergebnis sind tausende überlappende Rollen, die weder Owner noch Auditoren durchdringen. Wir verhindern das mit strengem Rollen-Lifecycle, datenbasiertem Rollen-Mining und einer klar definierten Business-Rollen-Taxonomie, die gemeinsam mit den Fachbereichen gepflegt wird.
Zu wenig Owner-Governance und unklare Verantwortlichkeiten
Wenn Rollen, Applikationen und Berechtigungen keinen fachlichen Owner haben, verlagern sich Entscheidungen zur IT – und Governance zerfällt. Wir verankern eine tragfähige Ownership-Struktur mit RACI, Vertretungsregelungen und periodischen Owner-Reviews, damit Access Reviews und Rezertifizierungen von den richtigen Personen belastbar unterschrieben werden.
Rezertifizierung als Papierakt (Bulk-Approve)
Rezertifizierungskampagnen, bei denen Manager pauschal alles bestätigen, sind aus Aufsichtssicht wertlos und erhöhen das Prüfungsrisiko. Wir setzen risikobasierte Priorisierung, kontextreiche Anzeigen (Nutzung, Kritikalität, Peer-Vergleich) und Vier-Augen-Prinzip ein, so dass Rezertifizierung wieder eine echte Kontrolle wird – und nicht nur ein Klick-Ritual.
PAM ohne Session-Recording und Break-Glass-Kontrolle
Ein PAM-Tool allein schützt nicht: Ohne Session-Recording, klare Break-Glass-Prozesse und Delegation Chains bleiben privilegierte Zugriffe intransparent. Wir konzipieren PAM als geschlossene Kontroll-Kette – von Just-in-Time-Freigabe über Session-Aufzeichnung bis zur revisionssicheren Ablage und Auswertung im SIEM.
FAQ
Häufige Fragen
Welche IAM-Tools setzt Vetrexa ein?
Wir sind toolunabhängig und arbeiten je nach Kundensituation mit SailPoint IdentityIQ, Microsoft Entra ID, CyberArk, One Identity und Microsoft MIM/FIM. Als NEXIS Silver Partner nutzen wir zusätzlich die NEXIS Plattform mit IVIP für Rollenanalyse und Governance-Visualisierung.
Wie unterstützt Vetrexa bei MaRisk- und DORA-Compliance?
Wir entwickeln aufsichtskonforme IAM-Governance-Modelle nach MaRisk AT 7.2, BAIT und DORA. Dazu gehören auditfähige Rezertifizierungsprozesse, SoD-Kontrollen, Notfallzugriffe (Break-Glass) sowie KPI-Dashboards für die Prüfungssicherheit gegenüber Wirtschaftsprüfern und BaFin.
Können Sie bestehende SailPoint-Systeme optimieren?
Ja. Wir übernehmen Health-Checks, Performance-Analysen und Konsolidierungen für bestehende SailPoint IIQ-Installationen – von Workflow-Refactoring über Connector-Optimierung (SAP, AD, ServiceNow) bis hin zur Modernisierung von Rezertifizierungskampagnen und Rollenmodellen.
Wie lange dauert ein typisches IAM-Rezertifizierungsprojekt?
Eine erste auditfähige Rezertifizierungskampagne lässt sich meist in 3 bis 6 Monaten aufsetzen. Umfassende Governance-Programme mit Rollenneu-Modellierung, Tool-Rollout und internationaler Skalierung liegen typischerweise zwischen 12 und 24 Monaten – gestaffelt nach Systemen und Fachbereichen.
Was ist der Unterschied zwischen IAM, IGA und PAM?
IAM (Identity & Access Management) ist der Oberbegriff für alle Prozesse rund um digitale Identitäten, Authentifizierung und Autorisierung. IGA (Identity Governance & Administration) ergänzt IAM um Governance-Funktionen wie Rezertifizierung, SoD-Prüfungen, Lifecycle-Management und Attestierung. PAM (Privileged Access Management) fokussiert speziell auf privilegierte Konten – mit Tresor, Session-Recording, Just-in-Time-Access und Break-Glass-Prozessen. In der Praxis kombinieren wir alle drei Ebenen zu einem ganzheitlichen Identity-Fabric-Ansatz.
Wie unterscheiden sich RBAC und ABAC?
RBAC (Role-Based Access Control) vergibt Berechtigungen über Rollen, die zu Aufgaben und Organisationsstrukturen passen – ideal für stabile Prozesse und regulatorische Nachweise. ABAC (Attribute-Based Access Control) entscheidet dynamisch anhand von Attributen wie Abteilung, Standort, Gerätezustand oder Risikoklasse und erlaubt feingranulare, kontextabhängige Policies. In modernen Zero-Trust-Architekturen kombinieren wir beide Modelle: RBAC als robustes Fundament, ABAC für risikobasierte Feinsteuerung und Just-in-Time-Zugriffe.
Welche Rolle spielt Zero Trust in unserer Strategie?
Zero Trust ist kein Produkt, sondern ein Architekturprinzip: never trust, always verify. Jeder Zugriff wird kontextuell geprüft – Identität, Gerät, Netzwerk, Risiko-Signale. Wir verankern Zero Trust im IAM über konsequente Least-Privilege-Vergabe, starke Authentifizierung (MFA, phishing-resistente Faktoren), Mikrosegmentierung, kontinuierliche Session-Bewertung und tiefe Integration mit SIEM und XDR. Ergebnis ist ein IAM, das hybride Cloud, Home-Office und Third-Party-Zugriffe konsistent absichert.
Bereit für sichere IAM-Governance?
Sprechen Sie mit uns über Ihre IAM- und Security-Roadmap – unverbindlich und auf Augenhöhe.