Cloud Computing und Anforderungen an ein Identity Management

Aus Winfwiki

Wechseln zu: Navigation, Suche
Namen der Autoren:     Philipp Babranyi, Andre Casper, Arijo Nazari-Azari
Titel der Arbeit:     Cloud Computing und Anforderungen an ein Identity Management
Hochschule und Studienort:     Fachhochschule für Oekonomie und Management in Essen



Inhaltsverzeichnis


1 Abkürzungsverzeichnis

Abkürzung Bedeutung
AP Asserting Party
ASP Application Service Providing
DAP Directory Access Protocol
DNA Desoxyribonukleinsäure
DNS Domain Name System
FIM Federated Identity Management
FOM Fachhochschule für Ökonomie und Management
IaaS Infrastructure as a Service
IDC International Data Corporation
IDP Identity Provider
IdM Identity Management
iTAN Indizierte Transaktionsnummer
IT Informationstechnik
LDAP Lightweight Directory Access Protocol
OASIS Organization for the Advancement of Structured Information Standards
PaaS Platform as a service
PC Personal Computer
PIN Persönliche Identifikationsnummer
PUID Passport User ID
RP Relying Party
RFID Radio Frequency Identification
SaaS Software as a service
SAML Security Assertion Markup Language.
SLA Service Level Agreement
SOA Serviceorientierte Architektur
SSO Single Sign-On
SP Service Provider
TAN Transaktionsnummer
TLOI The Laws Of Identity
UCIM User Centric Identity Management
URI Uniform Resource Identifier
XML Extensible Markup Language

2 Abbildungsverzeichnis

Abbildung 1:Cloud Computing als "Emerging Technologie"
Abbildung 2:Ausschlaggebenden Faktoren für die Einführung eines IdM
Abbildung 3:Übersicht über den Datenfluss bei einem Verzeichnisdienst
Abbildung 4:Prozessdarstellung des Provisioning
Abbildung 5:Unterschied Authentifizierung und Authentisierung
Abbildung 6:Vereinfachte Darstellung eines SSO-Prozesses
Abbildung 7:Darstellung des Cloud Computing Konzepts
Abbildung 8:Cloud Computing Schichtenmodell
Abbildung 9:Aufbau Federated Identity Management
Abbildung 10:Federated Identity Management WEB-SSO
Abbildung 11:SAML Kernkomponenten
Abbildung 12:Prozessüberblick über den Live ID Vorgang
Abbildung 13:Prozessüberblick über den CardSpace Vorgang

3 Tabellenverzeichnis

Tabelle 1: Darstellung der "The Seven Laws Of Identity"
Tabelle 2: SAML Statements
Tabelle 3: SAML Protocols
Tabelle 4: SAML Bindings
Tabelle 5: SAML Profiles

4 Einleitung 

"[...] Steht Wolke hoch, zum herrlichsten geballt, verkündet, festgebildet, Machtgewalt [...]." [1] 
                                                     Johann Wolfgang von Goethe (1749 - 1832)

Schon der bekannte Dichter Goethe erkannte die Kraft der Wolken und was er in seinem Werk der Naturwissenschaften beschreibt, kann auch heute auf eine andere Wolkenkonstellation zutreffen, nämlich das Cloud Computing. Die Cloud drängt sich mit Machtgewalt in die IT-Welt und mit welch Herrlichkeit wird sie gerufen von den Big Playern wie Amazon, Google oder Microsoft [2]. Bei dem Konzept des Cloud Computings werden die zahlreichen Gigabytes auf der Festplatte nie mehr knapp, denn alle verwendeten Daten und Anwendungen lagern irgendwo in der Wolke. In schematischen Netzwerk-Darstellungen, wird das Internet standardmäßig mit einem Wolkenumriss symbolisiert. Die IT-Experten nutzen die Wolke als Sinnbild für das weltumspannende Netzwerk und meinen damit über die ganze Welt verteilte Datenzentren. Cloud Computing könnte somit einen Paradigmenwechsel auslösen, der sogar die Fiktion von Bill Gates, dass in jedem Haushalt ein leistungsstarker Rechner mit umfangreichen Softwareapplikationen verfügbar ist, ablösen könnte [3]. Das renommierte Analystenhaus Gartner hat bereits 2008 das Cloud Computing als "Emerging Technologie" eingestuft (vgl. Abbildung 1).

Abbildung 1: Cloud Computing als "Emerging Technologie" .
Abbildung 1: Cloud Computing als "Emerging Technologie" [4].

Cloud Computing hat jedoch mit einem fundamentalen Problem zu kämpfen. Die bisher intern gespeicherten Daten verlassen das Unternehmen und liegen in der Wolke. Trotz der Annahme, dass Mitarbeiter von Cloud-Providern darauf verzichten, in den Kundendaten zu stöbern, erfordert dieser Schritt ein großes Vertrauen in den Anbieter. So konnten z. B. im März dieses Jahres massenhaft unbefugte Nutzer auf Google Docs Dokumente eines holländischen Unternehmens zugreifen [5].

Dieser Paradigmenwechsel stellt auch die klassischen Ansätze des Identity Managements (IdM) vor neue Herausforderungen. Denn IdM-Services sind ausschlaggebend für einen funktionierenden Cloud Computing-Service, da gewährleistet sein muss, dass sich die Benutzer korrekt authentifizieren und eine flexible Zugriffssteuerung möglich ist. Diese IdM-Systeme müssen einerseits den Schutz der gespeicherten personenbezogenen Daten gewährleisten und ebenso die Interoperabilität für multiple Cloud-Services bereitstellen. Um die angebotenen Services in Anspruch zu nehmen, müssen Benutzer bereits heute viele personenbezogene und teils sensitive Daten, wie Name, Vorname, Kreditkartennummer und Geburtsdatum angeben (i. d. R. mit Hilfe von Onlineformularen). Dieser Vorgang hinterlässt jedoch bei jedem der Provider eine digitale Identität, die bei nicht sachgemäß ausgeführten Schutzmechanismen leicht missbraucht werden können. Zumal längst nicht mehr nur Online-Banking-Accounts kompromittiert werden, sondern auch ganze digitale Identitäten auf den unterschiedlichen Plattformen zur Zielscheibe der Angreifer werden. Des Weiteren sind oftmals unternehmensinterne, autarke IdM-Systeme vorhanden. Um den Cloud Computing-Providern zukünftig die bereits vorhandenen Identitätsinformationen zu übermitteln, bedarf es konkreter Konzepte und standardisierter Schnittstellen.

Ziel dieser Fallstudie ist es zu untersuchen, welche Anforderungen im Bezug auf die Nutzung der Cloud Computing-Angebote an ein IdM-System bestehen und die derzeitig vorherrschenden Konzepte vorzustellen. Dafür werden zunächst grundlegende Aspekte beschrieben und dargestellt. In weiteren Schritten werden die allgemein akzeptierten "The Seven Laws Of Identity" (TLOI) betrachtet. Anschließend werden aktuelle technische Konzepte für den organisationsübergreifenden Austausch von Identitätsinformationen, sowie deren Realisierung vorgestellt.

5 Grundlagen

5.1 Digitale Identität

Der Begriff »Identität« ist in den letzten Jahren zum Modebegriff geworden. Eine allgemeingültige Definition gibt es nicht, daher herrscht in den unterschiedlichen Themengebieten der Wissenschaft keine Geschlossenheit. Dennoch kann man in der Gesamtheit einen wichtigen Begriffskern absorbieren, der in allen wissenschaftlichen Teilgebieten gleich ist und sich in einer schlichten Frage formulieren lässt: Wer bin ich? Im klassischen Sinn versteht man unter Identität: 

"[...] das Bewusstsein, sich von anderen Menschen zu unterscheiden (Individualität) sowie über die Zeit (Kontinuität) und 
verschiedene Situationen (Konsistenz) hinweg - auch für die Umwelt erkennbar - dieselbe Person zu bleiben." [6]

Um Daten von Benutzern korrekt zu verwalten bedarf es zunächst der einheitlichen Erhebung. Dafür wird eine Art Ausweis, digitale Identität, eines Subjekts mit verschiedenen Attributen erstellt. Dieser digitale Ausweis sorgt gemäß den Anforderungen des Datenschutzes dafür, dass die Person als echt und vertrauenswürdig identifiziert werden kann. Eine digitale Identität entsteht erst dann, wenn ein Subjekt mindestens ein Authentifizierungsmerkmal wie z. B. Login/Passwort, Fingerprint oder Smartcard besitzt [7].

Jede Person erhält im Laufe der Zeit mehrere Identitäten in unterschiedlichen Anwendungen, aber auch in unterschiedlichen Rollen. Viele dieser Identitätsdaten liegen auf Servern in sogenannten Verzeichnisdiensten. Teilweise sind die Verzeichnisse in Anwendungsdatenbanken integriert oder in flachen Dateistrukturen gespeichert, um zentral in einem Netzwerk bestimmte Arten von Daten zur Verfügung zu stellen. Mit Hilfe des Client-Server-Prinzips wird dann ermöglicht auf diese Daten zuzugreifen und Modifikationen vorzunehmen.

Auf einer übergeordneten logischen Ebene liegen die technisch orientierten Funktionen eines IdM. Dazu zählen insbesondere die Synchronisation von Verzeichnisinformationen, aber auch virtuelle Verzeichnisdienste, Anwendungen für das Management von Informationen, technische Lösungen für die Authentifizierung und das Single Sign-On (SSO). In den vergangenen Jahren wurden vermehrt prozessorientierte Ansätze entwickelt, dabei sind Provisioning und Federated Identity Management (FIM) von besonderer Bedeutung [8].

5.2 Identity Management

Abbildung 2: Ausschlaggebenden Faktoren für die Einführung eines IdM .
Abbildung 2: Ausschlaggebenden Faktoren für die Einführung eines IdM [9].

Die IT-Administration wird in Belangen der Benutzerverwaltung von einer Vielzahl an Ereignissen, wie beispielsweise Fusionen oder Mitarbeiterfluktuation, vor große Herausforderungen gestellt. Daher wächst das Vorhaben stetig, unterstützende IdM-Systeme zu integrieren. Die Tatsache jedoch, dass für Mitarbeiter in IT-Systemen Benutzer angelegt werden und diese Berechtigungen brauchen, ist allerdings nicht revolutionär. Die Fachwelt diskutiert bereits seit längerem über den Ansatz der Verwaltung von Identitäten und die Vorteile von IdM-Systemen. Ziele dabei sind die Reduzierung personenbezogener Informationen der Benutzer und die Aggregation an Kennungen, nach Möglichkeit in einer einzigen digitalen Identität [10]. Dennoch ist IdM in den letzten Jahren zu einem wichtigen Thema geworden und die Vergabe von Berechtigungen in einem Unternehmen hat massiv an Bedeutung gewonnen. Auslöser für diese Entwicklung sind vor allem:

  • komplexer werdende IT-Systeme,
  • verstärkte globale Zusammenarbeit,
  • höherer Zeit- und Kostendruck,
  • verschärfte gesetzliche Anforderungen und
  • neue Bedrohungsszenarien.

Eine durch Forrester Research durchgeführte Befragung von 258 IT-Entscheidern bezüglich der treibenden Faktoren für die Einführung eines IdM-Systems im Unternehmen hatte zum Ergebnis, dass Sicherheit und Compliance die wesentlichen Faktoren seien (vgl. Abbildung 2).

Der zugrunde gelegte Begriff "Identity Management" besteht aus zwei Komponenten; die Identität und das Management dieser Identitäten. 

Identität
Identität ist die Summe derjenigen Merkmale, anhand derer ein Individuum von anderen unterschieden werden kann.

Management
Erzielung geplanter oder erwünschter Ereignisse durch aktives Handeln unter Nutzung von Ressourcen [11].

Ein IdM-System sorgt dafür, dass Editierungen an den Benutzerkonten nur einmalig durchgeführt werden müssen und diese dann plattformübergreifend aktualisiert werden. Eine fehleranfällige Mehrfachnennung in den verschiedenen IT-Systemen wird dadurch vermieden. Davon verspricht man sich ein hohes Kosteneinsparpotential, da der Aufwand für die Benutzerverwaltung und den User Helpdesk verringert werden. Des Weiteren soll durch Standardisierung eine vereinfachte, einheitliche Verwaltung von Benutzerdaten realisiert werden, die die Integration neuer Anwendungen bei zukünftigen Projekten fördert [12]. Das elementare Ergebnis eines IdM ist jedoch in erster Linie Sicherheit. Dafür müssen digital erfassbare Merkmale, die einen Benutzer vom anderen unterscheiden, effizient verwaltet und zur Verfügung gestellt werden. Fasst man die treibenden Faktoren für die Implementierung eines effizienten IdM zusammen, so sind vor allem regulatorische Vorschriften, Nutzervielfalt, Flexibilität, Optimierung der Administrationsprozesse sowie der Schutz der Unternehmenswerte zu nennen.

Regulatorische Vorschriften
Im Rahmen des Risikomanagements bzw. durch gesetzliche Vorschriften (Compliance) wird den Aspekten Auditierbarkeit und Nachvollziehbarkeit für Unternehmen ein bedeutender Stellenwert zugetragen. Vorschriften (z. B. Basel II und europäische Datenschutzrichtlinie) erfordern lückenlose Nachweisbarkeit von Transaktionen in Unternehmen. Der Schutz der verschiedenen Informationen bedarf eines strikten, prozessgetriebenen Zugangsmanagements für IT-Applikationen.
Nutzervielfalt
Mehr denn je werden die IT-Systeme der Unternehmen von unterschiedlichen Nutzern in Anspruch genommen. Dabei variieren die Zugangsstufen von individuellen Zugangsanforderungen, Gruppenzugängen bis hin zu zeitlich beschränkten Zugängen.
Flexibilität
Die Beziehungen der Benutzer zum Unternehmen verändern sich im Rahmen des Lebenszyklus eines Mitarbeiters und damit auch die jeweiligen Zugangsprivilegien in einer dynamischen Umgebung. Dies erfordert das kontinuierliche Management der Identitäten. Mit steigender Kundenzahl, durch Unternehmenszusammenschlüsse, Akquisitionen und Reorganisationen, rückt die Skalierbarkeit der Zugänge zu IT-Ressourcen in den Vordergrund.
Schutz der Unternehmenswerte
Mit der zunehmenden Verflechtung von Systemen, Zuständen sowie Daten wird es für IT-Verantwortliche immer schwieriger, die ordnungsgemäße Pflege der Zugriffsrechte zu gewährleisten. Die Vielfalt der Systemzugriffe bedarf eines effizienten Managements von Benutzeridentitäten mit den dazugehörigen Attributen und Zugangsdaten [13].

Die Umsetzung eines IdM erfolgt hauptsächlich durch zentrale Meta-Directorys oder Virtual Directorys deren Hauptaufgabe darin besteht, verschiedene Systeme oder Datenbanken miteinander zu verbinden beziehungsweise untereinander abzugleichen. Dieser Vorgang ist hochkomplex und besteht aus unterschiedlichen Teilaspekten, die ein ganzheitliches IdM ausmachen. Die Komplexität eines IdM-Systems setzt sich dabei aus der Anzahl betroffener Benutzer und vor allem der anzubindenden autorativen Quellen und Zielsysteme zusammen. Die Basis jedoch für ein IdM ist die digitale Identität, also die Repräsentation von Personen in digitaler Form.

Zusammenfassend kann ein IdM wie folgt definiert werden: "Ein IdM ist die Summe aller Maßnahmen, die notwendig sind, um Personen und Benutzer in IT-Systemen eindeutig zu erkennen sowie ihnen genau jene Zugriffe zu ermöglichen, die sie aktuell im Rahmen ihrer Tätigkeit benötigen. Dabei sind alle Maßnahmen im Rahmen von standardisierten nachvollziehbaren Prozessen durchzuführen". [14]

5.2.1 Verzeichnisdienst

Die aus den autorativen Quellen gewonnenen Daten müssen nach der Erhebung digital abgelegt werden. Dies wird mit Hilfe von Verzeichnissen umgesetzt, die eine Art Auflistung von Informationen über Objekte darstellen und in einer bestimmten Reihenfolge, in Form eines zentralen Datenbestands, vorgehalten werden. In der IT stellt ein Verzeichnis eine spezielle Datenbank dar, die nach Typen sortierte Informationen über Objekte enthält. Um eine Vielzahl von Anfragen zu gewährleisten, stellen Verzeichnisse hierarchische Datenbanken dar und sind für Lesezugriffe optimiert. Diese Zugriffe können beispielsweise zum Suchen (englisch: search), Ändern (englisch: modify) oder Hinzufügen (englisch: add) von Daten ausgeführt werden. Sie werden benutzt um Daten zu sammeln und über Schnittstellen, unter Nutzung standardisierter Protokolle, den zugreifenden Diensten zur Verfügung zu stellen (vgl. Abbildung 3). Der Verzeichnisdienst optimiert das Aussondern von Informationen zu expliziten Objekten mit bekanntem Namen oder das Ausmachen von Objekten mit genau festgelegten Eigenschaften und stellt die jeweilige technische Ausrichtung dar (beispielsweise Telefonbücher, DNS Systeme oder Verwaltung von Benutzerdaten).

Abbildung 3: Übersicht über den Datenfluss bei einem Verzeichnisdienst .
Abbildung 3: Übersicht über den Datenfluss bei einem Verzeichnisdienst [15].

Während es in der Vergangenheit eine Mehrzahl herstellerspezifischer Verzeichnisdienste gab, setzt sich heute zunehmend das Lightweight Directory Access Protocol (LDAP) als Schlüsseltechnologie für firmenweite Verzeichnisdienste durch [16]. LDAP stellt als Protokoll den Zugriff auf Daten eines Verzeichnisdienstes sicher und bildet den Standard für die Kommunikation zwischen dem Benutzer und einem Verzeichnisdienst. Anfänglich wurde LDAP dabei als ein Gegenentwurf zu dem Directory Access Protocol (DAP) entwickelt, das wiederum innerhalb des X.500-Directory-Standards definiert wurde. Für den Erhalt der Konformität sorgten dabei das übernommene Datenmodell und die innerhalb des Protokolls möglichen Operationen, die hauptsächlich vom X.500-Standard adaptiert wurden. Durch diese Entwicklung hat sich die derzeit aktuelle Version zum dominierenden Standard für den Zugriff auf Verzeichnisdienste entwickelt. Moderne Verzeichnisdienste verfügen heute nahezu alle über eine LDAP-Schnittstelle mit Hilfe derer folgende Einsatzszenarien ermöglicht werden:

  • Der Verzeichnisdienst wird im Internet platziert, z. B. als Zertifikatsdatenbank. Über die Nutzung des Internets kann der Benutzer mit einem geeigneten Software-Client auf die Datenbank zugreifen.
  • Der Verzeichnisdienst wird im Intranet einer Einrichtung verwendet, um die Administration von Benutzerkonten oder Ressourcen im Netzwerk zu ermöglichen. Somit werden neben direkten Benutzerzugriffen über eine LDAP-fähige Clientsoftware auch Zugriffe von Netzapplikationen realisiert.

Die Konfiguration dieser LDAP-Zugriffe erfolgt dabei gemäß der zuvor festgelegten Sicherheitsrichtlinien [17].

Die Stärken von LDAP liegen dabei in der optimierten Autorisierung und Authentifizierung sowie der breiten Unterstützung. Mit Hilfe des klar strukturierten Protokollaufbaus und der performanten Abfragesprache wird eine hohe Abfrageperformance und eine Reduzierung der Verbindungszeiten erzielt. Die nichtnormalisierte Datenspeicherung realisiert schnelle Lesezugriffe, da alle Informationen sofort mit nur einem Zugriff ausgelesen werden können. Des Weiteren ist LDAP der offene Industrie-Standard für Authentifizierung, Autorisierung sowie Benutzer- und Adressverzeichnisse. Weitestgehend alle Softwareprodukte, die mit Benutzerdaten umgehen müssen und Marktrelevanz haben, unterstützen LDAP als Protokoll [18].

5.2.2 Provisioning

Wenn es um die Administration und Integration von Benutzerdaten in Unternehmen geht, spricht man von Provisioning. Dabei wird der Benutzer eines IT-Systems mit den notwendigen Voraussetzungen für seine Arbeit ausgestattet. Die Aktionen des Provisioning können aufgrund automatisierter Anfragen erfolgen oder durch Geschäftsprozesse veranlasst werden. Ziel ist es, eine größtmögliche automatisierte Verteilung in mehrere Systeme, Verzeichnisdienste oder Anwendungen zu erreichen und insbesondere die Prozesse der Erstellung, Verwaltung, Deaktivierung und Löschung zu automatisieren [19].

Abbildung 4: Prozessdarstellung des Provisioning .
Abbildung 4: Prozessdarstellung des Provisioning [15].

Provisioning umfasst alle Geschäftsprozesse zur Bereitstellung von Betriebsmitteln und Informationen an Mitarbeiter. Als allgemeine Betriebsmittel bezeichnet man Arbeitsplätze, Zutrittskarten für Gebäude, Besprechungsräume, Dienstwagen oder Telefongeräte; als IT-Betriebsmittel gelten u. a. Benutzerkonten, Passwörter und Berechtigungen. Da die Beantragung von Betriebsmitteln generell mit einem Genehmigungsverfahren erfolgt, gehören die Verfahren zur Beantragung und Genehmigung zum Provisioning. Dies begründet generell, dass die Provisioningprozesse von den Fachabteilungen geprüft und durchgeführt werden, da sie die Geschäftsprozesse und somit das verbundene Ausmaß der Berechtigungen am Besten kennen. Nachdem der Prozess der Genehmigung (mit Hilfe eines Workflows) erfolgreich absolviert wurde, wird die IT-Abteilung tätig (vgl. Abbildung 4) [20].

Provisioningsysteme sind in der Lage, digitale Identitäten in einem oder mehreren Systemen zu verwalten. Dabei sind die Prozesse, die zu einem Provisioningsystem gehören können, vielfältig.

  • Propagation - beschreibt die Ausdehnung und Verbreitung von Informationen und gibt Änderungen an angeschlossene Systeme weiter, um entsprechende Maßnahmen zu ergreifen.
  • Vereinheitlichung - Prozesse werden aggregiert und vereinheitlicht, um die Administration zu entlasten.
  • Self-Service-Workflows - Aufgaben die der Benutzer selbst erledigen kann werden delegiert, um Helpdesk-Kosten zu reduzieren.

Grundsätzlich kann Provisioning in zwei Kategorien eingeteilt werden: zentrale und verteilte Systeme.

1. Zentrale Systeme
~ nehmen Provisioninganfragen entgegen und veranlassen Änderungen direkt in den angeschlossenen Systemen (z. B. virtuelle Directories). Bedingung für ein zentrales System ist, dass ein direkter Zugriff auf die angeschlossenen Systeme besteht.
2. Verteilte Systeme
~ arbeiten einzeln als vollwertige Provisioningsysteme, die Anfragen entgegennehmen bzw. Anfragen an andere Systeme versenden (FIM-Szenarien), wenn kein zentrales autoratives System existiert, sondern die Systeme innerhalb eines Circle of Trust agieren und jeweils eigenständige Benutzerverwaltungen besitzen.

Somit spiegelt Provisioning einen wesentlichen Teilbereich des IdM wieder und wird vor allem dann eingesetzt, wenn Benutzer durch eine Vielzahl digitaler Identitäten auf mehreren Systemen repräsentiert werden müssen. In der Regel verfügen User Provisioningsysteme auch über Reportingfunktionalitäten, so dass sie den Zustand der Berechtigungen der digitalen Identitäten zu jedem Zeitpunkt revisionssicher dokumentieren. Damit ermöglichen sie die Nachvollziehbarkeit aller relevanten Aktionen und helfen damit gesetzliche Vorschriften zu erfüllen [19].

5.2.3 Authentifizierung und Autorisierung

Es ist erst möglich von einer personifizierten Identität zu sprechen, wenn eine erfolgreiche Authentifizierung an einem System erfolgt ist. Die Authentifizierung beschreibt dabei den Prozess der Überprüfung einer Identität, ohne den die Identität primär lediglich eine aufgestellte Behauptung über die Identität einer Person darstellt [21]. Als alleiniger Prozess kann diese Art der Identifikation nicht ausreichen. Erst ein Beweis über die Behauptung, mit Hilfe eines Token, Passwort oder Signatur, und dessen erfolgreiche Prüfung, kann die Identität sicher stellen [22]. Ist die Identität, durch die erfolgreiche Authentifizierung, nachgewiesen spricht man von Authentizität (vgl. Abbildung 5).

Abbildung 5: Unterschied Authentifizierung und Authentisierung .
Abbildung 5: Unterschied Authentifizierung und Authentisierung [15].

Mit dem Anlegen einer digitalen Identität wird der Nutzer registriert. Weiterhin werden Merkmale festgelegt, mit denen sich der Nutzer gegenüber einem oder mehreren Systemen authentisieren kann. Die Authentisierung, also der Nachweis der eigenen Identität, erfolgt durch eine Vielzahl verschiedener Mechanismen oder auch deren Kombinationen:

  • Der Benutzer kennt eine Information und wurde in Augenschein genommen. Man hat ihm eine Parole mitgeteilt, die er verwenden soll, um seine Identität nachzuweisen. Beispiele: Passwörter, PINs und Antworten auf bestimmte Fragen.
  • Der Benutzer hat einen bestimmten Besitz und wurde in Augenschein genommen. Er hat etwas erhalten, um seine Identität nachzuweisen. Beispiele: Smartcards, RFID-Karten, Zertifikate, TAN- & iTAN-Listen und Token.
  • Der Nutzer ist ein unverwechselbares Individuum und wurde in Augenschein genommen. Dabei wurde ein persönliches Merkmal vermessen und im System hinterlegt (Biometrie). Der Nutzer soll es wieder „vorzeigen“, um seine Identität nachzuweisen. Beispiele: Fingerabdrücke, Stimm- oder Iriserkennung und DNA.

Jede dieser Authentisierungsmechanismen hat spezifische Vor- und Nachteile und es gibt zahlreiche Varianten beziehungsweise Realisierungsformen. Durch die Kombination mehrerer Merkmale (Mehrfaktorauthentisierung), z. B. durch Besitz und Wissen kann die Sicherheit zusätzlich erhöht werden. Die Anwendung von nur einem Authentisierungsmerkmal ist daher nicht immer ausreichend um die heutigen Sicherheits- und Compliance-Anforderungen zu erfüllen. Grundlegende Kriterien für die Auswahl eines geeigneten Authentisierungsverfahrens sind die entstehenden Kosten und das benötigte Sicherheitsniveau. Des Weiteren muss anhand der zu schützenden Ressourcen und der Fragestellung bezüglich der anzusetzenden Ebene (Anwendung, Netzwerk, physikalisch) ein Authentisierungsdienst gewählt werden [13].

Nach einer erfolgreichen Authentifizierung erfolgt die Autorisierung. Darunter ist die Zuweisung und Überprüfung von Zugriffsrechten auf IT-Ressourcen entsprechend der mit der Identität verknüpften Rechte definiert [23]. 

"Die Aufgabe der Rechteverwaltung und der Zugriffskontrolle eines IT-Systems bestehen darin, Mechanismen zur Vergabe von 
Zugriffsrechten bereitzustellen sowie bei Zugriffen auf zu schützende Objekte die Autorisierung zu prüfen." [24]

Um einen wirksamen Schutz zu erreichen, sollte bei der Rechtevergabe der Nutzer nur für die Ressourcen autorisiert werden, die er unbedingt benötigt. Die häufigsten Spezialfälle sind, dass der erlaubte Zugriff auf Ressourcen (z. B. Verzeichnisse oder Dateien) in einem Computernetzwerk oder die Erlaubnis zur Benutzung von geschützten Computerprogrammen gewährt wird.

5.2.4 Single Sign-On

Heutzutage bestehen beispielsweise über Jahre gewachsene Portale im Web nicht mehr nur noch aus einer Anwendung und es kommt häufig zu einer wahren Flut von Benutzerzugangsdaten. Spätestens wenn alle eigene Authentifizierungs-Mechanismen mitbringen, muss etwas getan werden, um Benutzern den Umgang mit den vielfältigen Daten zu erleichtern [25].

Eine einmalige Anmeldung mit sofortigem Zugriff auf alle benötigten Systeme – dies stellt den Wunsch eines jeden Benutzers dar: denn es gilt Mehrfachanmeldungen zu vermeiden. Aus Gründen der Benutzerfreundlichkeit kann die Vereinheitlichung der Anmeldeverfahren mit einem SSO-Systems angestrebt werden. Diese Systematik ermöglicht es dem Benutzer, sich mit nur einer Authentifizierung an einem Verbund von Anwendungen anzumelden. Durch die Verwendung eines SSO-Systems wird die Authentisierung von der eigentlichen Anmeldung an eine Applikation separiert. Auf die spezifischen Möglichkeiten und Anforderungen der einzelnen Applikationen wird im weiteren Verlauf nicht mehr eingegangen. Durch die erfolgreiche Authentifizierung übernimmt das SSO-System den Anmeldevorgang für jeden weiteren Dienst auf den der Anwender zugreifen möchte, sofern er dies unterstützt (vgl. Abbildung 6) [26].

Abbildung 6: Vereinfachte Darstellung eines SSO-Prozesses .
Abbildung 6: Vereinfachte Darstellung eines SSO-Prozesses [15].

Der Benutzer profitiert von diesem System und muss sich lediglich einen Zugang merken. Allerdings stellt die verwendete Software auch ein erhöhtes Sicherheitsrisiko dar, denn gelingt es einem Angreifer das SSO-System zu kompromittieren, so wird ihm der Zugang auf alle Anwendungen ermöglicht. Das Ausspähen einer einzigen Benutzeridentität würde ausreichen, um Zugriff auf den gesamten Verbund zu bekommen. Es ist daher sinnvoll als initiale Authentifizierungsmethode eine Mehrfaktorauthentisierung zu nutzen (z. B. SmartCard + PIN). Die Versorgung der zugreifenden Systeme mit den benötigten Authentifizierungsdaten erfolgt zeitsparend und automatisiert nach der Einmalanmeldung, den sogenannten Credentials [27].

Beim SSO-Mechanismus spielt ein grundlegender Ansatz eine entscheidende Rolle: der Einsatz von Tickets. Mit Hilfe dieser verschlüsselten Tickets, die bei erfolgreicher Anmeldung erzeugt werden, wird der Anwender innerhalb einer bestimmten Gültigkeit an den Systemen authentifiziert. Grundsätzlich können drei Arten von SSO unterschieden werden:

  1. Zentraler Portalserver: Hierbei wird für die Anmeldung ein eigener Dienst implementiert. Zu Beginn der Sitzung wird dieser Dienst angesprochen und der Benutzer erhält ein Ticket mit dessen Hilfe er sich bei allen Diensten im Verbund authentifizieren kann. Wenn eine Applikation im Portal aufgerufen wird, gibt es die Anmeldeinformationen an die jeweilige Applikation weiter. Dadurch muss der Anwender Benutzernamen und Passwort nicht noch einmal eingeben.
  2. Circle of Trust: Hierbei wird ein Verbund aus vertrauenswürdigen Diensten aufgebaut, die eine gemeinsame Identifikation für jeden Benutzer gegenseitig austauschen. Nach der einmaligen Anmeldung bei einem Dienst kann der Benutzer alle anderen Dienste des Verbundes gleichermaßen nutzen.
  3. Clientbasierte Lösung: Hierbei erfolgt die einmalige Anmeldung am PC des Benutzers und erfordert eine spezielle Software. Das Anmeldefenster wird dafür automatisch ausgefüllt, sobald der Benutzer die Applikation aufruft. Das geschieht so schnell, dass der Benutzer es praktisch nicht merkt. Die Applikation selbst kann nicht erkennen, ob die Eingaben vom Benutzer oder von einem anderen System stammen. Der Zugriff auf alle weiteren installierten Dienste erfolgt ohne gesonderte Authentifizierung [25].

Die Auswahl eines geeigneten Verfahrens muss nach exakter Betrachtung der Erwartungen und anhand der entworfenen Abläufe und Prozesse getroffen werden. Dennoch müssen die Risiken des Einsatzes dieser Architektur berücksichtigt werden [26].

5.3 Cloud Computing

Aufgrund der derzeit existierenden schwierigen wirtschaftlichen Lage befasst sich die strategische Unternehmensplanung verstärkt mit dem Einsparpotenzial von IT Lösungen in Unternehmen. Hierbei rückt der aktuelle Trend, das Modell des Cloud Computing, immer weiter in den Fokus. An der Verbreitung von Cloud Computing ändert auch die aktuell angespannte Situation nichts, denn nach einer Umfrage des Marktforschungsinstituts International Data Corporation (IDC), erklärten 70 % der befragten Unternehmen, dass der Abschwung keinen Einfluss auf die Entscheidung für Cloud Computing Lösungen hat. Dennoch herrscht große Unklarheit über eine einheitliche Begriffsdefinition und es mangelt an Transparenz sowie aussagekräftigen Informationen. Trotzdem gehen fast die Hälfte der Befragten davon aus, dass sich Cloud Computing in den nächsten Jahren als Modell zur Beschaffung von IT etablieren wird [28].

5.3.1 Begriffserläuterung

Abbildung 7: Darstellung des Cloud Computing Konzepts .
Abbildung 7: Darstellung des Cloud Computing Konzepts [15].

Eine freie Übersetzung von Cloud Computing beschreibt die „elektronische Datenverarbeitung in der Wolke“. Die Wolke ist in diesem Zusammenhang als Metapher für ein Netzwerk zu sehen, abgeleitet von der Darstellung des Internets. Grid Computing, Utility Computing oder Adaptive Computing waren Vorreiter und hatten ihren Fokus speziell in der Infrastruktur. Application Service Providing (ASP) und SaaS führten dazu, dass Techniken zum Bereitstellen von Diensten verfügbar waren. Diese Technologien sind bereits seit einigen Jahren etabliert und legten somit den Grundstein für das Modell des Cloud Computing [29].

Der Begriff Cloud Computing lässt sich sehr stark mit dem IT-Management-Aspekt zusammenführen. Es handelt sich nicht um eine bestimmte Technik oder eine bestimmte Anwendung, sondern stellt ein Konzept bereit. Die Verwendung des Konzepts kann grundsätzlich die IT-Welt verändern und allgemein die Verwendung revolutionieren (vgl. Abbildung 7) [30].

Was ist aber die Idee hinter dem Begriff Cloud Computing? Das Konzept ist von einem anderen Bereich des täglichen Lebens abgeleitet. So müssen essentielle Dienste wie z. B. Wasser und Elektrizität immer verfügbar sein, sobald sie angefordert werden. Cloud Computing Services stehen ebenfalls 'on Demand' (deutsch: bei Bedarf) zur Verfügung und müssen flexibel angelegt sein. Sie unterliegen meist Echtzeitanforderungen und benötigen daher den vollen Zugriff auf die notwendigen Systemressourcen. Die abgerufene Verwendung wird im Anschluss je nach Verbrauch beim Versorger abgerechnet. Dieses Schema setzt sich nun auch in der IT-Landschaft zunehmend durch, wobei Cloud Computing das führende Modell dieses Trends darstellt [31].

5.3.2 Umsetzung

Das Modell stellt im eigentlichen Sinn keine großartige Innovation dar, sondern vielmehr eine konsequente Weiterentwicklung bereits bekannter Ansätze. Anwendungen, Plattformen, Daten und Infrastrukturen sollen sich nicht mehr auf lokalen sondern auf entfernten Systemen in der "Wolke" befinden. Die Dienste werden den Anwendern über das Internet, also standortunabhängig verfügbar gemacht. Mit welchen Anwendungen auf die Dienste zugegriffen wird und welche Schnittstellen genutzt werden sollen, kann zwischen den Diensten oder Anbietern variieren.

Vorteile für die Kunden bzw. Anwender sind die sofortige Verfügbarkeit sowie die Skalierbarkeit der Leistungen und dem damit verbundenen leistungsbezogenen Abrechnungssystem. Anbieter von Cloud Computing Lösungen versprechen sich eine bessere Auslastung der Ressourcen und eine mögliche Steigerung der Produktivität [29]. Des Weiteren ermöglicht Cloud Computing eine schnelle und einfache Nutzung von Services mit geringer Vorlaufzeit und ohne weitreichende IT-Kenntnisse. Somit können, speziell durch die geringe Kapitalbindung und die verbrauchsabhängige Abrechnung, Kosten eingespart werden. Von diesen Vorteilen profitieren nicht nur große Unternehmen, sondern auch Mittelständler und Kleinunternehmen, denn die Vision 'IT wie Strom aus der Steckdose' wird durch Cloud Services zur Realität [32].

Die zugrunde liegende IT-Infrastruktur ist dabei für den Benutzer nicht von großer Relevanz. Er kann sich darauf verlassen, dass ausreichend Ressourcen zur Verfügung stehen und das System stabil läuft. Der Versorger schließt ein Service Level Agreement (SLA) mit dem Kunden ab, wonach die verhandelte Leistung (z. B. Zugriffe, Dauer, Datenvolumen, etc.) in der vereinbarten Qualität zur Verfügung stehen muss.

Abbildung 8: Cloud Computing Schichtenmodell .
Abbildung 8: Cloud Computing Schichtenmodell [15].

Es können drei wesentliche Arten von Diensten unterschieden werden, die in einer Cloud zur Verfügung gestellt werden. Mit Hilfe der schematischen Darstellung wird deren Zusammenhang im Verbund verdeutlicht (vgl. Abbildung 8).

SaaS - Sofware as a Service
Saas bildet die bedeutendste Anwendung einer serviceorientierten Architektur (SOA). Damit werden Softwareteile nicht mehr eng miteinander verbunden, sondern einmalig programmiert und über standardisierte Schnittstellen, so genannte Web-Services, anderen Anwendungen zur Verfügung gestellt. Die Auswahl eines vertrauenswürdigen Hosting-Angebots spielt eine bedeutende Rolle, denn Benutzer von On-Demand-Anwendungen geben wichtige Daten in die Hände Dritter [33].
PaaS - Platform as a Service
PaaS stellt eine Erweiterung des SaaS-Konzepts dar. Eine Plattform dient zur Realisierung von mehreren verschiedenen Diensten und ermöglicht einen erleichterten Zugriff. Dabei wird bei PaaS nicht nur Speicherkapazität zur Verfügung gestellt sondern ebenfalls eine Plattform, auf der infrastrukturunabhängige Anwendungen entwickelt werden können. Dieser Ansatz ist für Unternehmen sinnvoll, die mehrere Dienste anbieten, so dass eine einheitliche Plattform für den Kunden sichtbar ist und der Absatz gesteigert werden kann [34].
IaaS - Infrastructure as a Service
IaaS stellt Speicherplatz, Netzkapazitäten und Rechenleistung zur Verfügung, die flexibel gemietet bzw. gekauft werden können. Damit stellt IaaS scheinbar grenzenlose Hardwareressourcen zur Verfügung und stärkt die Anwenderorientierung, die es dem Benutzer erlaubt nur benötigte Ressourcen zu mieten.

Die technische Realisierung des Modells erfolgt durch Rechenzentren, die Applikationen und Dienste zur Verfügung stellen. Durch den Einsatz von virtuellen Maschinen wird die hohe Skalierbarkeit der Systeme gewährleistet. Jeder virtuellen Maschine werden, gemäß der vereinbarten Leistungen im SLA, so viel Ressourcen wie nötig zugewiesen, um das mit dem Kunden vertraglich Pensum zu erfüllen [35].

5.3.3 Zielgruppen

Der aktuelle Trend des Cloud Computing kommt bei den entsprechenden Zielgruppen unterschiedlich schnell an und so lassen sich zwei Gruppen voneinander unterscheiden:

Unternehmen

Das amerikanische Marktforschungsunternehmen IDC hat in einer Studie von März diesen Jahres die Verbreitung von Cloud Computing in deutschen Unternehmen untersucht. Demnach haben sich rund drei Viertel der befragten Unternehmen noch nicht mit dieser Thematik auseinandergesetzt und rund ein Viertel bereits damit beschäftigt. Im Fokus stand dabei die Kostenersparnis sowie die optimierte Auslastung der IT-Ressourcen. Die Studie zeigt, dass im unternehmerischen Umfeld noch große Skepsis bezüglich der Einsatzfähigkeit von Cloud Services herrscht. Die Zweifel liegen meist in der Praxistauglichkeit und der fehlenden Möglichkeit der Integration in die vorhandene Infrastruktur begründet. Des Weiteren zählen Defizite in Sachen Datensicherheit und Compliance zu den noch zu überwindenden Schwierigkeiten der Cloud [36].

Privatpersonen

Bei Privathaushalten ist der Erfolgsweg der weltumspannenden Wolke eher ein schleichender Prozess. Denn aus der Sicht privater Internet-Anwender ist die Nutzung von Onlinediensten und -portalen eine Selbstverständlichkeit. Es spielt weitestgehend keine große Rolle, wo der Server physikalisch aufgebaut ist und wie viele Kilometer er weg ist. Wichtig für den Privatanwender ist, dass er seine GMX- oder Google-Mails, Fotos oder Youtube-Clips immer zur Verfügung hat. Die dafür benötigten hochskalierbaren und -performanten, weltweit verteilten Infrastrukturen sind für ihn von geringer Relevanz. Dies ermöglicht einen schnellen Siegeszug des Cloud Computings im privaten Bereich und ist deshalb schon viel weiter fortgeschritten, als es im wirtschaftlichen Umfeld der Fall ist [37].

5.3.4 Anforderungen

Das Konzept des Cloud Computing bringt viele Risiken mit sich, die jedoch durch neue gesetzliche Regelungen und strenge Richtlinien für die Cloud Provider minimiert werden können. Es müssen Technologien entwickelt werden, die es den Cloud Anbietern erschweren, Kundendaten missbräuchlich zu verwenden. Zukünftig werden sie zur Einhaltung bestimmter Standards verpflichtet sein, wenn sie Cloud Services anbieten möchten.

Unternehmen pflegen, ab einer gewissen Größe, verschiedene Datenbanken und Verzeichnisse für unterschiedliche Dienste. Die daraus resultierenden, heterogenen Strukturen stellen ein großes Problem für Unternehmen dar. Die zunehmende Verflechtung führt dazu, dass in den Netzen spezialisierte Verzeichnisse mit teilweise redundanten Daten vorliegen, die sich nur schwer zusammen nutzen lassen. Voraussetzung für die Realisierung von Cloud Computing sind daher Regularien zur Abstimmung der Speicherungs- und Synchronisationsprozesse. Mit der Einführung von Standards wird jedoch auch das Interesse von Hackern geweckt, die bei stärkerer Verbreitung von Cloud Computing sich genau auf diese Systeme spezialisieren. Daher müssen Sicherheitsfirmen auch weiterhin stark daran arbeiten, Kunden vor diesen Bedrohungen zu schützen. Mit der Nutzung von Cloud Services geht gleichbedeutend das volle Vertrauen der Benutzer an den Provider und stellt zunehmend einen sehr schwierigen Baustein bei der Integration dar. Selbst das Vertrauen in einen bestimmten Cloud Dienstleister gibt dem Benutzer keine Garantie, dass seine Daten nicht in falsche Hände geraten [38].

Des Weiteren müssen leistungsfähige, breitbandige Netze verfügbar sein, die Transfers großer Datenmengen und eine hohe Anzahl von Anfragen verarbeiten können. Dies bedeutet wiederum, dass mit der Entwicklung des Cloud Computings auch das Internet- und Firmennetzwerk erweitert werden muss. Der Zugriff auf Ressourcen muss authentifiziert und unter Umständen auch autorisiert werden. Daher müssen IdM-Systeme mit in das Konzept einbezogen werden. Von diesem Problem sind besonders große Unternehmen betroffen, deren IdM-Systeme personenbezogene Daten für mehrere Services und Plattformen verwalten [29].

6 Cloud Computing und Identity Management

Organisationen haben oftmals bereits interne IdM-Systeme zur Benutzerverwaltung etabliert. Der Abdeckungsgrad dieser bestehenden Lösungen beschränkt sich jedoch bei den klassischen IdM-Ansätzen nur bis zur Organisationsgrenze und nicht darüber hinaus. Für die zusätzliche lokale Erfassung und Vergabe von Berechtigungen für externe Benutzer ergeben sich daraus wiederum erhebliche Mehraufwände und Risiken:

  • zusätzlicher Administrationsaufwand,
  • zusätzlicher Pflegeaufwand,
  • Redundanzen und
  • Inkonsistenzen.

Entscheiden sich Unternehmen für die Nutzung von Diensten außerhalb der Organisation, wie z. B. Cloud Services, muss jedoch ein Austausch der notwendigen Identitätsdaten über Organisationsgrenzen hinweg möglich sein. Dadurch wird die Identifizierung von Benutzern sowie die Vergabe von Berechtigungen sichergestellt. Mit den sehr jungen IdM-Disziplinen Federated Identity Management (FIM) und dem User Centric Identity Management (UCIM) stehen nun Konzepte zur Verfügung, die den organisationsübergreifenden Austausch von Identitätsinformationen ermöglichen [39].

Grundsätzlich gibt es zwischen den schon heute angebotenen Diensten aus dem Internet und den neueren Cloud-Services keine großen Unterschiede. Auch ein Cloud-Service ist ein Dienst, der vor der Nutzung die zwei Kernfragen einer Anwendung stellt: Wer bist du und was darfst du? Denn beim Cloud Computing handelt es sich nicht um eine neue Technologie, sondern vielmehr um ein neues Konzept, wie Services angeboten und verrechnet werden. Jedoch gibt es bei der Nutzung von Cloud-Services zunehmend Anforderungen bei der Einhaltung von Datensicherheits- und Datenschutzaspekten, weil zunehmend personenbezogene Daten über die ganze Welt verteilt gespeichert werden. Zur Entwicklung eines Leitfadens für die dabei auszutauschenden Identitätsdaten hat Microsoft daher die breit diskutierten, aber allgemein anerkannten „The Seven Laws of Identity“ entwickelt.

6.1 The Laws Of Identity

Die Seven Laws Of Identity (TLOI) reflektieren die Erkenntnisse einer Arbeitsgruppe von Microsoft mit einigen Vordenkern und sind aus einer Diskussion entstanden. Daraus leiten sich Gesetze im Umgang mit digitalen Identitäten ab, die die Anforderungen an ein Metasystem zur vollständigen und zielgerichteten Identitätsverwaltung beschreiben. Nachfolgend werden die sieben Gesetze dargestellt und beschrieben [40].

Tabelle 1: Darstellung der "The Seven Laws Of Identity" .
Tabelle 1: Darstellung der "The Seven Laws Of Identity" [15].

6.1.1 Benutzerkontrolle

Das erste Gesetz der TLOI besagt, dass personenbezogene Daten, die auf die Identität des Benutzers hinweisen, nur nach Zustimmung des Benutzers zur Verfügung gestellt werden.

Um Verwechslungen, Täuschungen oder Ähnliches zu vermeiden, müssen die Systeme die Identitätsanfragen klar und eindeutig an den Benutzer leiten. Werden solche Anfragen versteckt gestellt oder sind nicht eindeutig formuliert, wird der Benutzer das nötige Vertrauen in das System verlieren. Das Vertrauen des Benutzers wird gewahrt, indem er jederzeit die Kontrolle über seine Identitätsinformationen hat. Um dies zu gewährleisten, müssen die eigenen Identitätsinformationen, sowie die Information, wer seine Daten abrufen will, dem Benutzer bekannt sein. Weiterhin muss der Benutzer erst zustimmen, bevor sein Internetverhalten, welche Seiten er wie oft besucht, aufgezeichnet und ausgewertet wird.

Der Benutzer muss immer die Kontrolle über die Verwendung seiner Identitätsdaten haben. Dies ist ebenfalls nicht davon abhängig, ob der Benutzer ein Kunde oder ein Mitarbeiter eines Unternehmens ist. Gerade in Unternehmen muss gerade dies gewährleistet sein, auch wenn es zu Überschneidungen mit betriebsinternen Vertragswerken kommt.

Sobald ein Benutzer sein Einverständnis für die Herausgabe seiner Daten gegeben hat, muss das System sicherstellen, dass die Informationen nur dort hin transferiert werden, wo sie angefragt wurden. Diese Vorgabe muss technisch realisiert werden. Daher kann es Entscheidungen bezüglich der Herausgabe und Speicherung seiner Identitätsinformationen geben, die der Benutzer bereits getroffen hat. Wird diese Entscheidung zu einem späteren Zeitpunkt noch einmal benötigt, kann automatisch die gesicherte Antwort wiederverwendet werden. Dieses Verfahren kann wiederum nur mit der Zustimmung des Benutzers genutzt werden.

6.1.2 Datenknappheit

Das zweite Gesetz der TLOI besagt, dass nur die notwendigsten Informationen an anfragende Systeme übermittelt werden sollen. Lediglich die minimalen Anforderungen an Informationen, die für die geplante Aktion benötigt werden, sollen vom System übertragen werden. Der Grundgedanke hinter diesem Gesetz ist, dass IdM-Systeme mit dem Bewusstsein konzipiert wurden, dass es immer zu einem Datendiebstahl, Datenmissbrauch oder anderen Vergehen kommen kann. Daher ist es von besonderer Bedeutung, dass immer nur der minimalste Datensatz übermittelt und gespeichert wird. Sofern ein System nach dieser Vorgabe konzipiert wird, stellt es ein unattraktives Ziel für Datenklau oder Datenmissbrauch dar. Dieses Vorgehen verhindert zusätzlich, dass Daten nur auf Vorbehalt gesichert werden und nur im Fall der Fälle verwendet werden.

Das Prinzip der Datenknappheit besagt außerdem, dass so wenig eindeutige Identitätsinformationen wie möglich gesichert werden sollen. Ein unterstützendes Verfahren ist dabei die Verwendung von Kategorien. Beispielsweise könnte anstatt einer Berufsbezeichnung, nur der Berufsstatus, wie Angestellter oder Beamter, vermerkt werden. Außerdem sollen eindeutige Identitätsattribute nicht allgemein gültig sein, wie beispielsweise eine Personalausweis- oder Kreditkartennummer. Diese Informationen könnten im Fall eines Missbrauchs zu größerem Schaden führen, als die Identifikationsnummer eines einzelnen Systems. Daher sollen überwiegend zufällig generierte Identifikationselemente genutzt werden.

Dieses Gesetz wird in vielen Unternehmen nicht konsequent genug umgesetzt. So kommt es immer wieder zu großen Datenskandalen, wie z. B. bei der Deutschen Bahn. Die Bahn hatte in den Jahren 1998 - 2007 Daten von Führungskräften und Mitarbeitern mit denen von Zulieferfirmen abgeglichen. Diese Überprüfung umfasste insgesamt 173.000 Beschäftigte mit dem Ziel, Verbindungen der Mitarbeiter mit den Firmen zu entlarven. Die gefundenen Übereinstimmungen hätten nach Aussage der Bahn ein Hinweis auf Korruption sein können. Datenschützer bemängelten diesen Massenabgleich und weiterhin die Tatsache, dass die Mitarbeiter nicht über dieses Vorgehen informiert und befragt wurden [41].

6.1.3 Beschränkung der Parteien

Der Gedanke hinter dem dritten Gesetz der TLOI ist, dass Identitätsinformationen nur den nötigsten Parteien zur Verfügung gestellt werden. Nur Parteien die diese Daten wirklich nutzen und auch im Zusammenhang mit der Aktion stehen, die zur Freigabe der Identitätsinformationen führte, sind berechtigt, diese zu erhalten und zu verarbeiten.

Ein IdM-System hat die Aufgabe den Benutzer darüber zu informieren, wer die Parteien sind, an die die Identitätsinformationen weiter gegeben werden. Diese Tatsache ist stark mit den Aussagen des ersten Gesetzes verbunden, da der Benutzer immer die Kontrolle darüber haben muss, wem seine Daten zur Verfügung gestellt werden. Gerade hier liegt jedoch das Problem für ein zentrales Identitätssystem im Internet, denn die sowohl die Kunden als auch die Anbieter müssen diesem System vertrauen. Ein bekanntestes Beispiel ist Microsofts Produkt Passport. Passport ist genau an dieser Vertrauensproblematik gescheitert und so gibt es neue Ansätze, ein solches System auf staatlicher Basis aufzubauen. Trotz der zahlreichenden Unterschiede zwischen den verschiedenen Kulturen, wird dem Staat zunehmend mehr vertraut als privaten Unternehmen.

Jede Partei die Identitätsinformationen abfragt, muss dem Benutzer, der die Daten heraus gibt, ein offizielles Dokument überreichen. Innerhalb des Dokuments muss erklärt sein, was mit den Daten geschieht und es sollten folgende zentrale Fragestellungen geklärt werden:

  • Werden meine Daten gespeichert?
  • Wo werden sie gespeichert?
  • Werden die Daten an weitere Parteien gegeben?
  • Wie kann ich meine Daten löschen lassen?

Jede dieser Grundsatzvereinbarungen muss eine Passage enthalten, dass die gespeicherten Daten für staatliche Institutionen zur Ermittlung von Straftaten zur Verfügung gestellt werden. Dies bedeutet jedoch nicht, dass der Staat ein generelles Zugriffsrecht auf die Daten hat, sondern nur in den beschriebenen Ausnahmefällen zugreifen darf.

6.1.4 Zielgerichtet

Im vierten Gesetz der TLOI wird verankert, dass Identitäten zielgerichtet sein müssen. Dies bedeutet, dass sie unidirektional nur einer bestimmten Identität oder aber omnidirektional der Öffentlichkeit bekannt gegeben werden können. Ein einfaches Beispiel dafür ist ein Onlineshop. Ein Onlineshop sollte einer großen Menge an Personen bekannt sein, heißt seine Identität ist omnidirektional. Ist ein Kunde auf den Seiten des Onlineshops und möchte etwas kaufen, muss es zu einer unidirektionalen Verbindung kommen. Der Onlineshop muss sicher sein, dass der Benutzer auch der ist für den er sich ausgibt. Der Kunde wiederum muss sich sicher sein, dass z. B. seine Bankdaten nur bei dem Onlineshop ankommen und gespeichert werden.

Identitäten die der Öffentlichkeit bekannt gegeben werden, können ein Identifizierungsmerkmal haben. Dieses Merkmal wird beim Austausch vorausgesetzt und sollte sich nicht ändern. Im Gegensatz dazu müssen private Identitäten ein eindeutiges Identifizierungsmerkmal aufweisen, das der Öffentlichkeit nicht bekannt ist.

6.1.5 Pluralismus von Systemtreibern und Technologien

Das fünfte Gesetz der TLOI besagt, dass ein universelles Identitätssystem offen für verschiedene Technologien und Anbieter sein muss. Zusätzlich dazu muss das System die unterschiedlichen Technologien, die von den verschiedenen Anbietern betrieben werden, auch miteinander verbinden und kooperativ mit ihnen arbeiten.

Die Tatsache, dass es durch unterschiedliche Anforderungen auch kein einheitliches Identitätsmanagement geben kann, macht dieses Gesetz zu einer unabdingbaren Voraussetzung. Sobald ein IdM-System versuchen würde sich für einen bestimmten Bereich zu spezialisieren, wäre es nicht mehr oder nur bedingt brauchbar für andere Bereiche. So wäre es sicherlich denkbar, dass der Staat ein IdM-System aufbauen und für alle Dienste die er anbietet nutzen könnte. Es wäre jedoch sicherlich nicht möglich, die dort verwalteten Identitäten für andere Dienste wie z. B. Online-Banking zu nutzen, da auf Seiten der Benutzer eine zu hohe Angst vor staatlicher Manipulation oder Überwachung herrscht.

Ein universelles IdM-System muss als eine Art „Framework“ konzipiert sein, dass alle Systeme und ihre speziellen Fähigkeiten miteinander verbindet. Hierzu muss es ein Protokoll geben, um die Kommunikation zwischen den Systemen zu standardisieren und zu regeln. Durch dieses Konzept soll es Benutzern ermöglicht werden, deren digitale Identität bei allen täglichen Aktivitäten und für alle benötigten Bereiche nutzbar zu machen.

6.1.6 Zugriffsmöglichkeit

Mit dem sechsten Gesetz der TLOI soll der Benutzer vor Angriffen auf seine digitale Identität geschützt werden, wobei der Mensch in ein IdM-System mit eingebunden werden muss. Dies erfolgt durch die Realisierung einer Mensch-Computer-Kommunikation.

Aktuell wird durch Verschlüsselungstechniken die Verbindung vom Server zum Browser des Benutzers erfolgreich abgesichert. Methoden wie Phishing oder Pharming, also Verfahren die durch Fälschung von Internetadressen persönliche Daten sammeln, nutzen aber die ungeschützte Strecke zwischen dem Monitor und der Denkzentrale des Menschen. Die Benutzer wissen meist nicht, welche digitalen Identitäten sie nutzen oder was mit ihnen getan wird. Daher muss der Mensch mehr integriert werden, um ihn vor solchen Angriffen zu schützen. Die Kommunikation sollte so einfach wie möglich stattfinden, um die Verlässlichkeit zu gewährleisten. Sobald die Kommunikation nur auf wenige Elemente limitiert wird, wie z. B. den Möglichkeiten „zustimmen“ - „ablehnen“, ist es viel einfacher diese Funktionen sicherzustellen. Die Kommunikation ist vorbestimmt und das System reagiert nur auf die erwarteten Elemente.

6.1.7 Konsistenz

Das siebte und letzte Gesetz der TLOI soll die Konsistenz der Daten regeln. Der Benutzer soll klar unterscheiden können, wenn sich Technologien und Betreiber ändern, aber trotzdem soll der Umgang mit seinen Identitätsdaten einheitlich und übergreifend funktionieren.

Für welche Bereiche werden wir in Zukunft digitale Identitäten benötigen?

  • Zum Erkunden des Internets benötigen wir eine frei erfundene Identität, die nicht der Realität entsprechen muss.
  • Auf Seiten die wir aus persönlichen Gründen dauerhaft besuchen, benötigen wir reale Daten wie z. B. den Namen und die Mailadresse.
  • Um uns in Communities auszutauschen, benötigen wir eine öffentliche Identität.
  • Um auf betrieblichen Seiten mitzuwirken, benötigen wir eine öffentliche Identität, die vom Arbeitgeber ausgegeben wurde.
  • Für Zugriffe auf Kreditkarten wird eine private Identität benötigt, die vom Kreditinstitut ausgegeben wurde.
  • Um auf staatliche Dienste zuzugreifen, wird eine vom Staat erteilte Identität benötigt.

Unterschiedliche Individuen haben dabei unterschiedliche Ausprägungen oder Verteilungen dieser Identitäten. Um dies zu ermöglichen müssen Identitäten greifbar gemacht werden. Heutzutage wird dafür das Hilfsmittel der Icons benutzt; Dateien, Verzeichnisse oder Netzwerke werden so abgebildet. Auch für Identitäten muss dieses Vorgehen entwickelt werden, um sie als Sache darzustellen.

Welche Partei benötigt welche Identität? Um eine Antwort auf diese Frage geben zu können, muss man wissen welche Informationen an die jeweilige Partei transferiert werden muss. Die unterschiedlichen Parteien benötigen unterschiedliche Informationen, wobei eine Partei auch mehrere Arten von Identitäten akzeptieren kann. Der Benutzer muss verstehen, welche Optionen er hat, um die Identität zu wählen, die am besten zu dem aktuellen Bereich passt. Dieser Vorgang sichert die Kontrolle des Benutzers, wie es das erste Gesetz der TLOI vorschreibt.


Die Gesamtheit dieser Gesetze muss bei der Konzeption von IdM-Systemen berücksichtigt werden, damit sich die unterschiedlichen Technologien nicht gegenseitig untergraben. Ohne diese Berücksichtigung würde es zu dem ungewollten Effekt kommen, dass viele Benutzer das Vertrauen verlieren und die Technologie könnte sich nicht durchsetzen. Unter Einhaltung der Gesetze kann ein Verbund von IdM-Systemen entstehen, der das breite Vertrauen der Benutzer genießt und sich langfristig am Markt halten kann [40].

6.2 Federated Identity Management

FIM ist eine reifende Technologie, die derzeitig stark an Bedeutung gewinnt und die durch Definition und Nutzung von Standards, wie beispielsweise Security Assertion Markup Language (SAML), den Austausch von Identitätsdaten über Firmen- bzw. Domaingrenzen hinweg ermöglicht [42].

Abbildung 9: Aufbau Federated Identity Management
Abbildung 9: Aufbau Federated Identity Management [43]

"Das elementare Ziel von FIM ist somit die organisationsübergreifende Übermittlung von personenbezogenen Daten, von der sowohl die beteiligten Organisationen als auch die Benutzer profitieren sollen." [44] Die bereits separat bestehenden Identitätsdatenbestände der einzelnen Organisationen werden dabei übergreifend nutzbar gemacht. Besonders im Rahmen eines Cloud Computing-Ansatzes könnte FIM zukünftig eine wichtige Rolle spielen. Jeder Benutzer wird als Mitglied einer Stammorganisation geführt, die als Identity Provider (IDP) definiert ist. Die Anbieter externer Ressourcen und Dienste, wie beispielsweise Cloud Dienstleistungen, werden als Service Provider (SP) bezeichnet. Alle relevanten Informationen bezüglich eines Benutzers sollen durch den SP mit Hilfe von FIM-Protokollen von dessen IDP abgerufen werden (vgl. Abbildung 9) [39].


In Abbildung 10 wird beispielhaft visualisiert, wie der Zugriff eines Webbenutzers auf eine Ressource bei einem SP funktioniert. Bei einem SP könnte es sich in einem anderen Szenario auch um einen Cloud-Provider handeln.
Abbildung 10: Federated Identity Management WEB-SSO .
Abbildung 10: Federated Identity Management WEB-SSO [45].
Um dies zu realisieren ist eine Authentisierung erforderlich. Der Cloud-Provider kontaktiert einen IDP, bei dem sich der Benutzer bereits zuvor authentisiert hat und fordert von diesem die entsprechende Bestätigung an. Nur wenn der IDP auf die Anfrage eine positive Bestätigung zurückliefert, wird der gewünschte Zugriff durch den SP erlaubt.
Szenario: Eine private Hochschule (fom.de) und eine Onlinebibliothek (tolleskripte.com) haben sich zu einem Circle of Trust zusammengeschlossen. Für dieses Beispiel übernimmt die private Hochschule die Rolle des IDP und die Onlinebibliothek die des SP. Der SP vertraut dabei der Authentisierung durch den IDP.
  1. Ein Student authentifiziert sich am Onlinecampus der FOM und ist erfolgreich angemeldet. Dort nutzt er die verschiedensten internen Ressourcen. An einem bestimmten Punkt wechselt er auf die Site von tolleskripte.com, da dort die aktuellsten Skripte abgelegt sind.
  2. Der IDP (also die FOM) versichert nun der Onlinebibliothek, dass sich der Benutzer bereits erfolgreich am Onlinecampus initial angemeldet hat.
  3. Da der SP dem IDP vertraut (Circle of Trust), muss sich der Benutzer nicht erneut anmelden. Im Fall von SAML versichert der IDP dem SP über sogenannte Assertions, dass er den User authentisiert hat. Eine solche Assertion kann zum Beispiel die folgenden Informationen enthalten: "Dieser Benutzer ist Uwe Core, er hat die Email-Adresse uwe.core@fom.de und wurde mit Hilfe eines Passwortmechanismus am 22. Juni um 23.59 Uhr in diesem System authentisiert." Der SP kann die Daten aus der Assertion verwenden, um zu entscheiden ob der Zugriff erlaubt wird oder nicht.

6.3 User Centric Identity Management

Das (UCIM) stellt den Austausch personenbezogener Daten aus Benutzerperspektive in den Vordergrund und legt den Schwerpunkt auf datenschutzrelevante Punkte. Im Gegensatz zum FIM, wo die Benutzerdaten von einem zentralen IDP verwaltet werden, wird dies bei dem UCIM selbst durch jeden Benutzer durchgeführt. Durch diesen dezentralen und verteilten Ansatz zielt das UCIM mehr auf die Nutzung multipler IT-Services verschiedenster SP durch Privatkunden ab [39].

Bei der Verwendung neuer Dienste im Internet ist es oftmals nicht möglich, die bei bereits zuvor genutzen Diensten erzeugten Reputationen oder in einem Social Network zusammengetragenen Bekanntschaften zu übertragen. Aufgrund fehlender Standards und Schnittstellen können die unterschiedlichen Dienste untereinander keine Informationen austauschen oder interpretieren. Daraus resultiert, dass alle geforderten Daten bei dem neuen Dienst in ein Webformular eingetragen und erneut übermittelt werden müssen. Auch die von einigen SP oder Benutzern präferierte Lösung, bei allen Diensten die gleichen Zugangsinformationen zu verwenden, löst das Problem nicht und birgt dazu noch Sicherheitsrisiken. Für jede Transaktion die der Benutzer durchführt wird oftmals eine Vielzahl von Attributen abgefragt, obwohl der Benutzer möglicherweise nur eine von ihm bestimmte Menge freigeben möchte.

Beim UCIM wird es dem Benutzer ermöglicht, seine Identitäten selbst zu verwalten und so zu hinterlegen, dass die Daten nicht fest in der Hand einzelner Dienstanbieter sind, sondern um den Nutzer zentriert sind. Im Bezug auf die technische Umsetzung bedeutet dies, dass der Nutzer seine Daten bei einem oder mehreren IDP hinterlegt, denen er vertraut. Dies können spezialisierte Unternehmen sein, die sich exklusiv mit dem Sichern und Verwalten von Nutzerdaten befassen. Es wäre ebenfalls denkbar, dass große Provider, Online-Banken oder sogar der Staat diese Rolle übernehmen. Deren Aufgabe besteht darin, die Nutzerdaten zu verwalten und relevanten Stellen zur Authentifizierung bereitzustellen. Möchte der Benutzer einen Dienst verwenden der eine Zugangskontrolle verwendet (und Teil des Circle of Trusts ist), liefert der Nutzer lediglich einen Verweis auf den IDP. Dieser wickelt mit der anfragenden Stelle die Authentifizierung ab. Bei einer Transaktion kann der Benutzer bei Bedarf mit einbezogen werden, um beispielsweise die Freigabe vertraulicher Informationen separat freizugeben. Momentan sind mehrere Projekte in Entwicklung bzw. schon als Produkte am Markt verfügbar, die Infrastruktur und Technologie für ein UCIM bereitstellen. Microsofts CardSpace ist eine UCIM-Implementierung, auf die im folgenden Kapitel detailliert eingegangen wird [46].

6.4 Security Assertion Markup Language

Spricht man über Identity Federation wird in diesem Zusammenhang schnell der Begriff Security Assertion Markup Language (SAML) verwendet. SAML wurde ab 2001 von dem OASIS-Konsortium (Organisation for the Advancement of Structured Information Standards) entwickelt und liegt derzeitig in der Version 2.0 vor [39]. SAML ist ein auf Extensible Markup Language (XML) basierendes Protokoll und ist hauptsächlich für zwei Anwendungsfälle einsetzbar: Zum einen für Web-SSO und darüber hinaus für FIM. In beiden Fällen tritt eine Geschäftsentität A als IDP für eine andere Geschäftsentität B, den sogenannten SP auf. A bietet somit B Informationen, die die Identität der Subjekte von A betreffen und B dabei unterstützen seine Dienste anzubieten. Welche Art von Informationen über die Subjekte jedoch von A an B übermittelt wird, ist jeweils meist vertraglich mittels SLA´s zwischen den Geschäftsentitäten zu vereinbaren und kann deshalb sehr flexibel in SAML 2.0 abgebildet werden. Im Kontext von SAML bedeutet dies, dass der IDP in der Rolle der Asserting Party (AP) auftritt und der SP in der Rolle der Relying Party (RP). Die AP, die auch als SAML Authority bezeichnet wird, bescheinigt der RP die Identität eines Subjekts. Dies geschieht durch die Übermittlung einer Zusicherung (SAML Assertion) von der AP zur RP. Wobei vorausgesetzt wird, dass die RP der Zusicherung der AP vertraut.

SAML besteht aus vier Kernkomponenten (vgl. Abbildung 11):

Abbildung 11: SAML Kernkomponenten .
Abbildung 11: SAML Kernkomponenten [47].

6.4.1 SAML Assertions

Mit SAML ist es möglich Informationen von einer SAML Authority einzufordern und auf diese Anfrage eine entsprechende Behauptung (Assertion) als Antwort zu erhalten. Als Antwort werden drei unterschiedliche Arten von Angaben, so genannte Statements unterstützt, die übermittelt werden können. Eine Assertion bestätigt die Authentifizierung eines Subjektes (Subject), die einem SP (Audience) ein IDP (Issuer) garantiert und auf welche Art und Weise dies authentifiziert wurde. Außerdem können Eigenschaften über ein Subjekt in einer Assertion abgelegt werden, die dem IDP bekannt sind und die dieser dem SP mitteilen will. Eine Assertion kann bis zu drei verschiedene Statementtypen enthalten, die in der folgenden Tabelle aufgeführt sind.


Tabelle 2: SAML Statements .
Tabelle 2: SAML Statements [15].

6.4.2 SAML Protocols

In SAML 2.0 werden sechs Protokolle aufgeführt. Diese beschreiben wie SAML Assertions angefordert oder übertragen werden können. Die folgende Tabelle beschreibt diese Protokolle:


Tabelle 3: SAML Protocols .
Tabelle 3: SAML Protocols [15].

6.4.3 SAML Bindings

Die SAML Bindings beschreiben detailliert, wie die unterschiedlichen SAML Protokolle Nachrichten mittels der darunterliegenden Transport Protokolle übermittelt werden können.


Tabelle 4: SAML Bindings .
Tabelle 4: SAML Bindings [15].

6.4.4 SAML Profiles

SAML Profiles definieren, wie die SAML Kernkomponenten assertions, protocols und bindings kombiniert und für konkrete Anwendungsszenarien zusammengefasst werden können.

Tabelle 5: SAML Profiles .
Tabelle 5: SAML Profiles [15].

6.5 Technische Lösungen

6.5.1 Windows Live ID (Passport)

6.5.1.1 Konzept

Windows Live ID, das zuvor unter dem Namen Microsoft Passport bekannt war, kann als FIM-Ansatz der ersten Stunde tituliert werden. Da Microsoft bei diesem Konzept nur selbst als zentraler IDP in Erscheinung tritt, der zusätzlich E-Commerce relevante Informationen über die Benutzer erfasst, setzte sich dieser Ansatz nur sehr langsam um. Der kostenpflichtige Abruf der Benutzerdaten von einem einzigen IDP, der somit die Kunden des SP kennt, war wirtschaftlich unattraktiv für die SP [39].

Windows Live ID ist als reiner Authentifikationsdienst zu verstehen. Die anschließende Autorisierung ist jeweils Sache der entsprechenden Partnerseite. Für den Benutzer stellt Passport eine SSO-Lösung zur Verfügung. Nach der Anmeldung bei Passport kann er sich auf jeder Partnerseite durch klicken auf einen ‚Sign-In‘ Button schnell und komfortabel anmelden. Weiter hat der Benutzer die Möglichkeit, bei der Registrierung eines Kontos anzugeben, ob den Partnerseiten jeweils Informationen wie E-Mail Adresse, Name und Vorname oder weitere persönliche Informationen zur Verfügung gestellt werden sollen. So können Formulare auf den betreffenden Seiten leicht automatisch ausgefüllt werden. Es ist aber auch möglich, pseudonyme Passport-Konten zu eröffnen, die keinerlei Informationen zum Benutzer beinhalten. Diese sind jedoch in ihrem Funktionsumfang eingeschränkt und nicht auf allen angeschlossenen Partnerseiten nutzbar.

6.5.1.2 Ablauf
Abbildung 12: Prozessüberblick über den Live ID Vorgang .
Abbildung 12: Prozessüberblick über den Live ID Vorgang [15].


Microsoft betreibt Passport mit einem zentralen Authentifikationsserver. Die Benutzer werden dabei durch eine eindeutige Kennung identifiziert, die Passport User ID (PUID). Grundsätzlich gehören zu einem Passport-Konto voneinander getrennte Datensätze: Authentifikationsinformationen werden nicht an die beteiligten Partnerseiten weitergegeben und beinhalten E-Mail Adresse und Passwort. Außerdem können optional mehrere Geheimfragen und –antworten zum Zurücksetzen des Passworts erfasst werden oder es kann ein Sicherheitsschlüssel für eine stärkere Authentifikation gesichert werden. Bei einem Zugriff über mobile Geräte werden hier ebenfalls Telefonnummer und Pin gespeichert. Profildaten werden freiwillig ausgefüllt und umfassen maximal Nachname, Vorname, Adresse, Geschlecht, Geburtsdatum, Beruf und Sprache des Benutzers. Diese Daten können bei der Anmeldung auf einer Partnerseite von dieser ausgelesen werden. Um die Funktionsweise von Microsoft Passport zu verdeutlichen, wird im Folgenden geschildert, wie die Anmeldung eines Passport-Benutzers bei einer Partnerseite vonstatten geht (vgl. Abbildung 12):

  1. Der Benutzer klickt als ersten Schritt in der Partnerseite auf den 'Sign-In'-Button.
  2. Im zweiten Schritt wird der Benutzer auf die Anmeldeseite von Passport weitergeleitet.
  3. Eine Überprüfung der Anmeldung anhand des 'Ticket Granting Cookie' auf dem Computer des Benutzers, erfolgt im dritten Schritt. Sofern die Überprüfung positiv war, wird der Prozess in Schritt vier fortgesetzt. Wenn die Überprüfung negativ war, kommt es zu einer Authentifikation mit E-Mail Adresse, Passwort und eventuell dem Sicherheitsschlüssel. Ein 'Ticket Granting Cookie' wird auf dem Computer des Benutzers erstellt.
  4. Im vierten Schritt erfolgt die Weiterleitung zurück zur Partnerseite mit verschlüsseltem 'Authentication Ticket' und falls vorhanden den Profildaten.
  5. Anschließend entschlüsselt die Partnerseite das Ticket sowie die Profildaten. Anschließend wird dem Benutzer der Zugriff auf den Dienst gewährt.
  6. Abschließend greift, im sechsten und letzten Schritt, der Benutzer auf die Partnerseite zu.
6.5.1.3 Verbreitung

Eine weite Verbreitung hat Windows Live ID als SSO-System nie erreicht. Durch die zentrale Auslegung der Technologie kam es zu keiner großen Akzeptanz bei den Benutzern. Das System wird größtenteils automatisch für Microsoft Produkte genutzt und kann sich durch das mangelnde Vertrauen der Benutzer nicht im freien Markt durchsetzen. Als Bestandteil des .Net-Framework 3.0 wurde als neue Technologie zur Identitätsverwaltung Microsoft CardSpace veröffentlicht.

6.5.2 CardSpace

6.5.2.1 Konzept

CardSpace ist eine Umsetzung des UCIM Konzepts. Die von Microsoft entwickelte Technologie benutzt einen dezentralen Ansatz für die Verwaltung von Benutzeridentitäten. Somit stellt CardSpace eine Art Sammlung von Visitenkarten dar, die lokal auf dem PC des Benutzers abgelegt und verwaltet wird. Es gibt zwei Arten von Karten:

  • Persönliche Karten – die vom Benutzer mit Daten gefüllt wird und somit eine digitale Identität darstellen. Diese Identität kann je nach Bedarf erfunden, real oder aber vom SP vorgegeben sein.
  • Verwaltete Karten – diese Karten werden von den SP ausgegeben und dienen bei zukünftigen Nutzungen als eine Art Eintrittskarte.

Sobald ein Benutzer sich an einem Dienst anmeldet, der die CardSpace Technik verwendet, kann eine neue Visitenkarte (Identität) angelegt werden. Bei der nächsten Verwendung dieses Dienstes kann der Benutzer die bereits erstellte Identität nutzen, um sich direkt an dem Dienst anzumelden ohne ein Passwort einzugeben. Die Authentifizierung wird dabei im Hintergrund des CardSpace Systems vorgenommen [48].

6.5.2.2 Ablauf
Abbildung 13: Prozessüberblick über den CardSpace Vorgang .
Abbildung 13: Prozessüberblick über den CardSpace Vorgang [15].


Im kommenden Abschnitt wird erläutert, in welchen Schritten eine Authentifizierung bei Verwendung von CardSpace abläuft (vgl. Abbildung 13):

  1. Der erste Schritt zeigt einen Benutzer, der über das Internet auf einen Dienst zugreift. Dieser Dienst unterstützt die CardSpace Technologie. Der Bereich auf den der Benutzer zugreift ist geschützt und es bedarf einer Authentifizierung bevor der Benutzer die Anwendungen nutzen kann.
  2. Da der Bereich dieser Webseite geschützt ist, wird der Zugriff verweigert. Der Identitätsforderer unterrichtet dem Benutzer, welches Format die Visitenkarte haben muss, um sich an dem geschützten Bereich anzumelden.
  3. Das CardSpace System auf dem lokalen PC des Benutzers durchsucht seine Datenbank, um eine passende Identität zu finden, die die Anforderungen des Identitätsforderers erfüllen. Sind passende Visitenkarten vorhanden, werden diese dem Benutzer zur Verwendung vorgeschlagen.
  4. Im vierten Schritt muss der Benutzer nun eine der Visitenkarten auswählen, die ihm persönlich am geeignetsten erscheint.
  5. Im Fall einer verwalteten Karte wird das CardSpace System eine Abfrage an den Identitätsausteller senden, um die benötigten Identitätsdaten zu erhalten. In diesem Schritt muss sich der Benutzer gegenüber dem Identitätaussteller verifizieren. Er muss beweisen, das er auch die Person ist, für die er sich ausgibt (dies kann in Form eines Passworts, Zertifikats oder eines anderen Authentifizierungsmechanismus erfolgen).
  6. Im sechsten Schritt werden die benötigten Daten vom Identitätsaussteller zum CardSpace System des Benutzers in verschlüsselter Form übermittelt. Die Informationen der persönlichen Karten liegen bereits lokal beim Benutzer.
  7. Der Benutzer muss nun nocheinmal bestätigen, ob die gesammelten Daten wirklich an den fordernden Dienst geschickt werden sollen.
  8. Im achten und letzten Schritt werden die Daten an den Identitätforderer gesendet und dem Benutzer wird daraufhin der Einlass gewährt bzw., bei negativer Auswertung der Identitätsdaten, verweigert [49].
6.5.2.3 Erfüllte Anforderungen

Die in Kapitel 6.2 aufgeführten und allgemein anerkannten TLOI werden komplett durch CardSpace unterstützt und berücksichtigt [39].

  • Die CardSpace Technologie ermöglicht es dem Benutzer zu kontrollieren, welche Daten an welchen SP gesendet werden.
  • Es können Identitäten für Zugriffe auf öffentliche Bereiche genutzt werden, aber auch Identitäten um auf private, geschützte Bereiche zuzugreifen.
  • Die CardSpace Technologie ist unabhängig von den verwendeten Techniken der SP. Einzig eine Schnittstelle zwischen dem Dienst und dem CardSpace System des Benutzers wird benötigt, um die gelieferten Informationen auswerten zu können [50].
6.5.2.4 Verbreitung

Die CardSpace Technologie ist bereits in dem Betriebssystem Windows Vista von Microsoft enthalten und soll auch für ältere Betriebssysteme, wie z. B. Windows XP nachrüstbar sein. Zusätzlich wird das System durch eine grafische Oberfläche visualisiert. Die beschriebenen Vorteile und das erhöhte Vertrauen in die Technik, durch Einhaltung der TLOI, könnten der Technologie langfristig verhelfen, sich am Markt zu etablieren. Da CardSpace Technologie jedoch noch eine sehr junge Technologie darstellt, ist sie noch sehr unbekannt und nur die Zeit wird zeigen, ob die Benutzer dieser Technologie vertrauen. Des Weiteren wird eine intensive Nutzung dadurch gebremst, dass bisher nur wenige SP ihre Zugriffskontrolle mit Hilfe dieser Technik realisieren [39].

7 Fazit

Zu einem kritischen Erfolgsfaktor entwickeln sich zunehmend die Erfordernisse, dass IT-Services effizient und organisationsübergreifend genutzt werden müssen. Dabei spielen die technischen Authentifizierungs- und Autorisierungsinfrastrukturen, neben der Verwaltung von Identitätsinformationen, eine zentrale Rolle zur sicheren Bereitstellung dieser Services. Das Management dieser Identitäten umfasst die Teilbereiche Erfassung, Verwaltung und Pflege, die wiederum Kernaufgaben eines IdM darstellen und im Grundlagenkapitel dieser Fallstudie beleuchtet wurden. Datenbestände werden aus autoritativen Quellen, wie Human Ressources- und Customer Realtionship-Systemen, gesammelt und zusammengefasst, um sie entweder lokal für IT-Services bereitzustellen oder über einen als Provisioning bezeichneten Prozess in die Zielsysteme zu speisen. Im Verlauf der Fallstudie wurde jedoch dargestellt, dass die heutigen gewachsenen IdM-Systeme ausschließlich den Schwerpunkt auf organisationsinterne Verwaltung von Benutzern legen.

Bei der Betrachtung des Cloud Computing innerhalb der Fallstudie wurde verdeutlicht, dass bei einem Cloud Computing Ansatz die klassischen Organisationsgrenzen aus dem Blickwinkel der IT verschwimmen. Somit stoßen die auf die organisationsinternen Prozesse ausgelegten, klassischen IdM-Systeme an ihre Grenzen. Ressourcen liegen nicht mehr nur innerhalb einer Organisation sondern möglicherweise weltweit verteilt in der Wolke. Mit den daraus resultierenden steigenden Anforderungen an ein IdM, die Identitätsinformationen und Berechtigungen über Organisationsgrenzen hinweg in sicherer und vollständiger Form bereitzustellen, wurden im Hauptteil der Fallstudie die TLOI betrachtet. Diese bilden die Grundlage für neue Konzepte unter Berücksichtigung sicherheits- und datenschutzrechtlicher Aspekte.

Dabei spielt FIM, welches die aktuell vorherrschende Form des organisationsübergreifenden IdM darstellt, eine zentrale Rolle. Die Benutzer werden mit IDP assoziiert, über die ihre Profildaten selektiv an SP transferiert werden. Hierdurch kann zum einen die Effizienz der Akquisition der Daten gesteigert werden. Außerdem kann die Qualität der Daten gegenüber traditioneller, manueller Mehrfacherfassungen deutlich gesteigert, und beispielsweise durch SSO die Benutzerfreundlichkeit verbessert werden.

Es wurden zwei konkrete Implementierungen für FIM und UCIM betrachtet. Ein zentraler Authentifizierungsservice der weltweit genutzt wird, wie Microsoft Live ID, konnte sich nicht durchsetzen, da das Vertrauen der Benutzer gegenüber einem zentralen Anbieter fehlte. Nur wenn es gelingt Institutionen zu schaffen, denen Unternehmen und Privatpersonen gleichermaßen das notwendige Vertrauen bei der Verwaltung von Identitätsdaten entgegen bringen, können global agierende und zentralisierte IDP erfolgreich sein. Es bleibt zweifelhaft, ob je ein Unternehmen oder eine öffentliche Institution diesen Vertrauensstatus erlangt. Erfolgsversprechender erscheint dabei das Konzept des UCIM, bei dem die Identitätsdaten dezentral beim Anwender liegen. Eine konkrete Implementierung spiegelt Microsofts CardSpace dar. Jedoch ist dies derzeitig eher für den Privatkundenbereich und noch nicht für den unternehmerischen Bereich ausgelegt.

Die Verwaltung von Identitäten und deren Zugriffsberechtigungen auf unterschiedliche Cloud Services ist erst in Ansätzen gelöst. Die Wiederverwendung von Identitäten ist durch den FIM Ansatz geregelt und wird bereits teilweise von einigen Cloud Providern angewandt. Die Realisierung von Zugriffsberechtigungen auf die verschiedenen Cloud Services ist allerdings nahezu unangetastet. Der Grund hierfür ist die Tatsache, dass es noch nicht genügend allgemein anerkannte Standardisierungen gibt, die benötigt werden um die Identitäten zwischen den Cloud Services zu erhalten. Es kristallisiert sich zunehmend SAML als der Standard für Authentifizierung und Autorisierung heraus, jedoch ist das Verwalten der Zugriffsberechtigungen noch größtenteils ungelöst und bietet reichlich Platz für neue Konzepte, Technologien und Forschungsansätze.

8 Fußnoten

  1. ↑ Goethe, J. W. (1822), S. 815
  2. ↑ Vgl. Smith, D. (2009), passim
  3. ↑ Vgl. 3 Sat (2009), passim
  4. ↑ Gartner Hype Cycle July (2008)
  5. ↑ Vgl. Vogel, M. (2009), passim
  6. ↑ Döring, N. (1999), S. 255
  7. ↑ Vgl. Belikan, O./Kuppinger M. (2009a), passim
  8. ↑ Vgl. Kuppinger, M. (2005), passim
  9. ↑ in Anlehung an Nagel, B. (2009)
  10. ↑ Vgl. Seiler, M. (2005), passim
  11. ↑ Mezler-Andelberg, C. (2008), S. 9
  12. ↑ Vgl. Computacenter (2009), passim
  13. ↑ 13,0 13,1 Vgl. T-Systems Enterprise Services (2009a), passim
  14. ↑ Mezler-Andelberg, C. (2008), S. 10
  15. ↑ 15,00 15,01 15,02 15,03 15,04 15,05 15,06 15,07 15,08 15,09 15,10 15,11 15,12 Eigene Darstellung
  16. ↑ Vgl. IT-Administrator (2009), passim
  17. ↑ Vgl. Bundesamt für Sicherheit in der Informationstechnik (2009), passim
  18. ↑ Vgl. Kanies, L. (2001), passim
  19. ↑ 19,0 19,1 Vgl. Belikan, O./Kuppinger M. (2009b), passim
  20. ↑ Vgl. Parks Informatik (2009), passim
  21. ↑ Vgl. CRYPTAS it-Security (2009), passim
  22. ↑ Vgl. Bless, R. (2005), S. 96
  23. ↑ Vgl. Hetzelt, F. (2008), passim
  24. ↑ Eckert, C. (2002), S. 445
  25. ↑ 25,0 25,1 Vgl. Rummeyer, O./Düsterhaus, J. (2006), passim
  26. ↑ 26,0 26,1 Vgl. Mezler-Andelberg, C. (2008), passim
  27. ↑ Vgl. Koch, C. (2006), passim
  28. ↑ Vgl. Franke, S. (2009), passim
  29. ↑ 29,0 29,1 29,2 Vgl. T-Systems Enterprise Services (2009b), passim
  30. ↑ Vgl. Schmid, P. (2009), passim
  31. ↑ Vgl. Buyya, R. (2009), passim
  32. ↑ Vgl. Kraus, M. (2009), passim
  33. ↑ Vgl. Helling, K. (2007), passim
  34. ↑ Vgl. Salesforce (2009), passim
  35. ↑ Vgl. Wang, L. (2008), passim
  36. ↑ Vgl. ChannelPartner (2009), passim
  37. ↑ Vgl. Eriksdotter, H. (2008), passim
  38. ↑ Vgl. Kaspersky Lab (2009), passim
  39. ↑ 39,0 39,1 39,2 39,3 39,4 39,5 39,6 Vgl. Hommel, W. (2007)
  40. ↑ 40,0 40,1 Vgl. Cameron, K. (2006), passim
  41. ↑ Vgl. Bauchmüller, M. (2009), passim
  42. ↑ Vgl. Mathys, C. (2008), passim
  43. ↑ Hommel, W. (2008), S. 15
  44. ↑ Hommel, W. (2007), S. 38
  45. ↑ Ragouzis, N. (2007), S. 9
  46. ↑ Vgl. Universität Leipzig (2008)
  47. ↑ Ragouzis, N. (2007), S. 12
  48. ↑ Vgl. Simpson, A. (2007), passim
  49. ↑ Vgl. Kotz, J. (2007), passim
  50. ↑ Vgl. Bruzzese, J. P. (2008), passim

9 Literatur- und Quellenverzeichnis

3 Sat (2009) o. V., 3 Sat.online: Artikel "Massenspeicher im Internet, Hoch oben in der Wolke – Cloud Computing", 25.01.2009, Abgerufen am 25.05.2009 von Site:

http://www.3sat.de/dynamic/sitegen/bin/sitegen.php?tab=2&source=/neues/sendungen/magazin/130316/index.html

Bauchmüller, M. (2009) Bauchmüller, M. / Ott, K.: Artikel "Mehdorn verschweigt weiteren Daten-Skandal", 03.02.2009, Abgerufen am 11.06.2009 von Site:

http://www.sueddeutsche.de/wirtschaft/386/457048/text/

Belikan, O./Kuppinger M. (2009a), Belikan, Oliver / Kuppinger, Martin: Artikel "Digitale Identität", Abgerufen am 15. Mai 2009 von Site:

http://www.iam-wiki.org/Digitale_Identit%C3%A4t

Belikan, O./Kuppinger M. (2009b), Belikan, Oliver / Kuppinger, Martin: Artikel "Provisioning", Abgerufen am 17. Mai 2009 von Site:

http://www.iam-wiki.org/Provisioning

Bless, R. (2005) Bless, Roland: Sichere Netzwerkkommunikation, Grundlagen, Protokolle und Architekturen, Springer-Verlag GmbH, 2005
Bruzzese, J. P. (2008) Bruzzese, J. Peter: Die Tricks der Windows Vista Masters, Pearson Education, 2008, Abgerufen am 10.06.2009 von Site:

http://books.google.de/books?id=V6rj0vlhqYQC

Bundesamt für Sicherheit in der Informationstechnik (2009) o. V., Bundesamt für Sicherheit in der Informationstechnik: Artikel "M 4.310 Einrichtung des LDAP-Zugriffs auf Verzeichnisdienste", Abgerufen am 28.05.2009 von Site:

http://www.bsi.de/gshb/deutsch/m/m04310.htm

Buyya, R. (2009) Buyya, Rajkumar / Yeo, Chee Shin / Venugopal, Srikumar: University of Melbourne "Market-Oriented Cloud Computing: Vision, Hype, and Reality for Delivering IT Services as Computing Utilities", Abgerufen am 31.05.2009 von Site:

http://arxiv.org/ftp/arxiv/papers/0808/0808.3558.pdf

Cameron, K. (2006) Cameron, Kim: Artikel "THE LAWS OF IDENTITY", 08.01.2006, Abgerufen am 10.06.2009 von Site:

http://www.identityblog.com/?p=352

ChannelPartner (2009) o. V., ChannelPartner: Artikel "Cloud Computing in Deutschland unbekannt", 02.06.2009, Abgerufen am 10.06.2009 von Site:

http://www.channelpartner.de/knowledgecenter/smb/277825/index1.html

Computacenter (2009) o. V., Computacenter: Artikel "Identity Management Solutions", 2009, Abgerufen am 01.06.2009 von Site:

http://www.computacenter.de/technologien/identity_management_solutions

CRYPTAS it-Security (2009) o. V., CRYPTAS it-Security: Artikel "Authentisierung - Authentifizierung", Abgerufen am 02.06.2009 von Site:

http://www.cryptoshop.com/de/knowledgebase/authentication/index.php

Döring, N. (1999) Döring, Nicola: Sozialpsychologie des Internet, 1. Auflage, Hogrefe Verlag GmbH, 1999
Eckert, C. (2002) Eckert, Claudia: IT-Sicherheit: Konzepte - Verfahren - Protokolle, 2. Auflage, Oldenbourg Wissensch. Vlg, 2002
Eriksdotter, H. (2008) Eriksdotter, Holger: Artikel "Cloud Computing: Wie es funktioniert und was es bedeutet", 03.11.2008, Abgerufen am 23.05.2009 von Site:

http://www.cio.de/markt/uebersichten/859626/index.html

Franke, S. (2009) Franke, Susanne: Artikel "Cloud Computing: Wie es funktioniert und was es bedeutet", 27.05.2009, Abgerufen am 12.06.2009 von Site:

http://www.heise.de/ix/IDC-Cloud-Computing-ist-in-Deutschland-ein-Hype--/news/meldung/139480

Gartner Hype Cycle July (2008) o.V., Gartner: Hype Cycle July, 07.2008, Abgerufen am 29.05.2009 von Site:

http://www.gartner.com

Goethe, J. W. (1822) Goethe, Johann Wolfgang von: Trilogie zu Howards Wolkenlehre, Howards Ehrengedächtnis, Cumulus, 1822, Abgerufen am 11.06.2009 von Site:

http://books.google.de/books?id=s3QfAAAAIAAJ

Helling, K. (2007) Helling, Klaus: Artikel "Was Sie über SaaS wissen müssen", Abgerufen am 12.05.2009 von Site:

http://www.pcwelt.de/it-profi/business-ticker/592668/was_sie_ueber_saas_wissen_muessen/

Hetzelt, F. (2008) Hetzelt, Felicitas: Universität Erlangen "Grundlagen der entfernten Authentifizierung und Autorisierung: Kerberos, Verzeichnisdienste", 18.11.2008, Abgerufen am 05.06.2009 von Site:

http://www4.informatik.uni-erlangen.de/Lehre/WS08/PS_KVBK/papers/02_Hetzelt_Kerberos_Paper.pdf

Hommel, W. (2007) Hommel, Wolfgang: Architektur - und Werkstoffkonzepte für förderiertes Identitäts-Management, 06.2007, Abgerufen am 20.05.2009 von Site:

http://edoc.ub.uni-muenchen.de/7300/1/Hommel_Wolfgang.pdf

Hommel, W. (2008) Hommel, Wolfgang: Präsentation "Federated Identity Management", 08.09.2008, Abgerufen am 21.05.2009 von Site:

http://www.lrz-muenchen.de/~hommel/data/presentations/informatik2008.pdf

IT-Administrator (2009) o. V., IT-Administrator: Artikel "Verzeichnisdienst", Abgerufen am 28.05.2009 von Site:

http://www.it-administrator.de/lexikon/verzeichnisdienst.html

Kanies, L. (2001) Kanies, Luke: Artikel "An Introduction to LDAP", Abgerufen am 07.06.2009 von Site:

http://www.onlamp.com/pub/a/onlamp/2001/08/16/ldap.html?page=1

Kaspersky Lab (2009) Kaspersky Lab: Artikel "Freier Blick für die Zukunft: Cloud-Computing und Cloud- Sicherheit", 24.04.2006, Abgerufen am 10.06.2009 von Site:

http://www.viruslist.com/de/analysis?pubid=200883647

Koch, C. (2006) Koch, Christian: Artikel "Single Sign On – Komfort für den Benutzer oder ein Sicherheitsrisiko?", 01.05.2006, Abgerufen am 01.06.2009 von Site:

http://www.securitymanager.de/magazin/artikel_996_single_sign_on_komfort_fuer_den_benutzer_oder.html

Kotz, J. (2007) Kotz, Jürgen / Haban, Rouven / Steckermeier, Simon: .net 3.0: WCF, WPF und WWF- ein Überblick, Pearson Education, 2007, Abgerufen am 17.06.2009 von Site:

http://books.google.de/books?id=ePwZDgpYhucC

Kraus, M. (2009) Kraus, Mathias: Artikel "Cloud Computing - Innovativer Weg aus der Wirtschaftskrise?", Abgerufen am 06.06.2009 von Site:

http://www.pcwelt.de/start/computer/greenit/190292/cloud_computing_innovativer_weg_aus_der_wirtschaftskrise/index.html

Kuppinger, M. (2005) Kuppinger, Martin: Artikel "Ich-Findung", 01.05.2005, Abgerufen am 29.05.2009 von Site:

http://www.linux-magazin.de/Heft-Abo/Ausgaben/2005/05/Ich-Findung2

Mathys, C. (2008) Mathys, Christoph: Artikel "Autorisierung im Enterprise - Federated Identity Management Standards", 11.06.2008, Abgerufen am 10.06.2009 von Site:

http://blog.enterpriselab.ch/zamathys/files/2008/06/fim_primer.pdf

Mezler-Andelberg, C. (2008) Mezler-Andelberg, Christian: Identity Management - eine Einführung, 1. Auflage, dpunkt.verlag GmbH, Heidelberg 2008
Nagel, B. (2009) Nagel, Bill: Artikel "Identity And Access Management Adoption In Europe", 04.2009, Abgerufen am 10.05.2009 von Site:

http://www.forrester.com

Parks Informatik (2009) o. V., Parks Informatik: Artikel "Provisioning, Identity Management, Verzeichnisdienste, Metadirectories – was bedeutet das alles?", Abgerufen am 30.05.2009 von Site:

http://www.parks-informatik.de/de/einwurf/ProvisioningIdentityManag.html

Ragouzis, N. (2007) Ragouzis, Nick / Hughes, John / Philpott, Rob / Maler, Eve / Madsen, Paul / Scavo, Tom: Security Assertion Markup Language (SAML) V2.0 Technical Overview, 21.02.2007, Abgerufen am 01.06.2009 von Site:

http://www.oasis-open.org/committees/download.php/22553/sstc-saml-tech-overview-2%200-draft-13.pdf

Rummeyer, O./Düsterhaus, J. (2006) Rummeyer, Oliver/Düsterhaus, Jens: Artikel "SSO frei Haus, Einfache Lösungen zur Implementierung von Single Sign-on (SSO)", 09.2006, Abgerufen am 06.06.2009 von Site:

http://entwickler.de/zonen/portale/psecom,id,101,online,910,p,0.html

Salesforce (2009) o. V., Salesforce: Artikel "Was ist PaaS?", Abgerufen am 12.05.2009 von Site:

https://www.salesforce.com/de/paas/

Schmid, P. (2009) Schmid, Philipp / Pambalk-Rieger, Michael : Artikel "Cloud Computing & Virtualisierung in der Praxis", 03.04.2009, Abgerufen am 04.06.2009 von Site:

http://www.computerpartner.at/sites/dynamic.pl?ln=&id=news20080805131652615

Seiler, M. (2005) Seiler, Martin: Artikel "Kosten senken mit Identity-Management", 18.11.2005, Abgerufen am 15.05.2009 von Site:

http://www.computerwoche.de/knowledge_center/it_security/568488/

Simpson, A. (2007) Simpson, Alan / Meister, Todd: Alan Simpson's Windows Vista Bible, John Wiley and Sons, 2007, Abgerufen am 20.05.2009 von Site:

http://books.google.de/books?id=Ahv_0M8cc7UC

Smith, D. (2009) Smith, David: Artikel "Google plans to make PCs history", 25.01.2009, Abgerufen am 30.05.2009 von Site:

http://www.guardian.co.uk/technology/2009/jan/25/google-drive-gdrive-internet

T-Systems Enterprise Services (2009a) o. V., T-Systems Enterprise Services: White Paper Identity und Access Management, 2009, Abgerufen am 25.05.2009 von Site:

http://download.sczm.t-systems.de/ContentPool/de/StaticPage/22/52/20/225220_WhitePaper_IAM-ps.pdf?client=t-systems.de

T-Systems Enterprise Services (2009b) o. V., T-Systems Enterprise Services: Identity und Access Management, 2009, Abgerufen am 03.06.2009 von Site:

http://download.sczm.t-systems.de/t-systems.de/de/StaticPage/20/90/84/209084_Security-Flyer-IAM-ps.pdf

Universität Leipzig (2008) o. V., Universität Leipzig: LPZ E-Business, IT-Radar: Identity Management, 04.2008, Abgerufen am 01.06.2009 von Site:

http://lpzradar.informatik.uni-leipzig.de/uploads/reports/6_2008.pdf

Vogel, M. (2009) Vogel, Michael: Artikel "Bug in Google Docs lässt andere mitlesen", 10.03.2009, Abgerufen am 20.05.2009 von Site:

http://www.infoweek.ch/internet/online-services/articles/173896/

Wang, L. (2008) Wang, Lizhe / Laszewski, Gregor von / Kunze, Marcel / Tao, Jie: Artikel "Computing Utilities - Cloud Computing: a Perspective Study", 01.12.2008, Abgerufen am 27.05.2009 von Site:

https://ritdml.rit.edu/dspace/bitstream/1850/7821/1/LWangConfProc11-16-2008.pdf

Von „http://winfwiki.wi-fom.de/index.php/Cloud_Computing_und_Anforderungen_an_ein_Identity_Management“
Persönliche Werkzeuge