IAM für Fusionen und Übernahmen: Ein Leitfaden zur schrittweisen Integration

Die meisten Checklisten für die Due-Diligence-Prüfung bei Fusionen und Übernahmen decken Finanzen, rechtliche Risiken und die kulturelle Passung sehr detailliert ab. Identitäts- und Zugriffsmanagement wird hingegen kaum oder gar nicht erwähnt.

Doch es gibt eine gravierende Lücke, die sich meist kurz nach dem Abschluss zeigt. Die Mitarbeiter des übernommenen Unternehmens benötigen vom ersten Tag an Zugriff auf die Systeme, während das Sicherheitsteam noch immer ermittelt, welche Konten existieren, wem sie gehören und welche bereits Wochen zuvor hätten gesperrt werden müssen.

Dieser Leitfaden behandelt die Risiken bezüglich IAM Für Fusionen und Übernahmen: ein schrittweiser Integrationsfahrplan, die wichtigsten Fähigkeiten vor dem ersten Tag und eine Checkliste für IT- und Sicherheitsteams.

Die zentralen Thesen

• Die meisten Identitätsprobleme, die nach Abschluss eines Geschäfts auftreten, lassen sich auf dieselbe Ursache zurückführen: bestehende Zugriffsrechte, verwaiste Konten und Berechtigungen, die niemand widerrufen hat.
• Die Menschen am ersten Tag in Arbeit zu bringen und ein dauerhaftes, geregeltes System aufzubauen, sind zwei separate Projekte, nicht ein und dasselbe.
• Nicht-menschliche Identitäten, Servicekonten, API-Schlüssel und Automatisierungszugangsdaten sind durchweg der am wenigsten sichtbare und am wenigsten kontrollierte Teil einer zusammengeführten Umgebung.
• Die Identitätsföderation ermöglicht es beiden Organisationen, weiterhin mit bestehenden Anmeldeinformationen zu arbeiten, ohne dass eine sofortige Plattformmigration erforderlich ist, wodurch Zeit für den Rest der Integration gewonnen wird.
• Die Anzahl der Phishing-Angriffe gegen das übernommene Unternehmen kann in den Wochen nach Bekanntgabe des Deals um bis zu 400 % ansteigen.

Warum das Identitätsmanagement bei Fusionen und Übernahmen versagt

Bei Fusionen und Übernahmen richtet sich der Zeitplan des Deals, nicht der IT-Zeitpläne. Die Rechtsabteilung möchte den Abschluss innerhalb von 90 Tagen. Die Finanzabteilung wünscht sich vom ersten Tag an kontinuierliche Umsätze. Niemand plant sechs Monate für die Zusammenführung zweier Verzeichnisse ein.

Diese Diskrepanz ist der Punkt, an dem IAM Bei Fusionen und Übernahmen entstehen oft Lücken. Zwei Unternehmen verwenden fast nie dieselbe Identitätsverwaltung: unterschiedliche Verzeichnisse, unterschiedliche Rollenmodelle, unterschiedliche Genehmigungsprozesse, komplett unterschiedliche Tools. Die notdürftige Zusammenführung unter dem Druck einer Transaktion führt zu Abkürzungen, und Abkürzungen im Identitätsmanagement während einer M&A bedeuten permanenten Zugriff, der nicht überwacht wird.

Alle müssen am ersten Tag mitarbeiten, sowohl das übernehmende als auch das übernommene Unternehmen. Der Druck, den Betrieb aufrechtzuerhalten, überwiegt meist den Instinkt, zunächst alles abzusichern. Accounts werden „vorerst“ gesichert. Gruppen werden ohne Überprüfung zusammengeführt. Föderationen werden notdürftig zusammengeflickt, anstatt sie von Grund auf zu planen – manchmal von jemandem, der zufällig gerade Administratorrechte auf beiden Seiten hatte.

Das Cybersecurity Framework 2.0 des NIST bringt es direkt auf den Punkt: Man muss seine aktuellen Identitätskontrollen verstehen, bevor man mit der Kombination von Umgebungen beginnt, nicht erst danach.

Was macht dies schwieriger als die Standard-IT-Integration?

• Zwei Identitätsanbieter, zwei unterschiedliche Annahmen darüber, wer was genehmigt.
• Nicht übereinstimmende rollenbasierte Zugriffskontrollmodelle (RBAC) und attributbasierte Zugriffskontrollmodelle (ABAC), die sich nicht sauber aufeinander abbilden lassen
• Verwaiste Konten, die von dem übernommenen Unternehmen geerbt wurden, einige davon seit Monaten aktiv.
• Nicht-menschliche Identitäten (Dienstkonten, API-Schlüssel, Automatisierungszugangsdaten) sind in Anwendungsstacks verborgen, wo niemand sie besitzt.
• Die Compliance-Landschaft hat sich immer weiter ausgedehnt, manchmal über Nacht.

Jede dieser Aufgaben ist für sich genommen machbar. Wenn jedoch alle fünf innerhalb desselben 90-tägigen Zeitraums anfallen, muss das Identity-Team gleichzeitig Due Diligence, Integration und Bereinigung durchführen.

Die 5 Größten IAM Risiken bei einer Fusion oder Übernahme

Risiko 1: Verwaiste und doppelte Konten

Ehemalige Mitarbeiter und Auftragnehmer des übernommenen Unternehmens behalten oft noch lange nach ihrem Ausscheiden Zugriffsrechte. Da bei einer Übernahme niemand für die Deaktivierung der Zugriffsrechte zuständig ist, bleiben die Konten ungenutzt. Ein einziges inaktives Administratorkonto mit bestehenden Berechtigungen reicht oft aus, damit der Missbrauch von Zugangsdaten zu einem echten Sicherheitsverstoß führt.

Risiko 2: Compliance-Gefährdung bei fusionierten Unternehmen

Bei einer Unternehmensfusion übernimmt man auch die damit verbundenen Compliance-Verpflichtungen: HIPAA, SOX, DSGVO, PCI DSS – und manchmal sogar alle gleichzeitig.

Ein Unternehmen im Gesundheitswesen, das ein Fintech-Unternehmen übernimmt (oder umgekehrt), sieht sich plötzlich Aufsichtsbehörden gegenüber, mit denen es vor Vertragsabschluss nie zu tun hatte. Die Prüfer erwarten einen einheitlichen Nachweis darüber, wer auf welche Daten zugegriffen hat, nicht zwei separate Protokolle aus zwei verschiedenen Systemen. Die erste Prüfung nach Abschluss der Transaktion deckt in der Regel die Lücken auf.

Risiko 3: Ausweitung von Berechtigungen und Überprovisionierung

Rollen ändern sich bei Fusionen schnell, und Zugriffsrechte werden selten wieder aufgehoben. Mitarbeiter erhalten während des Übergangs „temporäre“ Berechtigungen, die nie widerrufen werden, wechseln sechs Wochen später erneut das Team und erhalten weitere Berechtigungen. Eine manuelle Überprüfung in zwei Organisationen gleichzeitig ist nicht skalierbar, und ungenutzte Berechtigungen sind genau die Grundlage für Insider-Bedrohungen und kompromittierte Konten.

Risiko 4: Angreifer zielen auf das Integrationsfenster ab

Öffentliche Ankündigungen von Fusionen und Übernahmen sind nicht nur für Investoren, sondern auch für Cyberkriminelle ein Signal. Anbieter berichten, dass Phishing-Angriffe auf das übernommene Unternehmen nach Bekanntgabe einer solchen Transaktion um bis zu 400 % zunehmen können. Auch falsch konfigurierte Benutzerkonten und Credential-Stuffing-Angriffe erreichen in diesem Zeitraum ihren Höhepunkt – genau dann, wenn die Abwehrmechanismen am schwächsten sind.

Risiko 5: Fragmentierte Identitätssichtbarkeit

Der Erwerber IAM Die Plattform erfasst nicht automatisch die Vorgänge in der Umgebung des übernommenen Unternehmens und umgekehrt. Die unkontrollierte Ausbreitung von SaaS-Lösungen verschärft dieses Problem: Schattenanwendungen, vergessene Anmeldedaten und Zugriffe, die niemand irgendwo registriert hat. Was man nicht sieht, kann man nicht schützen, und gerade nach einer Übernahme ist die Transparenz am geringsten. Eine solide Identitätsverwaltung und -steuerung schließt diese Lücke.

Phasenweiser Fahrplan: IAM für Fusionen und Übernahmen

Phase 1: Due-Diligence-Prüfung vor Vertragsabschluss (vor Bekanntgabe)

Das Identitätsrisiko sollte im Rahmen der Due-Diligence-Prüfung neben dem finanziellen und rechtlichen Risiko und nicht erst danach berücksichtigt werden.

• Überprüfen Sie die Einrichtung des Identitätsanbieters und die Verzeichnisstruktur des Zielsystems.
• Inventarisierung privilegierter Konten und nicht-menschlicher Identitäten, einschließlich Dienstkonten und API-Schlüssel
• Beurteilen Sie die Einhaltung der Verpflichtungen des Zielunternehmens im Hinblick auf Ihre eigenen Verpflichtungen.
• Prüfen Sie die IdP-Kompatibilität (Okta, Microsoft Entra ID, lokales Active Directory oder etwas ganz anderes).
• Weisen Sie auf risikoreiche Zugangslücken hin, bevor Sie unterschreiben, nicht danach.

Phase 2: Vorbereitung auf Tag 1 (Abschluss des Geschäfts)

Am ersten Tag entscheidet sich, ob der Zugriff funktioniert oder nicht – eine Wiederholung gibt es nicht.

• Zugriffsrechte nach Benutzertyp und Rolle festlegen, bevor die Mitarbeiter eintreffen.
• Einrichten SSO-Föderation zwischen den beiden Identitätsanbietern, damit die Anmeldeinformationen ohne Neuaufbau funktionieren.
• Erzwingen MFA für jede neue Identität von Anfang an, ohne Ausnahmen.
• Deaktivieren Sie verwaiste und ungenutzte Konten, bevor sie zu einer Belastung werden.
• Das Prinzip der minimalen Privilegien sollte als Standard gelten, nicht als Ideal.
• Implementieren Sie ein Koexistenzmodell, das es beiden Umgebungen ermöglicht, parallel zu laufen, während Sie die restlichen Probleme lösen.

Phase 3: Konsolidierung der Unternehmensidentität nach der Fusion (Wochen 2-12)

Hier beginnt die eigentliche Aufräumarbeit, sobald die Feueralarmübung am ersten Tag vorbei ist.

• Führen Sie einen vollständigen Zugriffsprüfungszyklus in beiden Organisationen durch.
• Rationalisieren RBAC und ABAC Rollen, die in beiden Umgebungen dasselbe bedeuten.
• Die verbleibenden Identitäten migrieren oder föderieren, je nachdem, was zeitlich am besten passt.
• Einrichten SCIM-Bereitstellung verbunden mit dem kombinierten HRMS
• Überprüfen Sie nicht-menschliche Identitäten und deaktivieren Sie diejenigen, die niemand beansprucht.

Phase 4: Langfristige Zugangssteuerung (ab Monat 3)

Sobald sich die Lage beruhigt hat, verschiebt sich der Fokus von der Schadensbegrenzung hin zu einem auf Dauer angelegten Regierungsmodell.

• auf einem einzigen zusammenfassen IAM und Plattform für Identitätsmanagement
• Bewegen Sie sich in Richtung risikobasierte Authentifizierung und passwortloser Zugriff wo es Sinn macht
• Integrieren Sie die regelmäßige Zugriffszertifizierung in den Kalender, nicht nur in die Prüfungssaison.
• Vereinheitlichung des Compliance-Reportings im gesamten fusionierten Unternehmen
• Die Governance sollte auf nicht-menschliche Identitäten und alle KI-Agenten, die derzeit in der Umgebung laufen, ausgeweitet werden.

Wesentliche IAM Fähigkeiten, die Sie vor dem ersten Tag benötigen

Nicht alle IAM Die Lösung ist speziell für die Anforderungen von Fusionen und Übernahmen konzipiert. Die meisten Plattformen sind für die Identitätsverwaltung einzelner, langsam und planbar wachsender Organisationen ausgelegt. Eine Fusion erfordert jedoch andere Anforderungen: die nahtlose Integration zweier Identitätsanbieter über Nacht, die Anbindung Tausender neuer Identitäten ohne Verdopplung des Verwaltungspersonals und der Betrieb auf der vorhandenen Infrastruktur des übernommenen Unternehmens.

Hier erfahren Sie, worauf es bei der Bewertung einer Plattform für ein Geschäft wirklich ankommt, nicht nur für den täglichen Betrieb.

Die für einen Geschäftsabschluss entscheidenden Funktionen unterscheiden sich von denen, die eine Plattform im normalen Alltag benötigt. Hier sind einige wichtige Funktionen.

1. Identitätsföderation und Single Sign-On (SSO)

Durch diese Kombination können sich neu erworbene Benutzer mit ihren bestehenden Zugangsdaten anmelden, während sich die beiden Systeme im Hintergrund selbst regulieren, anstatt einen Neuaufbau zu erzwingen, bevor irgendjemand arbeiten kann.

2. Automatisierte Bereitstellung

Die automatisierte Bereitstellung über SCIM ersetzt die Alternative, nämlich die manuelle Erstellung von Zugriffsrechten für einige tausend Personen, Ticket für Ticket.

3. Zugriff auf Prüfworkflows

Ein zügiger Arbeitsablauf hilft dabei, die übermäßigen Berechtigungen aufzudecken, die eine übernommene Organisation üblicherweise mit sich bringt.

4. Flexibilität bei der Bereitstellung

Ohne flexible Bereitstellungsmöglichkeiten stehen die Cloud, wo der Käufer bereits ansässig ist, und die On-Premise-Umgebung, in die die regulierten Systeme des Zielunternehmens noch nicht migriert werden können, vor der Herausforderung, die Plattform zum Flaschenhals zu machen. Mit flexiblen Bereitstellungsmöglichkeiten hingegen verhindert der parallele Betrieb beider Umgebungen, dass die Plattform zum Engpass wird.

5. Privilegierte Zugriffskontrollen

Privilegierte Zugriffskontrollen mit aktivierter Multi-Faktor-Authentifizierung sind während des Integrationsfensters besonders wichtig, da Administratorkonten typischerweise in dieser Zeit vorübergehend übermäßig berechtigt werden, nur um den Deal abzuschließen, und Angreifer in dieser Zeit besonders aufmerksam sind.

IAM Checkliste für Fusionen und Übernahmen: 20 Maßnahmen für IT- und Sicherheitsteams

Eine Kurzübersicht, die Sie Ihrem Team aushändigen können. Drucken Sie sie aus, fügen Sie sie in ein Ticket ein – Hauptsache, sie wird gelesen.

Vor der Fusion

• Überprüfen Sie den Identitätsanbieter und die Verzeichnisstruktur des Zielsystems.
• Inventarisierung privilegierter Konten und nicht-menschlicher Identitäten
• Identifizieren Sie vor der Schließung wahrscheinlich verwaiste Konten.
• Ermitteln Sie die Compliance-Lücken zwischen den beiden Organisationen
• Entscheide: Erst föderieren oder zuerst migrieren?
• Definieren Sie das Zugriffsmodell für Tag 1 schriftlich.

Tag 1

• Aktivieren Sie die SSO-Federation zwischen Identitätsanbietern.
• Multi-Faktor-Authentifizierung für jede neue Identität erzwingen
• Deaktivierung verwaister Konten
• Standardmäßig das Prinzip der geringsten Berechtigungen anwenden
• SCIM-Bereitstellung aktivieren
• Informieren Sie die Mitarbeiter über die Änderungen und deren Gründe.

Nach der Fusion (Wochen 2-12)

• Führen Sie eine vollständige Zugriffsprüfung in beiden Organisationen durch.
• RBAC- und ABAC-Rollen rationalisieren
• Verbleibende Identitäten migrieren oder föderieren
• Nicht beanspruchte nicht-menschliche Identitäten außer Betrieb nehmen
• Automatisieren Sie das Lebenszyklusmanagement durch das kombinierte HRMS
• Legen Sie einen wiederkehrenden Zertifizierungszyklus für den Zugriff fest.
• Vereinheitlichung der Compliance-Berichterstattung
• Überflüssige Geräte ausmustern IAM Lernumgebung

On-Premise vs. Cloud IAM Bei Fusionen und Übernahmen: Was ist zu beachten?

Reine Cloud-Plattformen wie Okta und Microsoft Entra ID funktionieren einwandfrei, solange beide Unternehmen bereits in der Cloud arbeiten. Sobald das übernommene Unternehmen jedoch noch On-Premise-Systeme betreibt, stoßen sie an ihre Grenzen – und das kommt häufiger vor, als Cloud-Befürworter gerne zugeben: regulierte Branchen, ältere Infrastrukturen, Regierungsaufträge – all das spielt eine Rolle.

Diese Diskrepanz wird schnell deutlich. Ein übernehmendes Unternehmen, das vollständig in der Cloud arbeitet, stößt sofort auf Probleme, sobald das Finanzsystem des Zielunternehmens oder dessen regulierte Arbeitslasten hinter einem lokalen Verzeichnis liegen, das auch in absehbarer Zeit nicht verschwinden wird. Eine erzwungene vollständige Migration, um diese Lücke im Zeitplan des Deals zu schließen, führt in der Regel zu Problemen: fehlerhafte Authentifizierung, verzögerter Zugriff am ersten Tag und ein Sicherheitsteam, das mit der Behebung von Problemen anstatt mit der Steuerung beschäftigt ist.

Plattformen wie miniOrange unterstützen Cloud-, On-Premise- und Hybrid-Umgebungen. Das Bereitstellungsmodell passt sich daher dem Vertrag an, anstatt den Vertrag an die Plattform anzupassen. Dies ist besonders wichtig in Szenarien, in denen eine erzwungene Cloud-Migration den Zeitplan für den ersten Tag sprengen würde, noch bevor Zugriffsprüfungen durchgeführt werden können.

Wie miniOrange unterstützt IAM Integration nach der Fusion

miniOrange wurde entwickelt, um die Integrationsaufgaben zu übernehmen. IAM Bei Fusionen und Übernahmen, die die meisten Plattformen zum Scheitern bringen: mehrere Identitätsanbieter, die gleichzeitig laufen, Bereitstellungsmodelle, die zwischen den beiden Organisationen nicht übereinstimmen, und eine Compliance-Landschaft, die gerade noch komplizierter geworden ist.

• SSO-Federation über mehrere Identitätsanbieter hinweg, sodass sich Benutzer ohne erzwungene Migration am ersten Tag authentifizieren können.
• SCIM-Bereitstellung das neue Identitäten automatisch integriert, sobald HR-Daten einfließen.
• Zugriffsanforderungsmanagement und Zugriffsprüfungs-Workflows, die für große, schnelllebige Benutzergruppen entwickelt wurden
• Flexible Bereitstellung in Cloud-, On-Premise- und Hybridumgebungen, sodass sich die Plattform an den jeweiligen Anforderungen anpasst und nicht umgekehrt.
• Privilegierte Zugriffskontrollen für die Konten, die während des Integrationsfensters am wichtigsten sind
• Compliance- und Audit-Berichterstattung, die beide Organisationen von einem Dashboard aus abdeckt
• Nicht-menschliche Identität Governance, damit Servicekonten und API-Schlüssel nicht verloren gehen

miniOrange arbeitet mit über 30,000 Organisationen in verschiedenen Ländern zusammen. Unabhängig davon, welches Identitätsmanagement-System das Zielunternehmen verwendet, ist die Wahrscheinlichkeit hoch, dass wir bereits eine ähnliche Lösung integriert haben.

Häufig gestellte Fragen

Was ist IAM Integration im Rahmen einer Fusion oder Übernahme?

Dabei werden die Identitätssysteme, Verzeichnisse, Zugriffsrichtlinien und Authentifizierungsabläufe zweier Unternehmen in einer einzigen funktionierenden Umgebung zusammengeführt. Richtig umgesetzt, gewährleistet dies den Zugriff für jeden Mitarbeiter ab dem ersten Tag und beseitigt die Sicherheitsrisiken nach der Fusion, die durch übernommene Konten und nicht übereinstimmende Berechtigungen entstehen.

Warum ist IAM für Fusionen und Übernahmen, die so oft übersehen werden?

Deal-Teams legen Wert auf finanzielle und rechtliche Due-Diligence-Prüfungen, und IAM wird als IT-Aufgabe statt als Sicherheitsfunktion behandelt. Die Folgen zeigen sich meist erst Wochen oder Monate nach der Schließung, wenn das bestehende Zugriffsproblem bereits tief verwurzelt ist.

Wie lang tut IAM Wie lange dauert die Integration nach der Fusion?

Vollständiger IAM Die Integration nach der Fusion, also der Zeitpunkt, an dem beide Organisationen mit einem einheitlichen Governance-Modell arbeiten, dauert in der Regel 3 bis 12 Monate. Die Dauer hängt von der Unternehmensgröße, der Systemkomplexität und der Anzahl der zu integrierenden Bereitstellungsmodelle ab. Größere, stärker regulierte Organisationen benötigen tendenziell mehr Zeit, da jede rationalisierte Rolle vor der Implementierung eine Compliance-Freigabe erfordert.

Was geschieht mit verwaisten Konten bei einer Fusion?

Sie werden übernommen. Niemand hält sie absichtlich aktiv; sie fallen nur nicht auf, es sei denn, jemand führt vor einer Fusion eine Prüfung durch, die gezielt danach sucht. Diese Prüfung behebt das Problem und ist im Vergleich zu den späteren Kosten eines ausgenutzten, inaktiven Kontos gering.

Sollten wir im Zuge von Fusionen und Übernahmen auf einen einzigen Identitätsanbieter umsteigen oder eine Föderation durchführen?

Zuerst sollte die Datenföderation erfolgen. Das ist der schnellste Weg zu einem funktionsfähigen Starttag, ohne unter Zeitdruck einen kompletten Neuaufbau erzwingen zu müssen. Die Migration dient der langfristigen Konsolidierung der Identität bei Fusionen und Übernahmen, gehört aber in Phase 3 oder 4, nicht in Phase 2.

Wie handhabt miniOrange das? IAM Integration für hybride M&A-Szenarien?

SSO-Federation über mehrere Identitätsanbieter hinweg, SCIM-Bereitstellung, Zugriffsüberprüfungen und Bereitstellung in der Cloud, lokal oder hybrid. Kein erzwungener Systemwechsel am ersten Tag, kein Warten auf eine noch nicht fertige Migration.

Verlangsamen strengere Zugangskontrollen die Mitarbeiter nach einer Fusion?

Ein bisschen, und das ist normal. Das Prinzip der minimalen Berechtigungen und die Multi-Faktor-Authentifizierung (MFA) bedeuten einen zusätzlichen Schritt im Vergleich zum ungezügelten Zugriff, den manche übernommene Mitarbeiter gewohnt sind. Diese Reibungsverluste sind der Preis dafür, dass genau die Sicherheitslücken geschlossen werden, nach denen Angreifer während der Integration suchen, und sie legen sich, sobald sich die Mitarbeiter daran gewöhnt haben.

Beeinflusst die IAM Umfasst die Integration Datensicherung, Gerätesicherheit und die übrigen Aspekte der IT-Integration im Rahmen von Fusionen und Übernahmen?

Nein, und das sollte auch nicht versucht werden. Die Sicherheitsintegration bei Fusionen und Übernahmen ist ein umfassenderes Vorhaben, das Geräte, Netzwerke, Anwendungen und Daten umfasst, nicht nur die Identitätsprüfung. Dieser Leitfaden konzentriert sich speziell auf die IAM Ein Teil dieses Bildes, weil er sich am schnellsten bewegt und am wenigsten Aufmerksamkeit erhält.