Identitäts- und Zugriffsmanagement (im Englischen Identity & Access Management, kurz IAM) ist häufig mit der Verarbeitung personenbezogener Daten verbunden. So werden beim Login typischerweise Informationen wie E-Mail-Adresse und Passwort übermittelt und mit hinterlegten Daten abgeglichen, die sich eindeutig einer Person zuordnen lassen. Darüber hinaus werden zum Teil zusätzliche Informationen wie Telefonnummer, Geburtsdatum oder auch IP-Adressen verarbeitet. Die Zugangsdaten bilden dabei häufig den Schlüssel zu weiteren Informationen, auf die ein Nutzer Zugriff hat. Wird das Identity-and-Access-Management-System auf irgendeine Weise kompromittiert, können Identitäten gestohlen oder wertvolle Daten offengelegt werden.
IAM muss daher immer den Datenschutzanforderungen entsprechen, insbesondere den Vorgaben der DSGVO. Doch wie lässt sich das erreichen?
Jedes Unternehmen hat die Wahl, eine eigene IAM-Lösung intern zu entwickeln oder sie an einen externen Anbieter auszulagern. Beide Ansätze werden im Folgenden bewertet.
Was „konform“ im Jahr 2026 bedeutet
Bevor wir die beiden Optionen gegeneinander abwägen, lohnt sich zunächst die Frage, woran sich „Konformität“ überhaupt messen lässt.
Artikel 32 der DSGVO verlangt technische und organisatorische Maßnahmen (TOMs), die dem „Stand der Technik“ entsprechen. Dabei handelt es sich ganz bewusst um ein sich ständig veränderndes Ziel. Was im Jahr 2020 noch als angemessener Schutz galt, reicht heute möglicherweise nicht mehr aus. Vielmehr wird der Maßstab davon geprägt, was sich als gängige Praxis etabliert hat – und davon, was Angreifer inzwischen gelernt haben. Ein IAM-System ist daher nicht einmalig und dauerhaft konform, sondern nur so lange, wie es mit den aktuellen Anforderungen und Entwicklungen Schritt hält.
Wenn beim Login biometrische Daten zum Einsatz kommen, gilt zusätzlich Artikel 9 der DSGVO. Biometrische Daten, die zum Zweck der eindeutigen Identifizierung einer Person verarbeitet werden, gehören zu den besonderen Kategorien personenbezogener Daten. Die allgemeinen Rechtsgrundlagen des Artikels 6 reichen hierfür nicht aus. Bei einem Login für Endkunden ist eine ausdrückliche Einwilligung nach Artikel 9 Absatz 2 Buchstabe a in der Praxis die einzige praktikable Rechtsgrundlage. Das bedeutet zugleich, dass neben dem biometrischen Verfahren immer eine nicht-biometrische Alternative angeboten werden muss. Denn eine Einwilligung, die nicht verweigert werden kann, ist keine echte Einwilligung.
Und für eine wachsende Zahl von Unternehmen ist die DSGVO längst nicht mehr das einzige relevante Regelwerk. Artikel 21 Absatz 2 Buchstabe j der NIS2-Richtlinie nennt Multi-Faktor-Authentifizierung als eine der Risikomanagementmaßnahmen, die wesentliche und wichtige Einrichtungen ergreifen müssen – allerdings mit dem Zusatz „soweit angemessen“. Artikel 9 Absatz 4 Buchstabe d der DORA-Verordnung verlangt von Finanzunternehmen dagegen starke Authentifizierungsmechanismen ohne diese Einschränkung. Wer unter DORA fällt, muss daher nicht mehr darüber diskutieren, ob MFA verhältnismäßig ist.
An diesen Maßstäben müssen sich beide folgenden Optionen messen lassen.
Selbstgemachtes IAM und seine Fallstricke
Die Entwicklung einer eigenen Lösung für das Identitäts- und Zugriffsmanagement kann zunächst einfach erscheinen, wenn nur eine einfache Anmeldefunktion benötigt wird. Spätere Anforderungen an zusätzliche Funktionen wie Single-Sign-On, Enterprise Login, Social Login, passwortlose Authentifizierung, biometrische Verfahren, Zwei-Faktor-Authentifizierung usw. erhöhen die Komplexität jedoch erheblich.
Außerdem wird es bei einer selbst entwickelten IAM-Lösung schwierig, die Datenschutzanforderungen einzuhalten, sobald das System eine bestimmte Größe überschreitet. Eine IAM-Lösung muss nicht nur datenschutzkonform entwickelt, sondern auch kontinuierlich an den aktuellen Stand der Technik angepasst werden. Gleichzeitig steigen die Anforderungen an Skalierbarkeit, Funktionserweiterung und den Betrieb über verschiedene Systeme und Domänen hinweg. Dies ist oft wirtschaftlich nicht machbar. Weitere Komplexität entsteht, wenn die Aufgabe von einer IT-Abteilung übernommen werden muss, die nicht auf IAM spezialisiert ist.
Dies hat zur Folge, dass eine einmal entwickelte Lösung oft stagniert und über Jahre hinweg nicht aktualisiert wird. Die Verwendung veralteter Software, die nicht den aktuellen Anforderungen entspricht, ist jedoch an sich schon ein Verstoß gegen den Datenschutz. Genau das bedeutet der Maßstab des „Stands der Technik“ in Artikel 32 DSGVO in der Praxis: Eine Sicherheitslücke kann entstehen, ohne dass sich die Software selbst verschlechtert hat – der Maßstab hat sich schlichtweg verschoben. Datenschutzbehörden haben in vergleichbaren Fällen bereits Bußgelder verhängt. Schlimmer noch, im Falle einer Datenpanne kann dies leicht dazu führen, dass Geschäftsführer und Manager haftbar gemacht werden.
Je nach Anzahl der verwalteten Benutzer und der Sensibilität der Daten muss eine IAM-Lösung auch im Betrieb überwacht und kontrolliert werden. Regelmäßige Penetrationstests können erforderlich sein. In vielen Fällen sind auch Zertifizierungen notwendig, es müssen umfangreiche Dokumentationspflichten erfüllt werden und die Einhaltung muss in Datenschutz-Audits nachgewiesen werden.
Outsourcing des Identitäts- und Zugriffsmanagements
Eine gute Lösung für diese Herausforderungen ist die Auslagerung des IAM an einen cloudbasierten IAM-Anbieter (Identity as a Service, IDaaS). Dabei sind cloudbasierte Anbieter in der Regel gut mit gängigen Standards wie OpenID Connect (OIDC) vertraut, verfügen über skalierbare Lösungen und entwickeln diese kontinuierlich weiter.
Darüber hinaus stellen sie viele zentrale Funktionen bereits standardmäßig bereit, darunter Single Sign-On, Multi-Faktor-Authentifizierung, passwortlose Login-Verfahren sowie Integrationen in bestehende Systeme. Auch Themen wie Mandantenfähigkeit, individuelles Look & Feel im Sinne der Corporate Identity sowie sichere Verwaltung von Benutzeridentitäten sind in der Regel bereits integriert.
Unternehmen profitieren so von einer sofort einsatzfähigen, professionell betriebenen Lösung, die kontinuierlich gewartet und an neue technische sowie regulatorische Anforderungen angepasst wird.
Herausforderungen beim IAM-Outsourcing mit US-Lösungen
Auch hierbei bestehen datenschutzrechtliche Fallstricke. Denn fast alle relevanten IAM-Anbieter haben ihren Sitz in den USA. Werden Daten an diese Unternehmen übermittelt, handelt es sich um eine Datenübermittlung in ein Drittland, da die DSGVO in den USA nicht gilt.
In der Vergangenheit waren solche Übertragungen umständlich und kompliziert, weil Standardvertragsklauseln (SCC) als Übertragungsinstrument verwendet werden mussten. Die Situation hat sich mit dem Angemessenheitsbeschluss der EU-Kommission zum Besseren gewendet, der Übertragungen ermöglicht, ohne dass jeder Fall einzeln geprüft werden muss.
Das gilt allerdings nur, wenn der Empfänger der Daten tatsächlich nach dem EU-US Data Privacy Framework (DPF) zertifiziert ist, was nicht immer der Fall ist. Das DPF hat inzwischen seine erste gerichtliche Prüfung überstanden. Im September 2025 wies das Gericht der Europäischen Union die von dem französischen Abgeordneten Philippe Latombe erhobene Nichtigkeitsklage ab. Gegen dieses Urteil ist derzeit ein Rechtsmittel beim Europäischen Gerichtshof (EuGH) anhängig (Rechtssache C-703/25 P); ein Termin für die mündliche Verhandlung wurde bislang nicht bekannt gegeben.
Dies ist insbesondere deshalb relevant, weil der EuGH bereits zwei frühere, vergleichbare Mechanismen für Datenübermittlungen – Safe Harbor und Privacy Shield – für ungültig erklärt hat. Es ist daher keineswegs sicher, dass das EU-US Data Privacy Framework dauerhaft als Mechanismus für Datenübermittlungen zur Verfügung stehen wird.
Seitdem hat sich einiges verändert.
Als die EU-Kommission den USA ein angemessenes Datenschutzniveau bescheinigte, verließ sie sich dabei nicht einfach auf die Zusicherungen Washingtons. Sie verwies auf konkrete US-Aufsichtsbehörden und argumentierte, dass diese ausreichend unabhängig seien, um US-Unternehmen und Behörden dazu anzuhalten, die eingegangenen Verpflichtungen einzuhalten. Diese Annahmen scheinen inzwischen nicht mehr zu gelten.
Die erste dieser Aufsichtsbehörden ist die Federal Trade Commission (FTC), die für die Durchsetzung des Frameworks gegenüber zertifizierten US-Unternehmen zuständig ist. Am 29. Juni 2026 entschied der US Supreme Court, dass der Präsident die Mitglieder der Kommission nach eigenem Ermessen und ohne Angabe eines Grundes entlassen darf. Damit hob er eine Regelung auf, die seit 1935 Bestand hatte. Eine Behörde, deren Mitglieder vom Wohlwollen des Präsidenten abhängig sind, lässt sich kaum als unabhängig bezeichnen.
Die zweite ist das Privacy and Civil Liberties Oversight Board (PCLOB), das Gremium, das die Aktivitäten der US-Nachrichtendienste überprüft. Seit Januar 2025 verfügt es über zu wenige Mitglieder, um überhaupt Entscheidungen treffen zu können. Seitdem wurden auch die jährlichen Überprüfungen des Frameworks ausgesetzt.
Keines dieser Ereignisse betraf den Datenschutz unmittelbar. Beide Entwicklungen lassen uns bei Engity jedoch fragen: Passt eigentlich noch jemand auf?
Nichts davon hat das DPF als solches außer Kraft gesetzt. Das DPF ist weiterhin in Kraft, und zertifizierte US-Empfänger dürfen nach wie vor Daten erhalten. Eine Angemessenheitsentscheidung basiert jedoch auf der Unabhängigkeit der Institutionen, auf die sie sich stützt. Und zwei dieser Institutionen entsprechen inzwischen nicht mehr dem Bild, das die Kommission bei ihrer Entscheidung zugrunde gelegt hat. Das ist kein Grund zur Panik. Noch nicht. Aber es ist ein guter Grund, keine Identitätsinfrastruktur aufzubauen, die nur für eine Welt funktioniert, in der es das DPF noch gibt.
Hinzu kommt, dass der Übermittlungsmechanismus US-amerikanische Gesetze wie den Cloud Act, den Patriot Act und Section 702 des Foreign Intelligence Surveillance Act unberührt lässt. Diese verpflichten IAM-Anbieter dazu, auf Anfrage Daten – einschließlich der Daten europäischer Kunden – an US-Behörden und Nachrichtendienste herauszugeben. Das gilt leider auch dann, wenn die Daten auf europäischen Servern gespeichert sind.
Allein die Speicherung auf europäischen Servern ist daher keine DSGVO-konforme Lösung. Aus diesem Grund werden Datenübermittlungen in die USA für Unternehmen, die sensible Daten verarbeiten, auch weiterhin ein relevantes Thema bleiben.
Teil-Outsourcing bei Nutzung eines Europäischen IAM-Anbieters
Oft bietet das Outsourcing viele Vorteile gegenüber einer vollständig internen IAM-Lösung. Da es jedoch nicht allzu viele relevante DSGVO-konforme Anbieter gibt, kann ein teilweises Outsourcing in Betracht gezogen werden. Bei diesem Ansatz wird eine Open-Source-Lösung eines Drittanbieters genutzt und auf den eigenen Servern des Unternehmens betrieben. Trotz der besseren Kontrollmöglichkeiten müssen die Herausforderungen berücksichtigt werden, die mit dem Eigenbetrieb verbunden sind, insbesondere im Hinblick auf Wartung, Skalierung und Sicherheit.
Die Lage verändert sich: eIDAS 2 und das digitale Identitäts-Wallet der EU
Und dann wäre da noch eine Sache. Bisher haben wir gefragt: Welche Lösung ist konform? Künftig stellt sich zusätzlich die Frage: Welche Lösung wird in achtzehn Monaten noch für europäische Unternehmen nutzbar sein?
Die überarbeitete eIDAS-Verordnung (EU) 2024/1183 ist im Mai 2024 in Kraft getreten. Bis Dezember 2026 muss jeder Mitgliedstaat seinen Bürgern und Einwohnern mindestens eine zertifizierte Europäische Digitale Identitäts-Wallet zur Verfügung stellen. Bis Dezember 2027 müssen Organisationen, die gesetzlich zur Verwendung einer starken Nutzerauthentifizierung verpflichtet sind – darunter Banken, Telekommunikationsanbieter und andere regulierte Branchen –, diese Wallet akzeptieren, wenn ein Nutzer sie zur Identifizierung vorlegt.
Für das Identity Management bedeutet dies eine architektonische Veränderung. Die Wallet fungiert als Identity Provider, und die verwendete Protokollsprache ist weitgehend die gleiche, mit der auch ein OpenID-Connect-Team bereits arbeitet. Neu sind jedoch die Formate der Nachweise, die Möglichkeit zur selektiven Offenlegung von Informationen (Selective Disclosure) sowie die Anforderung, dass sich sogenannte Relying Parties zunächst bei einer nationalen Behörde registrieren müssen, bevor sie überhaupt eine Vorlage von Nachweisen anfordern dürfen.
Europäische Identitätsinfrastrukturen waren bisher die konforme Wahl. Sie entwickeln sich zunehmend zur Standardlösung. Wer heute ein IAM-System entwickelt oder einkauft, entscheidet damit auch darüber, ob es bei Inkrafttreten der entsprechenden Fristen mit der Wallet kompatibel sein wird. Und das ist eine Frage, die ein Anbieter außerhalb des europäischen Regulierungsrahmens kaum als Erstes beantworten muss.
Eine europäische IAM-Lösung ist notwendig (und wir haben eine)!
Zusammenfassend lässt sich sagen, dass die einzige praktikable Lösung darin besteht, einen europäischen Anbieter für die IAM-Lösung zu wählen. Auf diese Weise werden die Vorteile des Outsourcings an einen Cloud-basierten oder Cloud-nativen Lösungsanbieter mit einer Datenverarbeitung innerhalb der Europäischen Union kombiniert. So wird die Einhaltung der DSGVO erreicht.
Darüber hinaus können Unternehmen, die eine IAM-Lösung benötigen, sicher sein, dass die Daten ihrer Benutzer angemessen geschützt sind und die Datenverarbeitung im Einklang mit den geltenden gesetzlichen Vorgaben erfolgt. Außerdem müssen sie keine spezialisierten Experten einstellen, um eine adäquate DIY-IAM-Lösung aufzubauen und zu pflegen.
Wir bei Engity sind überzeugt: Eine europäische, cloudbasierte IAM-Lösung vereint Sicherheit, Skalierbarkeit und regulatorische Konformität in einer Weise, die für die meisten Unternehmen heute den sinnvollsten Ansatz darstellt.
Hinweis: Dieser Beitrag wurde erstmals im April 2022 veröffentlicht und zuletzt im Oktober 2026 aktualisiert und korrigiert.