Partner, Dienstleister, Lieferanten, Berater und Kunden müssen heute für eine erfolgreiche Zusammenarbeit regelmäßig auf Anwendungen, Daten und Projekte zugreifen können. Doch beim Zugriffs- und Berechtigungsmanagement begehen viele Organisationen gleich mehrere Fehler, da sie externe Nutzer noch immer wie interne Mitarbeiter behandeln. Was nötig ist: Eine klare Trennung zwischen internen und externen Identitäten.  

Viele Jahre Projekterfahrung und doch treffen wir immer wieder auf die gleichen Stolpersteine – so auch beim Thema B2B-Zugriffe. Denn es ist keine Seltenheit, dass Identitäten von Unternehmen gerne über denselben Kamm geschorenwerden. Konkret betrifft das interne und externe Identitäten. Sprechen wir sie auf diese Verschmelzung an, macht sich Verwunderung breit: „Können wir Kundenzugriffe nicht einfach in unserem bestehenden Identity and Access Management abbilden?“ Unsere klare und sehr bestimmte Antwort: Nein, das sind zwei (sehr unterschiedliche) Paar Schuhe.  

Interne Identitäten von Mitarbeitern sind meist an HR-Prozesse gebunden, die in Stammdaten-Einträgen in HR-Software resultieren. Daraus ergeben sich eindeutige Rollen und Rechte je nach Funktion und Abteilung. Außerdem hat eine interne Identität ein klares Ende, wenn sich Rollen verändern oder die Person das Unternehmen verlässt. Externe Identitäten wiederum sind nicht Teil der eigenen Organisation. Dadurch existieren keine HR-Anker. Ihre Rollen und Rechte müssen projektbezogen, zeitlich begrenzt und abhängig von der externen Organisation, zu der sie gehören, vergeben werden.  

Das im internen Identity and Access Management (IAM) abzubilden, ist nicht per se unmöglich. Einzelne Funktionen wie Rollen, Freigaben oder Verantwortlichkeiten lassen sich generell auch dort hinterlegen. Riskant wird es jedoch, wenn externe Identitäten einfach in Prozesse gedrückt werden, die eindeutig auf Mitarbeiter zugeschnitten sind. 

Somit reicht es nicht, lediglich einen Account anzulegen und eine Rolle zuzuweisen. Unternehmen müssen klären, wer externe Nutzer einladen darf, wer ihre Identität bestätigt, wer den Zugriff fachlich verantwortet und wann dieser automatisch endet. Ebenso wichtig ist die Frage, was passiert, wenn ein Projekt abgeschlossen ist, ein Dienstleister das Team wechselt oder ein Partnervertrag ausläuft. Ohne diese Regeln – die Governance – entstehen schnell Sonderrollen, Ausnahmen und dauerhaft aktive Accounts, deren ursprünglicher Zweck längst entfallen ist. 

Technisch wirkt der Zugriff dann zwar verwaltet. Fachlich ist aber oft nicht mehr nachvollziehbar, warum eine externe Identität bestimmte Rechte besitzt, ob diese Rechte noch benötigt werden und wer für ihre Überprüfung verantwortlich ist. Genau hier liegt das eigentliche Risiko: Nicht der externe Zugriff an sich ist das Problem, sondern fehlende Governance über den gesamten Lebenszyklus einer Identität hinweg. 

Wer externe Nutzer ausschließlich über interne IAM-Prozesse verwaltet, schafft schnell blinde Flecken. Berechtigungen werden nicht regelmäßig überprüft, externe Accounts bleiben aktiv, obwohl Projekte beendet sind, und Veränderungen bei Kunden, Partnern oder Dienstleistern werden nicht automatisch sichtbar. Wechselt dort Personal, bestehen Zugriffe häufig weiter – nicht aus böser Absicht, sondern weil Verantwortlichkeiten und Offboarding-Prozesse fehlen. 

Das eigentliche Problem entsteht also nicht beim ersten Zugriff. Kritisch wird der gesamte Lebenszyklus danach: Genau hier braucht es Governance für B2B-Zugriffe. Denn sie sorgt dafür, dass der Zugang kontrollierbar bleibt.  

Ist die Governance für B2B-Zugriffe verankert, folgt der nächste Schritt: die Umsetzung. CIAM kann dabei den sicheren und nutzerfreundlichen Zugang externer Nutzer ermöglichen. Wieso dieser Rahmen geeigneter für externe Identitäten ist, verdeutlicht die Gegenüberstellung zentraler Fragen von IAM- und CIAM-Experten.  

Beim internen IAM steht die Frage im Mittelpunkt, wie sich Identitäten und Zugriffe der Mitarbeiter innerhalb der Organisation verwalten lassen.   

• Welcher Mitarbeiter gehört zu welcher Abteilung, Rolle oder Organisationseinheit?
• Welche Berechtigungen braucht die Person für ihre Funktion?
• Wer ist die zuständige Führungskraft und genehmigt Zugriffe?
• Welche Rechte ändern sich bei einem Rollen- oder Abteilungswechsel?
• Welche Zugriffe müssen beim Austritt automatisch entzogen werden?
• Wie lassen sich Joiner-, Mover- und Leaver-Prozesse sauber abbilden?
• Welche internen Richtlinien gelten für Zugriff, Authentisierung und Rezertifizierung?

Bei CIAM verschiebt sich der Fokus. Hier geht es weniger um interne Organisationsstrukturen, sondern darum, wie externe Nutzer sicher, skalierbar und möglichst reibungslos auf digitale Angebote zugreifen können. Entsprechend lauten die Fragen: 

• Wie registrieren sich Kunden, Partner oder Plattformnutzer?
• Wie melden sie sich sicher und nutzerfreundlich an?
• Welche Self-Service-Funktionen brauchen externe Nutzer?
• Welche Authentisierung ist sinnvoll – etwa MFA, Passkeys oder Social Login?
• Wie werden Profile, Einwilligungen und Kommunikationspräferenzen verwaltet?
• Wie lassen sich verschiedene Kunden, Partner oder Organisationen mandantenfähig trennen?
• Wie funktioniert Zugriff auch bei hohen Nutzerzahlen stabil und performant?
• Wie bleibt der Login sicher, ohne die User Experience unnötig zu erschweren?

Damit gewinnen Unternehmen nicht nur Sicherheit. Erfolgen Zugriffe auf Kunden-, Partner- und Dienstleisterplattformen einfach und benutzerfreundlich, wirkt sich das positiv auf die Kundenbindung aus. Wer sich kompliziert registrieren muss, beim Login regelmäßig scheitert oder für jede Änderung den Support kontaktieren muss, erlebt die digitale Zusammenarbeit hingegen als Hürde. 

Moderne CIAM-Lösungen wie Descope oder souveräne europäische Alternativen wie cidaas setzen deshalb auf sichere, aber möglichst reibungsarme Prozesse: Self-Service, starke Authentisierung, passwortlose Verfahren, klare Profilverwaltung und eine saubere Trennung verschiedener Nutzergruppen oder Organisationen. 

Unternehmen, die externe Identitäten bislang in ihrem internen IAM regeln, sollten aus Sicherheits-, Kontroll- und Nutzerfreundlichkeitsgründen umdenken. Denn dass Identitäten von Kunden, Partnern und Dienstleistern anderen Logiken folgen, muss sich auch technisch und organisatorisch abbilden.

Das heißt: Unternehmen brauchen zwei Perspektiven. Erstens eine CIAM-Perspektive, die den sicheren, skalierbaren und nutzerfreundlichen Zugang externer Nutzer ermöglicht. Zweitens eine Governance-Perspektive, die sicherstellt, dass dieser Zugang über den gesamten Lebenszyklus hinweg kontrolliert bleibt. Erst dieses Zusammenspiel ermöglicht ein modernes, sicheres und kundenfreundliches Modell für externe Zugriffe.