Sicherheitsdokumentation

Dieses Dokument bietet einen umfassenden Überblick über das Sicherheitskonzept für die Produkte und Dienstleistungen von Identum, darunter eADM und eFeide. Unser Sicherheitskonzept basiert auf bewährten Branchenpraktiken, soliden Betriebsabläufen und unserem Engagement für den Schutz von Kundendaten.

Entwicklungs- und Designphilosophie

Unser Entwicklungsprozess orientiert sich an dem Grundsatz „Sicherheit geht vor“ und berücksichtigt dabei die grundlegenden Prinzipien der modernen Cybersicherheit.

„Privacy by Design“

Identum entwickelt seine Lösungen nach dem Grundprinzip „Privacy by Design“. Die sieben Grundsätze lauten:

1. Proaktiv statt reaktiv; vorbeugend statt nachträglich

2. Datenschutz als Standardeinstellung

3. Datenschutz als integraler Bestandteil des Designs

4. Volle Funktionalität – Positivsummenspiel, kein Nullsummenspiel

5. End-to-End-Sicherheit – Schutz über den gesamten Lebenszyklus hinweg

6. Sichtbarkeit und Transparenz – Offenheit ist wichtig

7. Respekt vor der Privatsphäre der Nutzer – Der Nutzer steht im Mittelpunkt

Für den Endkunden bedeutet dies, dass unsere Lösungen von Haus aus sicher sind; der Datenschutz ist in die Lösung integriert und muss nicht extra konfiguriert werden.

Zero Trust

Das Zero-Trust-Prinzip im Zusammenhang mit dem Identitäts- und Zugriffsmanagement (IAM) ist ein Sicherheitsmodell und eine Strategie, die auf dem Konzept beruhen, dass keinem Benutzer und keinem Gerät – weder innerhalb noch außerhalb des Unternehmensnetzwerks – jemals de facto Vertrauen entgegengebracht werden sollte. Anstatt davon auszugehen, dass alles hinter der Firewall sicher ist, verlangt Zero Trust, dass jeder Zugriff kontinuierlich überprüft und autorisiert wird.

Hier sind einige wichtige Aspekte des Zero-Trust-Prinzips im Zusammenhang mit eADM:

1. Identitätsprüfung: Jeder Zugriff auf das System erfordert eine strenge Überprüfung der Identität des Benutzers oder des Geräts. Dies wird häufig mithilfe sicherer Authentifizierungsverfahren wie der Multi-Faktor-Authentifizierung (MFA) umgesetzt.

2. Minimierung der Zugriffsrechte: Benutzer erhalten nur Zugriff auf die Ressourcen, die sie zur Erfüllung ihrer Aufgaben benötigen (Prinzip der geringsten Berechtigungen). Berechtigungen sind oft granular und dynamisch und werden entsprechend den Bedürfnissen und dem Verhalten des Benutzers angepasst. Dies gilt sowohl für den Zugriff der Benutzer auf eADM als auch für die Berechtigungen, die das System anderen Benutzern gewährt. In der Regel ist eine bedarfsorientierte Zugriffsverwaltung (ABAC oder JIT) bei sensiblen Systemen besser geeignet als beispielsweise eine rollenbasierte Zugriffskontrolle (RBAC).

3. Kontinuierliche Überwachung: Alle Aktivitäten werden überwacht und analysiert, um verdächtiges oder ungewöhnliches Verhalten zu erkennen. Dazu können beispielsweise ungewöhnliche Zugriffsmuster oder Versuche gehören, Zugriff auf sensible Daten zu erlangen.

4. Datenschutz: Obwohl das Identitäts- und Zugriffsmanagement von entscheidender Bedeutung ist, legt „Zero Trust“ auch großen Wert auf den Schutz von Daten. Dazu gehören die Verschlüsselung von Daten sowohl während der Übertragung als auch im Ruhezustand sowie die bedarfsgerechte Sicherung des Zugriffs auf gespeicherte Daten.

Die Umsetzung des Zero-Trust-Ansatzes in eADM ist von zentraler Bedeutung für den Schutz von Organisationen vor Sicherheitsbedrohungen, da sie die Annahmen traditioneller Sicherheitsmodelle in Frage stellt.

Datenminimierung

Bei der Datenminimierung geht es darum, die Menge der erhobenen, verarbeiteten und gespeicherten personenbezogenen Daten und sensiblen Daten auf das für die Erfüllung legitimer Aufgaben unbedingt erforderliche Maß zu beschränken. Dieser Grundsatz ist ein wesentlicher Bestandteil der Datenschutz-Grundverordnung (DSGVO) und anderer Datenschutzgesetze und trägt dazu bei, das Risiko von Datenlecks und Verletzungen der Privatsphäre zu verringern.

1. Begrenzte Datenerhebung: Es sollten nur Daten erhoben werden, die für bestimmte Funktionen oder Dienste erforderlich sind. So importiert eADM beispielsweise standardmäßig keine Gehaltsdaten, sondern nur dann, wenn dies für den jeweiligen Kunden erforderlich ist.

2. Kürzere Aufbewahrungsfristen: Daten sollten nur so lange gespeichert werden, wie eine betriebliche oder gesetzliche Verpflichtung besteht. eADM verfügt über Richtlinien zur Datenaufbewahrung, die Daten bei Bedarf automatisch löschen oder anonymisieren. Standardmäßig sieht eADM für deaktivierte Benutzer eine Aufbewahrungsfrist von 365 Tagen vor, die individuell für jeden Kunden angepasst werden kann.

3. Aggregierte Daten statt individueller Daten: Soweit möglich, sollten Daten anonymisiert oder aggregiert werden, damit die Verarbeitung nicht auf der Identifizierung einzelner Personen beruht.

4. Zugriffskontrolle und Prinzip der geringsten Berechtigungen: Durch die Umsetzung strenger Zugriffskontrollen wird sichergestellt, dass nur befugtes Personal Zugriff auf personenbezogene Daten hat und den Benutzern nur die Rechte gewährt werden, die sie benötigen.

5. Zweck der Datenverwendung und Transparenz: Klare Richtlinien darüber, warum und wie Daten verwendet werden, die sich auf die am wenigsten in die Privatsphäre eingreifenden Methoden zur Erreichung dieser Zwecke beschränken, tragen zur Datenminimierung bei.

6. Pseudonymisierung: Wenn identifizierbare Daten verwendet werden müssen, kann die Pseudonymisierung (unter Verwendung von Datenaliasen) dazu beitragen, die Identität von Personen zu schützen und die Auswirkungen potenzieller Datenlecks zu verringern.

Durch die Anwendung dieser Grundsätze kann ein eADM die Datenminimierung in Ihrem Unternehmen unterstützen und so den Schutz personenbezogener Daten verbessern, während gleichzeitig die gesetzlichen Anforderungen erfüllt und die Privatsphäre der Nutzer gefördert werden.

Betrieb und „Grundprinzipien der IKT-Sicherheit“

Auf operativer Ebene haben wir unser Sicherheitskonzept auf die Grundprinzipien der norwegischen Behörde für nationale Sicherheit für die IKT-Sicherheit gestützt.

Geräte, Software, Benutzer und Zugriffsbedarf ermitteln und erfassen

• Überblick und Kontrolle darüber, wie lange wir Nutzerdaten aufbewahren, sowie Verfahren zur Löschung.

• Zugriffsrechte müssen stets auf das erforderliche Mindestmaß beschränkt werden; niemand sollte über umfassendere Zugriffsrechte verfügen, als für die Erfüllung seiner Aufgaben erforderlich sind.

• In den Abschnitten zum Thema Zugriff finden Sie Informationen zu den Zugriffsebenen für Systembenutzer in AD, G Suite und M365.

Schützen und pflegen

• Eine sichere IKT-Architektur aufbauen und das Unternehmensnetzwerk schützen. Den Datenfluss steuern.

• Behalten Sie die Kontrolle über Identitäten und Zugriffsrechte.

• Alle Passwörter müssen in einem Passwort-Tresor gespeichert werden. Passwörter dürfen nicht wiederverwendet werden. Alle Passwörter und Zugangsdaten sind persönlich.

• Wenn Sie Zugriff auf ein Kundensystem erhalten, müssen das Passwort und der Benutzername nach Abschluss der Arbeit gelöscht werden.

• Schützen Sie Daten sowohl im Ruhezustand als auch während der Übertragung.

• Wichtige Informationen zu deaktivierten Benutzern in eFeide und eADM aufbewahren, um sicherzustellen, dass die Wiederverwendung von Benutzernamen und anderen eindeutigen Kennungen verhindert wird.

• Nach Ablauf einer bestimmten Frist werden die Protokolle, personenbezogenen Daten sowie der Zugriffs- und Berechtigungsverlauf eines Benutzers automatisch gelöscht.

Bekannte Schwachstellen und Bedrohungen erkennen und beseitigen

• Im Einklang mit dem ersten Grundprinzip von „Privacy by Design“ bemühen wir uns aktiv darum, Schwachstellen in unserem System aufzudecken. Daher führen wir jährlich Penetrationstests unserer Lösungen durch. Diese werden von den Sicherheitsexperten von Visma durchgeführt; weitere Informationen finden Sie unter „Penetrationstests“.

• Die Bedrohungsanalyse erfolgt in Zusammenarbeit mit dem Nationalen Zentrum für Cybersicherheit (NCSC). Identum gilt als kritische Infrastruktur und erhält Benachrichtigungen vom NCSC, wenn Sicherheitslücken und Exploits in Serversystemen, Software und anderen IT-Systemen entdeckt werden. Identum führt auf der Grundlage der Informationen des NCSC kontinuierlich Bedrohungsanalysen durch. Relevante Sicherheitslücken werden fortlaufend behoben, sobald wir davon Kenntnis erlangen.

• Alle Identum-Server, sowohl in der Produktions- als auch in der Testumgebung, werden wöchentlich aktualisiert. Dies gilt für das Betriebssystem, die installierten Anwendungen und sonstige Software. Darüber hinaus werden eFeide und eADM sonntags im Rahmen von 14-tägigen Entwicklungssprints aktualisiert. Identum verfügt über eine eigens dafür zuständige Stelle, die dies sicherstellt. Nach der Installation von Patches bzw. Updates werden alle Systeme getestet, um die volle Funktionsfähigkeit zu gewährleisten. Der Sonntag wurde aufgrund der geringen Auslastung und Nutzung an diesem Tag gewählt. eFeide wird im Zusammenhang mit dem Schuljahresbeginn und Prüfungen nicht aktualisiert, mit Ausnahme von betriebskritischen Updates.

Bewältigen und wieder auf die Beine kommen

Alle unerwünschten Vorfälle im Zusammenhang mit Sicherheit oder Datenschutz werden in einem separaten Register erfasst, einschließlich Zeitpunkt, Ort, Beteiligter, ergriffene Maßnahmen und anschließende Folgemaßnahmen. Die Vorgehensweisen sind im internen Notfallplan von Identum dokumentiert. Kunden werden gemäß dem Service Level Agreement (SLA) sowohl über interne als auch über externe unerwünschte Vorfälle informiert. Die Vorgehensweisen sind im internen Notfallplan von Identum dokumentiert. Gegebenenfalls werden den Kunden Bedrohungsanalysen des NCSC zur Verfügung gestellt.

Identum hat eine Vereinbarung über die Unterstützung durch die firmeneigene Cybersicherheitsgruppe von Visma getroffen, falls das Unternehmen angegriffen oder gehackt wird oder die Datensicherheit anderweitig gefährdet ist. Visma wird in diesem Fall ein Einsatzteam zusammenstellen, das für die Bewältigung der Situation, deren Eindämmung und die Wiederherstellung der betroffenen Systeme zuständig ist.

Systemüberwachung und Bedrohungsmanagement

Seit dem 01.02.2023 ist Identum AS eine hundertprozentige Tochtergesellschaft von Visma AS und unterliegt den Visma-Richtlinien für Cybersicherheit, Überwachung und Bedrohungsmanagement. Visma nutzt Sentinel One (SentinelOne | KI-gestützte Cybersicherheitsplattform für Unternehmen) für Managed Detection and Response (MDR). Sentinel One führt eine kontinuierliche Überwachung der Server, Clients, Endgeräte und Mitarbeitercomputer von Identum durch. Alle Vorfälle werden protokolliert und ausgewertet, und Bedrohungen werden vom Team des Security Operations Centre (SOC) von Visma automatisch und aktiv weiterverfolgt.

Im Falle eines ausreichend schwerwiegenden Sicherheitsvorfalls oder Angriffs wird Identum von Visma benachrichtigt; Visma verfügt über einen 24/7/365-Notfalldienst und ergreift Maßnahmen, noch bevor Identum benachrichtigt wird. Wird der Vorfall bzw. Angriff als kritisch eingestuft oder richtet er sich gezielt gegen einen bestimmten Kunden, wird dieser unverzüglich benachrichtigt und in das Team zur Bearbeitung des Vorfalls einbezogen. Die übliche Benachrichtigung unserer Kunden erfolgt per E-Mail; in solchen Fällen erhalten Sie zusätzlich einen Anruf.

Hintertür und Zugriff, falls die normale Anmeldung nicht funktioniert

Identum verfügt in unserer Betriebsumgebung über eigene „Break-Glass“-Konten. Sollte die reguläre Anmeldung für unsere Mitarbeiter aus irgendeinem Grund nicht funktionieren, können diese Konten genutzt werden, um den Zugriff auf das System zu gewähren oder wiederherzustellen. Diese Hintertür wird im Normalbetrieb nicht genutzt, und alle Anmeldungen werden überwacht und sofort gemeldet. In Fällen, in denen der Login des Kunden bei eADM nicht funktioniert (z. B. wenn das AAD des Kunden ausgefallen ist und SSO daher nicht verfügbar ist), kann Identum während der Ausfallzeit des Kunden auf einen anderen Login umstellen, z. B. von Entra ID SSO auf den Login mit ID-porten.

Penetrationstests

Identum ist Teil des PENTEST 2.0-Programms von Visma. Kontinuierliche Tests werden nicht aufgrund der verstrichenen Zeit, sondern auf der Grundlage tatsächlicher Risikosignale ausgelöst. Die Tests basieren nun auf Daten aus anderen Diensten des Anwendungssicherheitsprogramms von Visma (Software-Composition-Analyse, statische Anwendungssicherheitstests, dynamische Anwendungssicherheitstests, Kartierung der externen Angriffsfläche) sowie auf Expertenbewertungen des firmeneigenen Penetrationstest-Teams von Visma. Unseren Kunden steht es selbstverständlich frei, eigene Penetrationstests durchzuführen – mit oder ohne Unterstützung durch vom Kunden ausgewählte Dritte.

Betrieb und Hosting

Die Lösungen von Identum sind cloudbasiert und werden in Entra ID über unseren Betriebspartner Microsoft betrieben und gewartet, einschließlich Redundanz, Fernsicherung und Lastenausgleich. Wir verfügen über zwei Entra-ID-Umgebungen: in Østfold für norwegische Kunden und in Gävle, Schweden, für EU-Kunden. Die Verfügbarkeitsgarantie beträgt 99,9 % (siehe unser SLA). Identum ist für das Betriebssystem und die Software verantwortlich, während Microsoft den Betrieb der Hardware, die Kommunikation, die externe Datensicherung, die Redundanz und die Firewall übernimmt. Nur Mitarbeiter mit technischer Verantwortung bei Identum oder das erforderliche Betriebspersonal bei Microsoft haben Zugriff auf die Serverumgebung. Dies erfolgt über Teamviewer-Clients mit MFA. Identum hat eine erweiterte SLA-Vereinbarung mit Microsoft, die eine Reaktionszeit von 10 Minuten während der Bürozeiten und von 1 Stunde außerhalb der Bürozeiten vorsieht.

Die einzigen Firewall-Ports, die generell für eingehenden Datenverkehr geöffnet sind, sind die Ports 80/443 für die Nutzung von Teamviewer, Web-Clients und API-Clients. Der gesamte Datenverkehr an Port 80 wird automatisch an Port 443 weitergeleitet, sodass die Kommunikation über eine verschlüsselte Verbindung mittels TLS erfolgt. Alle Webdienste und Webseiten – sowohl interne als auch externe – sind mit SSL-Zertifikaten von Digicert gesichert.

Patches und Updates

Die Installation von Patches für Systeme, Komponenten, Server, Datenbanken usw. erfolgt jeden Sonntag. Identum verfügt hierfür über eine eigens dafür vorgesehene Ressource. Identum gilt als kritische Infrastruktur und erhält Benachrichtigungen vom National Cyber Security Centre (NCSC), wenn Sicherheitslücken und Exploits in Serversystemen, Software und anderen IT-Systemen entdeckt werden. Auf der Grundlage der Informationen des NCSC führt Identum kontinuierlich Bedrohungsanalysen durch. Relevante Sicherheitslücken werden fortlaufend behoben, sobald wir davon Kenntnis erlangen. Die Aktualisierung von Systemen, Komponenten, Servern, Datenbanken usw. erfolgt ebenfalls jeden Sonntag. Identum verwendet standardmäßig keine Beta-Funktionen oder Beta-Versionen.

Verschlüsselung

Die Server von Identum werden in der Entra ID-Cloud gehostet und nutzen daher eine standardmäßige serverseitige Verschlüsselung aller Daten während der Speicherung. Die Verschlüsselungsschlüssel werden automatisch von der Entra ID-Plattform verwaltet (serverseitige Verschlüsselung der von Entra ID verwalteten Datenträger – Entra ID Virtual Machines). Die Kommunikation zwischen den Servern von Identum, Clients, Webbrowsern und Systemen von Drittanbietern ist über TLS 1.2 mit einer 2048-Bit-Verschlüsselung durchgehend verschlüsselt, und die Zertifikate werden von Digicert ausgestellt. Diese werden von den Mitgliedern unseres Betriebsteams installiert und gewartet, die über die erforderlichen Zugriffsrechte auf die Server und den Digicert-Dienst verfügen. Sie werden gemäß den Branchenstandards (12 Monate) ausgetauscht bzw. haben eine entsprechende Gültigkeitsdauer. Datenbank, Backups und Betriebssysteme sind ebenfalls verschlüsselt. Darüber hinaus werden alle Benutzerdaten verschlüsselt. In eADM und eFeide werden alle Systemkennwörter (Secrets) mit einer Rijndael-AES-256-Bit-Verschlüsselung gesichert. Die Kennwörter der Benutzer werden in unserer LDAP-Datenbank gespeichert, die auf der Standard-Active-Directory-Technologie basiert und diese daher gehasht und verschlüsselt speichert. Bei der Übertragung von Kennwörtern (Secrets) wird stets eine End-to-End-Verschlüsselung über TLS verwendet.

Datentrennung und -aufteilung

Kundendaten werden anhand einer eindeutigen Kunden-ID logisch voneinander getrennt, wodurch jeder Kunde effektiv als eigenständiger Bereich behandelt wird. Diese Architektur entspricht dem Multi-Tenant-Modell von Microsoft Entra,
bei dem logische Grenzen sicherstellen, dass jeder Kunde in einer in sich geschlossenen Umgebung existiert.
Alle Datentabellen sind mit dieser eindeutigen ID verknüpft, und jede API-Anfrage muss diesen Schlüssel als obligatorischen Parameter enthalten. Durch die Durchsetzung dieser bereichsbasierten Grenzen stellt das System sicher, dass
Authentifizierung, Autorisierung und Datenspeicherung streng auf den jeweiligen Kunden beschränkt sind. Dies garantiert, dass die Daten isoliert und sicher bleiben, wodurch jegliche kundenübergreifende Offenlegung verhindert wird.

Administratoren kann von Identum nur Zugriff auf mehr als eine Instanz von eADM gewährt werden, und der Administrator kann diesen Zugriff nicht an andere Personen weitervergeben. Es wird empfohlen, einen solchen Zugriff stets mit einem Ablaufdatum zu versehen.

Sicherung und Wiederherstellung

Datenbanken werden alle 10 Minuten gesichert; die gesamte Produktionsumgebung wird täglich gesichert. Die Sicherungen werden nicht in der Produktionsumgebung, sondern in einer physisch getrennten Umgebung gespeichert. Um sowohl die Qualität als auch den Inhalt der Sicherungen zu überprüfen und die Datenwiederherstellung zu testen, wird die Testumgebung von Identum stets aus Sicherungen erstellt. Die Testumgebung ist eine vollständige Kopie der Produktionsumgebung. Dies erfolgt mindestens alle 14 Tage.

Notfallplan

Bei Bedarf lässt sich die gesamte Betriebs-/Serverumgebung in weniger als sechs Stunden von Grund auf wiederherstellen, entweder in derselben Umgebung oder in einer sekundären Umgebung (z. B. wenn die primäre Umgebung einem DDoS-Angriff ausgesetzt ist). Es ist zudem möglich, einzelne Kunden aus einem Backup wiederherzustellen. Dies kann sowohl bei Fehlern im Zusammenhang mit Upgrades oder technischen Änderungen an der Lösung erfolgen als auch, wenn der Kunde beispielsweise nach dem Import beschädigter Daten aus dem Quellsystem eine Wiederherstellung benötigt. Dies kann über den Kundensupport von Identum angefordert werden; solche Anfragen werden gemäß dem jeweils geltenden Service Level Agreement des Kunden als Fehler der Stufe A behandelt. Wenn Identum eigenständig entscheidet, dass entweder die gesamte Serverumgebung oder ein bestimmter Kunde wiederhergestellt werden muss, wird der Kunde entweder über den Benachrichtigungsdienst in eADM oder telefonisch benachrichtigt.

Vorbeugende Maßnahmen

Identum verfügt, wie andere Visma-Unternehmen auch, über eigene Verfahren zur Risikobewertung, Risikominderung und zum Risikomanagement. Risiken werden identifiziert und nach Schweregrad und Eintrittswahrscheinlichkeit bewertet (Risikobewertung). Für jedes Risiko muss ein Präventionsplan (Risikominderung) sowie ein Maßnahmenplan (Risikomanagement) für den Fall des tatsächlichen Eintritts des Risikos vorliegen. Dieses Material ist Teil der internen Sicherheitsdokumentation von Identum. Es handelt sich hierbei selbstverständlich nicht um öffentlich zugängliche Informationen. Siehe auch Abschnitt 3 „Systemüberwachung und Bedrohungsmanagement“ sowie Abschnitt 5 „ISO 27001 und das Visma Cloud Delivery Model“.

Auswirkungen von Ausfallzeiten auf eADM

Sollte es bei eADM zu einem Ausfall kommen, funktionieren alle Konten in der Organisation wie bisher, einschließlich aller Rechte und Zugriffsberechtigungen. Solange eADM nicht verfügbar ist, werden keine Konten angelegt, aktualisiert, deaktiviert oder gelöscht, und es werden keine Zugriffsberechtigungen oder Lizenzen durch eADM vergeben, geändert oder entzogen. Dies kann weiterhin manuell im jeweiligen Zielsystem vorgenommen werden.

Auswirkungen von Ausfallzeiten auf eFeide

Sollte es bei eFeide, dem Benutzerverwaltungssystem (BAS) für das FEIDE-Verzeichnis, zu einem Ausfall kommen, funktioniert die FEIDE-Anmeldung weiterhin wie bisher. Nur im Falle eines Ausfalls bei SIKT (der norwegischen Agentur für gemeinsame Dienste in Bildung und Forschung, https://sikt.no/ ) ist die FEIDE-Anmeldung nicht verfügbar. Bei einem Ausfall von eFeide stehen die Funktionen zur Passwortverwaltung, zur Verwaltung des Internetzugangs sowie zur MFA-Verwaltung von FEIDE-Konten nicht zur Verfügung.

Auswirkungen von Ausfallzeiten auf die Quellsysteme

Falls ein Quellsystem ausgefallen ist, werden eADM und eFeide natürlich nicht mit neuen Quelldaten aktualisiert. Der Datenfluss von eADM und eFeide zu den Zielsystemen läuft wie bisher weiter. Beispiele hierfür sind Passwortänderungen, Änderungen der Gruppen-/Teammitgliedschaft sowie von Rollen und Berechtigungen. Sobald das Quellsystem wieder verfügbar ist, verarbeiten eADM und eFeide alle Quelldaten erneut, sodass alle wartenden Benutzer usw. die erforderlichen Konten und Zugriffsrechte erhalten.

Auswirkungen von Ausfallzeiten auf Zielsysteme

Wenn ein Zielsystem für einen kürzeren oder längeren Zeitraum nicht verfügbar ist, werden Änderungen in eine Exportwarteschlange gestellt. Sobald das Zielsystem wieder verfügbar ist, wird die Warteschlange abgearbeitet. Beispiele für Änderungen, die in die Exportwarteschlange gestellt werden, sind Attributänderungen (z. B. Name eines Benutzers), Passwörter, Gruppen-/Teamzugehörigkeiten, Rollen und Zugriffsrechte. In eADM wird protokolliert, wann Änderungen in die Exportwarteschlange gestellt und an die verschiedenen Zielsysteme gesendet wurden.

Benachrichtigung

Identum verfügt über verschiedene Arten von Benachrichtigungen zu Fehlern, Ausfällen oder anderen Vorfällen, die sich negativ auf den Dienst auswirken:

• Automatische systembasierte Benachrichtigung → Das System versendet nach jeder abgeschlossenen Synchronisation einen Statusbericht mit allgemeinen Informationen. Darüber hinaus benachrichtigt das System, wenn die Synchronisation unterbrochen wird, z. B. aufgrund beschädigter Daten oder wenn ein Zielsystem nicht reagiert. Es ist auch möglich, eigene Benachrichtigungskriterien festzulegen, entweder per E-Mail oder SMS, z. B. wenn einem Benutzer Administratorrechte gewährt werden. eADM kann so eingerichtet werden, dass es bei Fehlermeldungen für einzelne Benutzer automatisch benachrichtigt, z. B. wenn eine Aktualisierung in einem Zielsystem fehlschlägt (vorausgesetzt, das Zielsystem unterstützt dies!).

• Manuelle Benachrichtigung → Identum verfügt über eine eigene Benachrichtigungsliste mit E-Mail- und SMS-Adressen für alle Administratoren in eADM und/oder eFeide. Diese Liste dient dazu, über Vorfälle zu informieren, die sich negativ auf einen oder mehrere Kunden auswirken. Sowohl allgemeine als auch spezifische Probleme werden gemäß der SLA gemeldet.

• Bitte beachten Sie, dass Kunden, die über eigene Überwachungssysteme verfügen, über eine API eine Verbindung zu den Protokollen in eADM herstellen und kontinuierlich Protokolle mit Benachrichtigungen, Aktualisierungen und Fehlern automatisch extrahieren können.

Fehlermeldung

Alle vom Kunden festgestellten Fehler können über ein Formular, das den Administratoren in eFeide und eADM zur Verfügung steht, direkt an Identum gemeldet werden. Dies gilt für alle Arten von Fehlern, sowohl für Systemfehler als auch für Meldungen zu datenschutzrelevanten Vorfällen und Maßnahmen. Alle datenschutzbezogenen Vorfälle werden gemäß der vereinbarten Service-Level-Vereinbarung (SLA) als Fehler der Stufe A behandelt. Alle Vorfälle werden gemäß den Grundprinzipien für die IKT-Sicherheit, Abschnitt 4–4.4, bearbeitet. eADM und eFeide verfügen zudem über integrierte Funktionen zur Einreichung von Verbesserungsvorschlägen. Alle Vorschläge werden fortlaufend geprüft.

Informationssicherheit

DSGVO und Datenschutz

Als Grundprinzip für den Import von Quelldaten in unsere Systeme gilt, dass wir ausschließlich Benutzer und Benutzerdaten importieren, die weiterverarbeitet werden sollen. Soll ein Mitarbeiter kein Konto in AD haben, wird dies bereits beim Import in unsere Systeme herausgefiltert. Guardian-Daten werden beim Import in Feide-Verzeichnisse nicht verwendet. Es werden nur relevante Benutzerdaten importiert; so importieren wir beispielsweise den Beschäftigungsgrad (der im Zusammenhang mit der Zuweisung von Lizenzen relevant sein kann), nicht jedoch Gehaltsdaten. Es ist wichtig zu betonen, dass die Quelldatensysteme (HRM und SAS) Vorrang haben. Wenn ein Benutzer in HRM angelegt wird, wird er auch in eADM angelegt. Wenn ein Benutzer deaktiviert oder aus dem System gelöscht wird, werden die zugehörigen Daten gemäß den in eADM festgelegten Regeln ebenfalls gelöscht. So kann beispielsweise automatisiert werden, dass Benutzer nach einer bestimmten Zeitspanne zunächst deaktiviert und anschließend aus dem System gelöscht werden.

Die Sicherheit und der Datenschutz in eADM hängen vollständig davon ab, dass der Kunde über gute Routinen bei der An- und Abmeldung von Benutzern aus seinen Quellsystemen verfügt. Eine häufige Klage von Administratoren im Zusammenhang mit dem Lebenszyklus von Benutzerkonten lautet: „Jeder bemerkt, wenn jemand neu einsteigt, aber niemand bemerkt, wenn jemand das Unternehmen verlässt.“ Dadurch besteht die Gefahr, dass alte Benutzerkonten und personenbezogene Daten lange Zeit ungenutzt herumliegen. Die Lösung hierfür sind gut definierte Regelsätze in eADM, die sicherstellen, dass Daten, die nicht gespeichert werden sollen, gelöscht werden, z. B. wenn der Benutzer deaktiviert wird, in Urlaub geht, verstirbt oder kündigt. eADM automatisiert diesen Vorgang und sorgt dafür, dass alle Benutzerkonten entweder automatisch entfernt werden oder dass die zuständigen Empfänger benachrichtigt werden, falls manuelle Maßnahmen erforderlich sind. Über Nachrichtenvorlagen können IT, Betrieb und Verwaltung benachrichtigt werden, wenn Geräte zurückgegeben oder Zugriffe geändert oder entfernt werden müssen. Alle Benutzer haben einen Zugang zur Benutzeroberfläche, und jeder kann jederzeit alle für seinen eigenen Benutzer registrierten Daten einsehen.

Im Zusammenhang mit der DSGVO und dem Datenschutz können Endnutzer ihre Daten in einem Datenschutzbereich einsehen, in dem wir auch angeben, woher die Daten stammen, an wen sie sich wenden sollten, falls etwas nicht korrekt ist oder wenn sie die Löschung der Daten wünschen. Die Lösungen von Identum erfüllen alle Anforderungen der Norm für Informationssicherheit. Siehe Anhang 9 des Vertrags für die Datenverarbeitungsvereinbarung von Identum AS. Wir verfolgen den Grundsatz, dass wir uns an unsere Kunden anpassen, anstatt dass diese sich an uns anpassen müssen. Sollte unsere Standard-Datenverarbeitungsvereinbarung die Bedürfnisse des Kunden nicht abdecken, passen wir diese an und verwenden die vom Kunden gewünschte Vereinbarung.

Unterauftragsverarbeiter

Informationen zu unseren Hosting-Anbietern und Auftragsverarbeitern finden Sie im Visma Trust Center:

ISO 27001 und das Visma-Cloud-Bereitstellungsmodell

Seit dem 01.02.2023 ist Identum AS eine hundertprozentige Tochtergesellschaft von Visma AS und unterliegt somit deren Qualitätssystem und Bereitstellungsmodell, wie hier beschrieben: Das Visma Cloud Delivery Model (VCDM) beschreibt unseren Ansatz zur Entwicklung, Bereitstellung und zum Betrieb von Cloud-Diensten. Es beschreibt Aspekte unserer Organisationsstruktur, unserer Arbeitsweise (Prozesse) sowie technische Anforderungen und Best Practices, die für die erfolgreiche Bereitstellung von Cloud-Diensten erforderlich sind. Weitere Informationen zum VCDM finden Sie unter: Das Visma Cloud Delivery Model (VCDM). Das Modell basiert auf einer Reihe von Kernprinzipien und konzentriert sich auf DevOps und Continuous Delivery. Das VCDM verfügt über folgende Prüfungserklärungen und Zertifizierungen:

• ISAE 3402 SOC 1 Typ II

• ISO 27001

Das Visma-Sicherheitsprogramm und das Visma-Architektur- und Technologieprogramm sind in das Visma-Cloud-Bereitstellungsmodell integriert. Unser Informationssicherheits-Managementsystem (ISMS) ist nach ISO 27001 zertifiziert und wird jährlich von einem unabhängigen IT-Prüfer auditiert. Darüber hinaus wird die Einhaltung des ISMS und des Qualitätsmanagementsystems im VCDM durch eine unabhängige Wirtschaftsprüfungsgesellschaft gemäß ISAE 3402 geprüft. Diese umfassende Prüfung findet ebenfalls jährlich statt und wird in einem ISAE 3402-Bericht vom Typ II zusammengefasst. Unser Ansatz bei der Umsetzung von Änderungen basiert auf Continuous Integration und Continuous Deployment (CI/CD). Die Methodik wird hinsichtlich Technologie, Kompetenz und Verfahren ständig weiterentwickelt. Derzeit bedeutet dies, dass Änderungen kontinuierlich in unserer Staging-Umgebung überprüft und implementiert werden. Dort werden manuelle Tests sowohl intern in der Entwicklungsabteilung als auch von Fachexperten durchgeführt. Bei umfangreicheren Änderungen setzen wir zudem Pilotkunden ein, die die Änderungen über einen bestimmten Zeitraum im Normalbetrieb testen, bevor sie für alle Kunden freigegeben werden.https://www.visma.com/trust-centre Visma Cloud Delivery Model.

Änderungen und Aktualisierungen

Änderungen und Updates führen in der Regel nicht zu Ausfallzeiten. Sollte dies dennoch der Fall sein, werden sie in vordefinierten Wartungsfenstern durchgeführt und gemäß dem SLA angekündigt. Wir verfügen über einen einheitlichen, automatisierten Upgrade-Prozess für alle Umgebungen. Häufige und kleine Updates sorgen dafür, dass das Fehlerrisiko bei jeder Änderung gering ist. Wir setzen zunehmend auf die Durchführung von Upgrades direkt in der Produktionsumgebung, jedoch hinter „Feature-Toggles“ verborgen, sodass die Funktionalität erst dann aktiviert wird, wenn sie für den Kunden bereit ist. In Kombination mit automatisierten Tests sorgt dies für hohe Stabilität, weniger Fehler und eine schnelle Einführung neuer Funktionen. Die Kommunikation von Updates erfolgt je nach Umfang und Tragweite der Änderung unterschiedlich:

• Kleinere Änderungen wie Fehlerbehebungen, die keine Auswirkungen auf den Kunden oder den Nutzer haben, werden im Rahmen einer Aktualisierung der Versionshinweise bekannt gegeben.

• Änderungen wie Anpassungen oder Ergänzungen an Arbeitsabläufen oder Bildschirmansichten werden in den Versionshinweisen, in Benachrichtigungen auf der Startseite, in der aktualisierten Benutzerdokumentation sowie in der Visma-Community bekannt gegeben.

• Bei größeren Änderungen, wie beispielsweise neuen Schlüsselfunktionen oder einer wesentlichen Änderung eines Arbeitsprozesses, können zusätzlich Webinare und/oder aktualisierte E-Learning-Kurse angeboten werden.

Bei größeren Änderungen, die eine Schulung und/oder Konfiguration des Systems erfordern, werden wir den Kunden einbeziehen, bevor wir die Änderung umsetzen. Der Umfang dieser Maßnahmen hängt davon ab, um welche Art von Änderung es sich handelt. Unsere Strategie für den Umgang mit Fehlern, die während Updates auftreten können, ist das „Roll-Forward“-Verfahren. Das bedeutet, dass wir den Fehler beheben und ein Update auf eine neue Version durchführen möchten, anstatt ein Rollback durchzuführen. Nur in Ausnahmefällen und bei schwerwiegenden Fehlern kommt ein Rollback in Betracht.

Sicherheit und Zugriffsverwaltung

Identum betreibt seine Software hauptsächlich über Webanwendungen: https://mega.efeide.no, https://mega.eadm.no und https://mega.eADM.se. Der Zugriff auf die Webanwendungen ist durch ein Captcha, einen Benutzernamen und ein Passwort sowie eine 2FA-Authentifizierung geschützt. Der Kunde kann diese Portale selbst für Verwaltungszwecke und zum Self-Service nutzen, allerdings mit anderen Zugangsdaten und Berechtigungen (siehe Abschnitt zur Zugriffsverwaltung). Wir empfehlen allen unseren Kunden, die Authentifizierung mit aktivierter MFA zu nutzen, und verlangen, dass jeder Zugriff auf alle unsere Systeme auf Administratorebene mit MFA erfolgen muss. Wir bieten die Anmeldung per Benutzername/Passwort mit MFA, ID-porten oder SSO mit Entra ID an. Bei Verwendung von SSO verlangen wir, dass der Zugriff auf der Berechtigungsstufe „Abteilungsleiter“ und höher geschützt ist. Es ist ein wichtiger Grundsatz, keine höheren Zugriffsrechte zu gewähren, als notwendig sind.

Wir empfehlen Ihnen daher, bei der Vergabe von Zugriffsrechten auf Administratorebene zurückhaltend vorzugehen. Für den Großteil der täglichen Arbeitsabläufe reicht der Service-Desk-Zugriff aus. Für Benutzer, die lediglich eine bestimmte Aufgabe erledigen müssen, beispielsweise die Verwaltung von Passwörtern für eine Abteilung, ist der Superuser-Zugriff ausreichend. Nur absolut notwendiges Personal sollte Administratorzugriff auf das System haben, und dieser sollte als zeitlich begrenzt betrachtet werden. Dieser Grundsatz schränkt den Zugriff auf personenbezogene Daten sowie die Möglichkeiten zur Vergabe von Zugriffen oder Rechten ein. Alle über die Weboberfläche vorgenommenen Änderungen werden automatisch protokolliert. Der Kunde wird im Falle unerwünschter Vorfälle zusätzlich zum täglichen Statusbericht unserer Systeme routinemäßig benachrichtigt.

Wir betonen, dass wir empfehlen, den Zugriff auf eFeide und eADM für alle Benutzer mit Administratorrechten durch eine Zwei-Faktor-Authentifizierung zu sichern; diese Funktion ist Teil der Lösungen. Unsere Richtlinie für die Zugriffsverwaltung sieht vor, dass Benutzern keine höhere Zugriffsebene gewährt werden sollte, als sie für ihre tägliche Arbeit benötigen; ein höherer Zugriff wird je nach Bedarf geprüft. Administratorrechte sollten nur wenigen ausgewählten Benutzern zugewiesen werden, die eine Schulung zur Nutzung des Systems absolviert haben. Ein Beispiel hierfür wäre, dass der First-Level-Support beim Kunden Service-Desk-Zugriff hat, während nur der Third-Level-Support Zugriff auf das System auf Administratorebene besitzt. Identum empfiehlt allen unseren Kunden, diese Richtlinie zu befolgen, wenn sie Regeln für die automatische oder manuelle Zugriffsverwaltung auf Geschäftssysteme, Drittanbieter usw. über eADM festlegen.

Interne Mitarbeiter

Dies gilt auch für die eigenen Mitarbeiter von Identum. Mitarbeiter erhalten nur die für ihre Position und Funktion erforderlichen Zugriffsrechte. Wenn Mitarbeiter das Unternehmen verlassen, werden alle Zugriffsrechte unverzüglich entzogen. Identum greift nicht auf externe Dritte zurück und verfolgt den Grundsatz, dass nur Mitarbeiter, die aktiv am Betrieb und am Benutzer-Support der Lösung beteiligt sind, Zugriff auf die Kundendaten haben. Die verschiedenen Zugriffsebenen und Rollen bei Identum sind klar definiert und werden in regelmäßigen Abständen gemäß ISO 27001 geprüft und auf ihre Notwendigkeit hin überprüft. Alle im System vorgenommenen Änderungen werden ebenso protokolliert wie die der kundeneigenen Benutzer. Wenn also ein Mitarbeiter von Identum einem Benutzer bei einem Kunden Zugriff auf ein Geschäftssystem gewährt, wird dies im Verlauf des Benutzers protokolliert, der den Zugriff erhalten hat. Es ist nicht möglich, Benutzerdaten zwischen den verschiedenen Instanzen in der Benutzeroberfläche zu kopieren, sondern lediglich Vorlagen und Regelsätze.

Zugriffskontrolle

Sowohl eFeide als auch eADM unterstützen verschiedene Methoden für die Benutzeranmeldung, darunter die Zwei-Faktor-Authentifizierung. Wir bieten (natürlich) die FEIDE-Anmeldung, ID-porten, ADFS/LDAP, SSO mit Entra ID/EntraID, SSO mit Google Workspace sowie weitere SAML 2.0-Autorisierungslösungen an. Wir erwarten von unseren Kunden, dass sie die SSO-Anmeldung durch MFA absichern; es wird nicht empfohlen, den Zugriff auf eADM und eFeide ohne Zwei-Faktor-Schutz zu gewähren, selbst auf der Ebene von Mitarbeitern oder Abteilungsleitern. Auf Service-Desk- und Administratorebene verlangen wir von unseren Kunden, dass sie SSO durch MFA absichern oder alternativ ID-porten verwenden. Systemzugriffe können automatisch auf Basis von Regelsätzen oder manuell für den einzelnen Benutzer gewährt werden. Wir empfehlen, Administratorzugriffe nur manuell und bedarfsorientiert zu vergeben. Zugriffe können mit oder ohne Ablaufdatum gewährt werden, und das System bietet eine Lösung sowohl für die aktive als auch für die passive Zugriffsprüfung in festgelegten Zeitabständen. Die verschiedenen Zugriffsebenen können auf Gruppen-, Rollen- und persönlicher Ebene verwaltet werden. So lässt sich beispielsweise die Anmeldung an der Benutzeroberfläche von eFeide so regeln, dass sich jeder, der Zugriff auf personenbezogene Daten anderer Nutzer hat, mit Zwei-Faktor-Authentifizierung anmelden muss, während Studierende (die nur ihre eigenen Daten einsehen können) sich ohne Zwei-Faktor-Authentifizierung anmelden können.

Mitarbeiter

Das System berücksichtigt zudem, dass ein und derselbe Benutzer in verschiedenen Abteilungen unterschiedliche Rollen mit unterschiedlichen Anforderungen und Zugriffsrechten innehaben kann. Ein Mitarbeiter kann alle verfügbaren Informationen über sich selbst einsehen und sein Passwort ändern. Ein Abteilungsleiter sieht nur seine Mitarbeiter. Ist ein Benutzer Abteilungsleiter und gleichzeitig auf einer anderen Ebene in der Organisation beschäftigt, hat dieser Benutzer nur Administratorzugriff auf die Abteilung, in der er Abteilungsleiter ist. In der anderen Abteilung verfügt er lediglich über den Zugriff eines normalen Mitarbeiters. Die sechs Rollen gewähren Zugriff auf Funktionsbereiche, zugrunde liegende Informationen und Funktionen.

Verlauf, Protokolle und Zugriffsüberprüfung in eADM

eADM verfügt über eine lückenlose Protokollierung aller auf Objektebene vorgenommenen Änderungen, d. h. für Benutzer, Gruppen und Abteilungen. Die Protokolle stehen allen Personen mit Administratorrechten in der Lösung zur Verfügung. Sowohl Änderungen, die aus Quellsystemen eingehen, als auch in eADM vorgenommene Änderungen werden protokolliert. Das System protokolliert zudem alle an die verschiedenen Quellsysteme gesendeten Daten, sodass Sie einen vollständigen Überblick darüber haben, welche Daten wohin exportiert wurden. Alle Einträge werden mit der Objekt-ID, Datum/Uhrzeit, dem Grund für die Änderung, dem Ausführenden (bei manuellen Änderungen), dem vorherigen Wert und dem neuen Wert protokolliert. Auch alle Änderungen an der Systemkonfiguration selbst werden protokolliert. Dies umfasst alle Änderungen an Regelsätzen, Synchronisationsvorlagen, Nachrichtenflüssen, Zugriffskontrollen und Workflows. Alle Protokolle werden gespeichert, verschlüsselt sowie digital und physisch gemäß denselben Standards wie die übrigen Daten von Identum geschützt. Protokolle können von keinem Benutzertyp geändert werden, auch nicht von Identums eigener „Superduper“-Administratorrolle. Protokolle können zur Verarbeitung in Systemen von Drittanbietern exportiert werden. Alle Vorfälle, Protokolle usw. können so eingerichtet werden, dass bei ihrem Auftreten eine Benachrichtigung per E-Mail oder SMS ausgelöst wird. Das System kann beispielsweise über bestimmte Fehlermeldungen im Zusammenhang mit dem Export in sensible Systeme informieren oder wenn sich ein Benutzer mit einer IP-Adresse außerhalb eines bestimmten geografischen Gebiets anmeldet.

Protokollierung von Änderungen an Benutzerdaten, Berechtigungen und Zugriffen

In der Benutzeroberfläche von eADM lassen sich zudem alle einem Benutzer zugewiesenen Zugriffsrechte und Lizenzen einsehen, sowohl in eADM als auch in den zugehörigen Zielsystemen. Der Verlauf zeigt, wann ein Zugriff oder eine Lizenz zugewiesen wurde und ob dies automatisch auf Grundlage eines Regelsatzes oder manuell durch einen Benutzer erfolgte. Man kann einsehen, auf welche Daten ein Benutzer in einem Fall-/Archivsystem Zugriff hat und um welche Art von Zugriff es sich handelt. eFeide protokolliert neben Änderungen an Benutzerdaten und Passwörtern auch alle Änderungen an den Zugriffsrechten. Wurde ein Zugriff durch einen Regelsatz gewährt, lässt sich zudem nachvollziehen, wer die Änderung am Regelsatz vorgenommen hat, die den Zugriff ausgelöst hat.

Sicherheits- und Passwortprotokolle

Die Sicherheitsprotokollierung in eADM protokolliert alle Anmeldeversuche – sowohl autorisierte als auch nicht autorisierte – mit Angaben zu Benutzer, Zeitpunkt, Standort (IP), Art der Authentifizierung und Status. Darüber hinaus werden alle Fehlermeldungen mit Angaben zu Methode (z. B. Art des API-Aufrufs), Zeitpunkt, Benutzer und IP protokolliert. Alle Passwortänderungen werden protokolliert, einschließlich Zeit- und Datumsstempel, der Art und Weise, wie die Passwortänderung vorgenommen wurde, der Person, die die Passwortänderung initiiert hat, der Angabe, ob das Passwort an andere Zielsysteme weitergegeben wurde, sowie etwaiger Fehlermeldungen.

Zugriff durch Dritte

Der Kunde legt über die Benutzeroberfläche selbst fest, wer Zugriff auf Kundendaten in eADM hat. Der Datenfluss zu Zielsystemen wird über Synchronisationsvorlagen gesteuert, wobei der Kunde selbst entscheidet, welche Daten für jeden einzelnen Dritten freigegeben bzw. an diesen übertragen werden sollen. eADM erlaubt es Dritten nicht, Daten nach eigenem Ermessen aus dem System abzurufen, es sei denn, der Kunde gewährt diesen Zugriff ausdrücklich über die API. Siehe auch den Punkt „Penetrationstests“.

Umgang mit Passwörtern

In eADM und eFeide werden alle Systemkennwörter (Geheimnisse) mit einer Rijndael-AES-256-Bit-Verschlüsselung gesichert. Die Kennwörter der Benutzer werden in unserer LDAP-Datenbank gespeichert, die auf der Standard-Active-Directory-Technologie basiert und die Kennwörter daher gehasht und verschlüsselt speichert. Bei der Übertragung von Kennwörtern (Geheimnissen) wird stets eine End-to-End-Verschlüsselung über TLS verwendet. Dies gilt für den gesamten Datenaustausch mit der Lösung. Auf die Passwörter kann kein Benutzer in eADM oder eFeide zugreifen, weder die Mitarbeiter selbst noch Abteilungsleiter oder Administratoren. Die einzige Ausnahme bilden die Initialpasswörter, da diese natürlich lesbar und druckbar sein und an den Mitarbeiter gesendet werden müssen. Nach der ersten Anmeldung wird dieses Passwort geändert und verschlüsselt gespeichert. Von diesem Zeitpunkt an kann es von niemandem mehr eingesehen werden; es kann lediglich geändert werden. Erstpasswörter für Benutzer werden in eADM/eFeide bei der Erstellung eines Benutzerkontos generiert. Das Passwort wird gemäß Regelwerken generiert, die entsprechend den Anforderungen des Kunden eingerichtet wurden, z. B. 16 Zeichen, Großbuchstabe, mindestens 1 Sonderzeichen.

Wenn ein Benutzerkonto in Zielsystemen wie AD, Entra ID oder Geschäftssystemen angelegt wird, können die Benutzer mit demselben Initialpasswort angelegt werden. Dieses wird verschlüsselt übertragen. Passwörter können in unseren Lösungen geändert und in Echtzeit an die Zielsysteme übertragen werden. Es können Anforderungen festgelegt werden, wonach Benutzer ihr Initialpasswort bei der Anmeldung bei Entra ID, AD und Google ändern müssen, bevor sie sich anmelden dürfen. Identum bietet eine Lösung zum Zurücksetzen von Passwörtern per SMS oder durch Authentifizierung über ID-porten an, wobei wir ID-porten nachdrücklich empfehlen. Alle Passwortänderungen werden protokolliert, einschließlich Zeit- und Datumsstempel, der Art und Weise, wie die Passwortänderung vorgenommen wurde, der Person, die die Passwortänderung initiiert hat, der Angabe, ob das Passwort an andere Zielsysteme weitergeleitet wurde, sowie etwaiger Fehlermeldungen. In eADM können Abteilungsleiter die Passwörter ihrer Mitarbeiter ändern, indem sie entweder ein neues Passwort zuweisen oder ein generiertes Passwort per SMS an den Mitarbeiter senden, sofern für den Benutzer eine Handynummer hinterlegt ist.

Wir empfehlen jedoch, dass die Mitarbeiter dies selbst über das Portal für vergessene Passwörter erledigen. Service-Desk-Benutzer und Administratoren in eADM können die Passwörter aller Benutzer ändern, indem sie entweder ein neues Passwort zuweisen oder dem Mitarbeiter ein generiertes Passwort per SMS zusenden, sofern für den Benutzer eine Handynummer hinterlegt ist. Wir empfehlen jedoch, dass die Mitarbeiter dies selbst über das Portal für vergessene Passwörter erledigen. In eFeide können Lehrkräfte die Passwörter von Schülern ändern, Schulverwalter die Passwörter von Schülern und Lehrkräften an ihrer Schule und kommunale Verwalter die Passwörter aller Benutzer. Feide unterstützt keine erzwungene Passwortänderung.

Sicherheits- und Feide-Dienste

In eFeide können Administratoren die Anmeldung mit MFA für bestimmte Feide-Dienste für Mitarbeiter verwalten. Die Anforderungen an die MFA für Feide-Dienste können sowohl individuell als auch für ganze Schulen festgelegt werden. Eine Zwei-Faktor-Methode dient einem Benutzer dazu, seine Identität nachzuweisen, wenn ein Feide-Dienst eine Zwei-Faktor-Authentifizierung erfordert. Feide bietet vier verschiedene Zwei-Faktor-Verfahren an: Anmeldung über ID-porten, Code per SMS, Code-Blatt und Authentifikations-Client (MS Authenticator oder Google Authenticator). Welche Feide-Dienste mit MFA geschützt werden sollen, bleibt dem jeweiligen Kunden überlassen; unsere Faustregel lautet, dass alle Feide-Dienste, in denen personenbezogene Daten von Schülern und/oder Mitarbeitern gespeichert sind, mit MFA geschützt werden sollten. Ein cloudbasiertes Schulverwaltungssystem ist ein Beispiel für ein System, das unserer Meinung nach durch eine Zwei-Faktor-Anmeldung geschützt werden sollte.

Export personenbezogener Daten in Zielsysteme

Sowohl eADM als auch eFEIDE enthalten personenbezogene Daten, weshalb sorgfältig geprüft werden sollte, welche Daten in welche Zielsysteme exportiert werden. Als Faustregel gilt, dass nur die Mindestmenge an Daten exportiert werden sollte, die das Zielsystem benötigt. Darüber hinaus sollte für Daten wie nationale Identitätsnummern, private Kontaktdaten, Gehaltsangaben usw. eine Bedarfsanalyse durchgeführt werden.

Verwendung nationaler Identifikationsnummern in Active Directory

Wir empfehlen, dass eine nationale Identifikationsnummer, die in Active Directory als eindeutiges Identifikationsattribut verwendet wird (z. B. in den Attributen „employeeID“ oder „employeeNumber“), entweder verschlüsselt (dafür gibt es in beiden Systemen entsprechende Funktionen) oder ausgeblendet werden sollte, sodass diese Attribute nur für Administratoren einsehbar sind: So blenden Sie Benutzerattribute in Active Directory aus.

Verwendung nationaler Identifikationsnummern in Entra ID / Entra ID

Wir raten davon ab, nationale Identifikationsnummern als eindeutiges Identifikationsmerkmal in Entra ID zu verwenden, da dieses Feld weder geschützt noch ausgeblendet werden kann. Verwenden Sie stattdessen Mitarbeiternummern oder eine andere eindeutige Nummernreihe.

Zusammenfassung zu KI und Suche

Dieses Dokument beschreibt das umfassende Sicherheitskonzept für die Produkte eADM und eFeide von Identum. Es umfasst die Entwicklungsphilosophien „Privacy by Design“ und „Zero Trust“, die Zertifizierung nach ISO 27001 über das Visma Cloud Delivery Model sowie das sichere Hosting in Microsoft Entra ID. Das Rahmenwerk umfasst eine kontinuierliche Bedrohungsüberwachung durch das SOC von Visma, jährliche Penetrationstests, robuste Backup- und Notfallwiederherstellungspläne sowie detaillierte Richtlinien für Verschlüsselung, Zugriffskontrolle und den DSGVO-konformen Umgang mit Daten.

Zuletzt aktualisiert: 25. Februar 2026