Was ist ISPM? Die "Vor-dem-Angriff"-Hälfte der Identity Security
ISPM erkennt und bewertet Identity-Risiken kontinuierlich - dauerhaft bestehende Berechtigungen, inaktive Konten, MFA-Lücken, Shadow-Admins und nicht verwaltete NHIs - bevor Angreifer sie ausnutzen können. Was gemessen wird und wie es in den Stack passt.
8 Min. Lesezeit · Zuletzt aktualisiert August 2026
Die meisten Identity-Breaches beginnen nicht mit einem Zero-Day. Sie beginnen mit einem Konto, das niemand deprovisioniert hat, einem Service-Account mit Admin-Rechten, die er vor zwei Jahren erhalten hat, oder einem OAuth-Token, das die Integration, für die es erstellt wurde, längst überlebt hat. Der Angreifer hat sich nicht eingebrochen - er ist durch eine Tür gegangen, die bereits offen stand.
Genau dieses Problem soll Identity Security Posture Management (ISPM) schließen.
Alle Identitäten in einer Ansicht
Kurz gezeigt: Wie menschliche und nicht-menschliche Identitäten in einer einzigen Governance-Ansicht zusammenlaufen statt in drei getrennten Systemen.
Die Definition in einem Satz
ISPM ist eine Cybersecurity-Disziplin, die sich auf die kontinuierliche Bewertung und Steuerung von Identity-Risiken in der gesamten IT-Infrastruktur einer Organisation konzentriert - sie identifiziert Fehlkonfigurationen, überprivilegierte Konten und zugangsbezogene Sicherheitslücken, bevor diese ausgenutzt werden können.
Das Wort kontinuierlich trägt in diesem Satz echtes Gewicht. Klassische Identity Governance arbeitet in Zyklen: vierteljährliche Access-Reviews, jährliche Zugangszertifizierungen, Joiner-Mover-Leaver-Workflows, die durch HR-Ereignisse ausgelöst werden. ISPM wartet nicht auf die nächste Kampagne. Es beobachtet die Posture in Echtzeit und meldet Abweichungen, sobald sie auftreten.
German (de-DE)
Schatten-IT aufdeckenDie Einordnung: Gartners Identity-Resilience-Modell
Gartner rahmt Identity Security in einem zweiseitigen Modell namens Identity Resilience. Die Logik spiegelt wider, was Endpoint Security seit Jahren praktiziert:
| Dimension | ISPM | ITDR |
|---|---|---|
| Primary job | Harden posture before an attack | Detect and respond during/after an attack |
| Timing | Continuous, preventive | Real-time, reactive |
| Question answered | Where are we exposed? | Is something happening right now? |
| Analogy | Locking the doors and windows | Alarm system + security response |
| Gartner pillar | Prevention | Detection & Response |
Gartners Identity-Resilience-Framework positioniert ISPM als präventive Hälfte - die Posture vor dem Angriff härtet - und ITDR als Erkennungs- und Reaktionshälfte für den Fall, dass etwas durchkommt. Beide Seiten sind erforderlich. Prävention allein setzt perfekte Kontrollen voraus. Erkennung allein setzt voraus, dass jeder Angreifer in Bewegung abgefangen werden kann. Keine dieser Annahmen hält stand.
Im Jahr 2025 waren laut dem Global Incident Response Report 2026 von Unit 42 bei 90 % der Incident-Response-Einsätze Identity-Schwachstellen beteiligt, und 65 % des initialen Zugriffs erfolgte über kompromittierte Identitäten. Die Angriffsfläche ist die Identität. Die Frage ist, ob man sie vor dem Breach härtet oder danach in Panik reagiert.
Was ISPM tatsächlich misst
ISPM deckt sechs Kategorien von Identity-Risiken auf, die periodische Reviews regelmäßig übersehen:
1. Dauerhaft bestehende und übermäßige Berechtigungen Konten akkumulieren Berechtigungen im Laufe der Zeit - ein Mover-Ereignis fügt Zugriff hinzu, aber der alte Zugriff wird selten entfernt. ISPM entdeckt und bewertet kontinuierlich neu, um neue Risiken frühzeitig zu erkennen, und schlägt Alarm bei Posture-Regressionen wie Privilege Creep nach wiederholten Mover-Ereignissen. Das Ziel ist Least Privilege in der Praxis, nicht nur in der Richtlinie.
2. Inaktive und verwaiste Konten Inaktive oder aufgegebene Konten bleiben offene Türen für Angreifer; ISPM erkennt und markiert verwaiste Konten, bevor sie missbraucht werden können. Das sind die Konten, bei denen die erstellende Person das Unternehmen verlassen hat, die Zugangsdaten - und ihr vollständiger Zugriff - aber geblieben sind.
3. MFA-Lücken Nicht jedes Konto in Ihrem Verzeichnis hat MFA erzwungen. ISPM kartiert die Authentifizierungsabdeckung im gesamten Bestand und markiert Konten - insbesondere privilegierte - bei denen MFA fehlt, umgangen wird oder falsch konfiguriert ist.
4. Shadow-Admins Shadow-Admins sind Konten, die effektive Admin-Rechte durch indirekte Rollenzuweisungen oder Gruppenmitgliedschaften besitzen, ohne in der Liste der "Administratoren" zu erscheinen. Sie sind für die meisten Governance-Tools unsichtbar und ein bevorzugter Pfad für Lateral Movement.
5. Identity-Fehlkonfigurationen Häufige Fehlkonfigurationen umfassen überprivilegierte Konten, unsachgemäßes Identity Lifecycle Management und eine fehlerhafte MFA-Implementierung - genau die Klassen, die Gartner als Ursache der folgenreichsten Identity-Breaches identifiziert hat.
6. Nicht verwaltete nicht-menschliche Identitäten (NHIs) Dies ist die Kategorie, die am schnellsten wächst und am wenigsten geregelt wird. Service-Accounts, API-Keys, OAuth-Token, Automatisierungs-Credentials und KI-Agenten - keiner von ihnen kann sich für MFA registrieren, keiner taucht in einem HR-Offboarding-Prozess auf, und die meisten tragen Berechtigungen, die bei einem menschlichen Konto sofort eine Überprüfung auslösen würden.
Das NHI-Problem ist das ISPM-Problem
Das Ausmaß der nicht-menschlichen Identitäten im Jahr 2026 macht die Governance-Lücke greifbar.
Machine-Identities übersteigen menschliche Identitäten laut dem 2026 Identity Security Landscape Report von Palo Alto Networks im Verhältnis 109 zu 1 - gegenüber 82 zu 1 nur ein Jahr zuvor, ein Anstieg des Verhältnisses selbst um 32,9 %. In Cloud-nativen Umgebungen steigt dieses Verhältnis noch weiter.
Von diesen Machine-Identities tragen 97 % übermäßige Berechtigungen, und lediglich 0,01 % kontrollieren 80 % der Cloud-Ressourcen. Die Risikokonzentration ist außergewöhnlich.
47 % der NHIs sind älter als ein Jahr ohne Credential-Rotation, und zwei Drittel der Unternehmen haben bereits einen Breach über eine kompromittierte NHI erlitten.
Die Governance-Lücke ist kein Rätsel. Service-Accounts werden nach wie vor mit statischen Credentials erstellt, mit weitreichenden Berechtigungen ausgestattet und dann unverwaltet gelassen - außerhalb klassischer IAM-Kontrollen. Ein auf Menschen ausgerichtetes Posture-Programm übersieht das alles.
Deshalb muss der Geltungsbereich von ISPM auf nicht-menschliche Identitäten ausgeweitet werden. Ein ISPM-Tool, das nur User-Accounts im IdP abdeckt, deckt vielleicht 1 % des tatsächlichen Identity-Bestands ab.
Einen tieferen Einblick in die NHI-Explosion und ihre Bedeutung für die Governance bietet unser Beitrag zu The NHI Explosion: Why Non-Human Identities Are the Identity Blind Spot of 2026.
ISPM vs. IGA: Ergänzend, nicht konkurrierend
Hier ist die Kategorienverwechslung am häufigsten. ISPM und IGA sind nicht dasselbe, und keines ersetzt das andere.
IGA (Identity Governance and Administration) steuert den Access-Lifecycle und die Compliance durch Provisionierung, Zugriffsanfragen und Zugangszertifizierungen - typischerweise ereignis- und kampagnengesteuert: Joiner/Mover/Leaver-Prozesse, vierteljährliche Access-Reviews und Richtlinien-Approvals.
ISPM ist kontinuierlich. Es erkennt Posture-Drift zwischen Kampagnen - etwa Privilege Creep nach wiederholten Mover-Ereignissen oder eine neue toxische Berechtigungskombination, die ein SaaS-Admin freitagabend um 23 Uhr erstellt hat.
Die klarste Art, das Verhältnis zu beschreiben:
IGA beantwortet: Wer hat Zugriff auf was, und wurde er genehmigt? ISPM beantwortet: Erzeugt dieser Zugriff gerade ein Sicherheitsrisiko?
ISPM ersetzt weder IAM noch IGA - es stärkt beides, indem es die Posture kontinuierlich misst, Drift zwischen Reviews erkennt und Teams auf die risikoreichsten Zugriffe fokussiert.
In der Praxis findet ISPM das Risiko. IGA setzt die Korrektur durch und verwaltet den Lifecycle. ISPM ohne IGA liefert ein Dashboard voller Probleme ohne Remediierungspfad. IGA ohne ISPM liefert ein Governance-Programm, das zwischen Kampagnen blind ist.
Die Kombination schließt den Kreis: kontinuierliche Posture-Bewertung, die risikopriorisierte Remediierung durch geregelte Workflows speist.
Iden's agentic IGA platform connects to your full stack — SCIM and non-SCIM apps alike — and automates the remediation that ISPM findings demand. See it in action.
See How Iden Closes the Governance LoopDas Coverage-Problem, über das niemand spricht
ISPM ist nur so gut wie seine Sichtbarkeit. Und Sichtbarkeit hat eine harte Grenze: Die meisten ISPM-Tools sehen nur, was mit ihnen verbunden ist.
Wenn Ihr ISPM-Tool Risiken in Ihren Okta-verwalteten Apps erkennt, aber die 40 SaaS-Tools übersieht, die Ihre Teams direkt provisioniert haben - Notion, Figma, Linear, GitHub, Slack-Workspaces - liefert es ein unvollständiges Bild. Unvollständige Bilder erzeugen falsches Vertrauen.
Dasselbe gilt für nicht-menschliche Identitäten. Zwei von fünf SaaS-Plattformen unterscheiden nicht-menschliche Identitäten nicht von menschlichen Usern, was bedeutet, dass ein ISPM-Tool, das auf die nativen Daten dieser Plattformen angewiesen ist, denselben blinden Fleck erbt.
Full-Stack-ISPM erfordert:
- Universelle App-Abdeckung - einschließlich Apps ohne SCIM oder APIs
- NHI-Discovery - Service-Accounts, OAuth-Token, API-Keys, KI-Agenten
- Feingranulare Entitlement-Sichtbarkeit - nicht nur "hat Zugriff auf Slack", sondern welche Channels, welche Berechtigungen, welche Integrationen
- Kontinuierliches Posture-Scoring - kein vierteljährlicher Snapshot
Genau hier kommt die Governance-Schicht ins Spiel. Eine IGA-Plattform mit universeller Konnektivität setzt nicht nur Zugriff durch - sie liefert das autoritative Inventar, das ISPM benötigt, um die Posture präzise zu bewerten.
ISPM im breiteren Identity-Security-Stack
ISPM agiert nicht isoliert. So fügt es sich in die anderen Kategorien ein, die CISOs im Jahr 2026 kartieren:
Der Stack ist komplementär, nicht redundant. Jede Schicht hat eine primäre Aufgabe:
- IGA - Lifecycle-Automatisierung, Access-Zertifizierung, Compliance-Workflows
- ISPM - kontinuierliche Posture-Bewertung, Risiko-Scoring, Drift-Erkennung
- ITDR - Echtzeit-Bedrohungserkennung und -reaktion bei aktiven Angriffen
- PAM - Privileged-Session-Kontrolle und zeitbasierter Zugriff für risikoreiche Konten
- CIEM - Cloud-Entitlement-Management für IaaS/PaaS-Umgebungen
Die Governance-Schicht (IGA) ist das Fundament. Sie ist das System of Record dafür, wer was haben sollte. ISPM überprüft, ob die Realität diesem Datensatz entspricht - kontinuierlich, über den gesamten Stack.
Ihre ISPM-Starter-Checkliste
Bevor Sie Tools evaluieren oder Ihr Programm ausbauen, sollten Sie sich darüber im Klaren sein, was Sie tatsächlich messen. Nutzen Sie diese Checkliste, um Ihre aktuelle Posture-Abdeckung zu bewerten.
Wie gute ISPM-Abdeckung im Jahr 2026 aussieht
Die Messlatte hat sich verschoben. Noch vor einem Jahr war "wir haben vierteljährliche Access-Reviews" eine vertretbare Antwort. Im Jahr 2026, mit NHIs, die Menschen im dreistelligen Verhältnis übersteigen, und KI-Agenten, die sich in jeden SaaS-Stack ausbreiten, ist sie es nicht mehr.
Gute ISPM-Abdeckung im Jahr 2026 bedeutet:
- Kontinuierlich, nicht periodisch - Posture wird in Echtzeit bewertet, nicht zum Kampagnenzeitpunkt
- Universal, nicht partiell - jede App, einschließlich derer ohne SCIM oder APIs
- Menschlich und nicht-menschlich - Service-Accounts, OAuth-Token und KI-Agenten sind vollwertige Bestandteile Ihres Identity-Inventars
- Risikopriorisiert - Findings werden nach Ausnutzbarkeit bewertet und angezeigt, nicht alphabetisch
- Remediierungsverknüpft - ein Finding ohne geregelten Lösungspfad ist nur ein Bericht
Die Governance-Schicht ist das, was Remediierung in großem Maßstab erst möglich macht. ISPM zeigt Ihnen, wo das Risiko liegt. IGA - mit vollständiger Stack-Abdeckung und feingranularer Kontrolle - schließt es tatsächlich.
Einen praktischen Leitfaden zu den Belegen, die Ihre Auditoren nach der Posture-Härtung einfordern werden, finden Sie im Identity Evidence Playbook.
Häufig gestellte Fragen
Is ISPM a product category or a framework?
Both, increasingly. Gartner treats ISPM as a distinct security discipline — a framework of continuous assessment covering misconfigurations, excessive privilege, dormant accounts, and MFA gaps. Many vendors now embed ISPM capabilities into IGA, PAM, and ITDR platforms rather than selling it as a standalone product. What matters is whether the capability is actually continuous and covers your full identity estate, not what the vendor calls it.
How is ISPM different from a traditional access review?
Access reviews are periodic and campaign-driven — typically quarterly or annual. ISPM is continuous. It detects posture drift between campaigns: privilege creep after a mover event, a new shadow admin created by a SaaS admin, an MFA gap that appeared when a new app was provisioned. By the time your next quarterly review runs, ISPM has already flagged and (ideally) remediated the issue.
Do I need a separate ISPM tool, or does my IGA platform cover it?
It depends on your IGA platform's architecture. Legacy IGA tools are campaign-driven and don't provide continuous posture assessment. Modern IGA platforms — especially those with AI-native, always-on discovery — can deliver ISPM capabilities as part of the governance layer. The key questions: Does it cover non-SCIM apps? Does it govern NHIs? Does it score risk continuously, not just at review time?
What's the relationship between ISPM and ITDR?
ISPM and ITDR are complementary halves of Gartner's identity-resilience model. ISPM is preventive: it hardens your posture before an attack by eliminating excessive access, dormant accounts, and misconfigurations. ITDR is reactive: it detects and responds to active identity-based attacks in real time. ISPM reduces the blast radius by eliminating unnecessary access; ITDR catches the threats that make it past preventive controls. You need both.
Why do non-human identities matter for ISPM?
Because NHIs now outnumber human identities by ratios of 45:1 to 144:1 depending on environment, and the vast majority sit outside traditional governance programs. They can't enroll in MFA, they don't appear in HR offboarding flows, and they often carry privileged access with no defined owner or rotation schedule. An ISPM program that only covers human accounts is assessing a small fraction of the actual identity attack surface.