ITDR vs. ISPM vs. IGA: Schluss mit dem Akronym-Chaos
ITDR, ISPM und IGA sind nicht dasselbe - und wer die falsche Lösung zuerst kauft, zahlt einen hohen Preis. Die ehrliche Einordnung, die jeder CISO 2026 braucht.
8 Min. Lesezeit · Zuletzt aktualisiert August 2026
Drei Akronyme. Dutzende Anbieter. Eine Kategorienkarte, bei der ein Fehler richtig teuer werden kann.
Wer in den letzten 18 Monaten eine Vendor-Präsentation erlebt hat, kennt das Phänomen: ITDR, ISPM und IGA werden fast synonym verwendet - manchmal auf derselben Folie. Dabei sind sie nicht dasselbe. Sie beantworten unterschiedliche Fragen, greifen an verschiedenen Punkten der Angriffszeitlinie ein, und eine falsche Reihenfolge gehört 2026 zu den häufigsten - und kostspieligsten - Fehlern, die Security-Teams machen.
Dieser Beitrag räumt mit dem Rauschen auf. Kein Hype, kein Vendor-Positioning - nur eine klare Definition jeder Kategorie, ihre Einordnung in den Identity-Security-Stack und ein praxistauglicher Leitfaden, um herauszufinden, was Sie wirklich zuerst brauchen.
Alle Identitäten in einer Ansicht
Kurz gezeigt: Wie menschliche und nicht-menschliche Identitäten in einer einzigen Governance-Ansicht zusammenlaufen statt in drei getrennten Systemen.
Was auf dem Spiel steht: Warum es jetzt auf die richtige Einordnung ankommt
Kompromittierte Zugangsdaten waren 2025 der häufigste initiale Angriffsvektor und tauchten laut Verizons Data Breach Investigations Report in 22 % der bestätigten Datenpannen auf. Das ist kein neuer Trend - er beschleunigt sich. Recorded Future identifizierte in der zweiten Jahreshälfte 2025 50 % mehr kompromittierte Zugangsdaten als in der ersten Jahreshälfte. Gleichzeitig spielten Identitätsschwachstellen in fast 90 % der Incident-Response-Untersuchungen des Jahres 2025 eine wesentliche Rolle.
Der Markt hat mit einer Flut neuer Kategorien reagiert. Doch mehr Kategorien bedeuten nicht automatisch bessere Abdeckung - sie bedeuten mehr Entscheidungen, mehr Budgetrechtfertigungen und mehr Integrationsaufwand. Wer die Reihenfolge falsch wählt, zahlt für Detection-Tools, die keine solide Grundlage haben, gegen die sie detektieren können - oder für Posture-Tools, die nicht reparieren können, was nie governed wurde.
Die drei Kategorien - klar definiert
IGA - Identity Governance & Administration: Das Fundament
IGA ist die älteste der drei Kategorien und bleibt 2026 die grundlegendste. Sie beantwortet eine einzige Frage: Wer hat Zugriff auf was - und sollte das so sein?
IGA verwaltet den gesamten Identity Lifecycle - Onboarding, Rollenwechsel, Offboarding - und steuert Berechtigungen über Access-Reviews, Segregation-of-Duties-Richtlinien (SoD) und Zertifizierungskampagnen. Es ist das System of Record für Zugriffe. Es zeigt Ihnen, dass ein Auftragnehmer, der vor sechs Monaten das Unternehmen verlassen hat, noch immer Schreibzugriff auf Ihre Produktionsdatenbank hat.
Ohne IGA haben Sie keinen governed Zugangsstatus, den Sie schützen oder überwachen könnten. Sie haben Nebel.
ISPM - Identity Security Posture Management: Die Präventionsschicht
ISPM ist eine kontinuierliche, präventive Disziplin. Sie beantwortet: Welche Identitätsrisiken bestehen gerade jetzt - bevor ein Angreifer sie ausnutzt?
ISPM konzentriert sich auf die kontinuierliche Bewertung von Identitäten, das Verstehen ihrer Risiken und die Sicherstellung, dass Zugriffe jederzeit angemessen bleiben. In der Praxis bedeutet das: falsch konfigurierte Konten, übermäßige Dauerberechtigungen, toxische Berechtigungskombinationen und Konfigurationsdrift aufdecken - bevor sie zu Schlagzeilen über Datenpannen werden. ISPM ersetzt periodische Audits durch kontinuierliche Bewertung.
Stellen Sie sich ISPM als die Hygieneschicht vor. Sie wirkt vor einem Angriff und verkleinert die Angriffsfläche, sodass Angreifer weniger vorfinden, das sie ausnutzen können.
ITDR - Identity Threat Detection & Response: Die Laufzeitschicht
ITDR arbeitet zur Laufzeit. Es beantwortet: Wird eine Identität gerade missbraucht?
ITDR umfasst Sicherheitspraktiken und -technologien, die darauf ausgerichtet sind, Bedrohungen gegen digitale Identitäten zu erkennen, zu untersuchen und darauf zu reagieren - einschließlich kompromittierter Zugangsdaten, Privilege Escalation und unbefugtem Zugriff. Wenn Zugangsdaten gestohlen und um 2 Uhr nachts von einem ungewöhnlichen Standort aus verwendet werden, ist ITDR das, was den Alarm auslöst. Es überwacht Verhaltensmuster, erkennt Anomalien und löst automatisierte Reaktionen aus - Konten sperren, MFA erzwingen oder Sessions isolieren.
Laut dem Gartner-Framework muss echtes ITDR Laufzeit-Erkennungs- und Reaktionsfähigkeiten liefern - nicht nur Posture-Bewertung und Zugriffskontrollen. Diese Unterscheidung ist wichtig: Viele als ITDR vermarktete Tools sind im Grunde Posture-Tools mit einem Detection-Badge.
Die Angriffszeitlinie: Vorher, währenddessen, danach
Der klarste Weg, das Verhältnis dieser drei Kategorien zu verstehen, ist ihre Einordnung in die Angriffszeitlinie.
| Dimension | IGA | ISPM | ITDR |
|---|---|---|---|
| Core question | Who has access to what, and should they? | What identity risks exist before an attack? | Is an identity being abused right now? |
| Attack timeline position | Foundation (always-on) | Before — preventive | During / After — reactive |
| Primary function | Lifecycle management, access reviews, SoD, entitlement governance | Continuous posture assessment, misconfiguration detection, privilege hygiene | Behavioral anomaly detection, credential misuse alerting, automated response |
| Example capabilities | Provisioning/deprovisioning, access certifications, role management, orphaned account cleanup | Standing privilege discovery, configuration drift monitoring, toxic combination detection, NHI inventory | Impossible travel detection, lateral movement alerts, session isolation, MFA enforcement triggers |
| Example vendors (2026) | Iden, SailPoint, Saviynt, One Identity | Silverfort, Authomize, Veza (now ServiceNow) | CrowdStrike Falcon Identity, Microsoft Defender for Identity, Vectra AI |
| Primary owner | IT / IAM team | IAM + Security Architecture | SOC / Security Operations |
| Data dependency | HRIS, directories, app connectors | IGA data + cloud config + directory telemetry | IGA data + SIEM + behavioral baselines |
Warum IGA das Fundament ist - und nicht nur eine weitere Schicht
Hier ist das Argument, das im Vendor-Marketing untergeht: ISPM und ITDR sind nur so gut wie die Governance-Daten, auf denen sie aufbauen.
ISPM muss wissen, wie "normaler" Zugriff aussieht, um Überprivilegierungen zu erkennen. Diese Baseline kommt aus der IGA. ITDR muss wissen, ob das Konto, das einen Alarm auslöst, ein legitimer Service-Account ist oder ein verwaistes Konto, das vor acht Monaten hätte deprovisioniert werden sollen. Dieser Kontext kommt aus der IGA.
Man kann nicht erkennen oder beheben, was nie governed wurde. Ein ITDR-Tool, das Alarme gegen eine ungovernte Identitätslandschaft auslöst, ist wie ein Rauchmelder in einem Gebäude ohne Notausgänge - der Alarm geht los, aber Sie wissen nicht, zu welcher Tür Sie laufen sollen.
Deshalb ist das Gartner-Framing der "Identity Resilience" so wichtig: Resilienz setzt ein governed Fundament voraus. Detection- und Posture-Tools verstärken Governance - sie ersetzen sie nicht.
The sequencing trap: Many teams buy ITDR first because it's the most visible category — it shows up in SOC conversations and breach post-mortems. But ITDR without IGA produces noisy, context-free alerts. You'll spend more time triaging false positives than stopping real threats. Governance first, detection second.
Marktkonsolidierung 2026: Was das für Käufer bedeutet
Die M&A-Aktivitäten der letzten 12 Monate sind eine direkte Wette auf Konvergenz. Im Juli 2025 kündigte Palo Alto Networks eine Vereinbarung zur Übernahme von CyberArk für 25 Milliarden US-Dollar an - laut Forrester die drittgrößte Cybersecurity-Fusion in der Geschichte. Kurz darauf gab ServiceNow Pläne bekannt, Veza für rund 1 Milliarde US-Dollar zu übernehmen - der erste ernsthafte Einstieg des Unternehmens in den IAM- und IGA-Markt.
Beide Deals teilen dieselbe These: Identity, Posture und Detection konvergieren zu einheitlichen Plattformen. In beiden Fällen erklärten die übernehmenden Unternehmen, die Deals würden ihnen helfen, agentische KI abzusichern und zu ermöglichen.
Das ist eine vernünftige langfristige Richtung. Aber wie ein Analyst anmerkte: Vendor-Konsolidierung mag die Policy-Abstimmung vereinfachen und die Transparenz verbessern, doch viele Organisationen kämpfen weiterhin mit fragmentierter Durchsetzung, inkonsistenten Governance-Modellen und Silos zwischen Identity-, Cloud- und Security-Teams.
Die praktische Konsequenz: Plattform-Konsolidierungsnarrative sind überzeugend, aber sie beseitigen nicht die Notwendigkeit, Investitionen in der richtigen Reihenfolge zu tätigen. Eine einheitliche Plattform, die auf schwacher Governance aufbaut, ist immer noch schwache Governance - nur mit einem besseren Dashboard.
Für Mid-Market-Teams im Besonderen birgt die Konsolidierungswelle ein Risiko: Man wird eine "vollständige Identity-Plattform" verkauft, die in Wirklichkeit ISPM und ITDR auf eine dünne Governance-Schicht aufgesetzt hat. Prüfen Sie die Governance-Tiefe, bevor Sie der Plattform-Geschichte glauben.
Was brauchen Sie zuerst? Ein praxistauglicher Leitfaden
Die ehrliche Antwort hängt davon ab, wo Sie auf Ihrer Identity-Maturity-Reise stehen. Nutzen Sie diesen Entscheidungsbaum zur Orientierung.
Die Kurzfassung:
- Beginnen Sie mit IGA, wenn Sie die Frage "Wer hat Zugriff auf was?" nicht mit Sicherheit beantworten können, wenn Offboarding noch manuell abläuft oder wenn Sie ungovernte SaaS-Apps in Ihrem Stack haben. Das trifft 2026 auf die Mehrheit der Mid-Market-Unternehmen zu.
- Ergänzen Sie ISPM, sobald Sie eine governed Access-Baseline haben. ISPM macht diese Baseline kontinuierlich und risikobewertet - statt punktuell.
- Fügen Sie ITDR hinzu, wenn Sie genug Governance-Kontext haben, um Verhaltensalarme handlungsfähig zu machen. Ohne diesen Kontext ist ITDR teures Rauschen.
Die gute Nachricht: Diese Kategorien schließen sich nicht gegenseitig aus, und Sie müssen sie nicht über Jahre hinweg sequenziell aufbauen. Moderne IGA-Plattformen - insbesondere solche, die für schlanke Teams entwickelt wurden - können Governance-Abdeckung schnell genug liefern, dass ISPM und ITDR innerhalb von Monaten zu sinnvollen Ergänzungen werden, nicht erst nach Jahren.
German (de-DE)
KI-Agenten governenDie Besonderheit nicht-menschlicher Identitäten
Eine weitere Variable, die diese gesamte Karte neu gestaltet: nicht-menschliche Identitäten (NHIs). Service-Accounts, API-Keys, OAuth-Berechtigungen, SSH-Keys, RPA-Bots, Cloud-Workload-Zugangsdaten und KI-Agenten stellen heute die am schnellsten wachsende und am wenigsten governed Angriffsfläche im modernen Unternehmen dar. Und Machine-Identities übersteigen menschliche Identitäten im Verhältnis 45:1 - ein massives operatives Risiko, da sie über höhere Berechtigungen, weniger Governance und geringere Sichtbarkeit verfügen als menschliche Konten.
NHIs sprengen das traditionelle IGA-Modell, weil die meisten Legacy-Governance-Tools für menschliche Nutzer gebaut wurden. Sie sprengen auch ITDR, weil Verhaltens-Baselines für Service-Accounts schwerer zu etablieren sind als für Menschen. Und sie machen ISPM komplexer, weil NHI-Konfigurationen schneller driften und schwerer zu inventarisieren sind.
Deshalb muss Governance-Abdeckung - einschließlich NHIs - an erster Stelle stehen. Man kann kein anomales Verhalten von einem Service-Account erkennen, von dem man nicht wusste, dass er existiert. Einen tieferen Einblick in die NHI-Herausforderung bietet unser Beitrag zu The NHI Explosion: Why Non-Human Identities Are the Identity Blind Spot of 2026.
Das Fazit
ITDR, ISPM und IGA ergänzen sich - aber sie sind nicht austauschbar, und sie sind nicht für jede Organisation gleich dringend.
IGA ist das Fundament. Es ist das System, das Ihnen sagt, welche Zugriffe existieren, ob sie angemessen sind und was bereinigt werden sollte. Ohne IGA hat ISPM keine Baseline, gegen die es bewerten kann, und ITDR hat keinen Kontext, um Alarme handlungsfähig zu machen.
ISPM ist die Präventionsschicht. Sie nimmt Ihren governed Zugangsstatus und macht ihn kontinuierlich, risikobewertet und hygienisch - und verkleinert die Angriffsfläche, bevor Angreifer sie finden.
ITDR ist die Laufzeitschicht. Sie überwacht die aktive Ausnutzung von Identitäten und reagiert in Echtzeit - aber nur dann effektiv, wenn darunter Governance-Kontext vorhanden ist.
Die Konsolidierungswelle 2026 treibt diese Kategorien auf Plattformebene zusammen. Das ist die richtige Richtung. Aber die Sequenzierungslogik ändert sich nicht: Governance zuerst, Posture zweite, Detection dritte.
Wenn Ihr Governance-Fundament unvollständig ist - ungovernte Apps, manuelles Offboarding, verwaiste Konten, NHIs, die unter dem Radar fliegen - dann fangen Sie dort an. Alles andere baut darauf auf.