IdP

Ein Identity Provider (IdP) ist das System, das Personen anmeldet und ihre Identität gegenüber Anwendungen bestätigt. Bekannte Beispiele sind Microsoft Entra ID, Okta und Google Workspace.

So funktioniert es

Eine Person meldet sich einmal beim IdP an, mit Passwort und zweitem Faktor. Der IdP stellt danach ein Token aus, das die Anwendungen akzeptieren. Dafür werden Standards wie SAML oder OpenID Connect verwendet. Der IdP entscheidet dabei auch anhand von Regeln, etwa zu Gerät, Standort und Risiko, ob eine Anmeldung erlaubt ist.

Ein Beispiel aus der Praxis: Ein Angreifer stiehlt über eine Phishing-Seite ein Sitzungstoken. Damit meldet er sich ohne Passwort bei Microsoft 365 an. Die Logs des IdP zeigen eine Anmeldung aus einem neuen Land mit einem bekannten Token. Das SOC widerruft alle Sitzungen des Kontos und erzwingt eine neue Anmeldung.

Worauf Sie achten sollten

• Der IdP ist ein zentrales Ziel. Wer ihn kontrolliert, kommt in viele Anwendungen.
• Schützen Sie Admin-Konten im IdP besonders, mit eigenen Konten und phishingresistenter MFA.
• Binden Sie die Logs des IdP ins SOC ein, inklusive Änderungen an Regeln und Rollen.
• Prüfen Sie, welche Anwendungen noch eigene Passwörter verwenden und am IdP vorbeilaufen.

Typische Fehler

Häufig bleiben Notfallkonten ohne Überwachung oder mit schwachen Passwörtern. Ein zweiter Fehler sind zu breite Ausnahmen in den Anmelderegeln, etwa für ganze Länder oder Netzbereiche. Solche Ausnahmen sollten dokumentiert, befristet und regelmässig überprüft werden.

Bezug zu Zero Trust

In einem Zero-Trust-Modell ist der IdP die zentrale Stelle für Zugriffsentscheide. Er prüft bei jeder Anmeldung Identität, Gerät und Kontext. Deshalb hängt die Wirksamkeit von Zero Trust stark von der Konfiguration des IdP ab.

So setzen wir es um

Wir binden Ihren IdP als Log Source ins SOC ein und überwachen Anmeldungen, Rollen und Konfigurationsänderungen. Bei einer Kontoübernahme widerrufen wir Sitzungen innerhalb des vereinbarten Mandats.