IAM: On-Premises oder SaaS? Betriebsmodelle im Vergleich

Ein Vergleich für IT-Entscheider

Letzte Woche saß ich mit dem IT-Leiter einer mittelgroßen Stadtverwaltung zusammen. 4.500 Beschäftigte, 120 Fachverfahren, ein fünfköpfiges IT-Team. Er sagte einen Satz, den wir in Projekten immer wieder hören: „Wir wissen, dass wir ein IAM brauchen. Wir wissen nur nicht, ob wir uns das leisten können.“ Gemeint war nicht das Geld. Gemeint waren die Menschen, die ein solches System am Laufen halten.

Dieser Artikel ist der Auftakt einer mehrteiligen Serie für alle, die vor genau dieser Entscheidung stehen.

1. Zwei Welten: On-Premises vs. SaaS im direkten Vergleich

Stellen Sie sich vor, Sie bauen ein Haus. Bei On-Premises kaufen Sie das Grundstück, planen den Bau, beauftragen Handwerker und kümmern sich danach selbst um jede Reparatur. Vom tropfenden Wasserhahn bis zum neuen Dach. Bei SaaS ziehen Sie in ein professionell verwaltetes Gebäude: Sie nutzen alles sofort, die Hausverwaltung kümmert sich um Instandhaltung und Modernisierung und Sie konzentrieren sich auf Ihr Kerngeschäft. Ja, Sie bauen kein Eigentum auf, aber Sie binden auch kein Kapital und kein ganzes Team in der Haustechnik.

On-Premises: Volle Kontrolle, voller Aufwand

Wer IAM auf eigener Infrastruktur betreibt, behält die maximale Kontrolle über Daten, Konfiguration und Architektur. Für bestimmte Szenarien ist das der richtige Weg: in beispielsweise besonders regulierten Branchen wie der Finanzwirtschaft, die komplett vom Internet isoliert laufen müssen.

Die Kehrseite wird in Entscheidungsvorlagen gern unterschlagen. Hardware, Lizenzen, Netzwerk und Rechenzentrumskapazitäten müssen beschafft und finanziert werden, bevor auch nur die erste Identität angelegt wird. Jedes Release-Update, jeder Security-Patch liegt in der eigenen Verantwortung. Und dann die Konnektoren: Schnittstellen zu HR-Systemen, Verzeichnisdiensten, Cloud-Plattformen und Fachverfahren müssen selbst entwickelt, getestet und gepflegt werden. Die Komplexität wächst mit jeder Integration und mit ihr das Risiko, dass etwas übersehen wird.

SaaS: Schneller starten, dauerhaft entlasten

Ein IAM als Software as a Service verlagert den operativen Aufwand zum Anbieter. Die Organisation nutzt eine professionell betriebene Plattform und konzentriert sich auf das Fachliche: Welche Rollen brauchen wir? Welche Genehmigungsprozesse gelten? Welche Systeme müssen angebunden werden?

Die Rechnung ist zunächst einfach: kein Vorabinvestment in Infrastruktur, kalkulierbare monatliche Kosten, automatische Updates durch den Anbieter, Skalierung ohne Hardware-Beschaffung. Monitoring, Backup und Disaster Recovery sind Bestandteil des Service. Ein professionelles Sicherheitsmanagement nach ISO/IEC 27001 gehört zur Betriebsleistung.

Das klingt nach einer klaren Sache, ist es aber nicht ganz. Die Abhängigkeit von einem Anbieter erfordert Vertrauen und vertragliche Absicherung. Laufende Abo-Kosten summieren sich über die Jahre. Nicht jeder SaaS-Anbieter erlaubt tiefe, kundenindividuelle Anpassungen. Eine stabile Internetverbindung ist Voraussetzung und die Frage des Datenstandorts muss gerade für regulierte Branchen geklärt sein.

Für IAM im Speziellen gilt: Ein guter SaaS-Anbieter übernimmt nicht nur den Betrieb der Plattform, sondern auch die Pflege der Konnektoren, die Durchführung von Release-Wechseln und die Anpassung an neue Schnittstellen-Versionen der Zielsysteme. Wir erleben in Projekten immer wieder, dass genau diese Aufgaben im Eigenbetrieb die meisten Personalressourcen binden. Nicht die große Architekturentscheidung, sondern die permanente Pflege im Alltag.

2. Was On-Premises-Betrieb wirklich erfordert

Theoretisch kann jede Organisation ein IAM-System selbst betreiben. Praktisch scheitert das erstaunlich oft – nicht am Willen, sondern an den Voraussetzungen. Der Eigenbetrieb verlangt eine Reihe von Erfolgsfaktoren, die in vielen Organisationen schlicht nicht gegeben sind.

Das Personalproblem: Spezialisten, die es kaum gibt

IAM ist kein Nebenjob. Der Betrieb erfordert Fachleute, die sich mit Identitätsmodellierung, Konnektorentwicklung, Rollenmanagement, Workflow-Design, Privileged Access Management und Compliance-Anforderungen auskennen. Das sind keine generischen IT-Administratoren. Das sind Spezialisten mit einem seltenen Kompetenzprofil an der Schnittstelle von IT-Sicherheit, Verzeichnisdiensten, HR-Prozessen und Anwendungsintegration.

Der Arbeitsmarkt gibt das nicht her. Der deutsche IT-Arbeitsmarkt weist laut Bitkom-Studie 2025 rund 109.000 unbesetzte IT-Stellen auf. Das ist zwar ein konjunkturbedingter Rückgang gegenüber den 149.000 von 2023, aber 79 Prozent der Unternehmen erwarten, dass sich der Mangel weiter verschärft. Im Bereich Cybersecurity berichten laut einer PwC-Strategy&-Studie (2025) neun von zehn Organisationen von massiven Rekrutierungsproblemen und im öffentlichen Dienst fehlen nach dem dbb-Monitor 2026 rund 600.000 Beschäftigte für eine effiziente Aufgabenerledigung.

Selbst wenn geeignete Kandidaten verfügbar wären, konkurrieren Organisationen im öffentlichen Sektor, im Gesundheitswesen und an Hochschulen mit starren Gehaltsbändern (TVöD, TV-L, AVR) gegen die freie Wirtschaft. Ein erfahrener IAM-Spezialist verdient dort deutlich jenseits der E12-Obergrenze. Die Folge kennen Sie: Positionen bleiben Monate oder Jahre unbesetzt, vorhandenes Personal wird überlastet, das IAM-Projekt kommt nicht voran.

Was SaaS hier verändert

Der Anbieter stellt das IAM-Fachwissen bereit. Die interne IT definiert die Fachprozesse, betreibt aber nicht die technische Plattform. Statt drei bis fünf dedizierter IAM-Spezialisten reichen ein bis zwei fachliche Ansprechpartner und die Vergütungsfrage verlagert sich zum Dienstleister, der auf dem freien Markt rekrutieren und Spezialisten über mehrere Kunden einsetzen kann.

Wenn fünf Leute alles stemmen müssen

In vielen mittelgroßen Krankenhäusern, Stadtverwaltungen oder Hochschulen besteht die gesamte IT-Abteilung aus einer Handvoll Mitarbeitender. Diese Teams kämpfen bereits damit, den täglichen Betrieb von Netzwerk, Arbeitsplätzen, Servern und Fachanwendungen aufrechtzuerhalten. Wenn die IT-Abteilung schon für den Drucker-Support keine Kapazität hat, wer soll dann ein IAM-System mit dutzenden Konnektoren betreiben?

Bei SaaS liegt der operative IAM-Betrieb beim Anbieter: Monitoring, Patching, Backup, Konnektorpflege, Release-Updates. Das interne Team wird entlastet und kann sich auf die fachliche Steuerung konzentrieren, was nur intern geleistet werden kann.

Der Identitätslebenszyklus: Wo die meisten Fehler passieren

Ein oft unterschätzter Aspekt: Wenn eine Person die Organisation verlässt oder die Rolle wechselt, müssen ihre Zugriffsrechte in dutzenden Systemen zeitnah und korrekt angepasst oder entzogen werden. Vom E-Mail-Postfach über VPN-Zugänge bis zu branchenspezifischen Fachverfahren. Im Eigenbetrieb erfordert, das manuelle Koordination zwischen HR, IT-Betrieb und Fachabteilungen. Fehler führen zu sogenannten Orphan Accounts: verwaisten Konten, die weiterhin Zugriff gewähren und ein dauerhaftes Sicherheitsrisiko darstellen.

Hinzu kommt die Herausforderung der Identitätskorrelation. Wenn dieselbe Person in mehreren Systemen existiert (HR-System, Active Directory, Cloud-Verzeichnis, SAP), muss die Plattform zuverlässig erkennen, dass es sich um ein und dieselbe Person handelt. Sonst entstehen Duplikate oder widersprüchliche Berechtigungen.

Wissen Sie, wie viele verwaiste Konten in Ihren System existieren?

Eine professionelle SaaS-Plattform automatisiert den gesamten Identitätslebenszyklus durchgängig. Erprobte Korrelationsregeln verhindern Duplikate, automatisierte Deaktivierungsprozesse schließen die Lücke zwischen HR-Meldung und tatsächlichem Rechteentzug. Im Eigenbetrieb geschieht das häufig per Tabellenkalkulation und E-Mail was, Fehleranfällig, zeitraubend und kaum revisionssicher ist.

Was passiert, wenn der IAM-Eperte kündigt?

Wir kennen eine Organisation, in der ein einziger Mitarbeiter das gesamte IAM-System über sieben Jahre aufgebaut und betrieben hat. Als er kündigte, dauerte es vier Monate, bis das Team auch nur die Dokumentation verstanden hatte. Neun Monate, bis ein Nachfolger gefunden war. In der Zwischenzeit wurden keine neuen Konnektoren angebunden, keine Schnittstellen aktualisiert, keine Security-Patches eingespielt.

Das ist kein Einzelfall. Ein IAM-System ist kein Einmalprojekt. Es lebt, wächst und verändert sich über Jahre. Wer das selbst betreibt, braucht Nachfolgeplanung, Dokumentation und Wissenstransfer. Bei einem SaaS-Anbieter ist die Betriebskontinuität institutionell verankert: mit Teams statt Einzelpersonen, definierten Prozessen und vertraglich zugesicherten Service Levels.

Compliance: Die regulatorische Landschaft wird nicht einfacher

NIS2, BSI IT-Grundschutz, DSGVO, branchenspezifische Vorgaben wie das Patientendatenschutzgesetz oder die OZG-2.0-Anforderungen an digitale Verwaltungsleistungen einschließlich offener Standards. Ein IAM im Eigenbetrieb muss all diese Anforderungen selbst abbilden, dokumentieren und in Audits nachweisen.

Besonders aufwändig sind regelmäßige Zugriffszertifizierungen: Mindestens jährlich müssen Führungskräfte sämtliche Zugriffsrechte ihrer Mitarbeitenden überprüfen und bestätigen. Ebenso muss die Funktionstrennung (Segregation of Duties) automatisiert überwacht werden, damit niemand gleichzeitig Rollen mit Interessenskonflikten erhält: etwa Rechnungsprüfung und Zahlungsfreigabe in einer Hand.

Was SaaS hier verändert

Ein professioneller SaaS-Anbieter hält die notwendigen Zertifizierungen (ISO 27001, ISO 27017, ISO 27018) und integriert Compliance-Anforderungen in seine Standardprozesse. Zertifizierungskampagnen werden automatisiert orchestriert, SoD-Konflikte in Echtzeit erkannt, und lückenlose Audit-Trails liefern die Nachweise in der Form, die Prüfer erwarten.

3. Schneller zum Ergebnis: Der MVP-Ansatz

Viele IAM-Projekte scheitern nicht an der Technik, sondern an der Projektlaufzeit. Ein klassisches IAM-Großprojekt beginnt mit einer monatelangen Anforderungsanalyse, gefolgt von Softwareauswahl, Infrastrukturaufbau, Implementierung, Tests und Go-Live. Zwischen der ersten Idee und dem produktiven Betrieb vergehen 18 bis 24 Monate, manchmal deutlich mehr. In dieser Zeit wachsen Budgets, schwindet die Geduld der Stakeholder und verschieben sich die Anforderungen.

Der Schlüssel liegt im Gegenteil dieses Ansatzes: ein Minimum Viable Product (MVP), das die wichtigsten IAM-Funktionen schnell produktiv bringt und danach schrittweise erweitert wird.

Wie sieht das konkret aus? Eine vorkonfigurierte SaaS-Plattform bringt ein branchenerprobtes Grundgerüst mit: Personentypen für typische Rollen (Mitarbeitende, Externe, Auszubildende, Studierende), vordefinierte Joiner-Mover-Leaver-Prozesse, ein erprobtes Rollenmodell auf Basis systematischen Role Minings, Standardkonnektoren für Active Directory, LDAP, Microsoft Entra ID, SAP HCM oder HR-Systeme, Self-Service-Funktionen für Passwort-Reset und Berechtigungsanfragen sowie Compliance-Grundfunktionen wie Audit-Protokollierung, Zugriffszertifizierung und Segregation of Duties.

Diese Vorkonfiguration deckt erfahrungsgemäß den Großteil der Anforderungen ab. Statt bei null anzufangen, startet die Implementierung auf einem Fundament, das in realen Projekten gereift ist. Die kundenspezifische Anpassung beschränkt sich auf das, was wirklich individuell ist: die konkrete Organisationsstruktur, die spezifischen Fachverfahren und die hausinternen Genehmigungsregeln.

Proof of Concept (PoC) statt Großprojekt

Der Einstieg gelingt am risikoärmsten über einen strukturierten Proof of Concept. In wenigen Wochen entsteht eine reale, produktionsidentische Umgebung, statt einer Demo mit Vertriebsshow. Ein HR-System wird als Quelle angebunden, ein Verzeichnisdienst als Ziel konfiguriert, und die automatisierte Provisionierung läuft. Die Organisation kann selbst prüfen, ob die Lösung hält, was sie verspricht, bevor ein langfristiger Vertrag entsteht.

Dieser Ansatz reduziert drei zentrale Risiken gleichzeitig: das finanzielle Risiko durch überschaubare Einstiegskosten, das technische Risiko durch Validierung in der eigenen Systemlandschaft und das organisatorische Risiko durch schnelle, sichtbare Ergebnisse, die Stakeholder überzeugen.

4. Warum gerade jetzt und gerade für diese Branchen?

Drei Sektoren stehen besonders unter Druck, ihr Identitätsmanagement zu professionalisieren.

Gesundheitsorganisationen sind durch NIS2 und KRITIS-Anforderungen regulatorisch verpflichtet, ihre IT-Sicherheit nachweislich auf ein professionelles Niveau zu heben. Zentrales IAM ist dabei keine optionale Ergänzung, sondern Pflichtprogramm.

Hochschulen managen eine einzigartige Komplexität: tausende Studierende, wechselnde Lehrbeauftragte, eine heterogene IT-Landschaft aus Campus-Management, Verzeichnisdiensten und föderierter Authentifizierung (Shibboleth, DFN-AAI). Dazu kommt die Anforderung, dass Dozierende und Forschende mit ihren Heimat-Identitäten auf Ressourcen anderer Einrichtungen zugreifen können.

Kommunalverwaltungen müssen im Zuge des OZG 2.0 digitale Bürgerservices bereitstellen und dafür ein sicheres, rechtskonformes Identitätsmanagement für tausende Beschäftigte, Externe und politische Mandatsträger aufbauen.

Allen drei Sektoren ist gemeinsam: Die IT-Teams sind klein, die Gehaltsbänder durch Tarifverträge begrenzt und die Arbeitsbelastung hoch. Wenn Sie jetzt denken, das betrifft uns nicht: Prüfen Sie, wie viele Ihrer IT-Mitarbeitenden in den nächsten fünf Jahren in den Ruhestand gehen. In genau dieser Konstellation entfaltet ein IAM als Managed Service seinen größten Nutzen.

Die Frage ist nicht mehr, ob eine Organisation ein professionelles IAM braucht, denn regulatorischen Anforderungen und die Bedrohungslage lassen daran keinen Zweifel. Die Frage ist, wie der Weg dorthin aussieht und ob man ihn allein gehen muss.

Dieser Beitrag ist der erste von vier Teilen. Die nächsten führen die Frage weiter – unter anderem mit einem Kreuzfahrtschiff und einer Mondmission. Denn wie die Zusammenarbeit im laufenden Betrieb funktioniert und warum IAM-Projekte eine andere Planung brauchen als klassische IT-Vorhaben, verdient jeweils einen eigenen Blick.

Sie möchten herausfinden, wie ein IAM-Start in Ihrer Organisation konkret aussehen könnte? Vereinbaren Sie einen kostenlosen Beratungstermin über das Kontaktformular – 30 Minuten, ohne Folienschlacht, dafür mit konkreter Einschätzung zu Ihrer Situation.