IAM-Projekt planen: Kosten, Dauer & Fehler

Identity- und Access-Management-Projekte haben einen schlechten Ruf – und oft zu Recht. Sie gelten als langwierig, teuer und schwer kalkulierbar. Tatsächlich scheitern viele IAM-Vorhaben nicht an der Technik, sondern an der Planung: zu großer Scope, unrealistische Erwartungen an Dauer und Aufwand, fehlendes Change Management. Wer ein IAM-Projekt planen will, muss diese Stolperfallen kennen, bevor er die erste Software auswählt.

Dieser Leitfaden zeigt Ihnen, wie Sie ein IAM-Projekt im Mittelstand realistisch aufsetzen: welche Phasen es durchläuft, wie Sie den Scope richtig schneiden, welche Faktoren Dauer und Kosten wirklich treiben, worauf es bei der Tool-Auswahl ankommt – und welche Fehler Sie sich sparen können. Bewusst ohne erfundene Präzisionszahlen, dafür mit ehrlichen Größenordnungen aus der Praxis.

Warum IAM-Projekte anders ticken

Anders als ein klassisches IT-Projekt mit klarem Anfang und Ende ist IAM in weiten Teilen die Einführung von Prozessen, nicht von Software. Die Technik ist meist der kleinere Teil; der größere ist die Frage, wie Identitäten in Ihrem Unternehmen entstehen, sich verändern und wieder verschwinden – und wer das verantwortet.

Das hat zwei Konsequenzen für die Planung. Erstens: IAM berührt fast jede Abteilung, von HR über die Fachbereiche bis zur IT. Zweitens: IAM ist nie wirklich „fertig". Was Sie planen, ist die Einführung eines dauerhaften Betriebs, kein einmaliges Bauvorhaben. Wer das verinnerlicht, plant von vornherein anders – nämlich in Etappen statt im großen Wurf.

Merksatz
Ein IAM-Projekt ist zu 30 Prozent Technik und zu 70 Prozent Organisation. Wer es als reines IT-Projekt plant und budgetiert, unterschätzt es systematisch.

Die Phasen eines IAM-Projekts

Ein gut strukturiertes IAM-Projekt durchläuft typischerweise fünf Phasen. Sie überlappen sich in der Praxis, aber jede hat einen klaren Zweck.

1. Analyse und Ist-Aufnahme

Am Anfang steht die Bestandsaufnahme: Welche Identitäten gibt es (Mitarbeiter, externe Dienstleister, technische Accounts)? Welche Zielsysteme sind relevant? Wie werden Berechtigungen heute vergeben, geändert und entzogen? Diese Phase deckt fast immer Unangenehmes auf – verwaiste Accounts, fehlende Austrittsprozesse, niemand, der sich zuständig fühlt. Genau diese Funde begründen das Projekt.

2. Konzeption und Zielbild

Hier definieren Sie, wo Sie hinwollen: ein Rollenmodell, saubere Joiner-Mover-Leaver-Prozesse, Rezertifizierung, ein Self-Service-Zugang für Anträge. Wichtig ist, das Zielbild zu priorisieren – nicht alles auf einmal, sondern in einer sinnvollen Reihenfolge.

3. Tool-Auswahl und Design

Erst wenn Anforderungen und Prozesse stehen, wählen Sie das Werkzeug aus und designen die technische Umsetzung. Diese Reihenfolge ist entscheidend: Wer mit der Tool-Auswahl beginnt, lässt sich seine Prozesse vom Produkt diktieren.

4. Umsetzung in Iterationen

Statt einer großen Einführung arbeiten Sie in überschaubaren Iterationen: erst ein Pilotbereich, ein erstes Leitsystem, eine Kerngruppe von Rollen. Jede Iteration liefert nutzbaren Mehrwert und Lerneffekte für die nächste.

5. Betrieb und kontinuierliche Verbesserung

Mit dem Go-live beginnt der Dauerbetrieb: Rezertifizierungen, Rollenpflege, Anbindung weiterer Systeme. Diese Phase muss von Anfang an mitgeplant und budgetiert sein – sie ist kein Anhängsel, sondern der eigentliche Sinn des Projekts.

Den Scope richtig schneiden

Die wichtigste Planungsentscheidung ist der Scope – und der häufigste Fehler ist, ihn zu groß zu wählen. „Wir führen IAM für das gesamte Unternehmen mit allen Systemen und allen Identitätstypen gleichzeitig ein" ist das Rezept für ein Projekt, das nach 18 Monaten ohne sichtbares Ergebnis in Frage gestellt wird.

Schneiden Sie den Scope stattdessen entlang mehrerer Dimensionen:

• Identitätstypen: Beginnen Sie mit den internen Mitarbeitern, bevor Sie externe Dienstleister, technische Accounts und Partner-Identitäten angehen.
• Zielsysteme: Starten Sie mit den zwei, drei Systemen, die den größten Nutzen oder das größte Risiko bergen (oft das HR-System als Quelle und Active Directory bzw. Entra ID als zentrales Zielsystem).
• Funktionen: Klären Sie, ob zuerst die Joiner-Mover-Leaver-Automatisierung steht oder die Rezertifizierung, der Self-Service oder das Rollenmodell.

Praxis-Tipp
Definieren Sie für die erste Ausbaustufe ein klares, erreichbares Ziel mit sichtbarem Nutzen – etwa „automatisierter Entzug aller Berechtigungen am Austrittstag für alle internen Mitarbeiter". Ein solcher früher Erfolg sichert Akzeptanz und Budget für die nächsten Stufen. Ein Projekt, das ein Jahr lang nur konzipiert, verliert den Rückhalt.

Dauer und Kosten: ehrliche Treiber statt Scheinpräzision

Seriöse Aussagen zu Dauer und Kosten eines IAM-Projekts pauschal zu treffen, ist unmöglich – die Spanne ist riesig, weil sie vollständig vom Scope abhängt. Was sich aber benennen lässt, sind die Treiber, die Ihr individuelles Projekt teuer oder günstig, kurz oder lang machen.

Dauer-Treiber:

• Datenqualität: Sind HR-Daten, Stammdaten und bestehende Berechtigungen sauber? Schlechte Datenqualität ist der größte versteckte Zeitfresser.
• Zahl und Komplexität der Zielsysteme: Moderne, gut anbindbare Cloud-Systeme gehen schnell. Legacy-Anwendungen ohne Schnittstellen kosten unverhältnismäßig viel Zeit.
• Reife der Prozesse: Wenn es noch keinen definierten Austrittsprozess gibt, müssen Sie ihn erst schaffen – das ist Organisationsarbeit, keine Konfiguration.
• Verfügbarkeit der Fachbereiche: IAM braucht die Mitwirkung von HR und Fachverantwortlichen. Sind die nicht eingeplant, stockt das Projekt.

Kosten-Treiber:

• Lizenzen: abhängig von Tool, Zahl der Identitäten und Funktionsumfang. Bei Microsoft-Umgebungen sind IAM-Funktionen teilweise bereits in vorhandenen Lizenzen enthalten – das ist oft günstiger als angenommen.
• Implementierungsaufwand: meist der größte Posten, getrieben von der Zahl der Systemanbindungen und der Komplexität der Prozesse.
• Interner Aufwand: die oft unterschätzte Arbeitszeit eigener Mitarbeiter in Konzeption, Tests und Datenbereinigung.
• Betriebskosten: laufende Pflege, Rezertifizierung, Erweiterungen – dauerhaft, nicht einmalig.

Wichtig
Hüten Sie sich vor Festpreisangeboten, die ohne Ist-Analyse genaue Summen nennen. Bei IAM hängt der Aufwand so stark von Ihrer konkreten Ausgangslage ab, dass jede Zahl vor der Analyse geraten ist. Seriöse Planung beginnt mit einer Aufwandsschätzung pro Ausbaustufe, nicht mit einer Gesamtsumme.

Die Auswahl des IAM-Tooling

Die Tool-Auswahl wird gerne überbewertet – sie ist wichtig, aber nicht der entscheidende Erfolgsfaktor. Wichtiger ist, dass Sie zuerst Ihre Anforderungen kennen. Erst dann bewerten Sie Werkzeuge sinnvoll. Achten Sie bei der Auswahl auf:

• Passung zur bestehenden Landschaft: Wer ohnehin stark auf Microsoft 365 setzt, sollte prüfen, was Entra ID und die dazugehörigen Governance-Funktionen bereits abdecken, bevor er eine zusätzliche Plattform einkauft.
• Anbindbarkeit Ihrer Zielsysteme: Vorhandene Konnektoren für Ihre wichtigsten Systeme sparen erheblichen Aufwand. Für jedes System ohne Standardanbindung steigt der Implementierungsaufwand spürbar.
• Prozessabdeckung: Bildet das Tool Joiner-Mover-Leaver, Rezertifizierung, Funktionstrennung und Self-Service so ab, wie Sie es brauchen – oder zwingt es Ihnen seine Logik auf?
• Betreibbarkeit im Mittelstand: Manche Enterprise-Suiten sind für Konzerne mit eigenem IAM-Team gebaut. Im Mittelstand zählt, ob Ihr Team das Werkzeug im Alltag beherrschen kann.

Für viele mittelständische Unternehmen ist die ehrlichste Erkenntnis, dass sie weniger zusätzliches Tooling brauchen, als sie dachten – und mehr Klarheit über Prozesse und Verantwortlichkeiten.

Change Management: der unterschätzte Erfolgsfaktor

IAM verändert, wie Menschen zu ihren Berechtigungen kommen. Vorgesetzte müssen plötzlich Anträge genehmigen und Rezertifizierungen bestätigen. Fachbereiche werden zu Rolleneigentümern. HR-Prozesse bekommen IT-Relevanz. Diese Veränderungen werden scheitern, wenn Sie sie nicht aktiv begleiten.

Gutes Change Management im IAM-Projekt heißt:

• Frühe Einbindung der betroffenen Bereiche – besonders HR und Fachverantwortliche – statt nachträglicher Information.
• Klare Kommunikation des Nutzens: schnellere Bereitstellung, weniger manuelle Arbeit, höhere Sicherheit, weniger Audit-Stress.
• Schulung der neuen Rollen: Genehmiger und Rolleneigentümer müssen wissen, was von ihnen erwartet wird.
• Realistische Erwartungen: IAM macht am Anfang Arbeit sichtbar, die vorher im Verborgenen lag. Das ist kein Mehraufwand des Projekts, sondern aufgedeckte Altlast – kommunizieren Sie das offen.

Merksatz
Die beste IAM-Technik nützt nichts, wenn die Genehmiger ihre Aufgaben nicht verstehen oder die Fachbereiche ihre Rollen nicht verantworten. Investieren Sie mindestens so viel in Menschen wie in Software.

Typische Fehler beim IAM-Projekt

Die wiederkehrenden Fehler aus der Projektpraxis lassen sich klar benennen – und vermeiden:

1. Zu großer Scope: alles auf einmal zu wollen, ist die häufigste Ursache für gescheiterte Projekte.
2. Tool vor Prozess: Software auswählen, bevor die Anforderungen stehen – und sich dann die Prozesse vom Produkt diktieren lassen.
3. Datenqualität ignoriert: auf schlechter Datenbasis baut kein IAM. Bereinigung ist Teil des Projekts, nicht Voraussetzung.
4. HR außen vor: ohne saubere Identitätsquelle aus dem Personalsystem fehlt das Fundament. HR muss Projektpartner sein.
5. Betrieb nicht eingeplant: ein IAM-System ohne dauerhaft verantwortlichen Betrieb verfällt – Rezertifizierung und Rollenpflege brauchen feste Ressourcen.
6. Kein Change Management: die organisatorische Seite wird unterschätzt, die Akzeptanz bleibt aus.
7. Erfolg nicht messbar gemacht: ohne definierte Ziele und sichtbare Quick Wins verliert das Projekt seinen Rückhalt.

Wie welabs Sie beim IAM-Projekt unterstützt

Wir haben IAM-Programme im Konzernumfeld begleitet und übersetzen dieses Wissen in machbare Projekte für den Mittelstand – ohne den Overhead großer Plattform-Vorhaben. Im Rahmen unseres Identity- & Access-Management-Angebots unterstützen wir Sie bei:

• Ist-Analyse und Reifegradbestimmung: ehrliche Standortbestimmung Ihrer Identitäts- und Berechtigungslandschaft.
• Scope und Roadmap: ein in Ausbaustufen geschnittenes Projekt mit frühen, sichtbaren Erfolgen statt eines Mammut-Vorhabens.
• Tool-Auswahl: herstellerneutrale Beratung, inklusive der ehrlichen Frage, was Ihre bestehende Microsoft-Landschaft bereits abdeckt.
• Prozess- und Rollenkonzept: Joiner-Mover-Leaver, Rezertifizierung und Funktionstrennung praxisgerecht aufgesetzt.
• Change Management: Einbindung von HR und Fachbereichen, Schulung von Genehmigern und Rolleneigentümern.

Wenn Sie ein IAM-Projekt realistisch aufsetzen wollen, lassen Sie uns in einem unverbindlichen Erstgespräch über Ihre Ausgangslage und Ziele sprechen. Einen breiteren Überblick über das Thema gibt unser Leitfaden zum Berechtigungsmanagement im Mittelstand.

Fazit

Ein IAM-Projekt zu planen heißt vor allem, realistisch zu bleiben: bei Scope, bei Dauer, bei Kosten und beim Aufwand für die organisatorische Seite. Die größten Risiken sind nicht technischer Natur, sondern liegen in einem zu großen Scope, fehlendem Change Management und der falschen Reihenfolge von Tool und Prozess.

Wer das Projekt in Ausbaustufen schneidet, mit einem frühen sichtbaren Erfolg startet, HR und Fachbereiche von Anfang an einbindet und den Dauerbetrieb mitplant, holt aus seinem IAM-Vorhaben weit mehr als sauberere Berechtigungen: ein verlässliches, prüfbares Fundament für Sicherheit und Effizienz. IAM ist kein Sprint und kein Bauvorhaben mit Abnahme – es ist der Aufbau eines dauerhaften Betriebs. Planen Sie es entsprechend.