Kaufen oder selbst entwickeln? Das überzeugende Argument für den Kauf einer CIAM-Lösung

Michael Sanchez
Senior Solutions Architect

---

Bei neuen Software-Initiativen fühlen sich Unternehmen nicht selten dazu veranlasst, innerbetrieblich eine eigene Lösung zu konzipieren, denn Sie gehen davon aus, mit diesem Ansatz alle ihre Bedürfnisse und Anforderungen erfüllen zu können. Auf den ersten Blick erscheint diese Option recht attraktiv. Sie entwickeln eine Lösung nach eigenem Bedarf, mit nahtloser Einbindung in vorhandene Systeme und können den erforderlichen Support komplett abdecken.

Außerdem (und das sage ich aufgrund meiner jahrzehntelangen Erfahrung als Entwickler) haben Entwickler einfach Freude am Kodieren, am Lösen von Problemen und Überwinden von Hindernissen. Wir haben einfach Spaß daran, eigenständig eine Software-Lösung zu entwickeln, denn es gehört zu unserem Naturell und wir lieben unsere Arbeit.

SIn manchen Fällen jedoch, das muss ich offen zugeben, führt diese Einstellung zu gefühlsmotivierten Entscheidungen und Empfehlungen. Dies gilt vor allem für eine Identitäten-Umgebung, da Entwickler hier vor eine aufregende Herausforderung gestellt werden, die sie nur zu gerne annehmen möchten. Das Identitäts- und Zugangsmanagement (IAM) ist das Herzstück der Cybersicherheit, und wer würde nicht gerne einen wichtigen Teil dazu beitragen?

In Wahrheit handelt es sich um ein IAM-„Problem“, für das es schon eine Lösung gibt. Sie hat sich bereits gut durchgesetzt, ist standardisiert und wurde im Personal- wie auch im Kundenbereich ausgiebig erprobt. Insbesondere die Experten für Kundenidentitäts- und Zugriffsmanagement (CIAM) verfügen über jahrelange Erfahrung mit der Identitätssicherheit und der Einbindung von Endbenutzern. Anstatt das Rad neu zu erfinden, können sich Unternehmen durch den Kauf einer CIAM-Lösung größere Vorteile und ein besseres Kundenerlebnis sichern. Warum dies so ist, möchte ich Ihnen im Folgenden erläutern.

Erfüllen von Geschäftsanforderungen

Unter idealen Voraussetzungen haben Entwickler unbegrenzte Zeit und Ressourcen, um eine Aufgabe zu erledigen. In der Mehrzahl der Fälle ist es jedoch so, dass sie aufgrund von Ressourcenknappheit und geschäftlichen Prioritäten andere Pflichten vorziehen müssen. Folglich ist es beim Entwickeln nahezu unmöglich, alle Software-Anforderungen zu erfüllen, selbst für den Fall, dass diese Anforderungen überhaupt korrekt erkannt wurden. Der Artikel der Firma Geneca mit dem Titel „Doomed From the Start?“ (dt.: Von Beginn an zum Scheitern verurteilt?) gibt folgendes zu bedenken::

• 78 % der IT-Fachleute sind der Ansicht, die Projektanforderungen seien immer oder meistens schlecht mit den operativen Geschäft abgestimmt
• Weniger als 20 % beschreiben den Anforderungsprozess als einen Ausdruck von Geschäftsbedürfnissen
• Nur 23% geben an, dass sie immer zufrieden sind, wenn ein Projekt vollständig abgeschlossen ist (d. h. wenn die Anforderungen erfüllt sind)

Bei einem Kauf halten Sie dieses Fachwissen bereits in Ihren Händen, und es werden unmissverständliche Vereinbarungen darüber getroffen, welche Anforderungen die Lösung des Anbieters erfüllen soll. Identität ist kompliziert. IAM-Unternehmen wie Ping Identity wissen, mit welchen Schwierigkeiten Sie zu kämpfen haben und wie sie Ihre Anforderungen erfüllen können und werden auch nicht durch Einschränkungen der Praxis behindert, die Ihren Entwicklern in die Quere kommen. Dies gilt nicht nur für die Entwicklung eines Identitätssystems, sondern auch für dessen Wartung.

Der Weg zu einem besseren Kundenerlebnis

Identität ist die Grundlage für wichtige Kundeninteraktionen: Kontoerstellung, Anmeldung, Passwortrücksetzung, Benutzereinstellungen, Multichannel-Personalisierung und mehr. Es ist wichtig, das Kundenerlebnis vom ersten Moment an positiv zu gestalten, da sich Kunden heutzutage leichter als je zuvor andernorts umschauen können, wo sie sich besser aufgehoben fühlen.

Kunden erwarten beispielsweise einen reibungslosen Anmeldevorgang. Das Konzept des Single-Sign-On (SSO) ist unkompliziert, und Sie könnten versucht sein, selbst eine SSO-Lösung zu entwickeln. Wenn dieses Konzept jedoch erst einmal in Anwendungsfällen erprobt wird und sich in laufender Entwicklungsphase eine beschränkte IT-Umgebung offenbart, stellen Unternehmen oft fest, dass sie auf dem Holzweg sind und möglicherweise ganz von vorn anfangen müssen. Oder, schlimmer noch, sie gehen mit einer suboptimalen Lösung in Betrieb, die einen erheblichen Wartungsaufwand erfordert, und das ursprünglich geplante Produkt nicht umsetzt.

Die besten CIAM-Plattformen richten besonderes Augenmerk auf die nahtlosen Erfahrungen der Endbenutzer. Lösungen von Ping Identity bieten vorkonfigurierte Funktionen, die alle Probleme mit Identitäten in den Griff bekommen und nachweisliche Ergebnisse liefern, wie beispielsweise nahtlosen Zugriff auf Ressourcen, intelligente Authentifizierung, adaptive Multi-Faktor-Authentifizierung (MFA), einheitliche Kundenprofile und die Erfassung und Durchsetzung von Einwilligungen. Da Ihre Kunden sich wohl kaum für mittelmäßige Online-Erfahrungen begeistern werden, sollten auch Sie keine Kompromisse machen, wenn es um die Werkzeuge geht, die diese Erfahrungen herbeiführen sollen.

So geht alles schneller

Falls Sie erst am Anfang Ihrer Bemühungen um die Kundenidentität stehen, sollten Sie ganz realistisch einschätzen, wie viel Zeit das Projekt in Anspruch nehmen wird. Meiner Erfahrung nach ist Entwicklern nur selten bewusst, dass sie nicht 100 % ihrer Zeit für das neue coole Projekt aufwenden können, und unterschätzen die Dauer bis zu seiner Fertigstellung. (Dies soll keine Kritik an den Entwicklern sein, sondern nur ein Hinweis darauf, dass die Schwierigkeit des Entwickelns einer wirklich sicheren und nahtlosen CIAM-Lösung ohne technische Schulden gerne unterschätzt wird!)

Außerdem geben Entwickler in der Regel Einschätzungen des Aufwands und nicht der Dauer ab, was nicht mit der Art und Weise übereinstimmt, wie Unternehmen Entscheidungen treffen. Es waren unter anderem diese Faktoren, die den Ausschlag für eine Studie der Harvard Business Review zum Thema Initiativen des IT-Wandels gaben. Darin wurde festgestellt, dass „jedes sechste Projekt eine Kostenüberschreitung von 200 % sowie eine Fristüberschreitung von fast 70 % aufweist.“

Selbst dann, wenn Sie bereits mit einem internen Entwicklungsprojekt begonnen haben, ist nicht gesagt, dass eine Fortführung vorteilhafter ist, als eine Lösung zu erwerben. Bedenken Sie auch, dass Ihr Entwickler-Team die Problemdomäne, oder noch wichtiger, die Protokollspezifikationen für eine korrekte Implementierung der IAM und das immense Spektrum von Anwendungsfällen möglicherweise nicht umfassend versteht. In diesen Fällen kann es rasch zu Zeitüberschreitungen kommen, so dass eine Drittanbieter-Lösung unter Umständen den schnellsten Ausweg darstellt.

Sorgen Sie für ein System mit verbesserter Sicherheit

Oftmals wird bei selbst entwickelten Lösungen keine ausreichende „Trennung der Belange“ (Separation of Concerns) von den übrigen Unternehmenssystemen eingehalten. Wenn sich Ihre Entwickler nicht gut genug mit Identitätssicherheit auskennen, wird das Entwickeln eines 100 % sicheren Identitätssystems zu einem schwierigen Unterfangen, denn dieses System muss nicht nur für standardmäßige Anwendungsfälle ausgelegt, sondern auch gegen Angriffe geschützt sein, wie beispielsweise Registrierungs-Bots, die Dummy-Accounts erstellen. Es muss erkennen, wenn das Konto eines Benutzers kompromittiert wurde und festlegen, über welche Autorisierungen bestimmte authentifizierten Benutzer verfügen, die Profildaten zur Weitergabe auswählen und vieles andere mehr. Das Entwickeln der Funktionen erhöht die Komplexität und den Zeitaufwand, und mögliche Fehler werden Sie schwer zu stehen kommen.

Wenn Sie es allerdings kaufen, ist die Sicherheit, die Sie brauchen, bereits inbegriffen und hat sich nachweislich bewährt. Sie profitieren davon, dass der Softwarehersteller für die Sicherheit der Erfahrung haftet und müssen diese Verantwortung nicht selbst übernehmen. Die richtige CIAM-Lösung bietet Ihren Benutzern sicheren Zugang zu den richtigen Anwendungen, stuft das Sicherheitsniveau nach Bedarf in Hochrisiko-Szenarien hoch, verwaltet sicher Identitäts- und Profildaten und kann sogar API-Sicherheit einschließen, damit Sie sich gegen die zunehmenden Bedrohungen der explodieren API-Landschaft wehren können.

Gestalten Sie Ihre CIAM-Lösung zukunftssicher

Es liegt in der Natur der Sache: Selbst entwickelte Systeme kommen häufig nicht über das Anfangsstadium hinaus, da ein Aufrüsten oder Ändern zur Anpassung an neue Umgebungen viel zu aufwändig ist. Selbst wenn es Ihnen gelänge, eine solide Identitätsplattform zu entwickeln (was aus den vorgenannten Gründen weniger wahrscheinlich ist), muss damit gerechnet werden, dass sie schnell veralten wird und Sie wieder ganz am Anfang stehen.

Der Kauf einer CIAM-Lösung kann Ihnen in mehrfacher Hinsicht helfen, Ihre Identitätsinitiativen zukunftssicher zu gestalten:

• Sie halten Schritt mit der Fortentwicklung der Standards. Neue Branchenstandards wie beispielsweise FIDO2 verbessern die Authentifizierungssicherheit, und Organisationen wie NIST aktualisieren regelmäßig die Best Practices für das Identitäts- und Zugriffsmanagement. Experten im Identity-Bereich wie Ping behalten die sich ändernde Normenlandschaft genau im Auge, wobei ihre Lösungen auf offenen Standards basieren, die eine sichere Interoperabilität jetzt und in Zukunft gewährleisten. Durch den Kauf wird sichergestellt, dass Sie auf Dauer keine technischen Schulden schaffen, die eine Übernahme von Standards erschweren würden. Diese Situation kann besonders schmerzhaft sein, da eine moderne IAM-Lösung nicht isoliert, sondern in Verbindung mit den übrigen föderalen Systemen arbeitet.
  
• Skalierfähige Identität wächst mit. Wenn Sie einen vertrauenswürdigen Partner für die Bereitstellung von Identitätsdiensten wählen, werden diese Serviceleistungen mit Ihrem Wachstum mithalten. Hier bei Ping veröffentlichen wir beispielsweise die Skalierungs- und Leistungswerte die unsere Unternehmenskunden erreichen. So zeigen wir, dass unsere Lösungen auch höchste Nutzerfrequenzen bewältigen, horizontale und vertikale Skalierung ausgleichen, sofortigen Zugang zu Daten bieten und dabei jederzeit die SLAs unserer Kunden erfüllen können.
• Vorschriften einhalten muss jeder. Wenn Ihr Team von Entwicklern nicht mit den Besonderheiten der wandelbaren Datenschutzlandschaft vertraut ist, und Sie auch nicht darauf hoffen können, dass es die DSGVO, den CCPA und die Vielzahl der am Horizont aufziehenden Gesetzesvorschläge in- und auswendig kennt, dann könnten Sie sich bald in einem regulatorischen Chaos wiederfinden. Ping kann Ihnen das nötige Fachwissen liefern, mit dem sie Richtlinien flexibel erstellen und durchsetzen können und versetzt Sie in die Lage, einerseits den Anforderungen zu entsprechen, aber auch zukünftige rechtliche Auflagen zu erfüllen.

Tun Sie, was Sie am besten können

Letztlich macht es durchaus Sinn, wenn Ihr Unternehmen das tut, was es am besten kann, und sich einen Partner sucht wie Ping, der ebenfalls das leistet, was er am besten kann: Identitätsmanagement. Die Identitätsdienste gehören zu den Top-Wachstumsbereichen in der Softwareentwicklung. Dies ist unser Fokus, auf den wir uns voll und ganz konzentrieren – um Ihnen diese Arbeit abzunehmen. Unser Ruf und unser Geschäft basieren auf unserer Fähigkeit, Ihr Unternehmen abzusichern und Ihnen großartige digitale Erfahrungen zu ermöglichen. Unsere Erfolgsbilanz in diesem Bereich spricht für sich. Wenn Sie mit uns zusammenarbeiten, legen Sie den Grundstein für eine erfolgreiche Partnerschaft.

Weitere Informationen über CIAM-Lösungen finden Sie auf unserer Website.