Souveränität beginnt beim Login 

Eigentlich wollte ich neulich nur kurz auf eine Anwendung zugreifen. 

Login öffnet sich.
E-Mail eingeben.
Eine Weiterleitung zu irgendeinem Identity Provider.
Passwort.
MFA.
Auf dem Bildschirm dreht sich was. Warten.
Dann eine Fehlermeldung, die ungefähr sagte: Es liegt nicht an dir, aber auch nicht ganz nicht an dir. 

Ich habe dann erst einmal Kaffee geholt, einen Iced Pour Over, weil es so heiß war. 

Solche Momente wirken unscheinbar. Aber tatsächlich sind sie ziemlich bezeichnend. Denn wir merken erst dann, wie zentral die Digitale Identität geworden ist, wenn sie nicht sauber funktioniert. Früher war Login oft nur eine technische Nebenfunktion. Heute hängt daran fast alles: Anwendungen, Portale, APIs, Kundenbereiche, Partnerzugänge, Admin-Zugriffe. Und dein ganzes digitales Leben auf deinem Handy. 

Im Grunde beginnt digitale Souveränität genau dort. Nicht bei einem Strategiepapier, nicht bei einer politischen Grundsatzrede, sondern bei der Frage: Wer kontrolliert eigentlich den Zugang? 

Wer legt fest, wer sich anmelden darf?
Wer entscheidet, welche Rechte vergeben werden?
Wer kann nachvollziehen, was passiert ist?
Und wer kann das System betreiben, ändern oder im Zweifel wechseln? 

Ich glaube, man unterschätzt diesen Punkt leicht. Weil Login so alltäglich geworden ist. Er ist einfach da. Wie Salz in der Küche. Man spricht selten darüber, solange es nicht fehlt oder zu viel ist. 

Bei Identitätsmanagement ist das ähnlich. Wenn alles funktioniert, fällt es kaum auf. Wenn es nicht funktioniert, steht plötzlich sehr viel still. 

Keycloak ist für mich in diesem Zusammenhang interessant, weil es nicht versucht, diese Fragen hinter einer obskuren Plattform zu verstecken. Und es einem nicht eine bestimmte Betriebsform aufzwängt („geht nur in der Cloud“), sondern viele Möglichkeiten bietet und sich an den Bedarf anpasst. Man kann Keycloak selbst betreiben, betreiben lassen, anpassen, erweitern und in unterschiedliche Architekturen einpassen. 

Das klingt weniger bequem als „einfach buchen und loslegen“. Ist es vermutlich auch. 

Andererseits ist Bequemlichkeit nicht immer dasselbe wie Kontrolle. 

Ich habe irgendwann festgestellt, dass digitale Souveränität selten mit großen Begriffen beginnt. Meistens beginnt sie mit sehr praktischen Fragen. Zum Beispiel mit der Frage, ob man beim Login eigentlich noch Herr des eigenen Hauses ist. 

Das dürfte noch häufiger relevant werden. 

IAM-Perspektiven von Robert Bauer | intension 

Robert Bauer ist Lead für Identity bei intension und beschäftigt sich mit Open Source IAM, Keycloak und digitaler Souveränität in modernen Unternehmensarchitekturen.