SCIM

In größeren Firmen arbeitet jede Person mit vielen Programmen gleichzeitig: E-Mail, Chat, Kalender, Buchhaltung, Videokonferenzen. Für jedes dieser Programme braucht sie ein eigenes Benutzerkonto. Wer neu anfängt, müsste diese Konten einzeln von Hand bekommen, und wer kündigt, müsste sie einzeln wieder verlieren. SCIM ist eine vereinbarte Sprache, mit der Programme sich gegenseitig mitteilen, welche Personen es gibt und was sich an ihnen geändert hat. Die Abkürzung steht für « System for Cross-domain Identity Management », also etwa: Verwaltung von Personendaten über Systemgrenzen hinweg. Ein zentrales Verzeichnis meldet dann jede Änderung automatisch an alle angeschlossenen Dienste weiter.

Warum vergessene Konten gefährlich sind

Das größte Problem ohne Automatik sind Konten, die niemand abschaltet. Eine Person verlässt das Unternehmen, die IT-Abteilung sperrt den E-Mail-Zugang, aber das Konto im Projektwerkzeug bleibt bestehen. Solche verwaisten Zugänge sind ein beliebtes Einfallstor für Angreifer. Sie fallen niemandem auf, weil sich niemand mehr für sie zuständig fühlt.

Dazu kommt der reine Aufwand. Bei einem Konzern mit 20.000 Beschäftigten und 50 Programmen sind das eine Million mögliche Kontenverbindungen. Jede Einstellung, jede Kündigung und jeder Abteilungswechsel löst Änderungen aus. Von Hand ist das nicht zu schaffen, und Handarbeit erzeugt Fehler.

Es gibt außerdem einen rechtlichen Grund. Datenschutzregeln verlangen, dass nur Personen auf Daten zugreifen, die sie für ihre Arbeit brauchen. Prüfer wollen belegt sehen, wer wann welchen Zugang hatte. Ein automatisierter Ablauf liefert diesen Nachweis, weil jede Änderung protokolliert wird.

Was zwischen den Systemen hin- und hergeschickt wird

SCIM legt zwei Dinge fest. Erstens ein einheitliches Datenformat: Welche Felder beschreibt ein Benutzer? Vorgesehen sind unter anderem Name, E-Mail-Adresse, Abteilung, Vorgesetzter und ein Schalter « aktiv » oder « inaktiv ». Zweitens legt der Standard fest, wie man diese Daten anfragt, anlegt, ändert und löscht.

Technisch läuft das über normale Web-Anfragen, wie sie auch ein Browser verschickt. Das zentrale Verzeichnis schickt zum Beispiel die Nachricht: « Lege einen Benutzer mit diesen Angaben an. » Der empfangende Dienst antwortet mit einer Bestätigung und einer eigenen Kennnummer. Über diese Nummer sind beide Seiten künftig verbunden. Ändert sich später die Abteilung, genügt eine kurze Aktualisierungsnachricht.

Ein häufiger Irrtum: SCIM ist nicht dasselbe wie eine Anmeldung mit einem Firmenkonto. Diese Anmeldung prüft in dem Moment, in dem jemand auf « Login » klickt, ob die Person echt ist. SCIM arbeitet vorher und im Hintergrund. Es sorgt dafür, dass das Konto überhaupt existiert und die richtigen Angaben enthält. In der Praxis werden beide Verfahren meist zusammen eingesetzt.

SCIM in Firmensoftware und in Preislisten

Wer eine Software für Unternehmen verkauft, kommt an SCIM kaum vorbei. Slack, Zoom, Salesforce, GitHub und viele KI-Werkzeuge unterstützen es. Auf der Gegenseite stehen zentrale Verzeichnisse wie Microsoft Entra ID, Okta oder Google Workspace. Sie halten die Stammdaten und verteilen sie an die einzelnen Dienste.

Interessant ist der wirtschaftliche Aspekt. Viele Anbieter schalten SCIM erst in ihren teuren Unternehmenstarifen frei. Die Funktion gilt als Merkmal, für das große Kunden bereit sind zu zahlen. In der Tech-Branche gibt es dafür sogar einen spöttischen Namen: die « SSO-Steuer », weil solche Verwaltungsfunktionen den Preis oft vervielfachen.

Für Privatpersonen spielt SCIM keine Rolle. Man begegnet dem Begriff eher in Ausschreibungen, in technischen Datenblättern oder in Meldungen über Sicherheitslücken. Wenn eine Firma neue Software einkauft, steht die SCIM-Unterstützung häufig weit oben auf der Anforderungsliste.