Der Microsoft Identity Manager (MIM) ist eine lokal betriebene Lösung für Identity and Access Management (IAM), also für die Verwaltung digitaler Identitäten und Zugriffe. Unternehmen setzen MIM unter anderem ein, um Benutzeridentitäten aus unterschiedlichen Quellen zusammenzuführen, Identitätsdaten zwischen Verzeichnissen und Anwendungen zu synchronisieren und Benutzerkonten automatisiert bereitzustellen. Damit übernimmt MIM eine zentrale Rolle in IT-Umgebungen, in denen Identitätsinformationen über mehrere Systeme hinweg konsistent verwaltet werden müssen.
Microsoft richtet seine Identity-Strategie inzwischen verstärkt auf die Cloud-Dienste von Microsoft Entra aus. Für Unternehmen mit bestehenden MIM-Installationen stellt sich daher zunehmend auch die Frage, welche Prozesse künftig mit Microsoft Entra umgesetzt werden können, denn Microsoft stellt den Support für MIM 2029 ein.
Der Microsoft Identity Manager im Detail
Eine Kernaufgabe des Microsoft Identity Manager ist die Benutzerbereitstellung beziehungsweise das Provisioning. Identitätsinformationen können beispielsweise aus einem Human-Resources-System (HR-System), einem Verzeichnis oder einer Datenbank übernommen und für andere angebundene Systeme aufbereitet werden. Beginnt eine neue Mitarbeiter*in im Unternehmen, können die benötigten Identitätsdaten dadurch kontrolliert in die vorgesehenen Zielsysteme gelangen.
Eng damit verbunden ist die Synchronisierung. MIM kann Identitätsinformationen zwischen Verzeichnissen, Datenbanken und lokalen Anwendungen abgleichen. Dafür stehen Schnittstellen und Konnektoren zur Verfügung. Eine Änderung an einer maßgeblichen Datenquelle kann so entsprechend definierter Regeln in weitere Systeme übertragen werden. Das reduziert die Notwendigkeit, dieselben Identitätsinformationen getrennt in mehreren Systemen zu pflegen.
Zu den weiteren Einsatzgebieten gehören die Verwaltung von Gruppen sowie Self-Service-Szenarien. Unternehmen haben MIM beispielsweise für dynamische Gruppenmitgliedschaften, die Verwaltung von Active-Directory-Gruppen oder Self-Service-Kennwortprozesse eingesetzt. Welche Funktionen tatsächlich genutzt werden, unterscheidet sich allerdings stark zwischen Organisationen. Gerade deshalb ist bei einer Modernisierung eine genaue Bestandsaufnahme der vorhandenen MIM-Prozesse wichtig.
Support endet 2029
Für bestehende Installationen ist der Produktlebenszyklus ein wesentlicher Faktor. Microsoft führt für Microsoft Identity Manager 2016 den 9. Jänner 2029 als Ende des Extended Support an. Das ursprünglich frühere Supportende wurde von Microsoft entsprechend verlängert. Das bedeutet nicht, dass jede bestehende MIM-Umgebung kurzfristig abgeschaltet werden muss. Es schafft jedoch einen klaren Planungshorizont. Unternehmen sollten wissen, welche Prozesse, Konnektoren, Workflows und Anwendungen von MIM abhängig sind und welche davon schrittweise auf andere Dienste übertragen werden können.
Besondere Aufmerksamkeit verdienen dabei individuell entwickelte Integrationen. Eine MIM-Umgebung kann über Jahre gewachsen sein und Verbindungen zu HR-Systemen, Active Directory, Datenbanken oder Fachanwendungen enthalten. Eine Migration ist deshalb weniger als Austausch eines einzelnen Servers oder Produkts zu verstehen, sondern als Modernisierung bestehender IAM-Prozesse. Je früher die Abhängigkeiten dokumentiert werden, desto fundierter lassen sich Zielarchitektur und Migrationsreihenfolge festlegen.
Der Nachfolger von MIM
Einen einzelnen Microsoft-Dienst, der sämtliche Funktionen einer individuellen MIM-Installation automatisch 1:1 ersetzt, gibt es in dieser Form nicht. Microsoft beschreibt vielmehr unterschiedliche Microsoft-Entra-Dienste und -Funktionen, mit denen bestehende IAM-Szenarien schrittweise in eine stärker cloudbasierte Architektur überführt werden können. Das ist ein wichtiger Unterschied: Nicht die Frage „Welches Produkt ersetzt MIM?“ sollte am Anfang einer Migration stehen, sondern „Welche IAM-Szenarien betreiben wir heute mit MIM?“. Erst danach lässt sich beurteilen, welche Microsoft-Entra-Funktionen für die jeweiligen Anforderungen infrage kommen.
Microsoft Entra ID bildet dabei einen zentralen Bestandteil der cloudbasierten Identitäts- und Zugriffsverwaltung von Microsoft. Weitere Funktionen aus dem Entra-Umfeld können je nach Szenario beispielsweise für Lifecycle-Prozesse, Governance, Gruppenverwaltung, Provisionierung oder Self-Service eingesetzt werden. Unternehmen sollten daher nicht automatisch davon ausgehen, ihre bestehende MIM-Architektur unverändert in der Cloud nachbauen zu müssen.
Identity Management 2.0: Bleiben Sie up-to-date
MIM zu Microsoft Entra migrieren
Microsoft empfiehlt für die Migration einen mehrstufigen, szenariobasierten Ansatz, da MIM häufig unterschiedliche Aufgaben gleichzeitig übernimmt. Bestehende Funktionen können dadurch schrittweise modernisiert werden. Je nach Anwendungsfall kommen verschiedene Microsoft-Entra-Funktionen infrage, etwa für Benutzer*innen-Provisionierung, Lifecycle Workflows, dynamische Gruppen oder Self-Service Password Reset (SSPR). Auch lokale Anwendungen, SQL-Systeme, LDAP-Verzeichnisse und SCIM-fähige Anwendungen können in die Migrationsplanung einbezogen werden.
Am Anfang sollte daher eine Bestandsaufnahme stehen: Welche Identitätsquellen, Zielsysteme, Regeln und individuellen Konnektoren nutzt MIM? Auf dieser Basis lässt sich festlegen, welche Prozesse zuerst zu Microsoft Entra migriert werden können.
Welche Rolle spielen Microsoft Entra ID und Authenticator?
Microsoft Entra ID und Microsoft Authenticator werden im Identity-Umfeld häufig gemeinsam genannt, erfüllen aber unterschiedliche Aufgaben. Microsoft Entra ID ist der cloudbasierte Identity- und Access-Management-Dienst. Microsoft Authenticator ist hingegen eine App für Android und iOS, mit der Benutzer*innen verschiedene Authentifizierungsmethoden verwenden können. Die Authenticator-App unterstützt unter anderem Multi-Faktor-Authentifizierung (MFA), bei der neben einem ersten Faktor ein weiterer Nachweis für die Anmeldung erforderlich ist. Die App kann dazu Anmeldeanforderungen anzeigen, die Benutzer*innen bestätigen oder ablehnen. Ebenso sind Verifizierungscodes möglich. Darüber hinaus unterstützt Microsoft Authenticator passwortlose Anmeldungen sowie Passkeys.
Dabei sollten die Begriffe unterschieden werden. MFA beschreibt ein Authentifizierungsprinzip mit mehreren Faktoren. Passwordless bezeichnet Anmeldeverfahren, bei denen Benutzer*innen bei der Anmeldung kein klassisches Kennwort eingeben müssen. Ein Passkey wiederum basiert auf moderner schlüsselbasierter Authentifizierung und kann in Microsoft Authenticator für Microsoft-Entra-Konten eingesetzt werden.
Ein häufiger Praxisfall ist der Wechsel auf ein neues Smartphone. Microsoft stellt dafür Sicherungs- und Wiederherstellungsfunktionen bereit. Bei Geschäfts-, Schul- oder Unikonten wird nach der Wiederherstellung allerdings nur der Kontoname übertragen; anschließend ist eine erneute Anmeldung notwendig, um die Einrichtung abzuschließen. Passkeys in Microsoft Authenticator sind gerätegebunden und werden nicht über die normale Authenticator-Sicherung auf das neue Smartphone synchronisiert. Deshalb sollte das alte Gerät erst gelöscht, verkauft oder zurückgegeben werden, wenn die benötigten Konten und Anmeldemethoden auf dem neuen Smartphone getestet wurden. Gerade bei Unternehmenskonten empfiehlt es sich, vor dem Gerätewechsel zu prüfen, welche Wiederherstellungs- und Registrierungsprozesse die eigene IT-Organisation vorsieht.
MIM und Microsoft Authenticator erfüllen somit völlig unterschiedliche Aufgaben: MIM verwaltet und synchronisiert Identitäten und unterstützt Provisionierungsprozesse, während Authenticator Benutzer*innen bei der sicheren Anmeldung unterstützt. Microsoft Entra verbindet viele moderne Identity-, Governance- und Authentifizierungsszenarien in einer cloudorientierten Plattform. Für Unternehmen mit MIM bedeutet das vor allem eines: Bestehende Prozesse sollten systematisch analysiert und anhand ihrer jeweiligen Funktion modernisiert werden.
FAQ
-
Microsoft nennt für Microsoft Identity Manager 2016 den 9. Jänner 2029 als Ende des Extended Support. Unternehmen mit MIM sollten deshalb rechtzeitig prüfen, welche bestehenden IAM-Szenarien auf Microsoft-Entra-Dienste migriert werden können. Nach diesem Datum stellt Microsoft keine Sicherheitsupdates, Fehlerbehebungen oder technischen Support mehr bereit. Die Software funktioniert zwar weiter, aber es gibt ein stark erhöhtes Risiko für Sicherheitslücken und Compliance-Probleme.
-
Es gibt keinen einzelnen 1:1-Nachfolger für sämtliche MIM-Funktionen. Microsoft beschreibt stattdessen verschiedene Microsoft-Entra-Dienste und -Funktionen für Provisionierung, Lifecycle-Prozesse, Gruppenverwaltung, Governance und weitere IAM-Szenarien.
-
MIM ist eine lokal gehostete Identity- und Access-Management-Lösung. Microsoft Entra ID ist ein cloudbasierter Identity- und Access-Management-Dienst. Bei einer Migration wird deshalb nicht zwangsläufig eine bestehende MIM-Installation technisch identisch nachgebildet.
-
Microsoft Authenticator unterstützt unter anderem Multi-Faktor-Authentifizierung, Verifizierungscodes, passwortlose Anmeldung und Passkeys. Die App dient damit der Authentifizierung von Benutzer*innen und ist nicht mit Microsoft Identity Manager gleichzusetzen.
-
Microsoft Authenticator bietet Sicherungs- und Wiederherstellungsfunktionen. Bei Geschäfts-, Schul- und Unikonten ist nach der Wiederherstellung eine erneute Anmeldung erforderlich. Gerätegebundene Authenticator-Passkeys werden nicht über die normale Sicherung synchronisiert. Das alte Smartphone sollte deshalb erst gelöscht werden, nachdem die Anmeldung mit dem neuen Gerät erfolgreich getestet wurde.