Nova IAM, zur Startseite
DE EN
Demo-Termin anfragen
Demo-Termin anfragen

Governance und Nachweise

Compliance und Funktionstrennung in Nova IAM

Nova IAM ist eine Enterprise-IGA-Plattform für die gesamte Systemlandschaft. Sie prüft Funktionstrennung und kritische Aktionen über alle Zielsysteme, unter anderem SAP, Active Directory und Entra ID, und hält fest, wer was entschieden hat.

Demo-Termin anfragen Zum Trust Center
  • Über alle ZielsystemeRisiken über SAP-Rollen, Gruppen in AD und Entra ID, Business-Rollen und andere Berechtigungen.
  • Vor der GenehmigungNeue Risiken aus Ihrem Regelwerk stehen je nach Richtlinie im Antrag, bevor jemand entscheidet.
  • 19 Prüfungen je IdentitätIm Healthcheck, 11 davon mit Behebungsvorschlag.

Risiko-Engine

SoD und kritische Aktionen über alle Zielsysteme

Funktionstrennung (Segregation of Duties, SoD) soll verhindern, dass eine Identität Zugriffe kombiniert, die getrennt bleiben müssen, etwa Kreditoren anlegen und Zahlungen freigeben. Kritische Aktionen sind Zugriffe, die schon für sich allein ein Risiko sind. Nova prüft beides gegen dasselbe Regelwerk.

So ist das Risiko-Regelwerk aufgebaut

BausteinInhalt
GeschäftsprozessGliedert Funktionen, Risiken und Kontrollen und hat eine verantwortliche Person.
FunktionEine fachliche Tätigkeit wie „Kreditoren pflegen“. Eine Identität hält die Funktion, sobald sie eine aktive Aktion der Funktion hält.
AktionEine Berechtigung eines beliebigen Zielsystems, etwa eine SAP-Rolle oder eine Gruppe im Active Directory, eine Nova-eigene Berechtigung oder eine Business-Rolle.
RisikoTyp „Funktionstrennung“: tritt ein, wenn eine Identität alle Funktionen des Risikos gleichzeitig hält. Typ „Kritische Aktion“: tritt ein, sobald sie die eine Funktion hält. Jedes Risiko trägt eine Stufe: Kritisch, Hoch, Mittel oder Niedrig.
RegelwerkEine Zusammenstellung von Risiken. Schalter legen fest, ob Nova sie auswertet und ob neue Anträge dagegen geprüft werden.

Jede Änderung am Regelwerk steht im Audit-Log und im Änderungsprotokoll der Seite.

  • Verschachtelte Gruppen

    Wer in Active Directory oder Entra ID Mitglied einer Untergruppe ist, hält für die Prüfung auch jede übergeordnete Gruppe. Der Zugriffspfad nennt den Weg. Nova kennt die Verschachtelung aus dem Gruppenimport oder dem Abgleich, bei Entra ID nur aus dem Abgleich. Verschachtelungen anderer Zielsysteme wertet Nova nicht aus.

  • SAP-Sammelrollen

    Wer eine SAP-Sammelrolle hält, hält für die Prüfung auch jede enthaltene Einzelrolle. Ändert sich der Inhalt der Sammelrolle, wertet Nova die betroffenen Identitäten neu aus.

  • Über Systeme hinweg

    Eine Funktion kann Aktionen aus mehreren Zielsystemen enthalten. Der Analysebereich legt fest, ob ein Risiko nur innerhalb eines Zielsystems eintritt oder systemübergreifend.

Nova zählt alle am Tag gültigen Zuweisungen: direkte Berechtigungen, Business-Rollen samt enthaltener Berechtigungen und Zuweisungen über Organisationseinheiten. Heute prüft Nova auf der Ebene von Berechtigungen und Business-Rollen, in SAP also auf der Ebene der Rollen. Das Regelwerk pflegen Ihre Risiko-Admins selbst.

Was in Vorbereitung ist

Prüfzeitpunkte

Wann Nova prüft

Das Regelwerk wirkt beim Antrag, im laufenden Betrieb und in der Rezertifizierung.

  • Bei jedem Antrag, vor der Genehmigung

    Nova prüft die Ziel-Identität einmal mit und einmal ohne die beantragten Rollen. Ein Befund entsteht nur für ein Risiko, das der Antrag neu entstehen ließe und das keine gültige Minderung abdeckt.

    Befunde stehen schon im Antragsformular und danach in der Anfrage, mit dem Risiko und der Berechtigung je Funktion.

  • Laufend im Risikoregister

    Das Register führt je Identität die Risiken, die sie im Ist-Stand hält, als offen, gemindert oder aufgelöst.

    Die Analyse bei Änderung ist voreingestellt an und wertet eine Identität kurz nach einer Änderung neu aus. Der tägliche Lauf gleicht das Register zusätzlich ab.

  • In der Rezertifizierung

    Beim Anlegen einer Kampagne übernimmt Nova offene Befunde aus dem Register als Hinweis an den Eintrag: „SoD-Konflikt“ oder „Kritische Aktion“, jeweils mit Risikostufe.

    So sieht der Reviewer das Risiko bei seiner Entscheidung.

Was ein neues Risiko am Antrag auslöst

BehandlungWirkungVoreingestellt für
KeineKein Befund am Antrag.Niedrig
WarnenDer Befund steht als Hinweis am Antrag. Der Antrag läuft normal weiter.Mittel
PrüfschrittDer Antrag braucht eine SoD-Prüfung. Fehlt dieser Schritt im Ablauf der Rolle, hängt Nova ihn an.Kritisch, Hoch
BlockierenNova legt den Antrag nicht an. Administratoren stellen ihn mit Begründung, wenn Übersteuern erlaubt ist.Keine Stufe

Die Behandlung je Risikostufe legt die Richtlinie fest. Fällt die Prüfung aus, bekommt der Antrag in der Voreinstellung einen Schritt „SoD-Prüfung“, und die Prüfer kontrollieren die Berechtigungen von Hand.

Bei Anträgen zählen Regelwerke mit dem Schalter „In Zugriffsanfragen prüfen“. Zuweisungen, die nicht über einen Antrag entstehen, etwa direkt durch Administratoren oder über Organisationseinheiten, prüft Nova nicht vorab. Risiken daraus erfasst das Register.

Analyse und Entscheidung

Simulation, Zugriffspfad und mindernde Kontrollen

Die Identitäts-Risikoanalyse zeigt für eine Identität, welche Risiken sie hält, über welche Zuweisungen sie entstehen und welche gemindert sind. Nova berechnet sie bei jedem Aufruf neu.

  • Zugriffspfad

    Der Zugriffspfad zeigt, wie ein Risiko entsteht: aus einer einzigen Rolle oder erst aus dem Zusammenspiel mehrerer.

    Je Funktion nennt er die Aktionen, die die Identität hält, und ihren Weg: über welche Business-Rolle, Organisationseinheit oder direkte Zuweisung, seit wann und ob als Ist oder Soll.

  • Simulation

    Berechtigte entfernen oder ergänzen Rollen zur Probe, ohne dass Nova etwas speichert. Das Ergebnis nennt, welche Risiken neu hinzukämen und welche entfielen.

  • Mindernde Kontrollen mit Laufzeit

    Manchmal braucht eine Identität beide Funktionen. Dann gleicht eine Kontrolle das Risiko aus, etwa ein regelmäßig geprüfter Bericht. Eine Kontrolle hat einen Verantwortlichen, einen Überwacher, einen Turnus und einen Bericht als Nachweis.

    Eine Minderung braucht eine Begründung und eine Gültigkeit. Das Ende ist vorbelegt und darf leer bleiben, dann gilt sie unbefristet. Läuft sie ab, steht der Befund spätestens nach dem täglichen Lauf wieder auf „Offen“.

  • Vier-Augen-Prinzip

    Niemand mindert eigene Befunde, auch nicht über eine Minderung für eine Rolle, die er selbst hält. Anlegen und Aufheben protokolliert Nova mit Person, Kontrolle, Gültigkeit und Begründung im Audit-Log.

    Wer einen Schritt „SoD-Prüfung“ trotz offener Befunde genehmigt, muss einen Kommentar angeben. Ist „Übersteuern erlaubt“ aus, genehmigt Nova den Schritt nicht. Dann bleibt nur Mindern oder Ablehnen.

Risiko-Regelwerk, Identitäts-Risikoanalyse, Simulation und Richtlinie gibt es im Design „Professional“, umgeschaltet wird im Benutzermenü. Lesen, Pflegen und Mindern regeln eigene Berechtigungen: „Risiko-Leser“, „Risiko-Admin“ und „Risiko-Minderer“.

Identitäten prüfen

Healthcheck und KI-Nutzeranalyse

Neben dem Regelwerk prüft Nova, ob Konten, Zuweisungen und Stammdaten einer Identität stimmig sind. Die Prüfungen des Healthchecks laufen ohne KI. Die KI kommt nur dazu, wenn Sie sie einschalten.

  • Healthcheck je Identität: 19 Prüfungen, 11 mit Behebungsvorschlag

    Der Healthcheck meldet Befunde mit Schweregrad. Die Behebungsvorschläge kommen aus der Prüfung selbst, aus einem festen Katalog, und jede Behebung steht im Audit-Log. Sehen und starten dürfen ihn nur Administratoren.

    Optional ordnet die KI die Befunde ein und erklärt sie in freiem Text. Ausführen lassen sich nur die Katalogaktionen, durch Administratoren.

    Prüfungen sind zum Beispiel:

    Austrittsdatum überschritten, Konto aktivRuhende KontenDirekte Admin-BerechtigungenTechnisches Konto ohne OwnerReconciliation-Abweichung

  • KI-Nutzeranalyse

    Für eine Identität erstellt die KI eine Risikoeinschätzung, nennt Auffälligkeiten und Empfehlungen und vergleicht sie mit anderen Identitäten derselben Org-Einheit.

    Das Ergebnis lässt sich bearbeiten und speichern. Jedes Speichern steht im Audit-Log. Bewertungen und Zuweisungen ändert die Analyse nicht.

    Voraussetzungen:

    Nur mit eingeschalteter KINur für Administratoren

Die KI ist voreingestellt aus. Sie läuft lokal oder über einen Cloud-Anbieter. Die Weitergabe an die optionale Cloud-KI beschreibt die Data Protection Policy im Trust Center.

KI in Nova IAM

Nachweise

Rezertifizierung, Audit-Log und Exporte

Prüfer wollen sehen, wer was wann entschieden hat. Nova hält das fest und gibt es als Datei heraus.

  • Rezertifizierung

    In Kampagnen prüfen Verantwortliche, ob bestehende Zugriffe noch gebraucht werden. Der Umfang reicht von allen Identitäten über Abteilung, Organisationseinheit und Zielsystem bis zu KI-Agenten. Reviewer ist der Manager, der Rollen-Owner, eine bestimmte Person oder bei KI-Agenten der Agent-Owner.

    Ein Entzug verlangt eine Begründung und wirkt, wenn er beim Abschluss der Kampagne ausgeführt wird. Kampagnen legen Administratoren heute selbst an. Eine automatische Wiederholung gibt es noch nicht.

    Risikokennzeichen an den Einträgen:

    SoD-KonfliktKritische AktionKonto ungenutztExterner mit hohem Recht

  • Audit-Log

    Das Audit-Log hält Anmeldungen und Änderungen an Konten, Rollen und Anträgen fest, mit Akteur, Zeitpunkt, Ziel und Herkunft, auch für Aktionen aus dem KI-Chat.

    Oberfläche und API bieten keine Funktion, Einträge zu ändern oder zu löschen. Den Zeitstempel setzt der Datenbankserver, den Akteur die angemeldete Sitzung. Das Log ist eine gewöhnliche Datenbanktabelle: Ein Schreibschutz auf Datenbankebene gehört nicht zur Standardinstallation.

    Audit Trail Documentation

Nachweise und Exporte

NachweisInhaltForm
Rezertifizierungs-KampagneJe Eintrag Reviewer, Entscheidung, Begründung, Zeitpunkt, Hinweise und Entzugsstatus.CSV
Audit-LogGefilterte Einträge, etwa nach Zeitraum, Kategorie und Akteur.CSV, JSON
Identitäts-RisikoanalyseAlle Risiken einer Identität mit Funktionen, Aktionen und Rollen.CSV
RisikoregisterOffene, geminderte und aufgelöste Befunde, filterbar nach Status, Risikostufe und Regelwerk.Ansicht
ÄnderungsjournalWas Nova in Zielsystemen geschrieben hat, mit den Werten vorher und nachher. Passwörter speichert das Journal nicht.Ansicht, API

Regulatorik und Stand

Öffentliche Mappings, offener Zertifizierungsstand

Nova unterstützt Anforderungen, es erfüllt sie nie allein. Konzepte, Risikoanalyse und die Verantwortung der Geschäftsleitung bleiben bei Ihnen. Die Mappings stehen im Trust Center, lesbar ohne NDA.

  • DSGVO

    Zuordnung für Verantwortliche: Betroffenenrechte, Art. 25, 28, 32, 33 und 35, AVV-Eckpunkte und Datentransfers bei Cloud-KI.

    DSGVO-Mapping

  • NIS-2

    Zuordnung zu Art. 21 und 23 sowie §§ 30 und 32 BSIG, mit Joiner-Mover-Leaver und Nachweisen für Audits.

    NIS-2-Mapping

  • Cyber Resilience Act

    Stand von Nova IAM als Produkt: vorsorgliche Einstufung, Annex-I-Anforderungen, Schwachstellenmanagement, SBOM und Meldepflichten.

    CRA-Mapping

Zertifizierungsstand

ThemaStandTermin
ISO/IEC 27001Kein Zertifikat. Den Termin für das Zertifizierungsaudit nennen wir, sobald der Zertifizierer beauftragt ist.Ohne Termin
SOC 2Kein SOC-2-Bericht. Geplant nach ISO 27001, ohne festen Termin.Nach ISO 27001
Externer PentestSteht aus. Den Termin nennen wir, sobald er vertraglich feststeht.Termin folgt

Was wir heute belegen können, steht in den öffentlichen Dokumenten des Trust Centers.

Trust Center

Noch nicht ausgeliefert

In Vorbereitung und geplant

Diese Funktionen sind noch nicht verfügbar. Wir nennen sie hier, damit Sie den Stand richtig einordnen können. Was ausgeliefert ist, steht im Changelog.

  • In Vorbereitung

    Prüfung auf SAP-Objektebene

    Nova soll neben der Rolle auch Transaktion oder App und die Berechtigungswerte prüfen: Objekt, Feld und Wert, auch wenn sie erst aus mehreren Rollen zusammen entstehen.

  • In Vorbereitung

    Import von SAP-GRC-Regelwerken

    Nova soll das Risiko-Regelwerk im Upload-Format von SAP GRC Access Control einlesen und ausgeben können, mit Probelauf.

  • In Vorbereitung

    Mitgeliefertes Startregelwerk

    Ein Regelwerk von Nova für SAP-Finanzen, Einkauf und Vertrieb, SAP-Basis und Sicherheit, Verzeichnisse und Cloud sowie die Nova-Plattform. Nach der Installation ist es inaktiv, bis Sie es einschalten.

  • Geplant, ohne Termin

    Org-Regeln

    Nova soll Befunde ausschließen können, wenn die Funktionen nur in getrennten Organisationsebenen gelten, etwa in verschiedenen Buchungskreisen.

Status und Changelog

Häufige Fragen

Fragen aus Revision und Einkauf

Die Antworten nennen auch, was Nova heute nicht leistet.

Prüft Nova Funktionstrennung vor der Genehmigung?

Ja. Nova prüft bei jedem neuen Antrag, ob er ein Risiko neu entstehen ließe, und zeigt den Befund schon im Antragsformular und danach in der Anfrage. Geprüft wird gegen Ihre aktiven Regelwerke mit dem Schalter „In Zugriffsanfragen prüfen“. Die Richtlinie legt je Risikostufe fest, ob Nova keinen Befund zeigt, warnt, einen Schritt „SoD-Prüfung“ anfügt oder den Antrag blockiert. Zuweisungen, die nicht über einen Antrag entstehen, prüft Nova nicht vorab. Risiken daraus erfasst das Risikoregister.

Prüft Nova nur SAP-Berechtigungen?

Nein. Aktionen im Risiko-Regelwerk können Berechtigungen beliebiger Zielsysteme sein, etwa SAP-Rollen oder Gruppen im Active Directory, dazu Nova-eigene Berechtigungen und Business-Rollen. Ein Risiko kann Funktionen aus mehreren Zielsystemen verbinden.

Prüft Nova auf SAP-Objektebene?

Noch nicht. Heute prüft Nova in SAP auf der Ebene der Rollen. Die Prüfung auf Objekt, Feld und Wert, auch über mehrere Rollen hinweg, ist in Vorbereitung.

Liefert Nova ein fertiges SoD-Regelwerk mit?

Noch nicht. Heute pflegen Risiko-Admins das Regelwerk selbst. Ein mitgeliefertes Startregelwerk ist in Vorbereitung, ebenso der Import von Regelwerken im Upload-Format von SAP GRC Access Control.

Macht Nova uns NIS-2-konform?

Nein, das schafft kein Werkzeug allein. Nova unterstützt die technische Umsetzung und den Nachweis der Zugriffskontrolle für die angebundenen Systeme: Antrag mit Prüfung vor der Genehmigung, Rezertifizierung und Audit-Log. Konzepte, Risikoanalyse und die Verantwortung der Geschäftsleitung bleiben bei Ihnen. Passwort-Tresor und Sitzungsaufzeichnung gehören nicht zu Nova. Sie übernehmen PAM-Produkte daneben.

Ist Nova nach ISO 27001 zertifiziert?

Nein. Nova hat kein ISO-Zertifikat und keinen SOC-2-Bericht, und der externe Pentest steht aus. Was wir heute belegen können, steht öffentlich im Trust Center.

Ist das Audit-Log manipulationssicher?

Nicht im Standard. Oberfläche und API bieten keine Funktion, Einträge zu ändern oder zu löschen. Das Audit-Log ist aber eine gewöhnliche Datenbanktabelle, und einen Schreibschutz auf Datenbankebene enthält die Standardinstallation nicht. Per Datenbank-Export lässt sich das Log in ein SIEM übernehmen.

Der Praxistest

Prüfen Sie Nova an Ihren eigenen Anforderungen

Im 90-Tage-PoC läuft Nova parallel zu Ihrem Bestandstool, mit Ihren Genehmigern, Ownern und Admins. So sehen Sie, welche Befunde und Nachweise Nova in Ihrer Umgebung liefert.

Demo-Termin anfragen 90-Tage-PoC ansehen

Weiterlesen

  • Trust Center

    Stand, Mappings zu DSGVO, NIS-2 und CRA, Audit-Log-Dokumentation.

  • Usability

    Warum Kontrollen nur wirken, wenn Genehmiger und Owner sie verstehen.

  • Integrationen

    Welche Zielsysteme Nova anbindet.