Antworten auf die Fragen, die wir am häufigsten hören

Das Hybridmodell trennt die Managed Control Plane von dem Teil, der die Konnektoren ausführt. Dieser Teil ist ein kleiner Python-Agent, der in Ihrer eigenen VPC oder auf On-Premises-Infrastruktur laufen kann. Die Control Plane übernimmt das Governance-Modell, die Aufgabenplanung, die Konfiguration, Dashboards und Reporting. Der Agent führt Konnektoren in Ihrem Netzwerk aus und ruft Secrets lokal ab. Konnektor-Zugangsdaten bleiben in Ihrer VPC. Zwischen dem Agenten und der Control Plane werden nur Konfiguration und Ergebnisse übertragen. Bei SaaS-Konnektoren wie Entra ID, Salesforce und SCIM-Apps kann der Konnektor entweder in der Control Plane oder über den Agenten laufen. Das synchronisierte Identitätsmodell wird in der EU-gehosteten Managed Control Plane gespeichert. Sie wählen den Agent-Modus pro Konnektor, je nach Netzwerkzugang und danach, wo die Zugangsdaten bleiben müssen.

Der Agent authentifiziert sich mit einem Schlüsselpaar nach ECDSA P-256. Beim ersten Start erzeugt er das Schlüsselpaar auf Ihrem Host und registriert den öffentlichen Schlüssel mit einmaligen Enrolment-Zugangsdaten. Danach weist er seine Identität mit einem signierten Challenge-Response-Verfahren nach, das gegen diesen öffentlichen Schlüssel geprüft wird. Der private Schlüssel verlässt Ihre Maschine nie. Sitzungen sind kurzlebig und werden aus dem Schlüsselpaar neu aufgebaut, sodass es kein langlebiges gemeinsames Secret gibt. Konnektor-Secrets für Konnektoren im Agent-Modus liegen in einem verschlüsselten Speicher auf dem Agent-Host und werden nie an die Control Plane gesendet. Selbst-Updates werden per Signatur geprüft, und ein Update, dessen Prüfung fehlschlägt, wird abgelehnt.

Der Agent führt automatisch ein Rollback durch. Er bewahrt die vorherige Version auf, bevor er ein Selbst-Update anwendet, und eine neue Version wird erst akzeptiert, wenn sie gestartet ist und weiterläuft. Stürzt die neue Version beim Start ab, erkennt der nächste Start das und führt wieder die vorherige Version aus. Niemand muss eingreifen, solange der Agent unter einem Service-Manager läuft, der ihn neu startet. Die Standardinstallationen per systemd und als Container tun das beide.

Die standardmäßige Managed Control Plane von RapidValue läuft bei Scaleway, einem französischen Cloud-Anbieter, in der Region Amsterdam in der EU. Kundenverwaltete Cloud und On-Premises sind alternative Bereitstellungsmodelle für den Fall, dass Ihre Architektur oder Ihre Richtlinien eine Infrastruktur verlangen, die Sie selbst kontrollieren. Konnektor-Zugangsdaten für Konnektoren im Agent-Modus bleiben in Ihrem eigenen Netzwerk und erreichen die Control Plane nie. Zwischen beiden werden nur Konfiguration und Ergebnisse übertragen.

Ja, über einen ausgehenden Webhook. Es gibt keinen eigenen Splunk-, Sentinel- oder QRadar-Konnektor. Sie konfigurieren pro Tenant einen HTTPS-Endpunkt, und RapidValue sendet Ereignisse per POST dorthin. Eine Voreinstellung „Sicherheitsereignisse“ aktiviert mit einem Klick die gesamte Sicherheitskategorie: fehlgeschlagene Anmeldungen, die Abkühlphase nach Brute-Force-Versuchen, eine gesperrte und wieder entsperrte Person, ein ausgelöster und wieder aufgehobener Kill-Switch für eine Maschinenidentität, eine Notfallaktivierung, ein Break-Glass-Widerruf, ein neuer SoD-Verstoß, ein Risikoscore, der in den kritischen Bereich steigt, und eine Synchronisation, die von einem Sicherheitslimit angehalten wurde. Jeder POST trägt den Ereignistyp in einem Header und, wenn Sie ein Signatur-Secret festlegen, eine HMAC-SHA256-Signatur über den Body. Jeder Versuch wird mit seinem Status, dem HTTP-Code und einem strukturierten Fehlergrund protokolliert, etwa Verbindung abgelehnt, Timeout, DNS, TLS, 4xx oder 5xx. Jeder mit Audit-Rechten kann dieses Protokoll lesen, ohne Admin zu sein, und das Protokoll zeigt nie den Endpunkt oder sein Secret. Es gibt zwei Einschränkungen. Erstens gibt es heute keine automatische Wiederholung. Ein Admin sendet eine fehlgeschlagene Zustellung erneut, und die Wiederholung wird als neuer Versuch neben dem fehlgeschlagenen protokolliert. Zweitens sind die einzigen Authentifizierungsereignisse im Feed fehlgeschlagene Anmeldungen und die darauf folgende Sperre. Einen Stream für erfolgreiche Anmeldungen, MFA oder Passwortänderungen gibt es nicht. Payloads zu fehlgeschlagenen Anmeldungen enthalten eine Ursachenklasse und lassen die versuchte Adresse weg, sodass niemand den Feed nutzen kann, um herauszufinden, welche Benutzer es bei Ihnen gibt.

In jedem Konnektor-Modus erhält und speichert die Control Plane das synchronisierte Identitätsmodell: Identitäten, Konten, Berechtigungen und Zuweisungen. Dort laufen Reconciliation, Risikobewertung, Zertifizierungen und Audit. Der RapidValue-Agent ändert, wo die Zugangsdaten aufbewahrt werden und wie Ihr Netzwerk erreicht wird. Den Datenfluss ändert er nicht. Konnektor-Secrets werden lokal auf dem Agenten abgerufen und nie an die Control Plane gesendet. Sie entscheiden, wie viele Daten importiert werden: Im Onboarding-Assistenten wählen Sie pro Objekt und Attribut genau aus, was hereinkommt. Das importierte Modell wird in der EU-gehosteten Managed Control Plane verarbeitet und gespeichert. Es kann nach Art. 20 DSGVO exportiert und nach Art. 17 DSGVO gelöscht werden, innerhalb der genannten Grenzen der gesetzlichen Aufbewahrungspflichten.

Das hängt von dem Modus ab, in dem ein Konnektor läuft, und es gibt drei Modi. Im Agent-Modus liegen die Zugangsdaten (LDAP-Bind-Passwort, AD-Servicekonto, API-Token, OAuth-Client-Secret) in einem verschlüsselten Speicher auf dem Agent-Host in Ihrer VPC. Der Agent ruft sie bei der Ausführung lokal ab, und sie werden nie an die Control Plane gesendet, auch nicht verschlüsselt. Im In-Process-Modus, der für aus dem Internet erreichbare SaaS-Ziele genutzt wird, liegen die Zugangsdaten im Vault der Control Plane oder in Ihrem eigenen Vault, wenn Sie einen registrieren. Bei Ihrem eigenen Vault speichern wir eine Referenz, und Sie behalten den Wert. Im Tunnel-Modus liegen die Zugangsdaten ebenfalls aufseiten der Control Plane, und der Agent transportiert nur die Anfrage über Ihr Netzwerk. Sie wählen pro Konnektor, wie Ihr Netzwerk erreicht wird und wo die Zugangsdaten aufbewahrt werden. Die Credential-CLI beschränkt den Speicher und seinen Master-Key auf dem Host auf Dateirechte nur für den Eigentümer, sobald Zugangsdaten hinzugefügt werden. In Produktivumgebungen ist es üblich, den Master-Key aus einem Secrets-Manager wie HashiCorp Vault oder Azure Key Vault zu beziehen und nicht aus einer lokalen Datei.

DORA (Digital Operational Resilience Act) verpflichtet Finanzunternehmen, IKT-bezogene Risiken fortlaufend zu überwachen und zu steuern, einschließlich der Zugriffsrechte für kritische Funktionen. Die folgenden RapidValue-Funktionen decken DORA-Anforderungen ab. Geplante Reconciliation: ein täglicher Lauf über den gesamten Tenant, eine Neuberechnung pro Identität nach jedem Import und Läufe bei Bedarf. Jeder Lauf erhält einen Zeitstempel und bewahrt pro Zuweisung Nachweise auf, die beantworten, warum der Zugriff besteht. Funktionstrennung: Sie deklarieren systemübergreifende SoD-Regeln einmal, und RapidValue erkennt Verstöße fortlaufend, wo immer sie auftreten. Governance nichtmenschlicher Identitäten: Servicekonten und Bots werden nach dem Grund gesteuert, aus dem sie existieren. Eine Person gibt diesen Grund an, RapidValue errät ihn nicht aus dem Identitätstyp, und die Eigentümerschaft wird nachverfolgt. Governance von Drittzugriffen: Identitätsabläufe für Auftragnehmer und Partner mit einem Enddatum für den Zugriff. Audit-Trail: ein unveränderliches Audit-Log pro Kategorie, das Sie für eine Aufsichtsbehörde exportieren können. Das Branchenpaket Financial Services enthält SoD-Regeln mit DORA-Verweis (zum Beispiel Entwicklerzugriff plus Produktionszugriff, mit Verweis auf Art. 8) und Genehmigungs-Baselines: eine Kette aus drei Genehmigern für Hochrisiko-Ressourcen und eine Vier-Augen-Genehmigung für privilegierte Anfragen und Notfallanfragen. Die Compliance-Posture-Engine bewertet Ihre Landschaft ab Werk gegen die Kontrollen aus DORA Art. 9 und Art. 28. Sie berechnet den Score aus der aktuellen Abdeckung bei Zertifizierungen, privilegiertem Zugriff und Eigentümerschaft von Maschinenidentitäten. Einen Fragebogen verwendet sie nicht.

Ja. NIS2 verpflichtet wesentliche und wichtige Einrichtungen, Richtlinien zur Zugriffskontrolle, Multi-Faktor-Authentifizierung und eine fortlaufende Überwachung privilegierter Zugriffe umzusetzen. RapidValue deckt das auf vier Arten ab. Fortlaufende Zugriffszertifizierung, die sowohl durch Ereignisse als auch durch den jährlichen Zeitplan ausgelöst wird. Governance von Maschinenidentitäten auf Basis eines angegebenen Existenzgrunds, sodass kritische Servicekonten identifiziert sind und einen Eigentümer haben. Bewertung des Wirkungsradius für nichtmenschliche Identitäten und Rollen, die zeigt, was eine kompromittierte Identität oder Rolle erreichen könnte. Auditfähige Nachweise für jeden Reconciliation-Lauf, die die Anforderung einer dokumentierten Zugriffsaufsicht erfüllen. Für Sektoren kritischer Infrastruktur enthält das Paket Manufacturing eine Vier-Augen-Baseline für OT/SCADA-Zugriffe und das Paket Public Sector eine Genehmigungs-Baseline für KI-Agenten. Beide verweisen auf NIS2. Die Compliance-Posture-Engine bewertet Ihre Landschaft ab Werk gegen die Kontrollen aus NIS2 Art. 21. Multi-Faktor-Authentifizierung und privilegierter Zugriff werden als zwei getrennte Kontrollen bewertet, weil sie zwei verschiedene Dinge sind. Die MFA-Registrierung stammt aus dem, was Ihr IdP pro Konto meldet, und der privilegierte Zugriff stammt aus Ihrer Just-in-time-Abdeckung. Wo ein Konnektor gar keinen MFA-Status meldet, zeigen wir diese Kontrolle als nicht gemessene Lücke und lassen sie aus dem Score heraus. Wir runden sie weder auf null noch auf hundert Prozent.

Ein Bericht öffnet sich als Ansicht, die seitenweise aufgebaut, sortiert und durchsuchbar ist. Der angewendete Filter wird auf dem Bildschirm angezeigt, und Sie können pro Zelle in die Details gehen. Derselbe gespeicherte Filter steuert den Export, sodass Datei und Bildschirm dieselben Daten zeigen, einschließlich Maskierung. Einen Self-Service-Berichtsgenerator für Endanwender gibt es nicht. Sie erhalten den Berichtskatalog und gespeicherte Filter.

Ja. RapidValue unterstützt die Anforderungen von SOX an die Zugriffskontrolle, insbesondere Section 404 zu internen Kontrollen. Es bietet Richtlinien zur Funktionstrennung mit automatischer Erkennung von Verstößen, Zertifizierungskampagnen mit Genehmigungsverlauf und Zeitstempeln, ein unveränderliches Audit-Log aller Zugriffsentscheidungen und Zertifizierungsergebnisse sowie rollenbasierte Zugriffskontrolle mit einer festgehaltenen Begründung pro Zuweisung. Sie fragen, welchen Zugriff Person X zum Zeitpunkt Z hatte, und RapidValue rekonstruiert ihn aus der unveränderlichen Ereignishistorie. Genehmigung und Begründung jeder Zuweisung stehen daneben im selben Audit-Trail, sodass kein Engineer die Situation von Hand nachbauen muss. Es gibt eine Einschränkung, die Sie kennen sollten. Die Rekonstruktion liest diese Ereignishistorie, und Zugriffe, die ein Import direkt in ein Zielsystem schreibt, laufen noch nicht durch sie. Bei einer frisch synchronisierten Landschaft weist eine Rekonstruktion daher weniger aus, als vorhanden ist, und sie listet auf, was sie nicht erklären kann. RapidValue besitzt keine SOX-, ISO-27001- oder SOC-2-Zertifizierung, und ein Nachweispaket ist kein Prüfungsurteil. Wir liefern die Nachweise, die Ihr Prüfer verlangt, erzeugt aus Live-Daten. Das Urteil gibt Ihr Prüfer ab.

Eine Zeile installiert den Agenten, und er erscheint nach etwa 30 Sekunden online in Ihrem Tenant. Der erste Konnektor synchronisiert innerhalb der ersten Stunde. Ein erstes Ergebnis sehen Sie an einem Vormittag: Bis Mittag sind Ihre HR-Daten und eine Anwendung angebunden, und die Lücken stehen auf dem Bildschirm. Der POC folgt in der Woche danach und liefert Ihnen eine funktionierende Governance-Umgebung, einschließlich eines ersten Role Minings und einer ersten Zertifizierungskampagne. Wie lange ein vollständiger Produktiv-Rollout dauert, hängt von der Zahl der Konnektoren und der Größe des Rollenmodells ab. Wir veranschlagen ihn gemeinsam mit Ihnen, sobald der Proof of Concept gezeigt hat, was Ihre Daten verlangen. Sie beginnen am ersten Nachmittag auch nicht mit einem leeren Bildschirm. Vier Starter-Pakete (Birthright, JML, Zugriffsreview, SoD) werden ausgeschaltet installiert, sodass Sie bestehende Governance-Regeln bearbeiten und sie nicht von Grund auf schreiben müssen.

Einmal pro Woche meldet sich ein Bot als sechs verschiedene Personas an und öffnet jede Route, die die Navigation der jeweiligen Persona anbietet. Er liest diese Routen aus der gerenderten Seite, sodass wir keine Liste pflegen. Auf jeder Seite prüft er vier Dinge: Die Seite lädt, die Konsole ist sauber, kein unübersetzter Schlüssel ist auf dem Bildschirm, und eine Seite, die die Navigation angeboten hat, antwortet nicht mit „kein Zugriff“. Das sind sechs Personas und ein paar hundert Routen in jedem Lauf. Der Bot kann nicht beurteilen, ob ein Bildschirm gut ist. Das muss weiterhin ein Mensch tun, und der Testbericht sagt das am Ende jedes Laufs.

Ein typischer POC läuft wie folgt ab. Er baut auf dem ersten Vormittag auf: Der Agent, Ihre HR-Quelle und die erste Anwendung sind dann bereits angebunden, und Serge, der Gründer, arbeitet die ganze Zeit mit Ihnen. Tag 1: Der Quick Scan läuft über die angebundenen Daten, Role Mining erzeugt Vorschläge, und ein Bericht zum Mitnehmen für Ihren CISO wird vorbereitet. Rest der Woche: Sie verbinden weitere Zielsysteme, führen eine vollständige Reconciliation aus und konfigurieren eine erste Zertifizierungskampagne. Ende der Woche: eine Abschlussbesprechung mit Ihrem Team, ein Preisgespräch und ein Plan für den Weg in die Produktion. Sie müssen keine Infrastruktur einrichten, abgesehen vom Ausführen des einzeiligen Installers.

Nein. Der Agent ist eine einzelne Python-Datei, die auf jedem Linux-Host läuft, einschließlich WSL2 unter Windows. Er braucht sehr wenig: Eine kleine VM mit 1 vCPU und 512 MB RAM reicht völlig, und in der Praxis liegt er im Leerlauf bei etwa 200 MB. Er benötigt Python 3.12 oder neuer und ausgehendes HTTPS zur Control Plane. Für Konnektoren im Agent-Modus installiert er zusätzlich eine Handvoll pip-Pakete (httpx, cryptography, ldap3 und ähnliche) und lädt unseren Konnektor-Code von der Control Plane herunter, per Content-Hash auf eine Version festgelegt. „Eine Datei“ beschreibt also, was Sie prüfen, und die vollständige Installation ist etwas größer. Für die Produktion empfehlen wir eine dedizierte VM oder einen Container mit persistentem Speicher für die Statusdateien und den Vault des Agenten. Die Control Plane ist standardmäßig Managed SaaS. Der Agent ist optional und nur für Konnektoren nötig, die Systeme in Ihrem eigenen Netzwerk erreichen.

Der Pausenschalter besteht aus drei unabhängigen Schaltern, für Synchronisation, Reconciliation und Provisioning. Jeder hält die jeweilige Engine im gesamten Tenant an. Die Schalter bleiben über Neustarts hinweg bestehen und sind für alle Admin-Benutzer sichtbar. Das ist wichtig, weil IGA-Engines nach Zeitplänen laufen. Wenn Sie um 23 Uhr einen Fehler im Rollenmodell entdecken, müssen Sie die richtige Engine oder alle drei anhalten, während Sie die Ursache untersuchen, ohne Konfigurationsdateien anzufassen oder Prozesse zu beenden. Ein Pause-Schalter tut das mit einem Klick. Neben dem Pausenstatus wird ein Grund festgehalten, mit der Angabe, wer pausiert hat und wann, und jeder Admin sieht ihn, bis die Engine fortgesetzt wird.

Role Mining analysiert Ihre bestehenden Zugriffsdaten, um natürliche Gruppierungen zu finden: Muster von Berechtigungen, die Personen in ähnlichen Rollen gemeinsam haben. RapidValue führt 8 Algorithmen parallel aus (attributbasiert, organisatorisch, nach Tätigkeitsfunktion, Berechtigungs-Clustering, kontextbasiert und weitere). Der Deduplizierungsschritt löst ein häufiges IGA-Problem. Dieselbe reale Rolle, zum Beispiel „Finance Manager in der IT-Abteilung“, wird von verschiedenen Algorithmen aus verschiedenen Quellsystemen mehrfach vorgeschlagen. Ohne Deduplizierung würden Sie 7 Vorschläge erhalten, die alle dasselbe aussagen. RapidValue erkennt überlappende Vorschläge (ähnliche Berechtigungsmengen, ähnliche Mitgliedergruppen) und führt sie zu einem einzigen Vorschlag zusammen, mit einer Erklärung der Zusammenführung. Sie prüfen einen Vorschlag und sehen, woher er stammt.

Jede nichtmenschliche Identität (Servicekonto, KI-Agent, Bot, IoT-Gerät, Cloud-Workload) erhält bei der Registrierung einen Lebenszyklustreiber. Der Treiber sagt, warum die Identität existiert, und RapidValue errät ihn nicht aus der Art der Identität. Es gibt vier Treiber. Änderungsgetrieben: an ein Code-Deployment oder eine Konfigurationsänderung gebunden, etwa ein CI/CD-Servicekonto oder die Zugangsdaten einer Pipeline. Laufzeitgetrieben: existiert, weil gerade etwas läuft, etwa ein geplanter Job oder eine Workload-Identität. Anlagengebunden: an ein Stück Infrastruktur gebunden, etwa ein Gerät oder ein Zertifikat. Zweckgetrieben: existiert aus einem angegebenen geschäftlichen Grund, der jedes einzelne System überdauert, etwa eine Integration oder ein Daten-Feed. Eine Person gibt den Treiber bei der Registrierung an. Ein Wert, den RapidValue nur aus dem Identitätstyp vorschlägt, schließt nie einen Governance-Befund. KI-Agenten haben außerdem eine zweite Eigenschaft: eine Autonomiestufe (assistiert, überwacht, autonom), die festlegt, wie oft der Agent neu bestätigt wird. Sie ist getrennt vom Lebenszyklustreiber, der beantwortet, warum die Identität überhaupt existiert. Die Eigentümerabdeckung (der Prozentsatz der Maschinenidentitäten mit benanntem Eigentümer) ist vom ersten Tag an eine zentrale KPI im Governance-Dashboard.

RapidValue behandelt sich selbst als verbundenes System. Hinter jedem Login-Benutzer steht eine Identität in Ihrem Verzeichnis. Plattformrollen (Admin, Auditor, Helpdesk, …) sind Gruppenmitgliedschaften, die im selben Sicherheitsmodell erscheinen wie jeder andere Zugriff. Wenn Sie einen Kollegen mit einer Rolle einladen, erzeugt RapidValue eine echte, gesteuerte Zuweisung, die in Reconciliation und Zugriffsreviews auftaucht. Schutzmechanismen verhindern, dass Sie sich selbst aussperren. Automatisierung kann den letzten aktiven Admin nie deaktivieren oder herabstufen, und die Rollenmitgliedschaft eines aktiven Admins ist gegen einen Entzug durch einen Konnektor geschützt. Eine Notfallsperre eines kompromittierten Admins entzieht weiterhin sofort alles.

Ja, als Standardfunktion. Break-Glass-Profile verknüpfen berechtigte Personen mit den Notfallberechtigungen Ihrer kritischen Systeme. Die Abdeckung wird nachverfolgt, und die Anzahl der Systeme ohne Notfallpfad ist eine KPI. Die Aktivierung erfolgt mit einem Klick und ist zeitlich begrenzt: Sie läuft automatisch ab, und der Zugriff wird bei Ablauf entzogen. Jede Aktivierung wird mit kritischem Schweregrad im unveränderlichen Audit-Trail festgehalten und bleibt markiert, bis eine Begründung hinterlegt ist. Die Event-Review-Regel startet dann ein Review genau dessen, was genutzt wurde.

Reviewer delegieren ihre Warteschlange für einen Zeitraum, entweder für eine Abwesenheit oder als dauerhafte Regelung. Entscheidungen, die im Auftrag einer anderen Person getroffen werden, tragen die Kennzeichnung „im Auftrag von“ und können separat auditiert werden. Die Genehmigungskette läuft weiter, während jemand abwesend ist, und der Audit-Trail zeigt weiterhin, wer entschieden hat. Eine überfällige Warteschlange erinnert ihren Eigentümer außerdem automatisch, sodass Delegation nur bei Abwesenheit nötig ist.

Der Genehmiger erhält zuerst eine E-Mail. Sie geht an den Genehmiger, dessen Schritt gerade ansteht. Die E-Mail kann einen Link zur Entscheidungsseite enthalten. Sie zeigt nie „Genehmigen“ neben „Ablehnen“. Der Link nennt das Element und den Empfänger und enthält nicht die Entscheidung, sodass ein zweimaliges Öffnen nichts entscheidet. Die Entscheidung selbst wird auf einer Seite getroffen, die die SoD- und Hochrisiko-Warnungen zeigt, und eine Ablehnung braucht immer eine schriftliche Begründung. Das wird pro Tenant eingestellt und ist ausgeschaltet, bis Sie es einschalten. Dieselbe E-Mail und derselbe einzelne Link decken jetzt auch Zertifizierungsrunden ab. Ein neues Review kündigt sich selbst an, und eine Erinnerung an eine bald fällige Entscheidung ist eine eigene Nachricht.

Nein. Der Genehmiger des offenen Schritts erhält eine E-Mail. Ein geplanter Job sendet für eine überfällige Entscheidung in regelmäßigen Abständen Erinnerungen, und eine feste Ansicht zeigt, was am längsten wartet und bei wem. Sie sehen außerdem eine gemessene Zeit „typischerweise genehmigt in“. Sie ist der Median der letzten neunzig Tage dieses Tenants, und es wird keine Zahl angezeigt, wenn zu wenige Daten vorliegen. Sie werden informiert, wenn das Ergebnis feststeht, einschließlich einer Nachricht „Ihr Zugriff ist aktiv“, die gesendet wird, sobald das Provisioning abgeschlossen ist.

Agenten, die auf Microsoft Entra Agent ID (einschließlich in Copilot Studio und AI Foundry erstellter Agenten), Amazon Bedrock und AgentCore, Google Vertex AI Agent Engine und Agentspace, Salesforce Agentforce, ServiceNow-KI-Agenten und GitHub Apps betrieben werden. Auf AWS und Google Cloud können Sie außerdem IAM-Benutzer als Agenten taggen oder Servicekonten als Agenten deklarieren. Die Erkennung auf GitHub bleibt ausgeschaltet, bis ein Organisationsinhaber sie aktiviert. Selbst gehostete Agenten werden über den Intake-Prozess von einem namentlich benannten Sponsor registriert. Wo die Plattform einen Sponsor erfasst, übernimmt RapidValue ihn als Eigentümer. Diese KI-Agenten sind etwas anderes als der RapidValue-Agent, der die eigene Konnektor-Laufzeitumgebung von RapidValue ist.

Das hängt von der Plattform ab, und RapidValue sagt Ihnen, was es getan hat. In Entra deaktiviert es den Agenten. Auf AWS hängt es eine Deny-all-Richtlinie an und liest sie zur Kontrolle zurück, und eine Rolle, die mit anderen Workloads geteilt wird, wird als geteilt gemeldet. Auf Google Cloud deaktiviert es ein nutzerverwaltetes Servicekonto und verweigert die Aktion bei von Google verwalteten Konten. Bei GitHub Apps sperrt es den Agenten in RapidValue und weist darauf hin, dass GitHub von dort aus nicht gestoppt werden kann. In jedem Fall wird die Identität in RapidValue gesperrt, die von RapidValue ausgestellten Zugangsdaten werden widerrufen, eine eingetippte Begründung ist erforderlich, und die Aktion wird auditiert. Das Aufheben des Schalters stellt widerrufene Zugangsdaten nicht erneut aus.

Ja. Der eigene MCP-Server von RapidValue lässt Ihre KI-Assistenten Fragen stellen, Zugriff beantragen und die eigenen Aufgaben ihres Benutzers entscheiden, mit nur dem, was dieser Benutzer sehen darf. Jeder verbundene Assistent wird als KI-Agent mit Eigentümer und Kill-Switch gesteuert. Im Early Access ist das Gateway von RapidValue vor Ihren MCP-Servern und internen APIs. Jedes Tool wird eine Berechtigung, die Antrag, Genehmigung, Zertifizierung und Prüfung auf Funktionstrennung durchläuft, und das Gateway entscheidet jeden Aufruf und blockiert, was nicht erlaubt ist. Es hält die Zugangsdaten des Systems, sodass der Agent sie nie sieht, und jedes System startet im Beobachtungsmodus. Ein Gateway, das Sie bereits betreiben, kann RapidValue im Format OpenID AuthZEN nach derselben Entscheidung fragen. Entscheidungen werden stündlich versiegelt. Ein Modell erhält nie einen direkten Weg zu einem Connector.

RapidValue erfasst die Metadaten von Zugangsdaten und nie das Secret selbst. Die Metadaten stammen aus Entra-App-Registrierungen (Secrets und Zertifikate), AWS-IAM-Zugriffsschlüsseln, Schlüsseln von Google-Cloud-Servicekonten, App-Passwörtern in Google Workspace und Active Directory (Passwortalter als Rotation, letzte Anmeldung als Nutzung), dazu kommen die API-Zugangsdaten, die RapidValue ausstellt. Nicht ablaufende Zugangsdaten, Zugangsdaten, die innerhalb von 30 Tagen ablaufen, ungenutzte API-Zugangsdaten und überfällige Rotationen werden zu Befunden. Wenn eine Quelle keine Nutzung meldet, werden die Zugangsdaten als „nicht gemeldet“ angezeigt. Sie werden nicht als „nie genutzt“ angezeigt.

IVIP steht für Identity Visibility & Intelligence Platform. Es ist die in RapidValue integrierte Analyse- und Risikoschicht: ein gespeicherter Risikoscore pro Identität, systemübergreifende SoD-Erkennung, Erkennung ruhender Zuweisungen, Ausreißererkennung in Peer-Gruppen und tägliche Snapshots des Risikotrends. Es ist wichtig, weil es Ihnen zeigt, wohin Sie zuerst schauen sollten. IVIP beantwortet die Frage „Welche 5 Identitäten sollte ich mir jetzt ansehen?“ mit einem Score, der nach festen Regeln berechnet und in seine Komponenten aufgeschlüsselt wird. Es verwendet kein LLM, und Sie können sehen, wie jeder Score berechnet wurde. Es macht es auch möglich, zu beobachten, bevor Sie steuern. Sie können jedes System oder Objekt im Nur-Lese-Modus halten, vom ersten Tag an das vollständige Risikobild und Empfehlungen erhalten und Provisioning pro System aktivieren, sobald Sie den Nutzen gesehen haben.

Ja, er ist vollständig deterministisch und verwendet kein Machine Learning. Der Score ist eine gewichtete Summe von 0 bis 100 über 18 deklarierte Komponenten, von denen 16 in den Score eingehen. Dazu gehören: ruhende Zuweisungen, wobei ruhende privilegierte Zuweisungen separat gewichtet werden; systemübergreifende SoD-Verstöße in den Stufen Warnung und kritisch; Schattenzugriff, also Berechtigungen, die über verschachtelte Gruppen geerbt werden; Peer-Gruppen-Ausreißer, also mehr Zugriff als statistisch vergleichbare Kollegen; aktive Zuweisungen bei einer ausgeschiedenen Identität; privilegierter Zugriff ohne aktuelle Zertifizierung; nichtmenschliche Identitäten ohne Eigentümer; offene Review-Elemente und Identitätswarnungen, nach Schweregrad; und offene Befunde des Platform Advisor, nach Schweregrad. Jede Komponente hat ein konfigurierbares Gewicht. Die Aufschlüsselung wird in der Identitäts-Detailansicht gezeigt, sodass Sie jederzeit sehen können, warum ein Score so ist, wie er ist.

Er ist ein geplanter Detektor, der Berechtigungszuweisungen markiert, die ihr Inhaber seit N Tagen nicht genutzt hat. „Nutzung“ wird aus Nutzungsdaten pro Zielsystem abgeleitet, etwa aus Login-Datensätzen, der Anzahl der API-Aufrufe und Zeitstempeln der letzten Aktivität. Der Detektor beurteilt nur, was er beobachten kann. Eine Zuweisung kann nur auf einem Konnektor als ruhend markiert werden, der Nutzung meldet. Auf einem System, auf dem RapidValue keine Aktivität sehen kann, wird die Inaktivität als unbekannt angezeigt, sodass eine Liste ruhender Zuweisungen nie Zuweisungen enthält, die einfach nicht erfasst werden. Ruhende Zuweisungen erhöhen den Risikoscore des Inhabers und erscheinen als Empfehlungen des Platform Advisor, zum Beispiel „23 ruhende Zuweisungen in 4 Systemen entziehen. ETA: 0 Auswirkungen auf Benutzer.“ Sie klicken sich durch, um zu prüfen und zu entziehen, einzeln oder gesammelt. Der Entzug ist immer eine explizite Admin-Aktion. Einen automatischen Entzug gibt es nicht, weil das Entfernen von Zugriff große Auswirkungen hat und eine Person darüber entscheiden sollte. Weniger ruhende Zuweisungen bedeuten direkte Lizenzeinsparungen und eine kleinere Angriffsfläche.

Identitäten werden nach Abteilung und Tätigkeitsfunktion gruppiert. Der Detektor markiert Identitäten, deren Zugriff weit über dem Median ihrer Gruppe liegt. Er verwendet den Median, sodass ein einzelner Ausreißer die Basislinie nicht verschieben kann. Ein typischer Befund ist „Bob hat 3× so viel Zugriff wie seine Peer-Gruppe“. Ein Ausreißer wird zum Kandidaten für eine von drei Maßnahmen. Eine gezielte Zertifizierung, bei der die Führungskraft bestätigt, dass der zusätzliche Zugriff gerechtfertigt ist. Ein Review der Rollenmitgliedschaft, wenn Bobs zusätzlicher Zugriff einer Rolle entspricht, die er formal haben sollte. Oder Right-Sizing, wenn Bob diesen Zugriff in früheren Positionen angesammelt hat und er bereinigt wird. Das Ergebnis ist deterministisch, und die Aufschlüsselung zeigt, welche konkreten Berechtigungen die Abweichung verursachen.

Es sind zwei Begriffe für dieselbe Engine. Mit einer SoD-Regel deklarieren Sie eine toxische Kombination: zwei systemübergreifende Bedingungen, etwa „Lieferantenpflege in Workday“ und „Zahlungsfreigabe in SAP“, die keine einzelne Person gemeinsam innehaben sollte. Die Auswertung läuft fortlaufend und markiert jede Identität, die beide Seiten hält, egal, wie sie dazu gekommen ist: über verschiedene Rollen, verschiedene Systeme oder Zuweisungen, deren Kombination niemand beabsichtigt hat. Verstöße erscheinen an drei Stellen und stammen aus derselben Quelle: in der SoD-Workbench (mit beiden Seiten pro Person benannt), in der Compliance-Posture-Ansicht (als Befunde zu toxischen Kombinationen) und im Identitäts-Risikoscore (gewichtet nach Schweregrad der Regel, kritisch oder Warnung). Wir haben uns bewusst für eine Engine entschieden, weil zwei getrennte Detektoren Ihnen zwei Antworten geben würden, die sich widersprechen.

Audit Packs sind vorgefertigte Nachweisbündel, die auf ein Framework abgebildet sind. Sie wählen einen Zeitraum und klicken auf „Erzeugen + herunterladen“. Sie erhalten ein ZIP mit einem HTML-Index, der pro Abschnitt den Verweis auf die Framework-Kontrolle enthält, einer JSONL-Datendatei pro Abschnitt und einem Manifest mit dem Zeitraum und der Zeilenzahl pro Abschnitt. Heute gibt es zehn Vorlagen. Dies sind die auf Frameworks abgebildeten Vorlagen. SOX § Access Management: Bereitstellung, Änderung und Review von Zugriffen, abgebildet auf die Kontrollziele von PCAOB AS 2201, mit dem zugrunde liegenden Framework-Verweis. ISO 27001 Access Control (Annex A.9 in der Ausgabe 2013): Registrierung von Benutzerzugriffen, Verwaltung von Privilegien und Überprüfung von Zugriffsrechten. HIPAA § 164.312 Technical Safeguards: Zugriffskontrolle, Audit-Kontrollen, Integrität, Authentifizierung von Personen/Entitäten und Übertragungssicherheit, ausgerichtet auf Covered Entities und Business Associates, die Systeme mit PHI betreiben. DSGVO Art. 32 Sicherheit der Verarbeitung: geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. DORA Art. 9, NIS2 Art. 21 und SOC 2 CC6. EU AI Act / ISO 42001 Agenten-Governance: das Agentenregister, Verantwortlichkeit und Bestätigungshistorie, mit einer eigenen Erklärung dazu, was es nicht beansprucht. Es gibt außerdem zwei operative Packs: Lebenszyklusnachweise für Eintritte, Wechsel und Austritte sowie privilegierter/Just-in-time-Zugriff. Die Packs enthalten, was Ihr Prüfer verlangt, sodass Sie sie zum Audit-Kickoff mitbringen können. Ein Pack ist ein Bündel von Datensätzen aus dem hash-verketteten Audit-Trail, der in der Datenbank nicht geändert werden kann. Sein Manifest enthält einen Hash jeder Datei im Pack und wiederholt, was das Pack aussagt, etwa die Referenz und die Zeilenzahl jedes Abschnitts, sodass eine geänderte Datei oder Beschriftung bei der Verifizierung scheitert. Das Manifest trägt eine einzige Ed25519-Signatur mit einem Schlüssel pro Tenant, dessen öffentliche Hälfte wir veröffentlichen. Ihr Prüfer kann das Pack daher ohne uns verifizieren, mit dem eigenständigen Verifier in jedem Pack oder allein mit OpenSSL. Ihr Prüfer nimmt den öffentlichen Schlüssel aus Ihren veröffentlichten Signaturschlüsseln, nicht aus dem Pack selbst, und braucht nichts weiter von uns. Vor Oktober 2026 signierte Packs bleiben verifizierbar. Auch der rohe Export des Audit-Logs trägt eine Ed25519-Signatur.

Neue Konnektoren starten mit aktiviertem Provisioning, aber jede neue Zuweisung wird in einem Batch zurückgehalten. Ausgehende Zugriffsänderungen warten auf Ihre ausdrückliche Genehmigung, bis Sie die Stützräder pro System abnehmen. Um genau zu sein: Das Gate deckt heute das Anlegen und Zuweisen ab. Entzüge und Attribut-Write-backs werden durch ihre eigene Richtlinie pro Konnektor gesteuert, und das Batch-Gate deckt sie nicht ab. Identitäten, Konten und Berechtigungen werden ab dem ersten Lauf synchronisiert, und das vollständige IVIP-Bild (Risikoscore, SoD, Reconciliation, Advisor) ist sofort verfügbar. Das Ergebnis ist, dass ein neues Zielsystem in Minuten angebunden ist und Sie sehen, was RapidValue in Ihren Zugriffen findet, bevor sich im Zielsystem etwas ändert. Wenn Sie beobachten möchten, bevor Sie steuern, können Sie außerdem jedes Objekt auf Nur-Lesen setzen (ein Flag write_enabled pro Objekt) und es lesen, ohne überhaupt ein Write-back zu konfigurieren. Der Weg ist: mit eingeschaltetem Gate verbinden, Rollen per Role Mining ermitteln, Richtlinien festlegen und das Gate für besonders wichtige Zielsysteme entfernen (typischerweise zuerst AD), sobald die Reconciliation-Nachweise Sie überzeugt haben.

Der Katalog enthält heute 20 Konnektoren: 14 Herstellervorlagen plus sechs generische Engines. Microsoft Entra ID (Azure AD), mit vollständiger Graph-API-Integration. Exchange Online, für die Governance von Postfächern und Verteilergruppen. Google Workspace, mit dem Admin-SDK-Verzeichnis und einem Scan unstrukturierter Daten in Drive. Active Directory und generisches LDAP, für AD, OpenLDAP und IBM/Oracle Directory. ServiceNow, in beide Richtungen: Es provisioniert und es erstellt Tickets für manuelle Aufgaben. Salesforce, für die Governance von Profilen und Permission Sets. Workday, als HR-Quelle. SAP SuccessFactors, als HR-Quelle. Box, mit einem Scan von Ordnern und Kollaborationen (unstrukturierte Daten). AFAS, TOPdesk, Nmbrs, Atlassian und GitHub, als Herstellervorlagen für den niederländischen und belgischen Mittelstand. SMB/NTFS-Dateifreigaben, mit einem Scan unstrukturierter Daten durch den Agenten hinter der Firewall. Generisches SCIM 2.0, für jedes SCIM-konforme Ziel (Slack, GitHub Enterprise, Atlassian, …). Generisches REST, für jede JSON-API, einschließlich CSV/JSON-HR-Feeds. Generisches SQL, für Anwendungsdatenbanken auf Postgres, MySQL und MSSQL. SFTP-CSV, für Flat-File-HR-Feeds über SFTP/HTTPS. Die Scans unstrukturierter Daten (Google Drive, Box, SharePoint, SMB/NTFS) sind eine Vorschau. Sie sind standardmäßig ausgeschaltet und werden pro Tenant auf Anfrage aktiviert, weil sie sich noch nicht in einer realen Kundenumgebung bewährt haben. Nmbrs (Visma) ist eine Vorlage. Die einmalige OAuth-Zustimmung läuft im Assistenten: Sie registrieren die App in Ihrem Nmbrs-Entwicklerportal, klicken auf „Verbinden“ und melden sich einmal an. Danach läuft der Konnektor unbeaufsichtigt mit seinem Refresh-Token. Er ist auch der einzige Konnektor, den wir nicht selbst gebaut haben. Er wurde als Paket auf Basis unseres Template-SDK beigesteuert, und das zeigt, dass weniger verbreitete Konnektoren nicht auf unsere Roadmap warten müssen. SOAP / WS-* ist als „demnächst“ markiert und gehört nicht zu den zwanzig. Eigene Konnektoren werden mit dem geführten Assistenten erstellt, über REST-, LDAP- oder SCIM-Endpunkte. Die Live-Erkennung des Assistenten füllt den Großteil der Mapping-Konfiguration aus, sodass Sie Vorschläge prüfen und das Mapping nicht von Grund auf schreiben müssen.

Mit dem Assistenten ist ein Standard-REST- oder SCIM-Ziel in etwa 15 Minuten angebunden. Sie geben dem Assistenten den Discovery-Endpunkt des Ziels an, er liefert einen Mapping-Vorschlag, und Sie prüfen etwa 10 Felder, wo Sie sonst 100 von Grund auf definieren würden. Für komplexe Ziele (mehrstufige Authentifizierung, nicht standardkonforme Schemata, Legacy-SOAP-APIs) ist die Entwicklung eigener Konnektoren als Dienstleistung verfügbar. Das dauert typischerweise 3–5 Tage für einen produktionsreifen Konnektor.

Das hängt davon ab, was Sie migrieren. Konnektoren: Der Assistent baut Konnektor-Konfigurationen aus der Live-Erkennung neu auf, und das ist meist einfacher, als Konnektor-XML oder Konfiguration aus dem alten Tool zu migrieren. Rollenmodell: Role Mining leitet es aus Ihren aktuellen Zugriffsdaten neu ab. So müssen Sie die Rollendefinitionen, die sich im alten Tool angesammelt haben, nicht importieren, und zu jedem Vorschlag gibt es Nachweise. Zertifizierungshistorie: Sie bewahren die Nachweisexporte Ihres alten Tools für die Aufbewahrungsfrist auf, und RapidValue beginnt ab dem ersten Tag einen neuen, unveränderlichen Nachweis-Trail. Workflows und Richtlinien: Sie deklarieren SoD-Regeln im Regeleditor neu und bauen Genehmigungsregeln im visuellen Builder neu auf. Eine Migration von einem bestehenden Tool veranschlagen wir gemeinsam mit Ihnen nach dem ersten Vormittag auf Ihren eigenen Daten, und Umgebungen mit vielen gewachsenen Anpassungen einzeln.

Sie können jederzeit selbst alles exportieren. Ein vollständiger Export pro Tenant (Art. 20 DSGVO) erzeugt eine maschinenlesbare Kopie all Ihrer Daten: Identitäten, Konten, Berechtigungen, Konfiguration und die vollständige Audit-Historie. Sie erhalten ein tar.gz mit einer JSONL-Datei pro Tabelle, hinter einem signierten Link, der 24 Stunden gültig ist. Es ist eine Schaltfläche für Tenant-Admins in Ihren eigenen Einstellungen, sodass Sie kein Ticket brauchen und nicht auf uns warten müssen. Bei Vertragsende führen wir das Offboarding in zwei Schritten durch. Ihr Tenant wird zunächst in einen Offboarding-Status versetzt, in dem nichts Neues geschieht und alles weiterhin exportiert werden kann. Die endgültige Löschung wird erst nach einer ausdrücklichen, eingetippten Bestätigung ausgeführt und nie als automatischer Hintergrundschritt. Der Code setzt zwischen beiden Schritten eine Frist von 30 Tagen durch. Vor ihrem Ablauf wird die Löschung abgelehnt. Eine vorzeitige Übersteuerung ist eine Admin-Aktion, die ein eigenes Audit-Ereignis schreibt. Das unveränderliche Audit-Log ist das Einzige, was nach der Löschung aufbewahrt wird, gestützt auf die Ausnahme für gesetzliche Aufbewahrungspflichten nach Art. 17 Abs. 3 lit. b DSGVO. Bei Konnektoren im Agent-Modus haben Ihre Zugangsdaten Ihr Netzwerk ohnehin nie verlassen, und den lokalen Vault des Agenten können Sie selbst vernichten.