Was ist Identity Governance and Administration (IGA)? Ein vollständiger Leitfaden

86 % der Unternehmen erlebten im vergangenen Jahr einen identitätsbezogenen Vorfall, so der Bericht der Identity Defined Security Alliance 2025 Trends in Securing Digital Identities. Identity Governance und Administration helfen Organisationen, diese Risiken zu bewältigen, indem sie den Zugriff kontrollieren, während sich Benutzer, Rollen und Systeme ändern.

Die Lücke besteht weiterhin, weil Identitäten sich nun ausbreiten über Microsoft Active Directory (AD), Microsoft Entra ID, HR-Systeme und hunderte Software-as-a-Service (SaaS)-Anwendungen, während die verantwortlichen Teams nicht entsprechend gewachsen sind.

Der Netwrix Cybersecurity Trends Report 2025 ergab, dass 77 % der Organisationen in einer hybriden IT-Umgebung arbeiten. Jedes getrennte System fügt einen weiteren Ort hinzu, an dem Zugriffe abgeglichen, Genehmigungen dokumentiert und rechtzeitige Widerrufe während einer Prüfung nachgewiesen werden müssen.

Für Organisationen mit weniger als 500 Mitarbeitern arbeiten IT-Teams oft schlank, während Unternehmen Zugriffsüberprüfungen für mehrere Vorschriften durchführen müssen und manuelle Tabellenkalkulationen nicht mithalten können. Eine effektive IGA-Auswahl hängt von der Lebenszyklusabdeckung, der Integrationsbreite, Zertifizierungs-Workflows und einem realistischen Implementierungsumfang ab.

Was ist Identity Governance und Administration?

IGA ist die Lösungsreihe, die Organisationen zur Verwaltung des Identitätslebenszyklus und zur Steuerung des Zugriffs in lokalen und Cloud-Umgebungen verwenden. Der Name beschreibt zwei verbundene Funktionen.

• Governance legt Richtlinien fest, bewertet Zugriffe und erstellt Compliance-Nachweise, z. B. die Bestätigung der Berechtigungen eines Teams für enterprise resource planning (ERP) und die Widerrufung nicht mehr benötigter Rechte. Das System protokolliert jede Entscheidung.
• Die Verwaltung gewährt und entzieht Zugriffsrechte. Wenn die Personalabteilung einen Mitarbeiter als beendet markiert, deaktiviert die IGA-Plattform Konten, entfernt Gruppenmitgliedschaften und entzieht den Anwendungszugriff in den verbundenen Systemen.

Einige Workflows umfassen beide Funktionen, da eine Zugriffsanfrage den Richtlinien- und Genehmigungsregeln folgt, bevor die Plattform sie erfüllt. Ein obligatorischer IGA-Fähigkeitensatz umfasst Lebenszyklus- und Berechtigungsmanagement, Richtlinienverwaltung, Auditierung, Risikobewertung, Bereitstellung, Zertifizierung und Anforderungs-Workflows.

Wie sich IGA, IAM und PAM unterscheiden

Identity and access management (IAM) ist die übergeordnete Disziplin. IAM ist die Sicherheits- und Geschäftsdiziplin, die Technologien und Prozesse umfasst, die den richtigen Personen oder Maschinen helfen, zur richtigen Zeit aus den richtigen Gründen auf die richtigen Ressourcen zuzugreifen. Operativ verwaltet IAM Authentifizierung und den täglichen Zugriff: single sign-on (SSO), Multifaktor-Authentifizierung (MFA), password management und Kontoberechtigungen.

IAM stellt das greifbare Wie von Identity Management dar, während IGA das organisatorische Was repräsentiert: die Richtlinien und Prozesse, die Zugriffsentscheidungen überwachen, durchsetzen und prüfen. IGA erweitert IAM, indem es Lebenszyklusautomatisierung, Zertifizierung und Compliance-Berichte über die Authentifizierungsinfrastruktur legt.

Privileged Access Management (PAM) konzentriert sich auf den risikoreichsten Bereich. PAM-Tools bieten erhöhten technischen Zugriff, indem sie die Konten, Anmeldeinformationen und Befehle verwalten und schützen, die zur Systemverwaltung verwendet werden. IGA steuert jede Identität, während PAM die privilegierten Sitzungen kontrolliert, überwacht und aufzeichnet, die Sicherheitskonfigurationen ändern oder viele Benutzer gleichzeitig beeinflussen könnten.

IAM, IGA und PAM sind eng miteinander verknüpft. IAM dient als Dach, das IGA, access management und federation sowie PAM als seine drei Kerntechnologiebereiche umfasst. Die Rückkopplung läuft in beide Richtungen. Identitäts- und Rollendaten aus IGA steuern PAM-Richtlinien, PAM-Ereignisse fließen zurück in IGA zur Governance, und IGA bleibt die Quelle der Wahrheit für Identitäten und Zugriffe.

Bestandteile der Governance und Verwaltung von Identity Management

IGA funktioniert als Satz ineinandergreifender Funktionen, die jeweils einen anderen Punkt im Identitätslebenszyklus steuern. Eine Plattform ist nur so stark wie ihr schwächstes Glied.

Identity-Lebenszyklusverwaltung

Lebenszyklusverwaltung verknüpft die Kontoerstellung, Rollenänderungen und Kündigungen mit einer autoritativen Quelle wie einem HR-System. Zugriffsänderungen erfolgen sofort mit dem Statuswechsel einer Person und beseitigen die Verzögerungen von Tagen oder Wochen, die ein manueller Helpdesk-Ticket-Prozess verursacht.

Zugriffszertifizierung und -bestätigung

Zertifizierungskampagnen leiten die aktuellen Berechtigungen jedes Benutzers an einen Manager oder Ressourcenbesitzer zur periodischen oder kontinuierlichen Überprüfung weiter, widerrufen automatisch alles, was der Prüfer ablehnt, und dokumentieren die Entscheidung als Compliance-Nachweis.

Rollenbasierte Zugriffskontrolle und Trennung der Aufgaben

Rollen- und Segregation-of-Duties-(SoD)-Richtlinien legen fest, welche Berechtigungen zusammengehören und welche Kombinationen ein Interessenkonfliktrisiko darstellen. Die Plattform setzt diese Regeln automatisch durch und ersetzt so die Einzelfallentscheidungen der Prüfer.

Automatisierte Bereitstellung und Entfernung

Provisioning führt die Zugriffsentscheidungen der anderen Komponenten aus, indem Berechtigungen in verbundenen Systemen wie Active Directory, Entra ID und SaaS-Anwendungen hinzugefügt oder entfernt werden, ohne für jede Änderung ein manuelles Ticket.

Arbeitsabläufe für Zugriffsanfragen

Mitarbeiter und Manager können über die festgelegte birthright-Basislinie hinaus Zugriff anfordern – über einen gesteuerten Workflow, der die Genehmigung an den richtigen Eigentümer weiterleitet und eine Prüfspur hinterlässt, die ein E-Mail-Verlauf niemals bieten würde.

Compliance-Berichte und Auditnachweise

Jede Governance-Entscheidung und administrative Maßnahme erzeugt eine Aufzeichnung darüber, wer was, wann und warum genehmigt hat. Diese Aufzeichnung entspricht direkt dem regulatorischen Rahmen, dem eine Organisation verpflichtet ist, sei es HIPAA, PCI DSS, SOX oder DORA.

Warum Governance und Verwaltung von Identity Management wichtig sind

IGA reduziert das Verletzungsrisiko auf zwei Ebenen. Es begrenzt, was kompromittierter oder übermäßiger Zugriff erreichen kann, und ersetzt manuelle Abstimmung durch automatisierte Beweise, auf die Prüfer direkt reagieren können.

Reduzierung des identitätsbezogenen Verletzungsrisikos

Missbrauch von Zugangsdaten bleibt ein zentrales Anliegen der Identity-Sicherheit. Der 2026 Verizon Data Breach Investigations Report (DBIR) stellte Missbrauch von Zugangsdaten in 39 % der Verstöße entlang der Angriffskette fest, davon 13 % als initialen Zugriffspunkt.

Kontinuierliche Sichtbarkeit über überprovisionierte Berechtigungen, ruhende Konten und vergessene Auftragnehmer-Anmeldungen hilft Organisationen, ihre Identity Security Posture aufrechtzuerhalten und einzuschränken, was kompromittierte Anmeldeinformationen erreichen können.

Verwaister Zugriff verstärkt dieses Risiko. Verbleibender Zugriff betrifft 58 % der Organisationen, die berichten, dass ehemalige Mitarbeiter nach ihrem Ausscheiden Zugriff behalten haben, und weitere 23 % sind unsicher, da ihnen die Sichtbarkeit fehlt.

Der Netwrix 2026 Bericht zur Daten- und Identity-Sicherheit stellte ebenfalls fest, dass 76 % der Organisationen den dauerhaften Zugriff nicht sofort widerrufen können, sobald er nicht mehr benötigt wird. Kontinuierliche Governance schließt diese Lücken, indem sie den Zugriff an die aktuellen Geschäftsanforderungen anpasst.

Der finanzielle Einsatz ist erheblich. IBM's Cost of a Data Breach Report 2026 beziffert die globalen durchschnittlichen Kosten einer Datenpanne auf 4,99 Millionen US-Dollar, eine Steigerung von 12 % gegenüber dem Vorjahr.

IT-Aufwand reduzieren und Compliance verbessern

Manuelle Identity-Prozesse beanspruchen Zeit an beiden Enden des Lebenszyklus. Das Widerrufen von Cloud- und SaaS-Zugriff für ausscheidende Mitarbeiter erfordert erheblichen manuellen Aufwand, Zeit, die Automatisierung den IT-Teams zurückgeben kann.

Regulierungsbehörden verlangen dieselben Kontrollen, die IGA automatisiert:

• Das Health Insurance Portability and Accountability Act (HIPAA) verlangt administrative Schutzmaßnahmen mit dokumentierten Beendigungsverfahren (§ 164.308(a)(3)(ii)(C)) und Office for Civil Rights (OCR)-Prüfer vergleichen HR-Kündigungslisten mit aktiven Benutzerlisten in jedem System, um verwaiste Konten zu finden.
• Der Payment Card Industry Data Security Standard (PCI DSS v4.0) verlangt Zugriffsüberprüfungen mindestens alle sechs Monate (Anforderung 7.2.4), sofortige Sperrung bei gekündigten Nutzern (8.2.5) und Entfernung inaktiver Konten nach 90 Tagen (8.2.6).
• Für das Sarbanes-Oxley-Gesetz (SOX) umfassen die Verfahren des Public Company Accounting Oversight Board (PCAOB) die Validierung von Benutzerzugriffslisten für ausgeschiedene Mitarbeiter und die Bewertung der Aufgabentrennung beim rollenbasierten Zugriff.
• Das Digital Operational Resilience Act (DORA) verlangt, dass Zugriffsrechte mindestens jährlich überprüft werden, oder alle sechs Monate bei Systemen, die kritische oder wichtige Funktionen unterstützen, und ohne unangemessene Verzögerung entzogen werden, sobald sie nicht mehr benötigt werden (Artikel 21(1)(e)).

Ein automatisierter Workflow für Austritte zeichnet zeitgestempelte Widrigkeitsnachweise in verbundenen Systemen auf. IT kann diese Nachweise exportieren, wenn ein Prüfer einen Beleg verlangt, anstatt unter Zeitdruck Tabellen mit HR-Daten abzugleichen.

Häufige Missverständnisse über IGA

Annahmen über IGA bestehen fort, obwohl die Risikodaten ihnen widersprechen.

IGA ist nur ein Compliance-Kontrollkästchen

Die meisten Organisationen führen Benutzerzugriffsprüfungen durch. Der Sicherheitswert entsteht durch deren gute Durchführung. CSO Online berichtet, dass Identitäten nur 1 % der von Organisationen gewährten Berechtigungen nutzen, und Organisationen 50 % dieser Berechtigungen als hochriskant einstufen. Prüfungen, die nur zur Erfüllung der Anforderungen eines Prüfers durchgeführt werden, lassen diese Lücke offen; Prüfungen mit automatisierter Behebung schließen sie tatsächlich.

IGA ist ein einmaliges Projekt

Zugriffsrechte beginnen zu verfallen, wenn Personen ihre Rollen wechseln und alte Berechtigungen behalten, Projekte enden, während deren Berechtigungen bestehen bleiben, und Servicekonten länger bestehen als vorgesehen. Governance erfordert die kontinuierliche Durchsetzung des Prinzips der geringsten Privilegien, um Privilegienausweitung bei Rollenwechseln zu verhindern. Der Leadership Compass 2026 von KuppingerCole dokumentiert die Marktverschiebung hin zu kontinuierlichen, risikobewussten Überprüfungen statt rein periodischer Kampagnen.

IGA verwaltet nur menschliche Identitäten

Joiner-Mover-Leaver-Prozesse erstrecken sich jetzt über Mitarbeiter hinaus auf Auftragnehmer, Partner, Servicekonten, Bots und andere nicht-menschliche Identitäten. Der Netwrix 2026 Data and Identity Security Report fand Lücken in der Governance nicht-menschlicher Identitäten bei 76 % der Organisationen.

IGA ist nur für große Unternehmen

Die Bedrohungsdaten sagen etwas anderes. Im Verizon 2025 DBIR-Bericht verzeichneten kleinere Organisationen 3.049 Vorfälle gegenüber 982 bei großen Organisationen. Gestohlene Zugangsdaten verursachten 33 % der Verstöße bei kleineren Organisationen, fast identisch mit 32 % bei großen Organisationen.

Regulierungen greifen ebenfalls auf den Markt durch, da PCI DSS für jede Organisation gilt, die Kartendaten verarbeitet, und der Department of Defense (DoD) contractor pool umfasst fast 35.000 kleinere Organisationen unter mehr als 47.000 Firmen, die sich der Cybersecurity Maturity Model Certification (CMMC).

Diese Zahlen zeigen, dass Identitätsrisiken Organisationen jeder Größe betreffen. Netwrix deckt die Daten- und Identitätssicherheit für mittelständische Organisationen (100–5.000 Mitarbeiter) in regulierten Branchen mit Microsoft-lastigen hybriden Umgebungen ab, in denen die Governance-Anforderungen auf Unternehmensniveau sind, die Teams, die sie betreiben, jedoch schlank sind.

Kernfunktionen, auf die Sie bei einer IGA-Lösung achten sollten

Bewerten Sie jede IGA-Lösung anhand der folgenden betrieblichen Kriterien.

Automatisierte Bereitstellung und Entfernung

Automatisierte Connector-Bereitstellung ist eine Grundvoraussetzung, einschließlich Optionen für Anwendungen, die System for Cross-domain Identity Management (SCIM) nicht verwenden. Die Integration von IT service management (ITSM) sollte manuelle Erfüllung abdecken, wenn kein Connector vorhanden ist. Zwei Tests sind in einem Proof of Concept (POC) sinnvoll: Ereignisse aus autoritativer Quelle, wie eine Änderung eines HR-Datensatzes, sollten die Bereitstellung direkt auslösen, und die Abstimmung sollte verwaiste Konten erkennen, bei denen der tatsächliche Zustand vom beabsichtigten abweicht.

Joiner-Mover-Leaver-Abdeckung, einschließlich Movers

Einsteiger und Aussteiger sind einfache Fälle, während sich das Privilegienwachstum bei Positionswechseln zeigt. Stellen Sie sicher, dass eine Rollenänderung vorherige Berechtigungen automatisch entfernt und die für die neue Rolle erforderlichen zuweist. Bestätigen Sie, dass die workflows auch Auftragnehmer, Servicekonten und andere nicht-menschliche Identitäten abdecken.

Zugriffsbestätigung, die den Kreis schließt

Eine Zertifizierungskampagne sollte eine automatisierte Behebung auslösen. Die Plattform sollte widerrufene Berechtigungen aufheben und das Ergebnis protokollieren. Suchen Sie nach risikobewussten Empfehlungen und gezielten, kontinuierlichen Überprüfungsoptionen neben breit angelegten periodischen Kampagnen.

Rollenbasierte Zugriffskontrolle, Richtlinienverwaltung und Aufgaben-Trennung

Organisationen benötigen Autorisierungskontrollen zusätzlich zur rollenbasierten Zugriffskontrolle (RBAC). Teams, die versuchen, ein vollständiges Rollenmodell in einem Durchgang umzusetzen, scheitern meist. Der CIOPages-Käuferleitfaden bewertet Rollen, Richtlinien und Segregation of Duties (SoD) mit 20 % seiner Bewertung. Führen Sie den Proof of Concept mit Ihrer komplexesten Anwendung durch, wie SAP oder einem Mainframe, da komplexe Systeme einen aussagekräftigen Test für SoD-Erkennung bieten.

Breite an Konnektoren und Integrationen

CIOPages gewichtet mit 25 % am stärksten die Connector-Abdeckung und Datenqualität – und das aus gutem Grund: Die Connector-Abdeckung sollte über SSO-verbundene Anwendungen hinausgehen.

Auditfähige Berichterstattung

Prüfung, Berichterstattung und Analysen, einschließlich Risikobewertung, sind grundlegende Anforderungen. Die praktische Messlatte ist klar: Die Plattform sollte Beweise den Rahmenwerken zuordnen, auf die Sie antworten, und diese auf Abruf aus strukturierten Aufzeichnungen exportieren, anstatt Teams zu zwingen, Rohprotokolle zusammenzustellen.

Time-to-Value und Gesamtkosten des Eigentums

Bereitstellungszeitpläne reichen von acht Wochen für eine eng gefasste Bereitstellung mit 5.000 Identitäten bis zu einem gestaffelten Unternehmensausbau von 10–15 Monaten, laut Forrester Total Economic Impact Forschung. Die Komplexität der Connectoren, Datenqualität und Umfangsentscheidungen bestimmen diese Spanne, daher planen Sie Ihre erste Phase für die risikoreichsten Anwendungen. Bewerten Sie die Gesamtkosten des Eigentums (TCO) ehrlich: CIOPages stellt fest, dass Implementierungs-, Connector- und Teamkosten den TCO dominieren statt der Lizenzgebühren pro Identität, und Unternehmens-IGA-Käufer berichten, dass fast 60 % restriktive TCO als Hauptmangel ihrer aktuellen Lösung ansehen, laut Branchendaten.

Diese Kriterien verbinden gemeinsam die Reduzierung von Zugriffsrisiken und die Auditvorbereitung mit einem realistischen Umsetzungsplan.

Wie Netwrix Identity-Governance und -Verwaltung unterstützt

Netwrix adressiert Identity Governance durch zwei speziell entwickelte Produkte, die jeweils auf unterschiedliche Governance-Anforderungen ausgerichtet sind: Netwrix Identity Manager für unternehmensweites IGA und Netwrix Directory Manager für directory-fokussierte Lifecycle-Verwaltung in Active Directory und Entra ID.

Automatisierung des unternehmensweiten Lebenszyklus und der Zertifizierung

Netwrix Identity Manager entspricht direkt den oben genannten Bewertungskriterien. Die Bereitstellung verwalteter Systeme wendet das Rollenmodell auf verwaltete Systeme entweder direkt, durch automatische Bereitstellung oder durch Benachrichtigung der Systemadministratoren über die erforderlichen Änderungen an und umfasst sowohl verbindungsbasierte als auch manuelle Erfüllungswege.

Sein mover workflow geht direkt auf Privilegienausweitung ein. Wenn ein Mitarbeiter in eine Managementrolle wechselt, widerruft Identity Manager automatisch die alten Berechtigungen und weist die neuen zu, die die aktualisierte Rolle erfordert. Während der Zertifizierung kennzeichnen SoD-Kontrollen sensible oder riskante Zuweisungen zur vorrangigen Überprüfung.

Zertifizierungskampagnen werden als wiederkehrende Ereignisse durchgeführt. Wenn eine Kampagne endet, entzieht die Plattform automatisch widerrufene oder ungenutzte Berechtigungen und protokolliert die Behebung. Für die Rollenverwaltung role mining analysiert bestehende Zuweisungen und erstellt automatisch Zuweisungsregeln.

Automatisierung des Verzeichnislebenszyklus und der Gruppenmitgliedschaft

Netwrix Directory Manager übernimmt das Lifecycle-Management auf Verzeichnisebene. Es stellt Konten aus HR-Quellen in AD und Entra ID bereit, aktualisiert und entfernt sie.

Es automatisiert die Gruppenmitgliedschaft mit attributbasierten Regeln und ermöglicht Managern die Verwaltung von Benutzern und Gruppen über rollenbasierte Workflows mit Prüfpfaden. Die Self-Service-Passwortrücksetzung entlastet eine konstante Quelle von Helpdesk-Tickets.

Directory Manager konzentriert seine Bestätigung auf die Gruppenmitgliedschaft, während Identity Manager unternehmensweite Zugriffs-Zertifizierungskampagnen über Anwendungen hinweg verwaltet. Passen Sie das Produkt an den Umfang an, den Sie steuern müssen.

Umgang mit dauerhaftem privilegiertem Zugriff

Dauerhafter privilegierter Zugriff verschärft dieselbe Governance-Lücke. Eastern Carver County Schools beseitigte übermäßigen Admin-Zugriff auf Netzwerkswitches, VMware und Sicherheitssysteme für einen Schulbezirk im Raum Minneapolis mit 9.300 Schülern und ersetzte dauerhafte Privilegien durch Just-in-Time-Zugriff mit Netwrix Privilege Secure.

Der Bezirk schloss die Einführung laut Craig Larsen, seinem Administrator für Informationssysteme, in Tagen statt Monaten ab und verwandelte einen zuvor stressigen Prüfungsprozess in einen, der durch kontinuierliche Compliance-Nachweise gestützt wird.

Wie man mit IGA beginnt

Die Reihenfolge der IGA-Einführung basierend auf Inventar, Basislinie, Automatisierung und Überprüfungsrhythmus hält die frühen Phasen überschaubar und prüfbar.

1. Identitäten und Zugriffe inventarisieren

Der CIS Control 5 des Center for Internet Security setzt den Maßstab: ein Inventar aller Konten, sowohl Benutzer- als auch Administratorenkonten, sowie Dienstkonten mit benanntem Besitzer, Überprüfungsdatum und Zweck. Beziehen Sie menschliche, maschinelle und andere nicht-menschliche Identitäten mit ein, da legacy identity risks Dienstkonten und Computerkonten einschließen. Das Inventar zahlt sich sofort aus. Automatisierte Zugriffsüberprüfungen kennzeichnen regelmäßig übermäßige, unangemessene oder ungenutzte Zugriffe.

2. Definieren Sie eine Least-Privilege-Basis

National Institute of Standards and Technology Special Publication 800-53 control AC-6 verlangt, nur den für die zugewiesenen Funktionen notwendigen Zugriff zu erlauben. Ein praktischer Ausgangspunkt ist Birthright Access, die Berechtigungen, die das System basierend auf der Stellenrolle bei Einstellung automatisch gewährt, wobei alles darüber hinaus genehmigungspflichtig ist. Beginnen Sie mit einem engen Rollenmodell und iterieren Sie.

3. Automatisieren Sie Joiner-Mover-Leaver-Workflows

CIS Control 6 fordert automatisierte Prozesse zur Gewährung von Zugriffsrechten bei Einstellung oder Rollenwechsel und zur sofortigen Deaktivierung von Konten bei Beendigung. Deaktivieren Sie Konten, wo möglich, um Prüfpfade zu erhalten, und deaktivieren Sie inaktive Konten nach 45 Tagen Inaktivität gemäß CIS Control 5.

4. Eine Überprüfungsfrequenz festlegen

CIS empfiehlt eine vierteljährliche Validierung für Benutzer- und Dienstkonten; PCI-regulierte Umgebungen benötigen die zuvor beschriebenen halbjährlichen Überprüfungen; RBAC-Berechtigungsüberprüfungen sollten mindestens jährlich erfolgen. Legen Sie die genaue Frequenz an das Risikoniveau jeder Anwendung an, statt einen einheitlichen Zeitplan überall anzuwenden.

Erstellen Sie ein verteidigungsfähiges IGA-Programm

Identitäten breiten sich schneller aus, als ein manueller Prozess sie verfolgen kann, und eine Richtlinie ohne automatisierte Durchsetzung ist dieselbe Lücke, die sowohl Prüfer als auch Angreifer finden. Ein verteidigungsfähiges Programm behandelt jede Identität gleich, egal ob es sich um den Laptop eines neuen Mitarbeiters oder ein Servicekonto handelt, an dessen Erstellung sich niemand erinnert.

Benannte Eigentümerschaft, automatisierte Lebenszyklusereignisse, geschlossene Zertifizierungen und Nachweise, die ein Prüfer auf Abruf ziehen kann, ersetzen eine unter Zeitdruck abgeglichene Tabelle.

Fordern Sie eine Demo an und sehen Sie, wie Netwrix Identity Manager und Netwrix Directory Manager diesen Lebenszyklus, die Zertifizierung und die Audit-Nachweise in ein automatisiertes Programm statt ein manuelles verwandeln.