90% Remote: Lead Security Consultant IAM/PAM (m/w/d) – LDAP, SAML, PAM
nemensis AG
Ansprechpartner: Winita Hamdard
Bonn, Deutschland
Hochschulen und Behörden und VerbändeAutomatisierungMicrosoft Forefront Identity ManagerIdentitätsmanagementIdentity-Management-SystemeLDAPLDAP AdminPluggable Authentication Module (PAM)Remote-ManagementSamlCustomer Identity Access ManagementBerechtigungsmanagementOracle Identity Manager
Beschreibung
Projektbeschreibung
Rahmendaten
Aufgaben
Must-haves
Nice-to-haves
Bei unserem Kunden besteht Bedarf im Management und Handling von IAM/PAM. Die bestehende Verzeichnis-, Anmelde- und Berechtigungslandschaft soll gemeinsam mit den verantwortlichen Bereichen aufgenommen und auf ihre Tragfähigkeit geprüft werden. Darauf aufbauend wird eine eigenbetriebene Identitätsarchitektur entworfen – inklusive Föderation zwischen Zonen, moderner Authentifizierungsverfahren sowie eines belastbaren Rollen- und Berechtigungsmodells. Die Rolle gestaltet privilegierte Zugänge, Notfallzugangsverfahren und den Identitätslebenszyklus in einem hochsensiblen, eigenbetriebenen Umfeld sicher und nachvollziehbar.
Start: 16. November 2026
Laufzeit: bis 31. Dezember 2026, Verlängerung möglich: 1. Januar 2027 bis 30. Juni 2027
Auslastung: 90 %
Standort/Remoteanteil: 10 % Bonn / 90 % Remote (Remote nur innerhalb Deutschlands)
Stundensatz: 100 € vor Ort / 90 € Remote
Projektsprache: Deutsch
Voraussetzung: Deutsche Staatsbürgerschaft, SÜ2-fähig nach § 9 SÜG (Geheim/Sabotageschutz)
- Aufnahme der bestehenden Verzeichnis-, Anmelde- und Berechtigungslandschaft mit den verantwortlichen Bereichen, Bewertung ihrer Tragfähigkeit
- Entwurf der eigenbetriebenen Identitätsarchitektur einschließlich Konsolidierungsrichtung der Verzeichnisdienste
- Föderation zwischen Zonen zu internen und externen Beteiligten; eigene Zertifikatsverwaltung einschließlich Sperrinformationen und Zeitbasis
- Entwicklung der Authentifizierungsstrategie mit mehrstufigen und kennwortlosen Verfahren ohne Abhängigkeit von herstellerbetriebenen Diensten
- Entwurf des Rollen- und Berechtigungsmodells einschließlich der Identitäten von Automatisierung und Diensten
- Gestaltung des Lebenszyklus der Identitäten in Verzahnung mit den Personalprozessen, auch bei zeitversetzter Wirksamkeit in abgetrennten Zonen
- Konzeption und Pilotumsetzung für privilegierte Zugänge einschließlich zeitlich begrenzter Rechtevergabe, Sitzungsnachvollziehbarkeit und Notfallzugang ohne Fernunterstützung
- Abstimmung mit Personalvertretung und Datenschutz; Erstellung eines Skalierungsfahrplans mit Reihenfolge nach Risiko und Aufwand je Einheit
- Mind. 6 Jahre Erfahrung mit Entwurf und Einführung von Identitäts- und Berechtigungsmanagement in einer heterogenen Organisation, mit Ergebnisverantwortung
- Mind. 6 Jahre Erfahrung mit eigenbetriebenen Verzeichnis- und Föderationsdiensten sowie den zugrunde liegenden Verfahren: Kerberos, LDAP, SAML, OIDC, OAuth 2.0, SCIM (Erfahrung darf nicht ausschließlich auf einem herstellerbetriebenen Identitätsdienst beruhen)
- Mind. 6 Jahre Erfahrung mit Einführung mehrstufiger Authentifizierung ohne Abhängigkeit von Benachrichtigungsdiensten des Herstellers
- Mind. 6 Jahre Erfahrung mit Einführung kontrollierter privilegierter Zugänge über heterogene Zielsysteme im Eigenbetrieb
- Mind. 6 Jahre Erfahrung mit Notfallzugangsverfahren für Umgebungen
- Mind. 6 Jahre Erfahrung mit Zertifikatsverwaltung
- Mind. 6 Jahre Erfahrung mit Entwurf von Rollen- und Berechtigungsmodellen sowie Ableitung aus Berechtigungsdaten und realistischer Einschätzung
- Mind. 6 Jahre Erfahrung im Umgang mit personenbezogenen, technischen und Maschinenidentitäten, einschließlich Identitäten automatisierter Auslieferung
- Mind. 6 Jahre Erfahrung in der Verzahnung mit Personalprozessen sowie in der Abstimmung mitbestimmungspflichtiger Regelungen
- Active Directory, FreeIPA, Univention Corporate Server, Keycloak, Shibboleth, ADFS
- privacyIDEA, LinOTP, FIDO2/WebAuthn-Token (z. B. YubiKey, Nitrokey)
- CyberArk, Delinea, BeyondTrust, WALLIX, Teleport, HashiCorp Boundary
- midPoint, SailPoint, One Identity, Omada
- EJBCA, Dogtag, step-ca, Microsoft ADCS, cert-manager
- SPIFFE/SPIRE
- Kontextabhängige Zugriffssteuerung aus dem Public-Cloud-Umfeld
- Identitäten und Föderation im Providerkontext
- Kennwortlose und hardwaregebundene Anmeldeverfahren im Bestand