IAM: Markt

Stelle

eine offene Stelle, die das Qualitäts-Gate passiert hat und mindestens zwei Technologien nennt

Beobachteter Kandidat

ein Kandidat, dessen Stack diese Technologie enthält; ein Aggregat — kein einziger Datensatz verlässt den Perimeter

Matchbarer Kandidat

noch nicht gezählt

Fenster

Stellen, die zum Zeitpunkt der Erstellung des Snapshots offen waren

Top 5: cloud, active directory, aws, azure, python. Souveräne Beherrschung eines Workforce-IdP: eines von Okta (Branchenführer — Workforce Identity Cloud — Premiumwissen) / Microsoft Entra ID (ehemals Azure AD — dominiert in Microsoft-Unternehmen) / Ping Identity (Enterprise) / OneLogin / JumpCloud / Keycloak (Open Source von Red Hat — beliebt in der RF) / Authentik (modernes Open Source, auf dem Vormarsch) / Zitadel. Russisch: Avanpost (Marktführer in der RF) / Solar inRights / Indeed Identity / RT-IAM / CryptoPro. PAM (Privileged Access Management): CyberArk (führend — PAM + Conjur Secrets) / BeyondTrust / Delinea (Fusion von Thycotic + Centrify) / HashiCorp Vault + Boundary / Teleport (moderner Infrastrukturzugang — auf dem Vormarsch 2024+) / StrongDM. Russisch: Solar SafeInspect / Indeed PAM / Avanpost PAM / SKDPU NT (IT Bastion). IGA (Identity Governance & Administration): SailPoint (führend — IdentityIQ + IdentityNow) / Saviynt / Microsoft Entra ID Governance / Omada / One Identity. Russisch: Solar inRights / Avanpost IDM. Souveräne Beherrschung von Protokollen / Standards — Pflicht: SAML 2.0 (Enterprise-SSO), OAuth 2.0 / 2.1 (Autorisierungsframework — Grant Types, PKCE, Token-Rotation), OIDC (OpenID Connect — Authentifizierungsschicht), SCIM (Provisioning-Standard — Automatisierung von Joiner-Mover-Leaver), FIDO2 / WebAuthn (passwortlos), LDAP + Kerberos (Legacy-Verzeichnis + Authentifizierung). MFA / Passwordless: FIDO2 / WebAuthn / Passkeys, YubiKey (Hardware-Token), Duo Security (Cisco), Okta Verify / Microsoft Authenticator, Magic Links + OTP (Legacy). Zero-Trust-Identität: Conditional-Access-Richtlinien (risikobasierte Authentifizierung), kontinuierliche Verifizierung, Gerätevertrauen, ITDR (Identity Threat Detection & Response — auf dem Vormarsch 2024+). Secrets Management (Überschneidung): HashiCorp Vault + cloud-native. Sprachen: Python primär (IAM-Automatisierung + SCIM-Konnektoren + eigene Integrationen) + JavaScript / TypeScript (Frontend-Integration für CIAM) + bash + PowerShell (AD-Administration).

IAM Engineer (diese Seite) — Fokus auf die Umsetzung von Identity & Access Management: SSO + MFA + Provisioning + privilegierter Zugriff + Governance. Eine Spezialisierung innerhalb der Security. Identity Architect — Senior IAM mit Fokus auf organisationsweite Strategie: Design der Zero-Trust-Identitätsarchitektur + Protokollexpertise + Technologieauswahl + Führung bei Compliance. Weniger Programmierung, mehr Strategie. Karriereentwicklung ab Senior IAM Engineer. Security Engineer (allgemein) — breite Abdeckung aller Sicherheitsdomänen (SIEM + EDR + Netzwerk + IAM — aber IAM ist nur ein Teil). Siehe Security Engineer (allgemein). Backend Engineer (Fokus auf Auth) — setzt Authentifizierung / Autorisierung im Produktcode um (OAuth-Flows + Session-Management + JWT-Verarbeitung + RBAC-Umsetzung). Kein IAM-Spezialist, aber Überschneidung im CIAM-Kontext. Gehalt variiert — Backend-Niveau. Realität 2026 (Überschneidungs-Heatmap): IAM ↔ Security Engineer: 40% (IAM ist eine Sicherheitsdomäne). IAM ↔ Backend (Auth): 50% im CIAM-Kontext (Authentifizierung für Endkunden — Backend Engineers setzen oft um, IAM Engineers entwerfen). IAM ↔ DevOps: 30% (Maschinenidentitäten + Secrets Management + Service-zu-Service-Authentifizierung). Aufteilung Workforce IAM vs. CIAM: Workforce IAM — Mitarbeiteridentitäten (Okta / Entra ID — SSO für interne Apps + Lifecycle-Management) — näher an klassischer IT / Security. CIAM (Customer IAM) — Authentifizierung für Endkunden (Auth0 / Cognito / Clerk — Millionen Nutzer + Skalierbarkeit + UX) — näher an Backend-Engineering + Produkt. Diese beiden IAM-Richtungen erfordern unterschiedliche Fähigkeiten. Karrierewechsel: Sysadmin (AD-Admin) → Workforce IAM Engineer — 4-8 Monate. Backend Engineer → CIAM Engineer — 3-6 Monate (Auth-Wissen ist übertragbar). Security Engineer → IAM Engineer — 3-6 Monate. IAM Senior → Identity Architect — 2-4 Jahre.

Stärken: tiefes Microsoft-Ökosystem, Conditional Access, kostenlose Stufe mit M365. Schwächen: komplexe Lizenzstufen, historisch schwächere Integration von Nicht-Microsoft-Anwendungen. 2) Okta (Workforce Identity Cloud) — am besten für Multi-Vendor-Umgebungen + Best-of-Breed-Ansatz. Stärken: 7000+ vorgefertigte App-Integrationen (größter Katalog), herstellerneutral, ausgereifte UX, starkes Lifecycle-Management. Schwächen: Premium-Preise, Imageschaden durch den Sicherheitsvorfall 2022 (überwunden). Einsatzfall: nicht auf Microsoft ausgerichtete Organisationen + Wunsch nach bester Integrationsabdeckung. 3) Ping Identity — Enterprise-lastig, komplexe hybride Umgebungen. Einsatzfall: große Unternehmen mit On-Prem- + Cloud-Hybrid + komplexen Föderationsanforderungen. 4) Keycloak (Open Source — Red Hat) — am besten für Self-Hosting + Null-Budget + technische Teams. Stärken: kostenlos, voll ausgestattet (SAML + OIDC + Identity Brokering), anpassbar. Schwächen: Betriebsaufwand (Sie betreiben es selbst), steilere Lernkurve. Einsatzfall: knappes Budget + technisches Team + beliebt im Kontext der RF (Vorliebe für Self-Hosting). 5) Authentik / Zitadel — moderne Open-Source-Alternativen zu Keycloak (bessere UX). Im Aufwind 2024+. 6) Russische Workforce-IdP (nach der Importsubstitution): Avanpost (Marktführer in der RF) / Solar inRights / Indeed Identity / RT-IAM — für reine RF-Organisationen + Staatsunternehmen. CIAM (kundenseitige Authentifizierung): 7) Auth0 (gehört zu Okta) — Favorit der Entwickler, beste DX (Developer Experience), umfangreiche SDKs / Dokumentation. Einsatzfall: Startups → Mittelstand, schnelle Markteinführung. Die Preise steigen bei hoher MAU (Monthly Active Users) stark an. 8) Amazon Cognito — am besten für AWS-native Anwendungen. Im großen Maßstab günstig. Schwächen: umständliche DX, begrenzte Anpassbarkeit. 9) WorkOS — B2B SSO-as-a-Service — «Enterprise-Readiness in einer API» (SAML + SCIM + Verzeichnissynchronisation für B2B-SaaS, das an Unternehmen verkauft). Schnell im Aufwind 2024+ — am besten für B2B-SaaS, das das SSO von Unternehmenskunden unterstützen muss. 10) Clerk — modern, entwicklerfreundlich, React-first, schöne vorgefertigte UI-Komponenten. Einsatzfall: moderne Web-Apps (Next.js / React), schnelle Iteration. 11) Stytch — Passwordless-first, moderne API. 12) Firebase Authentication — am besten für mobile Apps + Firebase-Ökosystem. 13) Ory (Open Source — Kratos + Hydra + Keto) — am besten für selbst gehostetes CIAM + volle Kontrolle. 14) SuperTokens — Open-Source-Alternative für CIAM. Standardempfehlungen 2026: Workforce in einem Microsoft-Unternehmen → Entra ID. Multi-Vendor-Workforce → Okta. Selbst gehostete Workforce mit Null-Budget → Keycloak (oder Authentik / Zitadel für bessere UX). Reine RF-Organisation → Avanpost / Solar. CIAM für Verbraucher-Apps → Auth0 (schnell) oder Clerk (modernes React) oder Cognito (AWS-nativ). B2B-SaaS mit Bedarf an Enterprise-SSO → WorkOS. Selbst gehostetes CIAM → Ory oder SuperTokens. Autorisierungsschicht (getrennt von der Authentifizierung): OPA (allgemeine Policies) / OpenFGA oder SpiceDB (beziehungsbasiert, im Stil von Zanzibar) / Cedar (AWS) / Oso oder Permit.io (eingebettet).

Ja, 37% der Stellen als IAM Engineer sind vollständig remote oder hybrid. IAM-Arbeit ist überwiegend cloudbasiert (IdP-Konsolen + SaaS-Plattformen + API-Integrationen). Outsourcer — fast immer remote bei US-IAM-Projekten. Russische Banken — hybrid/Büro wegen Regulierung + Sensibilität von Identitätsdaten + Sicherheitsüberprüfung. Russische IAM-Anbieter (Avanpost / Solar / Indeed Identity / CryptoPro) — hybrid oder remote nach Sicherheitsüberprüfung. Staatsunternehmen — hybrid/Büro wegen Sicherheitsfreigaben (besonders für PAM-Arbeit — privilegierte Zugriffe — Rollen mit hohem Vertrauen). Identity-Teams in Big Tech — Hybrid als Standard. CIAM Engineers (kundenseitig — backendnah) — wegen des Produkt-Engineering-Charakters gut vollständig remote möglich. Relokations-Hubs: Polen (Security-freundliche EU) / Deutschland / Kanada / Serbien. Englisch für internationale IAM-Remote-Arbeit — Pflicht (Protokollspezifikationen — RFCs zu SAML / OAuth / OIDC + Anbieterdokumentation von Okta / Microsoft / SailPoint + Community sind englischsprachig).

IAM Engineer (allgemein) — breiter Fokus auf Workforce Identity: SSO + MFA + Provisioning + Zugriffsverwaltung für alle Nutzer. PAM Engineer (Spezialisierung Privileged Access Management) — Fokus speziell auf privilegierte Konten (Administrator- / Root- / Service-Konten — die risikoreichsten Identitäten). Alltag: 1) Einführung der PAM-Plattform (CyberArk / BeyondTrust / Delinea / HashiCorp Boundary / Teleport), 2) Tresorverwaltung privilegierter Zugangsdaten (Rotation von Secrets + Checkout- / Checkin-Workflows), 3) Sitzungsaufzeichnung + Monitoring (Admin-Sitzungen für Audit + Forensik aufzeichnen), 4) privilegierter Zugriff Just-In-Time (JIT) (Adminrechte vorübergehend gewähren, automatisch entziehen), 5) Kontrolle der Rechteausweitung + Durchsetzung von Least Privilege, 6) Verwaltung von Service-Konten / Maschinenidentitäten (nicht-menschliche Identitäten — oft 10× mehr als menschliche Konten), 7) Break-Glass-Zugriffsverfahren (Notfallzugriff). Warum eine Spezialisierung: Privilegierte Konten sind das Hauptziel von Ransomware- + APT-Angriffen (Admin kompromittiert → Spiel vorbei). Regulatorische Vorgaben (PCI-DSS / SOX / 187-FZ verlangen PAM-Kontrollen). Gehalt: PAM Engineer — Aufschlag gegenüber allgemeinem IAM +10-20% wegen seltener Fähigkeiten + hohem Vertrauensbedarf. IGA Engineer (Spezialisierung Identity Governance & Administration) — eine weitere Spezialisierung: Fokus auf Zugriffs-Governance — Kampagnen zur Zugriffszertifizierung (regelmäßige Prüfung „braucht diese Person diesen Zugriff noch?“), Durchsetzung von Segregation-of-Duties-Richtlinien (SoD), Workflows für Zugriffsanfragen, Compliance-Reporting (SOC 2 / ISO 27001 / SOX-Zugriffsaudits). Tools: SailPoint / Saviynt. CIAM Engineer — Authentifizierung für Endkunden (Millionen Nutzer — Skalierbarkeit + UX + Nähe zum Backend-Engineering). Siehe Entscheidungsbaum oben. Authorization Engineer (im Aufwind 2024+) — Spezialisierung auf feingranulare Autorisierung (OPA / OpenFGA / Cedar / SpiceDB) — „wer darf was mit welcher Ressource“ im großen Maßstab. Karrierewahl: allgemeines IAM bei Breite + Workforce Identity, PAM bei hohem Vertrauensbedarf + tiefer Arbeit mit privilegierten Konten + Sicherheitskritikalität, IGA bei Fokus auf Governance + Compliance + Audit, CIAM bei Endkunden-Maßstab + Produkt-Engineering, Authorization Engineer bei feingranularer Autorisierung + modernen Policy-Engines.

Roadmap: 1) Grundlagen der Identität — Authentifizierung vs. Autorisierung vs. Accounting (AAA), Identitätslebenszyklus (Joiner-Mover-Leaver), Prinzip der geringsten Rechte, RBAC vs. ABAC vs. ReBAC (Role / Attribute / Relationship-Based Access Control). 2) Protokolle in der Tiefe — Pflicht: SAML 2.0 (Assertions + Bindings + SP-initiierte vs. IdP-initiierte Flows), OAuth 2.0 / 2.1 (Grant Types — Authorization Code + PKCE + Client Credentials; Tokenarten; typische Fallstricke), OIDC (OpenID Connect) (ID-Tokens + UserInfo + Discovery), SCIM (Standard für das Provisioning). Buch: «Solving Identity Management in Modern Applications» von Yvonne Wilson / Abhishek Hingnikar (kanonisch — OAuth/OIDC für Entwickler). 3) Grundlagen von Active Directory — Aufbau von AD (Forests / Domains / OUs), Group Policy, Kerberos-Authentifizierung, LDAP. Buch: «Active Directory» von Brian Desmond (O'Reilly). 4) Workforce-IdP in der Praxis — wählen Sie einen: Okta (kostenloses Okta-Developer-Kontingent — am besten zum Lernen + Zertifikat Okta Certified Professional) oder Microsoft Entra ID (kostenloses Azure-Kontingent + Zertifikat SC-300) oder Keycloak (kostenlos selbst gehostet — Protokolle tief verstehen). SSO für Test-Apps einrichten. 5) MFA / Passwordless — FIDO2 / WebAuthn / Passkeys verstehen (die passwortlose Zukunft), einen YubiKey einrichten, Richtlinien für Conditional Access konfigurieren. 6) CIAM in der Praxis (beim Weg in Richtung Endkunden) — kostenloses Kontingent von Auth0 oder Clerk oder Keycloak. Login-Flows in einer Test-App umsetzen (React / Next.js). 7) PAM in der Praxis (beim Weg in Richtung privilegierter Zugriff) — HashiCorp Vault (kostenlos selbst gehostet) + Boundary oder Teleport (kostenloses Kontingent). Secrets Vaulting + Sitzungsaufzeichnung + JIT-Zugriff verstehen. 8) Grundlagen von IGA (beim Weg in Richtung Governance) — SailPoint-Training (SailPoint University) — Zugriffszertifizierung + SoD-Konzepte. 9) Autorisierung (im Aufwind 2024+) — OPA (Open Policy Agent — Sprache Rego) + OpenFGA (beziehungsbasiert — das Google-Zanzibar-Paper lesen) + Cedar (AWS). Eine Demo zur feingranularen Autorisierung bauen. 10) IAM-Automatisierung — Python für SCIM-Konnektoren + eigene Integrationen + Automatisierung über IdP-APIs (Okta API / Microsoft Graph API). 11) Zertifizierungsweg: Okta Certified (Professional → Administrator → Consultant / Developer) oder Microsoft SC-300 (Identity and Access Administrator) — als Grundlage. Fortgeschritten: SailPoint-Zertifizierungen / CyberArk-Zertifizierungen (Defender → Sentry → Guardian) / CIDPRO (Certified Identity Professional — IDPro — herstellerneutral). 12) Portfolio aus Pet-Projekten: a) vollständiger SSO-Aufbau (Keycloak / Okta) mit mehreren Apps + SAML + OIDC + SCIM-Provisioning; b) CIAM-Demo-App mit Passwordless (WebAuthn / Passkeys); c) Demo zur feingranularen Autorisierung (OpenFGA / OPA). Auf GitHub dokumentieren. Kurse in der RF: BI.ZONE Cybersecurity Academy, Otus «IAM» / Security-Kurse, Avanpost-Schulungen (russisches IAM), Solar-Schulungen (inRights IGA / SafeInspect PAM). International (eng): Okta Learning (kostenlos — am besten für den Okta-Weg), Microsoft Learn SC-300 (kostenlos), IDPro Body of Knowledge (herstellerneutral — die beste Grundlagenressource, kostenlos), Auth0-Doku + Blog (hervorragend zum Lernen von CIAM), «OAuth 2 in Action» von Justin Richer / Antonio Sanso (Manning — Protokolle in der Tiefe). Pflichtbücher: «Solving Identity Management in Modern Applications» von Wilson / Hingnikar, «OAuth 2 in Action» von Richer / Sanso, IDPro Body of Knowledge (online). Konferenzen: Identiverse (die größte Identity-Konferenz), Gartner IAM Summit, European Identity & Cloud Conference (EIC). Sysadmin (AD-Admin) / Security Middle / Backend Middle + Fokus auf IAM → IAM Junior — 4-8 Monate.

109 active open IAM Engineer vacancies with explicit IAM focus in our sample. The real market is significantly wider — many IAM roles classified as general Security Engineer / Backend Engineer (CIAM auth implementation) / DevOps (machine identity + secrets) / IT Administrator (AD administration). True IAM-focused dev jobs in CIS + Europe estimated 150–600 active positions at any moment 2026. Geography: the US, India, Canada. The real market is wider due to the international remote segment (Okta / Microsoft Entra / Ping / SailPoint / CyberArk / WorkOS / Auth0 / Clerk / Stytch — full-remote-friendly). Senior IAM Engineer closing time — 6-12 weeks (longer than general Security due to rare-skill — protocols depth + platform expertise + governance knowledge combination).

Ein Senior IAM Engineer verantwortet den gesamten Lebenszyklus von Identity & Access Management + technische Führung. Protokolle in der Tiefe beherrschen: SAML 2.0 (Assertions + Bindings + SP-/IdP-initiierte Flows + Signierung / Verschlüsselung), OAuth 2.0 / 2.1 (alle Grant Types + PKCE + Token-Rotation + DPoP + typische Schwachstellen — Token-Leaks / CSRF / Manipulation von Redirects), OIDC (ID-Tokens + Claims + Discovery + Sitzungsverwaltung + Back-Channel-Logout), SCIM (Automatisierung des Provisionings — Joiner-Mover-Leaver), FIDO2 / WebAuthn (Umsetzung von Passwordless), Kerberos + LDAP (Legacy-Verzeichnisse). Workforce-IdP beherrschen: einen von Okta / Microsoft Entra ID / Ping in der Tiefe — SSO-Architektur, Automatisierung des Lifecycle-Managements, Conditional Access / risikobasierte Richtlinien, App-Integration (7000+ im Okta-Katalog), Onboarding eigener SAML- / OIDC-Apps, IdP-Föderation (Szenarien mit mehreren IdPs). Verzeichnisdienste beherrschen: Active Directory in der Tiefe (Architektur von Forest / Domain / OU + Group Policy + Replikation + AD-Sicherheit — Kenntnis von Kerberoasting / DCSync), Entra ID hybrid (AD Connect / Cloud Sync). PAM beherrschen (beim PAM-Weg): CyberArk / BeyondTrust / Delinea / HashiCorp Boundary / Teleport — Tresor für privilegierte Zugangsdaten, Sitzungsaufzeichnung, JIT-Zugriff, Verwaltung von Dienstkonten, Break-Glass-Verfahren. IGA beherrschen (beim Governance-Weg): SailPoint / Saviynt — Kampagnen zur Zugriffszertifizierung, Richtlinie zur Funktionstrennung (SoD), Workflows für Zugriffsanträge, Role Mining, Compliance-Reporting. CIAM beherrschen (beim Weg in Richtung Endkunden): Auth0 / Cognito / Clerk — skalierbare Authentifizierung für Endkunden (Millionen MAU), Passwordless-UX, Social Login, Progressive Profiling, Kontosicherheit (Schutz vor Credential Stuffing + Bot-Erkennung). Autorisierung beherrschen (im Aufwind 2024+): OPA (Richtliniensprache Rego), OpenFGA / SpiceDB (beziehungsbasiert — Google-Zanzibar-Modell), Cedar (AWS), Design feingranularer Autorisierung im großen Maßstab. Zero-Trust-Identität: Architektur von Conditional Access, kontinuierliche Verifizierung, Gerätevertrauen, Integration von ITDR (Identity Threat Detection & Response). IAM-Automatisierung: Python in der Tiefe (SCIM-Konnektoren + Automatisierung über IdP-APIs — Okta API / Microsoft Graph API + eigene Integrationen), Terraform für IAM als IaC (Okta-Terraform-Provider / Entra Terraform). Identitätssicherheit: Kenntnis von Angriffen auf Identitäten (Phishing / MFA-Bombing / Token-Diebstahl / OAuth-Consent-Phishing / Golden SAML), Strategie für die Migration zu Passwordless, Härtung der MFA. System Design für IAM: eine Enterprise-SSO-Architektur am Whiteboard entwerfen, CIAM für Millionen Nutzer entwerfen, eine Zero-Trust-Identitätsarchitektur entwerfen, Workflows für privilegierten Zugriff entwerfen. Compliance-Frameworks: SOC 2 + ISO 27001 + SOX (Zugriffskontrollen) + PCI-DSS + 152-FZ + 187-FZ — Zugriffszertifizierung + Unterstützung bei Audits. Soft Skills: ADRs für IAM-Entscheidungen schreiben, technisches Schreiben (Dokumentation der IAM-Architektur), teamübergreifende Zusammenarbeit (Security / IT / Backend / DevOps / HR — IAM betrifft alle), Kommunikation mit der Geschäftsleitung (Identitätsstrategie gegenüber CISO / CIO), Mentoring von Middle IAM Engineers. Englisch ab Senior PFLICHT — Protokollspezifikationen (RFCs zu SAML / OAuth / OIDC) + Herstellerdokumentation (Okta / Microsoft / SailPoint / CyberArk) + Community (IDPro / Identiverse) sind englischsprachig. Zertifizierungen: Okta Certified Consultant / Developer, Microsoft SC-300, Zertifizierungen von SailPoint / CyberArk, CIDPRO (herstellerneutral). Optionaler Bonus: Open-Source-Beiträge zu IAM-Tools (Keycloak / Ory / OpenFGA / Authentik), Konferenzvorträge (Identiverse / EIC), Tiefe in der Spezialisierung Autorisierung (OpenFGA / SpiceDB — im Aufwind, seltene Fähigkeit) — steigern den Marktwert bei der Einstellung durch IAM-Vorreiter (Okta / WorkOS / Authzed) deutlich.