Recap EIC 2026: Welche Identity-Security-Themen heute wichtig sind

Über 1.500 Teilnehmer, mehr als 300 namhafte Speaker und rund 230 Sessions an vier Tagen: Das war die European Identity and Cloud Conference (EIC) 2026. Wie jedes Jahr hat sie gezeigt, dass sie mehr ist als ein Branchenevent. Sie ist Gradmesser für die wichtigsten Themen – heute und morgen. Von Agentic AI über moderne Autorisierung bis hin zu Zero Trust, Non-Human Identities und digitaler Souveränität: Die Impulse wirken noch nach. Eines unserer Key Learnings: Vieles dreht sich um neue Standards.

OpenID Federation – neuer Standard

Kaum war die EIC 2026 für eine Stunde geöffnet, mussten wir uns schon zwischen fünf hochgradig interessanten Panels entscheiden. Abgebogen sind wir in den „OpenID Workshop“. Hier stand die Frage im Mittelpunkt, wie sich bewährte Federation-Ansätze aus der SAML-geprägten Bildungs- und Forschungswelt in die heutige OpenID-Connect- und OAuth-Landschaft übertragen lassen. Seit Jahren gibt es hier weitläufige föderierte Identity-Landschaften. In vielen modernen Web-, Mobile- und Cloud-Szenarien deutlich verbreiteter ist heute aber OpenID Connect.

Mit OpenID Federation stellt die OpenID Foundation dafür einen Standard bereit, der Vertrauen zwischen den beteiligten Organisationen, Identity Providern und Anwendungen skalierbarer und automatisierter herstellen soll. Gerade für große Federation-Landschaften wie eduGAIN ist das relevant, weil sie bislang stark auf SAML basieren, während sich die digitale Welt zunehmend um OpenID Connect und OAuth dreht.

Agentic AI zeigt Lücken im Standard

Viel diskutiert war in diesem Jahr auch das Thema Agentic AI. Nat Sakimura von der OpenID Foundation hat in seiner Keynote „When Software Becomes Staff: Governance, Security & Safety for Agentic AI“ dazu gleich mehrere Fragestellungen erörtert: In wessen Namen handeln Agenten (delegierte Autorität und der „Ultimate Bot Owner“ oder OBO)? Wie eng lassen sich Agentenrechte begrenzen (feingranulare Autorisierung)? Welche Signale müssen in Zugriffsentscheidungen einfließen (Risikosignale)?

Antworten sind dringend erforderlich, denn schon heute handeln KI-Agenten im Namen von Menschen, greifen auf Tools zu und benötigen daher Klarheit bei den Themen Identität, Eigentümerschaft, Berechtigungen und Verantwortlichkeit. Bestehende Standards weisen jedoch noch Lücken auf – etwa bei Workload Identities, feingranularer Zugriffskontrolle, Risikosignalen, Trust Anchors und der Nachweisbarkeit von Absicht, Aktion und Ergebnis.

Die zentrale Botschaft: Unternehmen und Standardisierungsgremien müssen jetzt die Evidenz- und Governance-Strukturen schaffen, damit Accountability, Haftung und Versicherbarkeit für Agentic AI überhaupt möglich werden. Technische Nutzbarkeit ist also nicht alles. KI-Agenten müssen steuerbar, nachvollziehbar und verantwortbar sein.

Feingranulare Autorisierung: Wo Standard Wirkung zeigt

Auf der EIC-Agenda 2025 war die feingranulare Autorisierung immer wieder zu finden. 2026 wurde sie noch prominenter behandelt. Warum das so ist? KI-Agenten, dynamische Workloads und kurzlebige Identitäten führen dazu, dass die verbreitete, klassische Rollenlogik endgültig nicht mehr ausreicht. Agentic AI verschärft diese Notwendigkeit zusätzlich, weil sie im Gegensatz zu KI-Agenten eben nicht mehr nur lesen kann, sondern aktiv handelt. Einem Nutzer oder einer Maschine einmal pauschal Rechte zu geben, greift somit zu kurz. Die Berechtigung muss feingranular, kontextabhängig und zur Laufzeit geprüft werden.

Genau hier kommt AuthZEN ins Spiel. Der neue Standard schafft ein gemeinsames Muster, um Autorisierungsentscheidungen aus Anwendungen herauszulösen und interoperabel zwischen Systemen, Policy Engines und Orchestrierungsschichten abzubilden. Bildlich gesprochen: AuthZEN ist der Legostein, der an vielen Stellen moderner IAM-Frameworks gebraucht wird – insbesondere dort, wo Agenten, Workloads und APIs dynamisch miteinander interagieren. AuthZEN wurde daher gemeinsam mit cidaas auf der EIC mit einem Preis ausgezeichnet.

Für Umbrella war das ein besonderer Moment. Denn wir haben hier vor gut drei Jahren den Grundstein gelegt. Auf der Identiverse 2023 haben wir darüber diskutiert, dass Autorisierung einen Standard braucht, wenn sie in der Industrie Fuß fassen will. Aus diesem Gedanken heraus formierte sich letztlich die AuthZEN Working Group unter dem Dach der OpenID Foundation. Für unser Team ein Zeichen, dass die Vorarbeit genau zur richtigen Zeit startete und nun langsam die Früchte geerntet werden können.

Und die Freude wurde noch größer: Sadrick Widmann ist in seiner Keynote „AI @ cidaas: From Vibe Coding to Agent Identity – Rethinking Authentication in the Age of AI“ ganz praktisch darauf eingegangen, wie cidaas Agentic AI implementiert. Auch hier spielte der AuthZEN-Standard eine Rolle. Umbrella konnte cidaas hier vor einiger Zeit unterstützen, frühzeitig auf einen wertvollen Baustein für ihr Product Stack zu setzen – lange vor dem Wettbewerb.

Autorisierungsmodelle – Vorteile nutzen, Nachteile minimieren

Am letzten Tag durfte umbrella.associates dann vertreten durch Roland noch selbst auf die Bühne. Im Rahmen des Panels „Master in Authorization Models: xBAC etc al.“ ging es um die Frage, welches Autorisierungsmodell das richtige ist. Die Antwort war schnell gefunden: Es kommt darauf an! Denn jedes Modell hat seine Vor- und Nachteile. Abhängig vom Anwendungszweck und den unternehmerischen Anforderungen müssen die verschiedenen Modelle genau beleuchtet werden.

Die Experten waren sich dabei einig: Die Zukunft liegt im xBAC. Verantwortliche sollten also in Richtung hybrider Modelle denken. Das Ziel: Die besten Eigenschaften eines jeden Modells ausnutzen, um die „Schwachstellen“ anderer Modelle auszugleichen. Daher ist für uns auch klar: Role-Based Authorization ist nicht per se tot, wie es die Identity-Community häufig konstatiert. Der Ansatz genügt allein einfach nicht mehr aus. Neue Modelle tragen dazu bei, dass diese Lücken geschlossen werden, müssen aber nicht dazu führen, komplett auf RBAC zu verzichten. Viel entscheidender ist es heute, verschiedene Ansätze gewinnbringend für den eigenen Anwendungsfall zu nutzen. Dahingehend müssen sich Unternehmen gut und zukunftssicher aufstellen.

Ein Blick in die (nahe) Zukunft

Identity Fabric Workshops – Wandel im Blick

Jedes Jahr gibt der Veranstalter der EIC – KuppingerCole Analysts – spannende Einblicke im Rahmen der Identity Fabric Workshops. Hier stehen Komponenten im Zentrum, die im Identity and Access Management zusammenspielen und vor allem deren Wandel im Laufe der Jahre. Martin Kuppinger hat in seiner Keynote „From Workforce to Everything: The Next Chapter of Identity Security & Governance“ verdeutlicht, dass sich die IAM-Realität massiv verändert hat – weg von der statischen, zentralisierten Infrastruktur hin zur Verwaltung von Non-Human Identities (NHI), KI-Agenten, ausgeweiteten CIAM-Netzwerken und und und.

Vor allem Agentic AI trägt hierzu einen wesentlichen Teil bei und stellt neue Anforderungen an ein sicheres, effizientes und transparentes Identity and Access Management. Der Hauptgrund: KI-Agenten und dynamische Workloads handeln in Maschinengeschwindigkeit. Eine Identität kann entstehen, eine Aufgabe ausführen und kurz darauf wieder verschwinden. Derartige Prozesse, die früher Stunden oder Tage dauerten, laufen künftig in Minuten oder Sekunden ab.

Unternehmen brauchen daher mehr Automatisierung, Orchestrierung und Echtzeitbewertung. Außerdem werden Signals wichtiger, da Zugriffsentscheidungen stärker kontextabhängig werden. Verhalten, Risiko, Kontext, Gerät, Identitätstypen, Trust-Level – das alles sind relevante Signals, die Teams künftig stärker beachten sollten. Hier gilt: Wenn Identitäten kurzlebiger und vielfältiger werden, braucht es belastbare Vertrauensanker.

Orchestration sorgt wiederum dafür, dass Signals im richtigen Moment verarbeitet werden. Eine Beispiellogik:

• Der KI-Agent führt eine Aktion aus.
• Ein Risikosignal schlägt an.
• Dank der Orchestrierung wird das Policy-/Authorization-Framework informiert.
• Der Zugriff wird eingeschränkt, gestoppt oder neu bewertet.

Die andere Seite der Welt

Am Mittwoch durfte dann Sebastian Rohr auf der Bühne von der anderen Seite der Welt berichten – von den Bemühungen der Weltbank, Unicef, der KfW und aus der IADB, um den Kindern dieser Welt die Chance zu bieten, gute medizinische Versorgung, Bildung und Förderung zu erhalten. In seinem Beitrag ging es um Geburtsurkunden und Einträge in das Meldewesen – bzw. ging es darum, für solche Systeme zuerst die nötige Basis zu legen mit neuen Ansätzen wie OpenCRVS und MOSIP.

Business Wallets: Coming soon!?

Wirft man einen näheren Blick auf das Programm der EIC 2026, sieht man schnell: Business Wallets wurden immer wieder aufgegriffen. Auch wenn hierzu noch kein flächendeckendes Konzept besteht, zeigt sich ein großer Sprung, da immer mehr Technologiestudien vorgestellt wurden. Auf Basis bestehender Technologien werden außerdem verschiedene Szenarien vorbereitet. Die Branche tastet sich praktisch an das Thema heran, auch wenn der verbindliche regulatorische Rahmen noch fehlt.

In den nächsten Jahren können sich Business Wallets aus Sicht der Identity Community zu einem zentralen Identitätsbaustein entwickeln. Schließlich bringen sie einen Vorteil mit sich: Heute sind digitale Identitäten häufig noch stark an zentrale Identity Provider, große Plattformen oder einzelne Accounts gebunden. Business Wallets könnten diese Logik aufbrechen und die Entkopplung von zentralen Plattformen fördern. Statt sich für jede Plattform neu zu registrieren oder über zentrale Anbieter wie Google einzuloggen, könnten Nutzer ihre geschäftliche Identität künftig direkt über das Business Wallet nachweisen. Ähnlich einem physischen Ausweis können sie also perspektivisch zum Vertrauensanker der Industrie werden – durch den digitalen Nachweis von Organisationszugehörigkeit, Rollen, Vertretungsbefugnisse oder Berechtigungen.

Fazit

Vier aufschlussreiche Tage liegen hinter uns und wir wollen vor allem noch eines sagen: Danke an KuppingerCole Analysts für die wie immer wunderbare Organisation des Events. Wir freuen uns schon auf 2027 in Berlin und halten uns den Mai fest für die EIC frei.

Klingt alles spannend, doch wie lassen sich einzelne Themen in Ihrer Organisation umsetzen? Wir werfen gerne einen Blick unter die Unternehmens-Motorhaube!

Jetzt Termin vereinbaren