In den letzten Jahren stieg die Anzahl an erfolgreichen Cyberangriffen gegen Organisationen kontinuierlich an [BS21]. Gleichzeitig haben sich die Ausgaben zur Abwehr dieser stetig erhöht [Bit22]. Die Organisationen stehen hier vor der Herausforderung, die Performance der implementierten Informationstechnologie-(IT-)Sicherheitsmaßnahmen zu quantifizieren, um fundierte Entscheidungen treffen zu können. Durch Bildung von Metriken, die auf Messwerten aus verschiedenen Systemen und Datenquellen aufbauen, werden die Performance und der Reifegrad von der IT-Sicherheit in Organisationen bestimmt. Um diese Metriken nachhaltig zu ermitteln und bereitzustellen, ist ein adäquates IT-System einzusetzen. Im Rahmen der vorliegenden Arbeit wird untersucht, wie im Identity and Access Management (IAM) – ein Teilgebiet von IT-Sicherheit – die Performance mithilfe eines Tools – namens IAM Reporting Modul – basierend auf Metriken ermittelt und berichtet werden kann. Das Vorgehen ist dabei angelehnt an die Design Science Research (DSR) Methodologie nach Hevner [HMPR04]. Ziel ist es, die Anforderungen an ein IAM Reporting Modul zu untersuchen, ein Konzept für ein solches Tool zu entwerfen und auf Grundlage des Konzepts einen Prototyp des IAM Reporting Moduls zu implementieren. Abschließend sind aus den gewonnenen Erkenntnissen Gestaltungsprinzipien abzuleiten. Bei den abgeleiteten Gestaltungsprinzipien handelt es sich um die regelmäßige Berechnung und Ermittlung der Metriken und der Messwerte, um den Prozess zur Konfiguration von den Metriken und den Messwerten und um die zusätzlich benötigten Informationen über den Messwert je nach Typ der Datenquelle sowie um das konzipierte Datenmodell für Reporting Module.

In recent years, the number of successful cyberattacks against organizations has increased constantly [BS21]. At the same time, the amount of money spent to defend against them has been increasing constantly [Bit22]. Therefore, organizations face the challenge of quantifying the performance of implemented information technology (IT) security measures to support decision-making. By establishing metrics based on measurements from various systems and data sources, the performance and maturity of IT security in organizations can be determined. To determine and provide these metrics sustainably, an adequate IT system must be deployed. This thesis examines how performance in identity and access management (IAM) – a subset of IT security – can be determined and reported based on metrics using a tool called IAM Reporting Module. The method is based on the Design Science Research (DSR) methodology according to Hevner [HMPR04]. The goal is to identify the requirements of an IAM Reporting Module, develop a concept for such a tool and implement a prototype of the IAM Reporting Module based on the concept. Finally, design principles should be derived from the insights obtained. The derived design principles are the periodical calculation and determination of the metrics and the measurements, the process for the configuration of the metrics and the measurements and the additional required information about the measurement value depending on the type of data source as well as the designed data model for reporting modules.