Nicht-menschliche Identitäten: Maschinen mit (zu viel) Macht

Während Unternehmen ihre menschlichen Mitarbeiter streng überwachen, agieren nicht-menschliche Identitäten (NHIs) unkontrolliert in kritischen Systemen und werden damit zum bevorzugten Einfallstor für Cyberangriffe. Worauf Sie jetzt besonders achten sollten.

In Europa konzentrieren sich sowohl Regulierungsbehörden als auch Entscheidungsträger des öffentlichen Sektors zu Recht auf Resilienz, Souveränität und Rechenschaftspflicht. Rahmenwerke wie NIS2, DORA und ISO 27001 machen eines deutlich: Organisationen müssen verstehen, wer oder was Zugriff auf kritische Systeme hat. Eine Kategorie von Identitäten bleibt jedoch weiterhin außerhalb einer sicherheitswirksamen Verwaltung: nicht-menschliche Identitäten.

Zu den NHIs gehören Dienstkonten, APIs, Tokens, Container, Skripte und Maschinenagenten, die moderne Cloud-, DevOps- und KI-gesteuerte Umgebungen unterstützen. In vielen Unternehmen und öffentlichen Einrichtungen übersteigt die Anzahl dieser Identitäten die der menschlichen Benutzer bereits um das Zehnfache. Im Gegensatz zu Mitarbeitern sind sie kontinuierlich im Einsatz, authentifizieren sich stillschweigend und behalten oft noch lange nach Ablauf ihres ursprünglichen Zwecks den Zugriff auf sensible Systeme und Informationen. Dies macht NHIs zu einer bedeutenden, aber oft unsichtbaren Quelle systemischer Cyberrisiken.

Transparenz als regulatorische Notwendigkeit

Eine effektive NHI-Sicherheit beginnt mit Transparenz. Das Problem: Die meisten Unternehmen verfügen nicht über eine zuverlässige Bestandsaufnahme der Maschinenidentitäten, da diese dynamisch über Cloud-Plattformen, CI/CD-Pipelines, Orchestrierungstools und SaaS-Integrationen hinweg erstellt werden. Manuelle Audits können mit diesem Automatisierungsgrad nicht Schritt halten.

Die Bestandsaufnahme von NHIs erfordert eine automatisierte Erfassung der gesamten Infrastruktur, einschließlich Cloud-Workloads, Build-Systemen, Repositorys und Laufzeitumgebungen. Nach der Identifizierung gilt es die Identitäten nach Funktion, Berechtigungsstufe, Umgebung (Produktion oder Entwicklung), Lebensdauer und Eigentumsverhältnissen zu klassifizieren.

Aus Sicht der Steuerung (Governance) ist eine klare Verantwortungs- und Eigentümerstruktur von entscheidender Bedeutung. Jede Identität, die nicht eindeutig einer Geschäftsfunktion oder einem Anwendungsinhaber zugeordnet werden kann, stellt ein unkontrolliertes Risiko dar und steht in direktem Widerspruch zu den europäischen regulatorischen Anforderungen hinsichtlich Verantwortlichkeit und Überprüfbarkeit.

Beseitigung statischer Geheimnisse in großem Maßstab

Viele NHI-Verstöße beginnen mit einer schlechten Hygiene bei der Verwaltung von Anmeldedaten. Hier hilft die automatisierte Rotation von Anmeldedaten, die allerdings nur dann funktioniert, wenn Geheimnisse aus dem Code entfernt und zentral verwaltet werden. Fest codierte Anmeldedaten in Skripten und Konfigurationsdateien sind nach wie vor eine der häufigsten Ursachen für Kompromittierungen in der Lieferkette und in der Cloud.

In ausgereiften Umgebungen werden Anmeldedaten zur Laufzeit sicher abgerufen und nicht lokal gespeichert. Die Rotation erfolgt richtliniengesteuert, basierend auf Risiko und Gefährdung, und nicht nach festen Zeitplänen. Wo möglich, verwenden Unternehmen kurzlebige oder temporäre Anmeldedaten, die automatisch ablaufen.

Bei korrekter Implementierung verfügen Anwendungen niemals dauerhaft Zugang zu Geheimnissen. Dieser Ansatz reduziert den Explosionsradius der Gefährdung erheblich und entspricht weitgehend den Zero-Trust-Prinzipien, auf die in den EU-Sicherheitsrichtlinien zunehmend Bezug genommen wird.

Warum NHIs andere Kontrollen erfordern

Menschliche und nicht-menschliche Identitäten verhalten sich grundlegend unterschiedlich. Menschen authentifizieren sich interaktiv, wechseln ihre Rollen und reagieren auf Sicherheitskontrollen wie Multi-Faktor-Authentifizierung (MFA). Im Gegensatz dazu authentifizieren sich NHIs programmgesteuert, arbeiten kontinuierlich und verfügen oft über statische Berechtigungen, sofern sie nicht aktiv verwaltet werden.

Dies verändert das Bedrohungsmodell. NHIs fallen nicht auf Phishing-Simulationen herein und bemerken verdächtige Aufforderungen nicht. Wenn sie kompromittiert werden, können sie unbemerkt mit Maschinen-Geschwindigkeit missbraucht werden. Daher ist das Lebenszyklusmanagement von entscheidender Bedeutung: NHIs müssen mit minimalen Berechtigungen ausgestattet, kontinuierlich überwacht und automatisch außer Betrieb genommen werden, wenn sie nicht mehr benötigt werden.

Die Behandlung von Maschinenidentitäten als „kopflose Benutzer” ohne maßgeschneiderte Governance bleibt eine anhaltende Schwachstelle in modernen Sicherheitsprogrammen.

Angriffsszenarien aus der Praxis

Angreifer bevorzugen zunehmend NHIs, da sie den Angreifern einen stabilen, kaum erkennbaren Zugriff bieten. Zu den gängigen Szenarien gehören gestohlene CI/CD-Token, die zur Manipulation von Software-Builds verwendet werden, überprivilegierte Dienstkonten, die laterale Bewegungen in Cloud-Umgebungen ermöglichen, und langlebige API-Schlüssel, die als persistente Hintertüren dienen.

Bekannt gewordene Vorfälle wie SolarWinds und CodeCov folgten diesem Muster. Die Angreifer verließen sich nicht auf Malware. Sie gaben sich einfach als vertrauenswürdige Maschinenidentitäten aus. Dies verdeutlicht, dass der Missbrauch von Identitäten und nicht mehr die Ausnutzung technischer Schwachstellen zum vorherrschenden Angriffsvektor geworden ist.

Erkennung von Maschinenmissbrauch

Um anomales NHI-Verhalten zu erkennen, muss man über regelmäßige Zugriffsüberprüfungen hinausgehen und eine kontinuierliche Überwachung einführen. Organisationen müssen das normale Verhalten von Maschinen als Referenz festlegen, also welche Systeme eine Identität nutzt, wie häufig dies geschieht und aus welchen Umgebungen heraus.

Unerwartete Zugriffspfade, ungewöhnliche Datenübertragungen oder plötzliche Änderungen von Berechtigungen sollten automatisierte Reaktionen auslösen. Die Integration mit SIEM- und Plattformen zur Sicherheitsanalyse ermöglicht die Korrelation mit Code- und Infrastrukturänderungen. Mit zunehmender Größe der IT-Umgebungen werden KI-gestützte Analysen wichtiger, um feine Abweichungen frühzeitig zu erkennen, bevor daraus Sicherheitsvorfälle entstehen.

Zuständigkeit und Verantwortlichkeit der Führungskräfte

Die Verantwortung für die Sicherheit von NHI ist oft fragmentiert. In der Praxis legen Sicherheitsteams die Richtlinien und Überwachungsmaßnahmen fest, DevOps-Teams implementieren Kontrollen und die Verantwortlichen über die Anwendung definieren den legitimen Zugriff. Die Verantwortlichkeit muss jedoch klar und eindeutig geregelt sein.

Auf Führungsebene müssen nicht-menschliche Identitäten (NHIs) in die übergreifende Identitäts- und Zugriffs-Governance der Organisation eingebettet sein, mit klaren Berichtswegen an den CISO oder eine gleichwertige risikoverantwortliche Funktion. Für öffentliche Einrichtungen und regulierte Branchen ist dies unerlässlich, um die Verpflichtungen in Bezug auf Audits, Berichterstattung und Reaktion auf Vorfälle zu erfüllen.

Ein struktureller Wandel in der Identitätssicherheit

Das Verhältnis zwischen menschlichen und nicht-menschlichen Identitäten wird mit der zunehmenden Verbreitung von Automatisierung, KI und digitalen Diensten zunehmend wachsen. Jeder Workflow, jede Integration und jeder Agent benötigt eine eigene Identität sowie entsprechende Zugriffsrechte.

Diese Realität erzwingt ein Umdenken bei der Konzeption und Ausgestaltung von Sicherheitsprogrammen. Die Identitätssicherheit kann nicht länger menschenzentriert bleiben. Organisationen, die eine konsistente Governance, Zugriffsrechte mit geringsten Privilegien und kontinuierliche Überwachung sowohl für menschliche als auch für nicht-menschliche Identitäten umsetzen, sind besser in der Lage, die europäischen regulatorischen Anforderungen zu erfüllen, systemische Risiken zu reduzieren und Automatisierung mit der nötigen Sicherheit einzuführen.