Blinde Flecken in der Identitätssicherheit

Governance und Compliance sind nur dann wirksam, wenn Unternehmen vollständige Transparenz über digitale Identitäten, Berechtigungen und Zugriffspfade haben. Gerade nicht-menschliche Identitäten und KI-Agenten schaffen sonst blinde Flecken, die Angreifer unbemerkt ausnutzen können.

Cybersicherheitsexperten in Unternehmen stehen derzeit vor einem Paradoxon: Während sie erhebliche Summen in Governance-Rahmenwerke, Compliance-Vorgaben und immer ausgefeiltere Sicherheits-Tools investieren müssen, bewegen sich Angreifer über verschachtelte Gruppenmitgliedschaften, ruhende Dienstkonten und überprivilegierte Drittanbieter-Accounts durch Systeme und Netzwerke. Dabei lösen sie keine Alarme aus, weil technisch betrachtet nichts Verdächtiges geschieht: Zugriffsrechte wurden gewährt, Pfade sind gültig und der Zugriff ist nicht als gezielte Seitwärtsbewegung erkennbar.

Die gefährlichsten Akteure in komplexen Systemen sind nicht jene, die Regeln brechen oder Sicherheitsmaßnahmen zu umgehen versuchen. Es sind diejenigen, die bestehende Rechte und Berechtigungen ausnutzen, die von Administratoren selbst als selbstverständlich betrachtet werden. In solchen Fällen wird die Zugriffsstruktur des Systems selbst zur Angriffsfläche, und Sicherheitsexperten haben kaum eine Chance, einen solchen Angriff zu erkennen, bevor es zu spät ist.

Wildwuchs bei den Rechten und Berechtigungen digitaler Identitäten

Ein Worst-Case-Szenario: Ein Dienstkonto, das ursprünglich für eine inzwischen nicht mehr genutzte Integration angelegt wurde, verfügt weiterhin über privilegierte Zugriffsrechte auf produktionskritische Systeme. Im Laufe der Zeit sammeln sich auf diesem Konto zusätzliche Berechtigungen an, die Authentifizierungsanforderungen im Unternehmen verändern sich, und eine Überwachung des Verhaltens digitaler Identitäten im Netzwerk findet nicht statt.

Wird in einer solchen Situation zusätzlich auf Multi-Cloud- oder Software-as-a-Service-Lösungen (SaaS) gesetzt, verschärft sich das Problem weiter. Denn eine einzelne digitale Identität kann beispielsweise in Microsoft Entra ID existieren, mit Amazon Web Services (AWS) verbunden sein und sich zugleich bei mehreren SaaS-Plattformen authentifizieren, wobei jede Instanz über unterschiedliche Berechtigungen verfügt. Kaum ein Identitätsverzeichnis kann die gesamten Zugriffsrechte einer solchen digitalen Identität vollständig abbilden, und nur wenige Unternehmen sind in der Lage, ein solches Verzeichnis aufzubauen.

KI multipliziert die Risiken mangelnder Transparenz

Unternehmen setzen schon lange autonome KI-Agenten in ihren Systemen ein. Diese Agenten greifen auf APIs und Datenbanken zu, schreiben Code und koordinieren Arbeitsabläufe. Jeder einzelne Agent fungiert dabei als digitale Identität und ist häufig mit weitreichenden Berechtigungen ausgestattet. Im Gegensatz zu klassischen Dienstkonten können KI-Agenten systemübergreifend auf eine Weise agieren, die von statischen Richtlinien nicht erfasst wird. Vertrauensketten, die als Leitplanken für KI-Agenten dienen sollen, sind oftmals noch unausgereift. Zugleich besteht in vielen Fällen nur begrenzte Transparenz über ihre Zugriffsrechte und ihr Verhalten.

Gleichzeitig wächst die Zahl nicht-menschlicher digitaler Identitäten in Unternehmensnetzwerken schneller, als die meisten Sicherheitsteams sie nachverfolgen können. KI beschleunigt diese Entwicklung zusätzlich. Gelingt es Unternehmen nicht, Transparenz über ihre autonomen Agenten herzustellen, werden daraus immer größere blinde Flecken und Schwachstellen in der Sicherheit entstehen.

Außerdem ist es auch nicht mehr ausreichend, für reaktive Governance zu sorgen, denn die Verweildauer von Angreifern in Systemen und Netzwerken wird ebenfalls immer kürzer: Bei vielen Angriffen vergehen vom ersten Zugriff bis zum Datendiebstahl weniger als zwei Stunden. Transparenz muss also bereits vor einem potenziell sicherheitsrelevanten Vorfall gewährleistet sein.

Umfassende Transparenz führt zu besserer Governance

Die Dynamik dieser Entwicklungen hat die Möglichkeiten manueller Überwachung längst überholt: Die Zahl nicht-menschlicher digitaler Identitäten steigt, während die Zeitfenster, um Angreifer zu stoppen und Sicherheitsverletzungen zu verhindern, immer kürzer werden.

Transparenz muss daher kontinuierlich, automatisiert und präventiv gewährleistet werden. Sie muss menschliche ebenso wie nicht-menschliche digitale Identitäten, KI-Agenten, OAuth-Berechtigungen sowie Zugriffspfade umfassen, die unbeabsichtigt zusätzliche Privilegien schaffen können. Riskante Zugriffsketten müssen frühzeitig erkannt und beseitigt werden, bevor Angreifer sie ausnutzen können.

Einige Best Practices, die Unternehmen dabei beachten sollten, um Angreifern einen Schritt voraus zu sein, sind:

• Überblick verschaffen: Die meisten Unternehmen verwalten nur einen Bruchteil ihres tatsächlichen Identitätsportfolios. Eine lückenlose Bestandsaufnahme muss auch Dienstkonten, API-Schlüssel, Anmeldedaten für Maschinen, Lieferantenzugänge, CI/CD-Token und KI-Agenten umfassen.
• Nicht nur Konten, sondern auch Wechselbeziehungen erfassen: Konten sind für sich genommen nur selten gefährlich. Risiken entstehen durch verschachtelte Gruppen, vererbte Rollen, plattformübergreifende Verbindungen und Vertrauensketten. Wenn ein Unternehmen den Pfad von einem inaktiven Auftragnehmerkonto hin zu einer kritischen Ressource nicht nachverfolgen kann, kann es diesen auch nicht schützen.
• Nicht-menschliche digitale Identitäten priorisieren: Nicht-menschliche digitale Identitäten verfallen selten und erhalten bei der Erstellung häufig zu viele Berechtigungen. Diese Identitäten erfordern dieselbe strenge Governance, die auch für menschliche Konten gilt.
• Verhaltensbasierte Transparenz: Strukturelle Zugriffsdaten bilden die Grundlage. Verhaltensbasierte Referenzwerte machen daraus ein Frühwarnsystem. Wenn ein Dienstkonto plötzlich unbekannte Systeme abfragt oder Drittanbieterkonten unerwartete Verhaltensmuster zeigen, können Sicherheitsteams frühzeitig reagieren, bevor ein Schaden entsteht.
• Transparenz über Drittanbieter und Umgebungen hinweg denken: Die Anmeldedaten eines Drittanbieters außerhalb des direkten Überwachungsbereichs eines Unternehmens sind dennoch Teil des Risikoprofils dieses Unternehmens.

Transparenz entscheidet über die Wirksamkeit von Identitäts-Governance

Viele Sicherheitsstrategien in Unternehmen wurden darauf ausgerichtet, Angreifer abzuwehren, die den Unternehmensperimeter attackieren und dabei Warnmeldungen auslösen. In vielen Fällen müssen Angreifer diesen Weg jedoch längst nicht mehr gehen. Stattdessen genügt es, jene Identitätspfade zu finden, über die sich Abwehrmaßnahmen umgehen lassen. Durch Multi-Cloud-Umgebungen, Software-Lieferketten und autonome KI-Agenten umfasst das Konzept digitaler Identitäten heute deutlich mehr potenzielle Schwachstellen als früher.

Wenn Gruppenmitgliedschaften drei oder vier Ebenen tief verschachtelt sind, Dienstkonten die Projekte überdauern, für die sie einst erstellt wurden, oder Drittanbieterintegrationen vererbte Berechtigungen mit sich bringen, entsteht eine Systemumgebung, in der jede einzelne Zugriffsberechtigung legitim erscheint, die in der Realität jedoch voller ausnutzbarer Schwachstellen ist.

Governance- und Compliance-Richtlinien sowie deren Durchsetzung funktionieren nur dann, wenn sie auf einer vollständigen und kontinuierlich aktualisierten Übersicht über die zugrunde liegende Infrastruktur basieren. Über eine solche Übersicht verfügen die meisten Unternehmen jedoch nicht. Die entscheidende Frage lautet daher nicht, ob es in der Sicherheitsstrategie für digitale Identitäten blinde Flecken gibt, sondern wo sie liegen und ob Unternehmen sie vor potenziellen Angreifern identifizieren können.