Thought Leadership
Entwickler erstellen oft temporäre Sandboxen in der Cloud und vergessen die Rechte. Just-In-Time-Access deaktiviert diese Berechtigungen automatisch.
Die Skalierung von Cloud-Infrastrukturen in modernen Unternehmen hat zu einer massiven Zunahme digitaler Identitäten und Zugriffsberechtigungen geführt. In der betrieblichen Praxis von Software-Entwicklungsteams und Fachabteilungen gehört das schnelle Einrichten temporärer Testumgebungen, sogenannter Sandboxen, zum logistischen Alltag. Diese Umgebungen werden in Public-Cloud-Plattformen wie Amazon Web Services, Microsoft Azure oder Google Cloud Platform initiiert, um neue Codeabschnitte zu testen oder Software-Prototypen zu evaluieren.
Das kritische Sicherheitsdefizit dieser dezentralen Praxis liegt nicht in der Bereitstellung der Ressourcen an sich, sondern in der anschließenden Verwaltung der Zugriffsrechte. Häufig verbleiben weitreichende administrative Berechtigungen weit über den eigentlichen Nutzungszeitraum hinaus aktiv, da das Löschen der Berechtigungen im operativen Alltag schlicht vergessen wird. Diese dauerhaften Berechtigungen, im Fachjargon als Standing Privileges bezeichnet, bilden eines der größten Einfallstore für Cyberangriffe innerhalb der Cloud-Schatten-IT.
Anstieg von Cloud-Intrusions um über 37 Prozent
Die empirische Relevanz dieses Sicherheitsproblems wird durch statistische Erhebungen der führenden IT-Sicherheitsinstitute untermauert. Der CrowdStrike Global Threat Report dokumentiert für das Jahr 2025 und den Beginn des Jahres 2026 einen kontinuierlichen Anstieg von Cloud-Intrusions um über 37 Prozent im Vergleich zu den Vorjahren. Ein zentrales Ergebnis dieser Bedröhungsanalysen ist, dass Angreifer in rund 70 Prozent der Fälle keine komplexen Software-Schachstellen ausnutzen, um in Cloud-Umgebungen einzudringen. Sie greifen stattdessen gezielt auf bereits existierende, kompromittierte Identitäten zurück.
Der IBM Cost of a Data Breach Report beziffert die durchschnittlichen Kosten für Datenpannen, die sich über mehrere Cloud-Umgebungen erstrecken, auf über fünf Millionen US-Dollar. Wenn ein Entwickler administrative Rechte für eine Sandbox erhält und diese Rechte über Monate ungenutzt im System verbleiben, vergrößert dies den privaten Schadensradius bei einem Identitätsdiebstahl immens. Ein kompromittiertes Benutzerkonto ermöglicht es Angreifern, sich lateral durch das gesamte Netzwerk zu bewegen, da die Berechtigungen permanent und ortsunabhängig gültig sind.
Der konzeptionelle Wechsel zum Just-In-Time-Verfahren
Traditionelle Modelle des Privileged Access Managements stoßen in dynamischen Cloud-Architekturen an ihre funktionalen Grenzen. Sie basieren auf der statischen Zuweisung von Rechten: Ein Benutzer erhält eine Rolle einmalig zugeteilt, und diese bleibt bestehen, bis sie manuell durch einen Administrator entzogen wird.
Das Konzept des Just-In-Time-Access stellt einen fundamentalen Paradigmenwechsel dar. Hierbei wird das Privileg als reine Transaktion behandelt, nicht mehr als permanente Eigenschaft eines Benutzerkontos. Dem Mitarbeiter werden im Normalzustand jegliche administrativen Rechte entzogen. Erst in dem Moment, in dem eine konkrete Aufgabe den Zugriff auf eine sensitive Ressource erfordert, stellt der Anwender eine Anfrage auf Rechte-Eskalation. Nach der Verifizierung wird das Privileg zeitlich eng begrenzt freigeschaltet und erlischt nach dem Ablauf einer definierten Frist vollkommen automatisch, ohne dass ein manuelles Eingreifen der IT-Sicherheitsabteilung erforderlich ist.
Genehmigungsprozess auf wenige Minuten verkürzt
Die Umstellung auf zeitlich begrenzte Zugriffsrechte wird in echten Unternehmens-Use-Cases bereits erfolgreich praktiziert. Eine detaillierte Fallstudie des Technologieunternehmens Sourcegraph dokumentiert die operativen Effekte bei der Implementierung automatisierter Just-In-Time-Lösungen. Vor der Restrukturierung des Identitätsmanagements führte die manuelle Beantragung und Bereitstellung von administrativen Rechten für Entwicklungs- und TechOps-Teams zu erheblichen Verzögerungen, die oft Stunden oder Tage beanspruchten. Um diese Bremswirkung zu umgehen, wurden Rechte häufig präventiv dauerhaft vergeben.
Durch den Einsatz einer automatisierten JIT-Plattform konnte Sourcegraph den Genehmigungsprozess auf wenige Minuten verkürzen, während gleichzeitig die Anzahl dauerhafter Administrator-Konten in Systemen wie Google Cloud, GitHub und Cloudflare drastisch reduziert wurde. Die Autorisierung für spezifische Projektressourcen bleibt für die Dauer der aktiven Aufgabe bestehen – oft nur für wenige Stunden – und läuft danach über eine automatisierte Time-to-Live-Regel ab. Die Fallstudie belegt, dass eine Beschleunigung der Zugriffsvergabe um das Fünfundzwanzigfache realisierbar ist, ohne die Sicherheitsvorgaben der Least-Privilege-Governance zu verletzen.
Technische Umsetzung über temporäre Identitäten und Ablauf-Vorgaben
Die technische Realisierung von Just-In-Time-Access in Multi-Cloud-Umgebungen stützt sich auf fortschrittliche Protokolle und dedizierte Systeme wie das Cloud Infrastructure Entitlement Management. Anstatt langlebige Zugriffsschlüssel oder feste IAM-Benutzerkonten bereitzustellen, generieren die Plattformen im Moment der Autorisierung kurzlebige Security-Tokens.
In einer AWS-Umgebung wird dieser Prozess beispielsweise über den AWS Security Token Service abgewickelt. Fordert ein Entwickler Zugriff auf eine temporäre Sandbox an, prüft die JIT-Engine die Konformität der Anfrage. Bei Freigabe übernimmt der Nutzer über die Funktion AssumeRole eine spezifische IAM-Rolle. Das System übergibt dem Client einen temporären Zugriffsschlüssel, dessen Gültigkeit über eine Ablauf-Vorgabe fest codiert ist. Versucht ein Angreifer, diesen Token nach Ablauf der Sitzungsdauer für böswillige Zwecke zu missbrauchen, wird die Verbindung von der Cloud-Infrastruktur abgewiesen, da der kryptografische Schlüssel im Hintergrund bereits entwertet wurde.
Reduzierung der Angriffsfläche in der Software-Lieferkette
Die konsequente Eliminierung von Standing Privileges minimiert das Risiko von Lieferketten-Angriffen innerhalb des Software-Engineering-Prozesses. Da Cloud-Sandboxen häufig über CI/CD-Pipelines automatisiert erstellt und modifiziert werden, verfügen auch die dort genutzten Service-Accounts über weitreichende Rechte. Bleiben diese maschinellen Berechtigungen dauerhaft aktiv, bilden sie ein primäres Ziel für Cyberkriminelle, die versuchen, Schadcode in die Software-Produktion einzuschleusen.
Just-In-Time-Access-Konzepte binden auch diese nicht-menschlichen Identitäten in das transaktionale Rechtemanagement ein. Ein Automatisierungs-Skript erhält die Erlaubnis zur Ressourcen-Erstellung exakt für das Zeitfenster des Kompilierungs- und Bereitstellungsprozesses. Sobald die Sandbox erfolgreich etabliert ist, werden die administrativen Credentials des Service-Accounts unbrauchbar gemacht. Die Angriffsfläche wird auf ein minimales Zeitfenster komprimiert, was die Durchführung von lateralen Bewegungen innerhalb der Infrastruktur für externe Akteure mathematisch erschwert.
Einbindung von JIT-Modellen in die IT-Compliance-Vorgaben
Neben der direkten Abwehr von Sicherheitsrisiken erfüllt das Just-In-Time-Verfahren eine wichtige Funktion beim Nachweis regulatorischer Konformität im Rahmen von IT-Audits. Compliance-Standards wie ISO 27001, SOC 2 oder die europäische NIS2-Richtlinie fordern von Unternehmen den Nachweis einer lückenlosen Überwachung aller privilegierten Zugriffe.
Da jede JIT-Anforderung eine explizite Begründung erfordert und der gesamte Workflow von der Anfrage über die Autorisierung bis hin zur automatischen Deaktivierung lückenlos protokolliert wird, generiert das System automatisch revisionssichere Audit-Logs. IT-Leiter müssen bei einer Überprüfung keine manuellen Protokollabgleiche mehr durchführen, um nachzuweisen, wer wann Zugriff auf sensible Cloud-Ressourcen hatte. Die lückenlose Dokumentation der zeitlich begrenzten Privilegien liefert den direkten Nachweis, dass das Prinzip der geringsten Rechte in der operativen Praxis des Unternehmens vollständig umgesetzt und gelebt wird.
