Wir haben uns jahrelang auf die Identitätssicherheit im Zusammenhang mit Personen konzentriert – wer Zugriff hat, was diese Personen tun können und wie man dies kontrollieren kann. Dieses Modell war sinnvoll, als die meisten Aktivitäten im Umfeld menschlicher Nutzer gesteuert wurden. Das ist jedoch nicht mehr der Fall.
Maschinenidentitäten – Anwendungen, Dienste, APIs und automatisierte Workloads – spielen mittlerweile eine zentrale Rolle für die Funktionsweise moderner Systeme. Sie authentifizieren sich, kommunizieren und führen Aufgaben aus, oft ohne direkte Aufsicht. Und in vielen Umgebungen übersteigen sie die Anzahl menschlicher Identitäten bereits bei weitem.
In dieser Folge von STRIVE spreche ich mit Dan Conrad, Principal Technologist und ebenfalls Field CTO bei Commvault. Wir schauen uns genauer an, was dieser Wandel bedeutet – nicht nur aus Sicherheitsperspektive, sondern auch unter dem Gesichtspunkt der Governance. Und wir untersuchen, warum so viele Unternehmen dies immer noch als zweitrangiges Anliegen betrachten. Die ganze Folge ansehen.
Das Wichtigste auf einen Blick: Wohin sich das Risiko verlagert
- Die Zahl der Maschinenidentitäten wächst schneller als die der menschlichen Identitäten, oft um ganze Größenordnungen.
- Die Governance-Modelle haben nicht Schritt gehalten, was zu blinden Flecken beim Zugriff und bei der Kontrolle geführt hat.
- Transparenz ist die zentrale Herausforderung. Viele Teams verstehen nicht vollständig, wie sich Maschinenidentitäten verhalten.
- Die Ausweitung von Zugriffsrechten geht über die Benutzer hinaus, da Maschinenidentitäten häufig über dauerhaften Zugriff verfügen.
- Resilienz hängt davon ab, dass man den Aufgabenbereich dieser Maschinenidentitäten versteht und steuert, bevor sie zu einem Problem werden.
Das Identitätsmodell hat sich verändert
Lange Zeit war das Identitätsmanagement relativ unkompliziert. Man konnte Benutzern Rollen zuweisen, Zugriffsrichtlinien definieren und Kontrollen auf der Grundlage vorhersehbaren Verhaltens aufbauen. Trotz aller Komplexität war das Modell immer noch in menschlichen Aktivitäten verankert. Maschinenidentitäten haben dieses Modell durchbrochen. Sie werden dynamisch erstellt, oft als Teil von Entwicklungs- oder Bereitstellungsprozessen. Sie interagieren systemübergreifend auf Weisen, die nicht immer sichtbar, gut dokumentiert oder geprüft sind. Und im Gegensatz zu menschlichen Benutzern folgen sie keinem klar definierten Lebenszyklus – sie werden nicht auf dieselbe strukturierte Weise hinzugefügt und entfernt.
Das schafft eine ganz neue Herausforderung. Es geht nicht mehr nur darum, den Zugriff zu kontrollieren. Es geht darum, zu verstehen, wie dieser Zugriff genutzt wird, wie er sich entwickelt und wie er sich über die gesamte Umgebung hinweg vernetzt.
Vorschau: Eine nicht-menschliche Identität lässt sich nicht per Phishing angreifen
In diesem Ausschnitt aus der STRIVE-Diskussion beschreibt Dan, dass Angreifer nicht direkt über Phishing auf nicht-menschliche Identitäten abzielen – vielmehr nutzen böswillige Akteure durch Social Engineering kompromittierte menschliche Konten als Sprungbrett, um Berechtigungen zu erweitern und sich als einflussreiche Maschinenidentitäten auszugeben. Sind sie erst einmal im System, ermöglichen Techniken wie „Pass-the-Hash“ und überprivilegierte Dienstkonten den Angreifern, sich lateral und vertikal zu bewegen, selbst nachdem Passwörter zurückgesetzt wurden.
Die Governance-Lücke
Das eigentliche Problem ist nicht die Existenz von Maschinenidentitäten, sondern deren Regulierung. In den meisten Organisationen gibt es einen klar definierten Prozess für die Verwaltung des Zugangs von Personen:
- Die Anträge werden genehmigt.
- Die Berechtigungen werden überprüft.
- Änderungen werden nachverfolgt.
Durch die jahrelange Konzentration auf Benutzeridentitäten hat sich ein gewisses Maß an Disziplin etabliert. Maschinenidentitäten fallen jedoch oft aus dieser Struktur heraus. Sie werden schnell erstellt, um Anwendungen oder Automatisierungsprozesse zu unterstützen. Ihnen werden die für ihre Funktion erforderlichen Berechtigungen erteilt – manchmal mehr als nötig. Und im Laufe der Zeit bleiben diese Berechtigungen bestehen. Diese übermäßig gewährten Zugriffsrechte werden selten geprüft, überprüft und – was noch wichtiger ist – selten eingeschränkt.
Dort entsteht die Lücke. Es wird schwierig, grundlegende Fragen zum Zugriff zu beantworten. Nicht, weil die Informationen nicht vorhanden sind, sondern weil sie nicht so organisiert oder verwaltet wurden, dass sie nutzbar sind.
Transparenz vor Kontrolle
Wenn Unternehmen beginnen, sich mit diesem Problem auseinanderzusetzen, ist der erste Reflex oft, die Kontrollen zu verschärfen.
- Berechtigungen einschränken
- Zugriff einschränken
- Neue Richtlinien anwenden
Doch Kontrolle ohne Transparenz bringt nicht viel. Wenn Sie nicht verstehen, wie Identitäten genutzt werden – also den geschäftlichen Kontext im Hinblick darauf, wo sie miteinander verbunden sind, mit welchen Systemen sie interagieren und wie sie sich zwischen den Systemen bewegen –, dann wird jeder Versuch, sie einzuschränken, zu einer reaktiven Maßnahme und könnte zu einer Verlangsamung der Geschäftsabläufe führen. Deshalb muss die Sichtbarkeit an erster Stelle stehen.
Sobald Sie erkennen können, wie sich Maschinenidentitäten verhalten, zeichnen sich Muster ab. Sie können beginnen zu verstehen, wo der Zugriff übermäßig ist, wo Abhängigkeiten bestehen und wo sich Risiken konzentrieren. Auf dieser Grundlage lässt sich die Governance präziser und effektiver gestalten.
Ein etwas anderes Problem mit Zugriffsrechten
Die Ausweitung von Zugriffsrechten ist kein neues Phänomen. Die meisten Unternehmen versuchen schon seit Jahren, den übermäßigen Zugriff ihrer Mitarbeiter zu kontrollieren.
Maschinenidentitäten bringen ein ähnliches Problem mit sich, allerdings mit einer anderen Dynamik. Ihr Zugriff ist oft fest in Systeme eingebettet. Er ist dauerhaft, automatisiert und wird, sobald er eingerichtet ist, selten hinterfragt. Das macht es schwieriger, ihn zu erkennen, und leichter, ihn zu übersehen. Und wenn etwas schiefgeht, können diese Identitäten böswilligen Akteuren als Einfallstor dienen, das sie ausnutzen können
Wo soll man anfangen?
Für die meisten Organisationen besteht die Herausforderung nicht darin, sich der Problematik bewusst zu sein, sondern darin, zu wissen, wo sie anfangen sollen. Der erste Schritt ist keine große Umstellung. Es geht darum, Klarheit zu schaffen. Zu verstehen, wie viele Maschinenidentitäten es gibt. Wo sie erstellt werden. Welche Berechtigungen sie haben. Wie sie genutzt werden. Und vor allem darum, sicherzustellen, dass jedem menschlichen Nutzer eine Sammlung nicht-menschlicher Identitäten zugeordnet ist, um Nachvollziehbarkeit und Rechenschaftspflicht zu gewährleisten.
Diese Fragen klingen einfach, sind aber oft schwer zu beantworten. Und genau deshalb sind sie so wichtig. Denn sobald Sie sie beantworten können, agieren Sie nicht mehr im Dunkeln.
Die ganze Folge ansehen
In dieser Ausgabe von STRIVE beschäftigen wir uns eingehender damit, wie Maschinenidentitäten die Art und Weise verändern, wie Unternehmen über Zugriff, Governance und Ausfallsicherheit nachdenken sollten. Es ist ein praxisorientiertes Gespräch darüber, was derzeit geschieht – und was sich in Zukunft ändern muss. Jetzt ansehen.
Ressource
Wenn Sie mehr über dieses Thema erfahren möchten, werfen Sie doch einen Blick in dieses E-Book über nicht-menschliche Identitäten.
FAQs
F: Was ist eine Maschinenidentität?
A: Eine Maschinenidentität ist eine nicht-menschliche Identität, die von Anwendungen, Diensten oder Systemen zur Authentifizierung und Interaktion mit anderen Ressourcen verwendet wird.
F: Warum stellen Maschinenidentitäten ein immer größeres Risiko dar?
A: Weil ihre Zahl zunimmt, sie oft über dauerhaften Zugriff verfügen und nicht immer so streng kontrolliert werden wie menschliche Nutzer.
F: Inwiefern unterscheiden sie sich von Benutzeridentitäten?
A: Sie laufen kontinuierlich, sind in automatisierte Arbeitsabläufe eingebettet und verfügen oft nicht über ein strukturiertes Lebenszyklusmanagement.
F: Was ist die größte Herausforderung für Unternehmen bei der Verwaltung nicht-menschlicher Identitäten?
A: Transparenz. Viele Teams haben keinen klaren Überblick darüber, wie viele Maschinenidentitäten erstellt, genutzt oder miteinander vernetzt werden.
F: Wie wirkt sich das auf die Resilienz aus?
A: Werden Maschinenidentitäten kompromittiert, können sie einem böswilligen Akteur ein schnelles Hin- und Herbewegen zwischen verschiedenen Systemen ermöglichen, wodurch es schwieriger wird, Vorfälle einzudämmen und die Folgen zu beheben.
F: Wo sollten Unternehmen ansetzen?
A: Indem sie Maschinenidentitäten identifizieren, deren Berechtigungen verstehen und Governance-Verfahren entwickeln, die ihrer Größe und Komplexität gerecht werden. Und vor allem, indem sie sicherstellen, dass jedem menschlichen Nutzer eine Gruppe nicht-menschlicher Identitäten zugeordnet ist, um die Nachvollziehbarkeit und Rechenschaftspflicht zu gewährleisten.
Vidya Shankaran ist Field CTO bei Commvault.
