Der blinde Fleck bei der Maschinenidentität ist mittlerweile eine der wichtigsten Angriffsflächen

Die wichtigsten Erkenntnisse

• Nicht-menschliche Identitäten (NHIs) sind mittlerweile zahlenmäßig weitaus stärker vertreten als menschliche Nutzer und nehmen deutlich schneller zu, wodurch eine erhebliche und nur unzureichend regulierte Angriffsfläche entsteht.
• Angreifer nutzen zunehmend Social-Engineering-Methoden wie Voice-Phishing (Vishing), um menschliche Abwehrmechanismen zu umgehen und Zugriff auf Anmeldedaten auf Systemebene zu erlangen.
• Die meisten NHIs verfügen über übermäßige Berechtigungen und unterliegen keinem ordnungsgemäßen Lebenszyklusmanagement, was zur Anhäufung von „Identitätsschulden“ beiträgt.
• Herkömmliche Sicherheitstools können Bedrohungen auf Maschinenebene nicht erkennen, da sich NHIs anders verhalten als menschliche Nutzer.
• Unternehmen müssen von Strategien, bei denen die Prävention im Vordergrund steht, zu Ansätzen übergehen, bei denen die Wiederherstellung im Vordergrund steht, und dabei der schnellen Erkennung und Abwehr identitätsbasierter Angriffe Priorität einräumen.

In den letzten zehn Jahren richteten sich die Sicherheitsinvestitionen von Unternehmen am Menschen aus. Bessere Authentifizierung. Stärkere Multi-Faktor-Authentifizierung (MFA). Phishing-Simulation. Identitätszentrierte Architektur. Diese Investitionen waren die richtige Antwort auf die damalige Bedrohungslage. Die Bedrohungslage hat sich verändert.

Die raffiniertesten Angreifer von heute versuchen nicht, Ihre MFA zu überwinden. Sie nutzen sie als Tür. Ein überzeugender Anruf bei Ihrem IT-Helpdesk, ein MFA-Reset und ein kompromittiertes Benutzerkonto – das ist der Einstieg. Was sie tatsächlich anstreben, ist das, was dahinter liegt: die weitverzweigte, unzureichend kontrollierte Ebene der NHIs, die jedes System in Ihrer Umgebung miteinander verbindet.

Das Ausmaß des Problems ist erschütternd

Dienstkonten, API-Schlüssel, OAuth-Token, KI-Agenten – NHIs übersteigen die Zahl der menschlichen Nutzer mittlerweile im Verhältnis von 144 zu 1, und sie wachsen vier- bis zehnmal schneller als menschliche Konten. Dennoch verfügen weniger als 25 % der Unternehmen über formelle Richtlinien, die deren Erstellung oder Stilllegung regeln. Fast alle von ihnen verfügen über übermäßige Berechtigungen – Rechte, die weit über das hinausgehen, was ihre Funktion erfordert.

Das ist kein neues Risiko, das plötzlich aufgetaucht ist. Es handelt sich um eine angehäufte Identitätslast: jahrelange Bereitstellung ohne Governance, Automatisierung ohne Rechenschaftspflicht, Cloud ohne Transparenz. Und das ist den Angreifern nicht entgangen.

Vishing ist der Einstiegspunkt

Gruppen wie ShinyHunters und Scattered Spider – die unter dem von Forschern als „Scattered LAPSUS$ Hunters“ (SLH) bezeichneten Cluster operieren – haben Social Engineering industrialisiert, um genau diese Lücke auszunutzen. Voice-Phishing stieg im Jahr 2025 um 449 %. Dabei handelt es sich nicht um opportunistische Anrufe. Es handelt sich um koordinierte Operationen: speziell entwickelte Skripte, rekrutierte Anrufer, finanzielle Anreize von bis zu 1.000 US-Dollar pro erfolgreicher Helpdesk-Identitätsfälschung.

Der Anruf ist nicht der Angriff. Der Anruf dient dazu, die Anmeldedaten zurückzusetzen, wodurch ein Angreifer die menschliche Sicherheitsbarriere überwinden kann. Der Angriff beginnt, wenn er auf die Maschinenebene übergeht – indem er OAuth-Token stiehlt, administrative Dienstkonten erstellt und Zugriffsrechte in Anmeldedaten einbettet, die selten überwacht und fast nie aktualisiert werden. Das Benutzerkonto wird wiederhergestellt. Der Zugriff auf Systemebene bleibt bestehen. Der Angreifer ist bereits weitergezogen.

Drei Schwachstellen, die herkömmliche Kontrollmechanismen nicht erkennen können

Standard-Sicherheitstools sind auf menschliches Verhalten ausgelegt. Sie melden anomale Anmeldungen, ungewöhnliche Standorte und verdächtigen E-Mail-Verkehr. NHIs funktionieren anders, und genau dieser Unterschied ist der blinde Fleck.

Der Missbrauch von OAuth sieht beispielsweise wie normaler API-Verkehr aus – selbst nach einem Passwort-Reset. In großen Unternehmen sind Tausende undokumentierte Dienstkonten mit Administratorrechten im Einsatz, oft noch lange nachdem die Projekte, in deren Rahmen sie erstellt wurden, bereits beendet sind. Langlebige API-Schlüssel, die in DevOps-Pipelines eingebettet sind, gewähren weitreichenden Zugriff ohne Gerätekontext und ohne Anmeldewarnung. MFA deckt sie nicht ab. Die Endpunktüberwachung erkennt sie nicht. E-Mail-Filterung spielt für sie keine Rolle.

Der Paradigmenwechsel: Von „Prävention zuerst“ zu „Wiederherstellung zuerst“

Die logische Reaktion auf eine Bedrohung, die sich oft der herkömmlichen Erkennung entzieht, besteht darin, nicht mehr davon auszugehen, dass man jeden Angriff verhindern kann, sondern stattdessen Maßnahmen zu ergreifen, die eine schnelle Wiederherstellung nach erfolgreichen Angriffen ermöglichen. Das bedeutet, dass NHIs als Tier-0-Assets behandelt werden – mit denselben Governance-Kontrollen, die auch für Domänenadministratoren oder Cloud-Umgebungen gelten, die mit menschlichen Identitäten verwaltet werden. Das bedeutet, statische Geheimnisse durch kurzlebige Token und automatische Rotation zu ersetzen.

Das bedeutet auch, domänenübergreifende Signale miteinander zu verknüpfen: Eine Interaktion mit dem Helpdesk, gefolgt von einer Zurücksetzung der MFA und der Erstellung eines neuen Tokens, ist ein sehr zuverlässiger Indikator für eine Kompromittierung, und die frühzeitige Erkennung entscheidet darüber, ob der Schaden eingedämmt werden kann oder sich die Sicherheitsverletzung über einen längeren Zeitraum hinzieht. Es bedeutet, NHIs zur Nachvollziehbarkeit mit menschlichen Identitäten abzugleichen.

Vor allem bedeutet dies, dass man in der Lage ist, unbefugte Berechtigungserweiterungen zu erkennen und böswillige Identitätsänderungen in Echtzeit rückgängig zu machen – und so die Umgebung wieder in einen bekannten, vertrauenswürdigen Zustand zu versetzen, bevor sich der Schaden ausweitet.

Prävention ist nach wie vor wichtig. Angesichts der Governance-Lücken, mit denen viele Unternehmen zu kämpfen haben, wird jedoch die Geschwindigkeit der Wiederherstellung zu einem zentralen Indikator für die Widerstandsfähigkeit. Unternehmen sollten Identitätsprogramme entwickeln, die auf die Angriffe zugeschnitten sind, die bereits heute stattfinden – und nicht auf diejenigen, die vor fünf Jahren noch üblich waren. Besuchen Sie Readiverse und werfen Sie einen Blick auf unser E-Book „The Non-Human Identity Crisis“, das sich eingehend mit der gesamten Angriffsfläche von Maschinen und dem Rahmenkonzept für Identitätsresilienz befasst.

FAQs

Frage 1: Was sind nicht-menschliche Identitäten (NHIs)?

A: Zu den NHIs gehören Dienstkonten, API-Schlüssel, OAuth-Token und KI-Agenten, die die Interaktion zwischen Systemen und Anwendungen ermöglichen. Im Gegensatz zu menschlichen Nutzern arbeiten sie oft automatisch und in großem Maßstab, was ihre Überwachung und Steuerung erschwert.

Frage 2: Warum gelten NHIs als Sicherheitsrisiko?

A: NHIs verfügen oft über zu weitreichende Berechtigungen und es mangelt ihnen an einer angemessenen Governance, was sie zu attraktiven Zielen für Angreifer macht. Da sie selten überwacht oder regelmäßig ausgetauscht werden, können kompromittierte Zugangsdaten über lange Zeiträume hinweg unentdeckt bleiben.

Frage 3: Wie nutzen Angreifer NHIs aus?

A: Angreifer verschaffen sich in der Regel zunächst durch Social-Engineering-Methoden wie Voice-Phishing Zugriff und wechseln dann auf die Systemebene. Sie stehlen Tokens, erstellen neue Dienstkonten oder bauen dauerhaften Zugriff in Anmeldedaten ein, die nicht genau überwacht werden.

Frage 4: Warum erkennen herkömmliche Sicherheitstools diese Bedrohungen nicht?

A: Die meisten Sicherheitstools sind darauf ausgelegt, menschliches Verhalten zu überwachen, beispielsweise Anomalien bei der Anmeldung oder Phishing-Versuche. NHIs erzeugen Systemverkehr, der normal aussieht, wodurch sich böswillige Aktivitäten in legitime Vorgänge einfügen können.

Frage 5: Was versteht man unter einem „Recovery-First“-Sicherheitsansatz?

A: Ein „Recovery-First“-Ansatz konzentriert sich darauf, Sicherheitsverletzungen schnell zu erkennen und Systeme wieder in einen vertrauenswürdigen Zustand zu versetzen, anstatt davon auszugehen, dass sich alle Angriffe verhindern lassen. Dazu gehört es, unbefugte Änderungen zu identifizieren und diese in Echtzeit rückgängig zu machen.

Frage 6: Wie können Organisationen die Sicherheit des NHI verbessern?

A: Unternehmen können NHIs als kritische Vermögenswerte behandeln, strenge Governance-Richtlinien umsetzen, statische Anmeldedaten durch kurzlebige Token ersetzen und Signale systemübergreifend miteinander verknüpfen. Die Zuordnung von NHIs zu bestimmten Verantwortlichen verbessert zudem die Rechenschaftspflicht und die Aufsicht.

Vidya Shankaran ist Field CTO bei Commvault.