3 Perspektiven auf Identity Security: Wie Maschinen-Identitäten die Cyber-Sicherheit bedrohen

Warum reichen bisherige Sicherheitsansätze allein nicht mehr aus?

Klassische Sicherheitsstrategien wurden in einer Zeit entwickelt, in der sich digitale Identitäten wie Benutzerkonten weitgehend auf Mitarbeiter*innen, Administrator*innen und externe Nutzer*innen bezogen. Schutzmaßnahmen konzentrierten sich entsprechend vor allem darauf, die Risiken menschlichen Verhaltens zu reduzieren, etwa Phishing-Angriffe abzuwehren, Passwörter zu schützen oder verdächtige Benutzeraktivitäten zu erkennen. Maschinen-Identitäten blieben dabei häufig unter dem Radar, da man IT-Systemen mit einst klar definierten Abläufen grundsätzlich Vertrauen schenkte.

Was hat sich in modernen IT-Landschaften verändert?

Heute verwalten Unternehmen längst nicht mehr nur die Accounts ihrer Mitarbeiter*innen. Hinzu kommen zahlreiche digitale Identitäten, die sich auf Anwendungen, Dienste oder automatisierte Prozesse beziehen. Sie greifen auf Systeme und Daten zu, führen Aufgaben aus und erhalten dafür oft weitreichende Berechtigungen, die gar nicht unbedingt erforderlich sind. Während Benutzerkonten etablierter Bestandteil vieler Sicherheits- und Governance-Prozesse sind, fehlt bei technischen Identitäten häufig die gleiche Transparenz.

Was bedeutet das für Unternehmen?

Identity Security erweitert den Blick von der Absicherung virtueller menschlicher Identitäten hin zur Steuerung sämtlicher digitaler Identitäten. Ziel ist es, nachvollziehbar zu machen, wer oder was auf Systeme und Daten zugreift und ob die vergebenen Berechtigungen tatsächlich erforderlich sind.

Warum diese Aufgabe für Unternehmen immer wichtiger wird, erläutern drei Experten von Forvis Mazars aus ihren jeweiligen Fachperspektiven.

Die Risiko-Perspektive: Maschinen-Identitäten nehmen rapide zu

Wenn über Identity Security gesprochen wird, denken viele zunächst an Mitarbeiter*innen. Tatsächlich wächst die Zahl menschlicher Identitäten in Unternehmen jedoch meist nur langsam. Anders sieht es bei technischen Identitäten aus.

Viele Anwendungen benötigen Zugänge zu anderen Systemen, um Informationen zu nutzen oder abzulegen. Automatisierte Prozesse tauschen dabei oft auch brisante und besonders schutzwürdige Informationen aus. Cloud-Dienste kommunizieren untereinander. Eine moderne IT-Landschaft kann heute ein Vielfaches mehr Maschinen-Identitäten als menschliche Nutzer*innen umfassen.

Das Problem ist: Viele Prozesse im Identity und Access Management wurden ursprünglich für Menschen entwickelt. Für Mitarbeiter*innen gibt es Eintritts-, Wechsel- und Austrittsprozesse. Es wird definiert, welche Rolle jemand übernimmt und welche Berechtigungen damit verbunden sind.

Maschinen-Identitäten folgen dieser Logik jedoch nicht. Sie werden häufig projektbezogen eingerichtet, erhalten weitreichende Rechte und verbleiben anschließend dauerhaft im System, ohne ihre Erforderlichkeit zu prüfen. Gleichzeitig verändern sich Organisationen kontinuierlich. Verlassen Mitarbeiter*innen das Unternehmen, laufen Anwendungen, die sie verantwortet haben, häufig im operativen Betrieb weiter – samt der eingerichteten digitalen Identitäten, die Nachfolger*innen entsprechend dem Prinzip „Never touch a running system“ aber selten grundsätzlich infrage stellen.

Damit entsteht ein blinder Fleck. Denn während verdächtiges Verhalten von Mitarbeiter*innen meist schnell auffällt, können ungewöhnliche Aktivitäten technischer Konten lange unentdeckt bleiben. Genau deshalb werden Maschinen-Identitäten zunehmend als eigenständige Risikokategorie betrachtet.

Wichtig ist dabei nicht nur, diese Identitäten zu erfassen. Unternehmen müssen auch verstehen, welchen Zweck sie erfüllen, welche Rechte sie tatsächlich benötigen und wie sich ihr Verhalten überwachen lässt.

Die Prozess-Perspektive: Die größte Herausforderung ist fehlende Transparenz

Identity Security beginnt mit einer einfachen Frage: Wissen Unternehmen überhaupt, welche Identitäten in ihren Systemen existieren? Und in der Praxis lautet die Antwort häufig: „Nur teilweise“.

Während Benutzerkonten von Mitarbeiter*innen meist gut dokumentiert sind, sieht es bei technischen Konten oft anders aus. Über Jahre entstehen Service-Accounts, Schnittstellen, Anwendungszugänge und Automatisierungen. Systeme werden erweitert, Dienstleister eingebunden und neue Anwendungen eingeführt. Viele dieser Identitäten bleiben dauerhaft bestehen, obwohl ihr ursprünglicher Zweck längst nicht mehr bekannt ist.

Die Gefahr besteht darin, dass Unternehmen Berechtigungen nur kontrollieren können, wenn sie wissen, wer oder was überhaupt Zugriff besitzt. Viele Sicherheitsprojekte beginnen deshalb nicht mit neuen Technologien, sondern mit der mühsamen Bestandsaufnahme vorhandener Identitäten und Zugriffsrechte.

Hier liegt eine der größten Herausforderungen für die kommenden Jahre. Bevor Unternehmen über moderne Authentifizierungsverfahren oder intelligente Sicherheitslösungen sprechen, müssen sie zunächst Transparenz über den Bestand der digitalen Identitäten und deren Zugriffsberechtigungen schaffen.

Die Governance-Perspektive: Identity Security ist eine Managementfrage

Viele Unternehmen wissen, dass Cyber-Risiken zunehmen, und obwohl die technischen Herausforderungen groß sind, scheitert Identity Security selten an einzelnen Software-Lösungen.

Der Grund dafür liegt in der besonderen Stellung digitaler Identitäten. Sie verbinden technische Systeme mit organisatorischen Entscheidungen. Welche Zugriffe erforderlich sind, welche Berechtigungen vergeben werden und welche Risiken damit in Verbindung stehen, lässt sich nicht allein auf technischer Ebene beantworten.

Identity Security wird damit zu einer Managementaufgabe. Denn Einführung und Überarbeitung von Sicherheitsprozessen erfordern Ressourcen, klare Verantwortlichkeiten und bereichsübergreifende Zusammenarbeit. Fachbereiche, IT, Informationssicherheit und Compliance müssen gemeinsam entscheiden, wie digitale Identitäten verwaltet und kontrolliert werden.

Bei Maschinen-Identitäten wird die Notwendigkeit von Kollaboration und Steuerung besonders deutlich. Während die IT den Betrieb der Anwendungen sicherstellt, entscheiden Fachbereiche häufig über ihren Einsatz und ihre Notwendigkeit. Gleichzeitig müssen Informationssicherheit und Compliance die Risiken bewerten. Eine wirksame Steuerung gelingt deshalb nur durch klare Governance-Strukturen.

Identity Security unterliegt durch NIS2 und DORA außerdem regulatorischem Druck. Anforderungen an Governance und Risikomanagement haben so an Bedeutung gewonnen. Dadurch ist Identity Security nicht nur ein Thema der technischen Sicherheit. Sie ist auch ein Bestandteil wirksamer Unternehmenssteuerung.

Fazit: Klare Perimeter über Unternehmensgrenzen verschwinden, Identitäten mit Zugriffsberechtigungen bleiben

Die eigentliche Veränderung liegt nicht darin, dass digitale Identitäten plötzlich wichtig geworden sind. Sie waren schon immer eine Grundlage digitaler Sicherheit.

Neu ist die Dimension. Unternehmen verwalten heute deutlich mehr Identitäten als noch vor wenigen Jahren. Insbesondere der Anteil nicht-menschlicher Identitäten nimmt kontinuierlich zu. Viele davon agieren automatisiert und mit KI auch immer weniger entlang eindeutig definierter Abläufe. Digitale Identitäten besitzen oft aus der Vergangenheit stammende weitreichende Berechtigungen, entziehen sich jedoch den klassischen Kontrollmechanismen.

Die Herausforderung der kommenden Jahre besteht deshalb nicht allein darin, immer neue Sicherheitsbedrohungen abzuwehren. Entscheidend wird sein, Transparenz über die wachsende Zahl menschlicher und maschineller Identitäten zu schaffen, deren Berechtigungen wirksam zu steuern und diese Steuerung fest in Governance- und Risikomanagementprozessen zu verankern. Genau hier wird sich künftig entscheiden, wie widerstandsfähig Unternehmen gegenüber Cyber-Risiken tatsächlich sind.