Menschliche vs. nicht-menschliche Identitäten: Wesentliche Unterschiede, Sicherheitsrisiken und bewährte Verfahren für die Governance

Zuerst gab es menschliche Identitäten, und jetzt gibt es nicht-menschliche Identitäten (NHIs). Ihr traditionelles Identitäts- und Zugriffsmanagement für Unternehmen (IAM) wurde in erster Linie für Ihre Mitarbeiter, Lieferanten oder Auftragnehmer entwickelt und bietet oft keine ausreichenden Governance-Funktionen für NHIs in großem Umfang – das ist das erste Problem.

Das zweite Problem besteht darin, dass Ihre Mitarbeiter nicht mehr die Mehrheit in Ihrem Unternehmen bilden. Laut einem Bericht der Cloud Security Alliance (CSA) lag das Verhältnis von Maschinen- zu menschlichen Identitäten im Jahr 2024 bei 20 zu 1 , wobei einige Prognosen ein Verhältnis von 92 zu 1 voraussagen , was einen deutlichen Aufwärtstrend signalisiert.

Da NHIs derzeit den Markt dominieren, ist es unerlässlich, den Unterschied zwischen Menschen und Maschinen zu verstehen. Denn die Art und Weise, wie man etwas sichert, hängt vollständig davon ab, wie es sich verhält, und Menschen und Maschinen verhalten sich völlig unterschiedlich.

Das Verständnis des Unterschieds trägt zu einer effektiven IAM und Identitätsmanagement im modernen Unternehmensökosystem. Dieser Blogbeitrag erläutert die verschiedenen Identitätstypen, ihre Zusammenhänge, die damit verbundenen Risiken und wie man sie übersichtlich verwaltet.

Menschliche und nicht-menschliche Identitäten: Ein kurzer Überblick

Menschliche und nicht-menschliche Identitäten – diese beiden unterscheiden sich nicht nur in ihrem Wesen, sondern auch in ihrem Verhalten, ihrer Entstehung und ihren Fehlfunktionen.

Was sind menschliche Identitäten?

Menschliche Identitäten umfassen reale Personen, die mit Ihren Systemen interagieren. Sie melden sich an, treffen Entscheidungen, greifen auf Daten zu und agieren im Rahmen von Organisationsrollen und -richtlinien.

Typische Beispiele sind:

• Mitarbeiter, die auf interne Apps und Unternehmensressourcen zugreifen
• Auftragnehmer, die für bestimmte Projekte hinzugezogen werden und vorübergehenden Zugang benötigen
• Partner aus externen Organisationen, die an gemeinsamen Systemen zusammenarbeiten
• Anbieter, die für die Erbringung von Dienstleistungen Zugriff auf bestimmte Tools oder Daten benötigen

Die Identität eines Menschen ist eng mit seinen Absichten, seiner Verantwortlichkeit und seinem Verhalten verbunden. Wenn die Identität eines Menschen beeinträchtigt wird, steht eine Person im Zentrum des Geschehens.

Was sind nicht-menschliche Identitäten?

Nicht-menschliche Identitäten (NHIs) sind digitale Entitäten, die programmatisch agieren. Sie greifen auf Ressourcen zu und führen Aufgaben aus, jedoch ohne dass eine Person sie aktiv steuert.

Anwendungen:

• Dienstkonten, die geplante Jobs oder Backend-Prozesse ausführen
• Anwendungen, die Verbindungen zu Plattformen oder Datenbanken von Drittanbietern herstellen
• APIs, die Informationen zwischen Systemen und Microservices austauschen
• Workloads in Cloud-Umgebungen
• Dynamisch in DevOps-Pipelines bereitgestellte Container
• Bots automatisieren wiederkehrende Arbeitsabläufe und Aufgaben plattformübergreifend.
• KI-Agenten treffen autonome Entscheidungen, orchestrieren Systeme und rufen APIs auf.

Nationale Gesundheitsinformationssysteme (NHIs) arbeiten in Maschinengeschwindigkeit, oft ohne menschliche Aufsicht und in Echtzeit. Das macht sie so leistungsstark und riskant.

Die Identitätsexplosion: Wie wir hierher gekommen sind

Vor fast einem Jahrzehnt existierten nicht-menschliche Identitäten in den meisten Organisationen, aber sie waren handhabbar, und die IT-Teams wussten, wo sie sich befanden.

Der Wandel begann mit der Einführung von Cloud-Diensten. Als Unternehmen ihre Workloads zu Azure, AWS und GCP verlagerten, verwarfen sie das Konzept statischer Server und begannen, in Diensten zu denken. Jeder Dienst benötigte Anmeldeinformationen, um mit den anderen zu kommunizieren. So begann die schleichende Ausbreitung von Identitätsdatenbanken.

Anschließend verstärkte DevOps die Ausbreitung von Maschinenidentitäten durch CI/CD-Pipelines, Container-Orchestrierungstools wie Kubernetes, Cloud-Automatisierung und Infrastructure-as-Code, wodurch die programmatische Bereitstellung von Identitäten zur gängigen Praxis wurde.

Die Entwickler erstellten Dutzende von Servicekonten ohne formale Verwaltungsprozesse. Viele dieser Konten sind bis heute aktiv und gehören Projekten, die nicht mehr existieren.

Ein KI-Agent besitzt nicht nur eine einzige Identität; er kann Dutzende von Aktionen orchestrieren, APIs aufrufen, auf Datenbanken zugreifen und Subagenten erzeugen, von denen jeder seine eigenen Zugriffsanforderungen hat. Die Verwaltung dieser Identitäten mit herkömmlichen Methoden ist eine Herausforderung. IAM Das ist, als würde man versuchen, einen Waldbrand mit einem Gartenschlauch zu verfolgen.

Wie sind menschliche und nicht-menschliche Identitäten miteinander verknüpft?

Jede Maschinenidentität hat eine menschliche Ursprungsgeschichte.

Ein Entwickler erstellt ein Dienstkonto, um eine Bereitstellungspipeline zu automatisieren. Ein Administrator stellt API-Zugangsdaten bereit, damit eine Drittanbieterintegration Daten aus Ihrem CRM abrufen kann. Ein Sicherheitsingenieur richtet eine Workload-Identität für eine Cloud-Funktion ein. Ein IT-Team erteilt einem KI-Agenten Berechtigungen für den Zugriff auf das Ticketsystem. In jedem dieser Fälle hat ein Mensch bewusst entschieden, diese nicht-menschliche Identität zu erstellen und ihr Zugriff zu gewähren.

An dieser Schnittstelle zwischen Mensch und Maschine lauert ein schleichendes Risiko. Verlässt der Entwickler, der das Dienstkonto erstellt hat, das Unternehmen, wird das Konto nicht automatisch mitgenommen. Auch nach Abschluss eines Projekts, für das der API-Schlüssel benötigt wurde, bleibt dieser oft ungenutzt. Erbt ein KI-Agent Berechtigungen von seinem menschlichen Besitzer, können diese übermäßig sein, und die KI agiert nun in Maschinengeschwindigkeit ohne menschliche Kontrolle.

So hängen Mensch und NHI zusammen:

• Sowohl Menschen als auch Cloud-Ressourcen greifen über gemeinsam genutzte Rollenidentitäten auf wichtige Informationen zu.
• Maschinell erzeugte Schlüssel und Token erben Berechtigungen von Menschen und behalten einen separaten Zugriffsprozess bei.
• Während menschliche Identitäten die Standardbenutzer von IaaS und SaaS steuern, existieren Servicekonten als eigenständige Identitätsobjekte, die speziell für automatisierte Prozesse zugeschnitten sind.
• Traditionelle Identitätsgrenzen verschwimmen, da menschliche Mitarbeiter Servicekonten und deren Geheimnisse erstellen und verwalten.

Diese Vernetzung bedeutet auch, dass die Identitätsverwaltung ganzheitlich sein muss. Eine einheitliche Sichtweise auf Menschen und nationale Gesundheitseinrichtungen, die einander zugeordnet sind, ist notwendig. Nur so lässt sich das tatsächliche Zugriffsrisiko verstehen.

Menschliche vs. nicht-menschliche Identitäten: Wesentliche Unterschiede

Hier ist eine Liste der Unterschiede zwischen menschlichen und nicht-menschlichen Identitäten:

Die Unterschiede sind hier nicht nur technischer Natur. Sie spiegeln grundlegend unterschiedliche Managementphilosophien wider, weshalb ein einheitlicher Ansatz für das Identitätslebenszyklusmanagement so wichtig ist.

Warum nehmen nicht-menschliche Identitäten schneller zu als menschliche Identitäten?

Die Zahl der Menschen wächst in einem vorhersehbaren Tempo. Nicht-menschliche Identitäten hingegen nehmen exponentiell zu. Hier ist der Grund dafür:

1. Cloud-Einführung

Da Unternehmen zunehmend in die Cloud migrieren, ergibt sich folgendes Bild: Wenn ein Bereitstellungsteam eine einzelne Anwendung bereitstellt, benötigt es eine verwaltete Identität für den Aufruf externer APIs, einen Dienstprinzipal für Datenbankabfragen und eine Rolle zum Schreiben von Protokollen. Dadurch wurden bereits drei NHIs (Network Health Inventorys) erstellt.

Unternehmen haben keine genaue Übersicht darüber, wie viele Maschinenidentitäten in ihren Cloud-Umgebungen existieren, geschweige denn, wem sie gehören oder ob sie überhaupt noch benötigt werden.

2. DevOps-Automatisierung

Moderne DevOps-Praktiken basieren auf automatisierten Pipelines für das Erstellen, Testen und Bereitstellen von Software.

Jeder Schritt in diesen Pipelines erfordert typischerweise Anmeldeinformationen für den Zugriff auf Repositories, das Übertragen von Container-Images, das Aktualisieren von Konfigurationen oder das Auslösen von Deployments. Dies sind Maschinenidentitäten, und ihre Anzahl erhöht sich mit jeder neuen Pipeline.

3. API-gesteuerte Integrationen

Durchschnittlich nutzt ein Unternehmen mehrere SaaS-Anwendungen, die meist APIs zur Integration anbieten. Jede Integration erfordert eine Authentifizierung, typischerweise über API-Schlüssel oder OAuth-Token. Mit dem Wachstum des SaaS-Stacks steigt auch die Anzahl der im Umlauf befindlichen API-Zugangsdaten, von denen viele nicht nachverfolgt werden.

4. KI-Agenten und autonome Systeme

KI-Agenten sind der neueste und komplexeste Wachstumstreiber im Bereich der nationalen Krankenversicherungen. Ein autonomer KI-Agent benötigt möglicherweise gleichzeitig Zugriff auf E-Mails, Kalender, Datenbanken, Ticketsysteme und externe APIs.

Da agentenbasierte KI immer mehr zum Standard wird, stellen KI-Agentenidentitäten eine bedeutende und schnell wachsende Kategorie nicht-menschlicher Identitäten dar, für deren Verwaltung die meisten Organisationen noch nicht gerüstet sind.

Sicherheitsrisiken im Zusammenhang mit menschlichen Identitäten

Menschliche Identitäten sind wohlbekannte Angriffsziele. Angreifer haben jahrzehntelang Techniken verfeinert, um sie zu kompromittieren.

1. Diebstahl von Anmeldeinformationen

Gestohlene Zugangsdaten sind nach wie vor der häufigste Einfallstor in Unternehmensnetzwerke. Dies kann durch Datenlecks, Malware oder Credential-Stuffing-Angriffe mithilfe geleakter Datenbanken erfolgen.

2. Phishing-Angriffe

Phishing-Angriffe erfolgen über schädliche Links, die per E-Mail oder SMS versendet werden. Auch telefonische Angriffe sind möglich. Hacker verleiten die Nutzer mithilfe dieser gefälschten Links zur Preisgabe ihrer Zugangsdaten.

Trotz Schulungen zur Sensibilisierung für IT-Sicherheit bleibt Phishing eine der effektivsten Angriffsmethoden, da es die menschliche Psychologie und nicht technische Schwachstellen ausnutzt.

3. Missbrauch von Privilegien

Benutzer mit übermäßigen Berechtigungen, sei es durch Rollenerweiterung oder fehlerhafte Zugriffskonfiguration, können auf Daten und Systeme zugreifen, die weit über ihre eigentlichen Aufgaben hinausgehen. Selbst ohne böswillige Absicht stellen überprivilegierte Benutzer ein erhebliches Risiko dar, falls ihre Zugangsdaten kompromittiert werden.

4. Insider-Bedrohungen

Nicht alle Bedrohungen kommen von außen. Unzufriedene Mitarbeiter, fahrlässige Insider oder unter Druck gesetzte Mitarbeiter stellen ein ernstzunehmendes Risiko dar. Bedrohungen durch Insider sind besonders gefährlich, da sie mit legitimem Zugang beginnen.

5. Soziales Engineering

Neben Phishing nutzen Angreifer Vishing (Voice-Phishing), Pretexting und Identitätsdiebstahl, um Mitarbeiter zur Preisgabe von Zugriffsrechten oder zur Weitergabe sensibler Informationen zu manipulieren. Social Engineering nutzt Vertrauen aus, nicht Technologie.

6. Brute-Force-Angriffe

Bei Brute-Force-Angriffen probieren Angreifer verschiedene Kombinationen von Benutzernamen und Passwörtern aus, um in ein Konto einzudringen. Diese Zugangsdaten stammen aus dem Darknet oder aus bereits veröffentlichten Daten.

Automatisierte Tools können eine Vielzahl von Passwortkombinationen ausprobieren. Konten ohne MFA, insbesondere solche mit schwachen oder wiederverwendeten Passwörtern, sind anfällig für Brute-Force- und Credential-Stuffing-Angriffe.

Sicherheitsrisiken im Zusammenhang mit nicht-menschlichen Identitäten

Das Risikoprofil nicht-menschlicher Identitäten ist anders – und in vielerlei Hinsicht schwieriger zu handhaben, da diese Identitäten still, in großem Umfang und ohne menschliche Aufsicht agieren.

1. Verwaiste Servicekonten

Wenn der Mitarbeiter, der ein Servicekonto erstellt hat, das Unternehmen verlässt, bleibt das Konto in der Regel zurück; dies ist ein verwaistes Konto.

Verwaiste Konten behalten ihre ursprünglichen Berechtigungen dauerhaft, sofern sie nicht aktiv mithilfe einer Lösung zur Verwaltung verwaister Konten aufgespürt und entfernt werden. Angreifer suchen gezielt nach diesen vergessenen Konten, um in das System einzudringen.

2. Übermäßige Privilegien

Dienstkonten und API-Zugangsdaten werden aus praktischen Gründen häufig mit weitreichenden Berechtigungen bereitgestellt. Diese Berechtigungen werden im Laufe der Zeit nicht eingeschränkt. Ein übermäßig privilegiertes Dienstkonto ist für jeden Angreifer, der Zugriff darauf erlangt, ein wahres Eldorado für die laterale Ausbreitung in Netzwerken.

3. Fest codierte Geheimnisse

Fest codierte Geheimnisse sind sensible Zugangsdaten wie API-Schlüssel, Authentifizierungstoken oder Passwörter, die direkt in den Quellcode geschrieben werden. Entwickler betten sie manchmal direkt in den Quellcode ein.

Diese Geheimnisse landen in Versionskontrollsystemen, manchmal auch in öffentlichen. Sobald ein fest codiertes Geheimnis durchgesickert ist, kann es ausgenutzt werden, bevor irgendjemand die Offenlegung bemerkt.

4. Nicht nachverfolgbare API-Schlüssel

API-Schlüssel werden oft informell und außerhalb zentralisierter Verwaltungsprozesse erstellt. Sie sammeln sich in Tabellenkalkulationen, E-Mail-Verläufen und individuellen Entwicklerumgebungen an.

Ohne ein zentrales Inventar haben Organisationen keine Möglichkeit zu wissen, wie viele Schlüssel existieren, wer sie erstellt hat oder wann sie zuletzt verwendet wurden.

5. Zugriffsrisiken für KI-Agenten

KI-Agenten stellen eine besondere Herausforderung dar. Zwar können ihnen weitreichende Berechtigungen für ein effektives Funktionieren erteilt werden, doch diese Berechtigungen können ausgenutzt werden, wenn der Agent kompromittiert, durch Prompt-Injection manipuliert oder nach Erfüllung seines Zwecks weiterlaufen gelassen wird. KI-Agentenidentitäten erfordern daher zweckspezifische Zugriffskontrollen nach dem Prinzip der minimalen Berechtigungen.

6. Unbefugter Zugriff

Fehlkonfigurierte, nicht-menschliche Identitäten können unbeabsichtigt Zugriff auf Ressourcen erlangen, für die sie nie bestimmt waren. In komplexen Multi-Cloud- oder Hybridumgebungen kann eine fehlkonfigurierte Workload-Identität auf sensible Daten zugreifen oder Sicherheitsgrenzen überschreiten, ohne offensichtliche Warnmeldungen auszulösen.

Wie schneidet IAM Umgang mit Sicherheitsrisiken für menschliche Identitäten?

Traditionelles Identitäts- und Zugriffsmanagement (IAM) wurde speziell für menschliche Identitäten entwickelt – und diese Aufgabe erfüllt es recht gut.

Core IAM Zu den Fähigkeiten, die die Identität von Menschen schützen, gehören:

• Multi-Faktor-Authentifizierung (MFA) um eine zusätzliche Sicherheitsebene beim Login einzuführen und so die Kompromittierung von Konten zu verhindern.
• Einmaliges Anmelden (SSO) um die Passwortmüdigkeit zu verringern und die Authentifizierung zu zentralisieren
• Rollenbasierte Zugriffskontrolle (RBAC) um sicherzustellen, dass Benutzer nur auf das zugreifen können, was ihre Rolle erfordert
• Adaptive Authentifizierung um kontextbezogene und risikobasierte Signale wie Gerät, Zeit, Standort, IP-Adresse und Benutzerverhalten während Anmeldeversuchen zu analysieren
• Passwortlose Anmeldungen um Angriffe auf Anmeldeinformationen, Passwortmüdigkeit, Brute-Force-Angriffe und Diebstahl von Anmeldeinformationen zu verhindern
• Privilegierte Zugriffsverwaltung (PAM) zur Kontrolle und Überwachung von Benutzerkonten mit hohen Berechtigungen.
• Zugriff auf Bewertungen und Zertifizierungen um regelmäßig zu überprüfen, ob die Zugangsrechte für Menschen weiterhin angemessen sind.
• Nutzerverhaltensanalyse um ungewöhnliche Aktivitäten zu erkennen, die auf ein kompromittiertes Konto hindeuten könnten

Diese Kontrollmechanismen sind ausgereift, gut verstanden und werden durch ein umfassendes Ökosystem an Werkzeugen und Standards gestützt. Für das Management menschlicher Identitäten sind die Grundlagen etabliert. Die Herausforderung besteht darin, dieselbe Strenge auf nicht-menschliche Identitäten anzuwenden, wo traditionell IAM oft nicht ausreichend.

Warum traditionell IAM Unzureichend für das Management nicht-menschlicher Identitäten

IAM Plattformen wurden unter der Annahme konzipiert, dass Identitäten an Personen gebunden sind. Diese Annahme erweist sich bei der Anwendung auf Maschinenidentitäten in großem Umfang als völlig unzutreffend.

Hier treten die Lücken auf:

• Mangelnde Sichtbarkeit: Organisationen verfügen nicht über ein vollständiges Verzeichnis ihrer NHIs, wodurch eine Transparenzlücke entsteht.
• Identitätsausbreitung: Wenn Tausende von Servicekonten, API-Schlüsseln und Zertifikaten in Cloud-, On-Premises- und SaaS-Umgebungen existieren, ist deren Verwaltung mit Tabellenkalkulationen oder einfachen Methoden schwierig. IAM Werkzeuge ist nicht realistisch.
• Uneinheitliche Eigentumsverhältnisse: Im Gegensatz zu menschlichen Identitäten, die eine eindeutige Eigentümerschaft aufweisen, ist die Eigentümerschaft von nationalen Gesundheitsidentitäten oft unklar oder veraltet (wenn die Person, die die nationale Gesundheitsidentität geschaffen hat, die Organisation verlassen hat).
• Manuelles Lebenszyklusmanagement: Das Fehlen einer automatisierten Bereitstellung und Deaktivierung von Mitarbeiterkonten erschwert die Verwaltung der Lebenszyklen.
• Compliance-Lücken: Die traditionelle IAM ist nicht darauf ausgelegt, die Einhaltung der Maschinenidentitätsrichtlinien zu erfassen, wodurch Sicherheitsteams Schwierigkeiten haben, die Audit-Anforderungen zu erfüllen.

Genau aus diesen Gründen werden maschinelle Identitätsverwaltung und spezielle Funktionen für das Management nicht-menschlicher Identitäten zu unverzichtbaren Bestandteilen moderner Identitätsprogramme.

Wie hilft Identity Governance bei der Verwaltung menschlicher und nicht-menschlicher Identitäten?

Identitätsgovernance geht über die grundlegenden Aspekte hinaus. IAM um den gesamten Lebenszyklus, die Transparenz und die Verantwortlichkeitsanforderungen für alle Identitätstypen zu erfüllen.

So funktioniert es in der Praxis.

1. Identitätsermittlung und -sichtbarkeit

Effektive Governance beginnt mit dem Wissen um den Ist-Zustand. Identity-Governance-Plattformen durchsuchen Verzeichnisse, Cloud-Umgebungen, SaaS-Anwendungen und Infrastrukturen, um ein umfassendes Identitätsinventar (menschliche und nicht-menschliche Identitäten) mit Kontextinformationen darüber zu erstellen, worauf jede Identität zugreifen kann.

2. Durchsetzung des Prinzips der geringsten Privilegien

Governance-Plattformen analysieren Zugriffsrechte anhand des tatsächlichen Nutzungsverhaltens. Berechtigungen, die nie oder seit Monaten nicht genutzt wurden, werden zur Entfernung oder Anpassung markiert. Dies gilt gleichermaßen für übermäßig privilegierte Benutzer und übermäßig berechtigte Dienstkonten.

3. Geheimnis- und Berechtigungsmanagement

Bei nicht-menschlichen Identitäten integriert sich die Governance mit Lösungen zur Geheimnisverwaltung, um Rotationsrichtlinien durchzusetzen, fest codierte Anmeldeinformationen zu erkennen und sicherzustellen, dass API-Schlüssel und Token sicher gespeichert und nicht über Codebasen und Konfigurationsdateien verstreut werden.

4. Rollenbasierte Zugriffskontrollen (RBAC)

Klar definierte Rollen verringern das Risiko übermäßiger Privilegien für Menschen und Maschinen. Governance-Plattformen unterstützen Organisationen beim Aufbau, der Pflege und der Durchsetzung von Rollenstrukturen, die auf die Geschäftsfunktionen abgestimmt sind, und kennzeichnen Abweichungen von etablierten Mustern.

5. Lebenszyklusmanagement

Das Identitätslebenszyklusmanagement umfasst den gesamten Prozess: die Bereitstellung bei der Einstellung eines Mitarbeiters oder der Implementierung einer Anwendung, die Anpassung der Zugriffsrechte im Zuge der Rollenentwicklung und die Deaktivierung, sobald die Identität nicht mehr benötigt wird. Bei nicht-personenbezogenen Identitäten bedeutet dies, den Lebenszyklus von Dienstkonten an den Projekt- oder Anwendungslebenszyklus zu koppeln, nicht nur an Mitarbeiterdatensätze.

6. Zugriff auf Bewertungen und Zertifizierungen

Regelmäßige Zugriffszertifizierungen fragen die zuständigen Personen, ob eine bestimmte Identität die ihr zugewiesenen Zugriffsrechte noch benötigt. Bei nicht-menschlichen Identitäten umfasst dies die Überprüfung, ob Dienstkonten noch mit aktiven Workloads verknüpft sind und ob API-Schlüssel noch von aktiven Integrationen verwendet werden.

7. Kontinuierliche Überwachung und Audits

Maschinenidentitäten folgen vorhersehbaren Mustern: Ein Dienstkonto, das einen nächtlichen Synchronisierungsauftrag ausführt, verhält sich jede Nacht gleich. Sobald es jedoch auf Ressourcen zugreift, die es zuvor noch nie verwendet hat, oder Anfragen zu ungewöhnlichen Zeiten stellt, ist etwas nicht in Ordnung. Kontinuierliche Überwachung ermittelt diese Verhaltensmuster und erkennt Abweichungen in Echtzeit, bevor ein Angreifer Zeit hat, sich lateral auszubreiten oder Daten zu exfiltrieren.

Für menschliche Identitäten gilt dieselbe Logik. Ein Benutzer, der um Mitternacht Datensätze herunterlädt, auf Systeme außerhalb seines üblichen Bereichs zugreift oder sich innerhalb einer Stunde von zwei verschiedenen Orten aus einloggt; diese Signale werden bei der Überwachung erfasst.

Neben der Bedrohungserkennung erfüllen fortlaufende Prüfprotokolle einen weiteren Zweck: die Einhaltung von Vorschriften. Aufsichtsbehörden benötigen keine Momentaufnahme Ihrer Zugriffskontrollen aus dem letzten Quartal. Sie fordern Nachweise dafür, dass Ihre Kontrollen aktiv waren, durchgesetzt und regelmäßig überprüft wurden. Die kontinuierliche Überwachung liefert Ihnen diese Nachweise automatisch und macht die Prüfungsvorbereitung von einer Notfallübung zu einem routinemäßigen Prozess.

Bewährte Verfahren für den Umgang mit menschlichen und nicht-menschlichen Identitäten

1. Identitäten entdecken und klassifizieren

Was man nicht sieht, kann man nicht verwalten. Führen Sie eine vollständige Erkennungssuche in allen Umgebungen durch, um ein verlässliches Verzeichnis aller Identitäten, menschlicher wie nicht-menschlicher Art, zu erstellen.

Klassifizieren Sie sie nach Typ, Sensibilität, Eigentümer und Zugriffsebene. Behandeln Sie dies als ein dynamisches Inventar, das sich kontinuierlich aktualisiert, und nicht als einmalige Prüfung.

2. Automatisierte Bereitstellung und Deaktivierung

Manuelle Prozesse sind die Ursache für verwaiste Identitäten. Verbinden Sie Ihre Identity-Governance-Plattform mit Ihrem HR-System, Ihren Projektmanagement-Tools und Ihren Cloud-Orchestrierungsebenen, damit Identitäten automatisch bereitgestellt und entfernt werden.

3. Benutzer und Administratoren schulen

Menschliches Versagen trägt weiterhin maßgeblich zum Identitätsrisiko bei. Schulungen zur Sensibilisierung für IT-Sicherheit sollten daher nicht nur Phishing und Passwortsicherheit, sondern auch die verantwortungsvolle Verwaltung von Servicekonten umfassen.

Dazu gehören auch der ordnungsgemäße Umgang mit Geheimnissen und die Auswirkungen der Erstellung von Maschinenidentitäten ohne Einhaltung etablierter Prozesse auf die Governance.

4. Geheimnisse und Zugangsdaten regelmäßig wechseln

Behandeln Sie Geheimnisse wie verderbliche Güter. Legen Sie Rotationsrichtlinien für API-Schlüssel, Dienstkontopasswörter, Zertifikate und Token fest. Nutzen Sie eine Plattform zur Geheimnisverwaltung, um die Rotation nach Möglichkeit zu automatisieren.

Für KI-Agentenidentitäten sollten Sie insbesondere kurzlebige, bereichsbezogene Anmeldeinformationen in Betracht ziehen, die automatisch ablaufen, anstatt langlebiger statischer Geheimnisse.

5. KI-Agentenidentitäten verwalten

KI-Agenten müssen in Ihrem Identitätsmanagementprogramm als vollwertige Mitglieder behandelt werden. Weisen Sie jedem KI-Agenten eine definierte Identität mit dokumentierten Berechtigungen, einem eindeutigen Verantwortlichen und einem festgelegten Zweck zu.

Das Prinzip der minimalen Berechtigungen sollte konsequent durchgesetzt werden: Ein KI-Agent, der nur aus einer bestimmten Datenbank lesen muss, sollte genau diesen Zugriff haben und nichts weiter.

Wie trägt miniOrange zur Sicherung und Kontrolle menschlicher und nicht-menschlicher Identitäten bei?

miniOrange bietet eine einheitliche Plattform für Identitätsmanagement, die darauf ausgelegt ist, die gesamte Komplexität moderner Unternehmensidentitäten – sowohl menschlicher als auch nicht-menschlicher Art – zu bewältigen.

• Einheitliche Identitätsverwaltung: miniOrange bietet Ihnen eine zentrale Plattform zur Verwaltung von Personenidentitäten und NHIs in verschiedenen Umgebungen.
• Schatten-KI-Governance: Aufspüren, überwachen und sichern Sie unautorisierte oder nicht genehmigte KI-Tools, die von Mitarbeitern ohne Wissen des IT-Teams verwendet werden.
• Automatisiertes Identitätslebenszyklusmanagement: Profitieren Sie von automatisierter Bereitstellung und Deaktivierung sowie allen dazwischenliegenden Schritten. Vermeiden Sie außerdem die Ansammlung verwaister Konten.
• Zugangszertifizierung und -bewertungen: Optimieren Sie regelmäßige Zugriffszertifizierungen mit automatisierten Kampagnen, Prüfer-Workflows und Audit-Trails.
• Rollenbasierte Zugriffsverwaltung: Setzen Sie Rollen durch, die dem Prinzip der minimalen Berechtigungen entsprechen.
• Sichtbarkeit über menschliche und nicht-menschliche Identitäten hinweg: Ermitteln Sie Servicekonten, API-Zugangsdaten und Workload-Identitäten in Ihrer gesamten Umgebung.
• Compliance und Auditbereitschaft: Beinhaltet integrierte Berichtsfunktionen, das Produkt ist mit wichtigen Rahmenwerken kompatibel und umfasst einen Prüfpfad.

Sind Sie bereit, die Kontrolle über Ihre gesamte Identitätslandschaft zu übernehmen? Erfahren Sie, wie die Identity-Governance-Plattform von miniOrange Ihnen dabei hilft, menschliche und nicht-menschliche Identitäten souverän zu verwalten.

Häufig gestellte Fragen

Worin besteht der Unterschied zwischen menschlichen und nicht-menschlichen Identitäten?

Menschliche Identitäten repräsentieren reale Personen: Mitarbeiter, Auftragnehmer, Partner und Lieferanten, die interaktiv mit Systemen interagieren. Nicht-menschliche Identitäten repräsentieren digitale Entitäten wie Servicekonten, APIs, Anwendungen, Bots und KI-Agenten, die programmatisch agieren.

Warum sind nicht-menschliche Identitäten wichtig?

Nicht-menschliche Identitäten (NHIs) sind wichtig, weil sie Cloud-Workloads ausführen, Prozesse automatisieren und schnell arbeiten. Dies steigert die Produktivität am Arbeitsplatz und ist zudem benutzerfreundlich.

Gelten KI-Agenten als nicht-menschliche Identitäten?

Ja, KI-Agenten stellen eine Kategorie nicht-menschlicher Identitäten dar. Sie authentifizieren sich gegenüber Systemen, greifen auf Ressourcen zu, rufen APIs auf und führen Aktionen aus, genau wie andere Maschinenidentitäten.

Wie gehen Organisationen mit nicht-menschlichen Identitäten um?

Ein effektives Management nicht-menschlicher Identitäten erfordert die Ermittlung eines vollständigen Inventars, die Zuordnung von Eigentumsrechten zur Festlegung von Verantwortlichkeiten, die Automatisierung des Lebenszyklus zur Vermeidung verwaister Konten, das Geheimnismanagement zum Schutz von Anmeldeinformationen, die Durchsetzung des Prinzips der minimalen Berechtigungen zur Begrenzung des Wirkungsbereichs und die kontinuierliche Überwachung zur Erkennung anomaler Verhaltensweisen.

Welche Rolle spielt Identity Governance bei der Verwaltung nicht-menschlicher Identitäten?

Identity Governance bietet den Rahmen für Richtlinien, Prozesse und Tools, der das Management von NHI skalierbar und überprüfbar macht.