Identity Threat Detection and Response im KuppingerCole Leadership Compass 2025 ITDR-Plattformen im Vergleich – Identitäten und Risiken in Echtzeit

Anbieter zum Thema

KuppingerCole Analysts AG

cidaas by Widas ID GmbH

Arvato Systems GmbH

Onapsis Europe GmbH

Identity Threat Detection and Response, ITDR, schließt die Lücke zwischen Identity and Access Management, IAM, und Security Operations Center, SOC. Doch viele Sicherheitsarchitekturen bleiben noch weit hinter diesem Anspruch zurück.

Über 80 Prozent aller Sicherheitsvorfälle beinhalten heute eine Form von Identi­täts­miss­brauch: Sei es durch kompromittierte Zugangsdaten, laterale Bewegung oder Privilegien-Eskalation. Gleichzeitig stellen schlecht verwaltete Non-Human-Identities (NHIs) wie Servicekonten oder API-Keys weiterhin ein stilles, systemisches Risiko dar. Trotz der weiten Verbreitung von IAM-Lösungen fehlt den meisten Unternehmen immer noch die Möglichkeit, Identitätsmissbrauch in Echtzeit zu erkennen. Genau hier setzt Identity Threat Detection and Response (ITDR) an.

Globale Betrugstrends und staatliche Schutzmechanismen

Milliardenverluste durch Scams treffen auf schwache staatliche Kontrolle

Identität als Angriffs- und Kontrollfläche

Die Forschung zeigt: Immer mehr Organisationen sehen ITDR nicht einfach als Pro­dukt­ka­te­go­rie, sondern als eigene Disziplin, geprägt durch die Konvergenz von Identity Administration und Security Operations.

Diese Entwicklung spiegelt das wachsende Bewusstsein wider, dass Identität sowohl Kontroll- als auch Angriffsfläche ist und deshalb eine enge Zusammenarbeit zwischen IAM-Teams und SOC-Analysten erfordert. ITDR bildet die verbindende Schicht, die diese Zusammenarbeit operationalisiert. Und zwar indem sie Sichtbarkeit, Erkennung und Reaktion über traditionell getrennte Bereiche hinweg ausrichtet. Da identitätszentrierte Angriffe in Komplexität und Häufigkeit zunehmen, wird dieser funktionsübergreifende Ansatz zu einem entscheidenden Faktor für die Resilienz der Unternehmenssicherheit.

Die Funktionen von Identity Threat Detection and Response im Überblick

Obwohl ITDR-Lösungen in vielen Formen existieren, umfassen zentrale Funktionen ty­pi­scher­wei­se:

• Discovery und Visibility: Discovery identifiziert und klassifiziert alle Identitäten, Zu­gangs­da­ten und Berechtigungen über sämtliche Systeme hinweg. Visibility ermöglicht Echtzeiteinblick darin, wie diese Identitäten agieren, welche Zugriffe sie haben und wie diese genutzt werden;

• Monitoring: Kontinuierliche Überwachung identitätsbezogener Aktivitäten und Tele­me­trie­daten über alle Umgebungen hinweg, um Anomalien oder verdächtiges Verhalten zu erkennen, die auf eine Kompromittierung hindeuten könnten;

• Prevention und Posture Management: Verbesserung der Identity Hygiene, Einhaltung von Richtlinien und proaktive Identifikation von Fehlkonfigurationen oder Schwachstellen, bevor Angreifer sie ausnutzen können – teils durch den Einsatz von Decoys oder Honeytokens als Frühwarnsystem;

• Detection: Erkennung ungewöhnlicher oder risikoreicher Identitätsaktivitäten, unautorisierter Zugriffsversuche und Exploits, um legitime Nutzung von böswilligem Verhalten zu unterscheiden;

• Correlation: Verknüpfung iden­ti­täts­bezogener Signale mit Kontextdaten und externen Sicherheitssystemen, um mehrstufige Angriffe und Muster zu erkennen, die in isolierten Alerts verborgen blieben;

• Investigation: Unterstützung von Analysten und Administratoren bei der Validierung von Vorfällen, Nachverfolgung von Angriffspfaden und Bewertung der Auswirkungen durch Aggregation und Kontextualisierung iden­ti­täts­zen­trierter Daten;

• Response: Abwehr iden­ti­täts­basierter Angriffe mittels automatisierter oder geführter Playbooks, etwa durch Sperrung von An­mel­de­infor­matio­nen, Erzwingen von Re-Authentifizierung oder Anpassung von Richtlinien über SIEM- oder SOAR-Integrationen;

• Recovery: Wiederherstellung des Vertrauens in kompromittierte Identitätsinfrastrukturen, zum Beispiel durch Validierung der Directory-Integrität, Rücksetzen schädlicher Än­de­rungen und Wiederaufbau betroffener Umgebungen wie Active-Directory-Forests.

Leadership Compass E-Mail Security

Ist integrierte E-Mail-Sicherheit noch ausreichend?

Die Anbieterlandschaft im ITDR Leadership Compass 2025

Die Anführer im „ITDR Leadership Compass“ zeichnen sich durch ihre Fähigkeit aus, Behavior Analytics, Risikobewertung und Incident Response über menschliche und nicht-menschliche Identitäten hinweg zu vereinen.

Zu den Anführern im ITDR Leadership Compass 2025 gehören

• CrowdStrike,

• Microsoft,

• Cyberark,

• Saviynt,

• Okta,

• BeyondTrust

• und Delinea.

Diese Plattformen kombinieren starke Sichtbarkeit mit Erkennung, Reaktion und Echtzeit-Behebung und bieten zugleich ausgereifte Integrationen mit IAM-, ITSM-, SIEM- und SOAR-Systemen. Täuschungstechniken wie Identity-Decoys und Honeytokens ermöglichen eine wertvolle Früherkennung. Doch ihre Relevanz hängt vom jeweiligen Bedrohungsmodell der Organisation ab.

Identity-Security als Fundament

Identitäten zentral schützen, Cyber-Resilienz stärken

Unterscheidungsmerkmale führender ITDR-Plattformen

Was die Anführer wirklich unterscheidet, ist nicht nur die reine Bedrohungserkennung, son­dern die Fähigkeit, schwache Signale zu korrelieren, Untersuchungen zu automatisieren und Reaktionsmaßnahmen über die gesamte Identity-Landschaft hinweg auszulösen. An­bieter, die nur bestimmte Identitätstypen überwachen oder sich ausschließlich auf Microsoft-zentrische Umgebungen stützen, liefern oft keine vollständige ITDR-Abdeckung. Insgesamt zeigen Anbieter in diesem Bereich zwar ein gutes Product-Market-Fit, doch die unterschiedlichen Architekturen und Ansätze bedeuten, dass der Erfolg davon abhängt, wie gut die Fähigkeiten zu den internen Anforderungen und zur SOC-Reife passen.

Neue Angriffsmethoden bedrohen Microsoft 365 & Azure-Umgebungen

Wie Angreifer KI nutzen, um Microsoft-365-Konten zu übernehmen

In den nächsten 12 bis 18 Monaten wird sich ITDR in Richtung integrierter Identity-Security-Plattformen mit vereinheitlichten Risikomodellen entwickeln – mit erweitertem Fokus auf Servicekonten, Maschinenidentitäten und föderierte Zugriffe. Zudem beginnen Anbieter, diese Funktionen als Managed Service bereitzustellen, was den Bedarf an kontinuierlicher Überwachung auch außerhalb des SOC widerspiegelt.

Unternehmen sollten aufhören zu fragen: „Kann das Tool Angriff X erkennen?“ Stattdessen sollten sie Lösungen priorisieren, die volle Sichtbarkeit bieten, Verhaltensanomalien erkennen, kontextbezogen untersuchen und wirksame Reaktionen auslösen.

Die Zukunft der Identity Security liegt nicht in statischer Erkennung, sondern in kon­ti­nu­ier­lich­er Anpassung.

Passwortsicherheit und Credential-Stuffing

HIBP indexiert 1,3 Milliarden Passwörter und fast 2 Milliarden E-Mail-Adressen

Der vollständige „KuppingerCole Analysts Leadership Compass“ enthält detaillierte Bewertungen der Anbieter und die zugrunde liegende Methodik.

Über den Autor: Alejandro Leal ist Senior Analyst bei KuppingerCole.

(ID:50639655)