Mobile-Menu

Identitätsschutz in komplexen Cloud-Umgebungen Multi-Cloud sicher machen: Identity Security als Schlüssel

Ein Gastbeitrag von Michael Kleist 5 min Lesedauer

Anbieter zum Thema

CyberArk Software (DACH) GmbH
sysob IT-Distribution GmbH & Co. KG
Fsas Technologies GmbH
SEPPmail - Deutschland GmbH

Multi-Cloud-Umgebungen bringen Flexibilität, stellen Sicherheitsteams aber vor enorme Herausforderungen. Unternehmen können mit modernen Konzepten wie Zero Standing Privileges, konsistentem IAM und Secrets-Management die Kontrolle zurückgewinnen und ihre Cloud-Identitäten nachhaltig schützen.

Sicherheitsteams müssen unzählige Identitäten und Berechtigungen im Auge behalten, die über eine Vielzahl von Cloud-Services verstreut sind – ohne eine durchdachte Strategie für Identity Security ist das nicht mehr zu schaffen.(Bild: © Thares2020 - stock.adobe.com)
Sicherheitsteams müssen unzählige Identitäten und Berechtigungen im Auge behalten, die über eine Vielzahl von Cloud-Services verstreut sind – ohne eine durchdachte Strategie für Identity Security ist das nicht mehr zu schaffen.
(Bild: © Thares2020 - stock.adobe.com)

Wachsende Multi-Cloud-Umgebungen und eine geradezu explodierende Zahl an maschinellen Identitäten stellen viele Sicherheitsteams vor Herausforderungen. Klassische Security-Konzepte reichen nicht mehr aus, um Anwender, Daten und Infrastrukturen zuverlässig zu schützen – der Fokus muss sich stärker auf die Identitäten richten.

Die Zeiten, in denen Unternehmen nur einen Cloud-Anbieter nutzten, sind lange vorbei. Inzwischen setzen sie auf eine Vielzahl von Clouds, um Kosten zu optimieren und Spezialfeatures nutzen zu können. Dadurch steigt allerdings die Komplexität der gesamten Umgebung und es fällt den Unternehmen zunehmend schwer, sie zu schützen. Das liegt zum einen daran, dass die einzelnen Clouds in der Regel ganz eigene Systeme und Methoden für die Verwaltung von Identitäten, Berechtigungen und Zugriffen mitbringen, und zum anderen an der schieren Masse an Identitäten. Insbesondere die Zahl der maschinellen Identitäten ist in den vergangenen Monaten und Jahren geradezu explodiert, weil Skripte, Apps, KI-Agenten, virtuelle Maschinen, Container und Management-Tools miteinander kommunizieren und auf Daten, Anwendungen und andere Ressourcen zugreifen müssen, ohne dass ein Mensch alles kontrolliert und freigibt.

Laut dem „2025 Identity Security Landscape”-Report von CyberArk haben 67 Prozent der deutschen Unternehmen mittlerweile 51 bis 100 mal so viele maschinelle wie menschliche Identitäten, 23 Prozent sogar 101 bis 200 mal so viele – und ein Ende des Wachstums ist nicht in Sicht. 51 Prozent erwarten, dass sich die Gesamtzahl der Identitäten in den nächsten zwölf Monaten verdoppelt; 24 Prozent rechnen mit einer Verdreifachung. Als Wachstumstreiber sehen die Unternehmen vor allem maschinelle Identitäten bei Cloud-Workloads, der Containerisierung von Apps, IoT-Geräten und -Anwendungen sowie Bots, aber auch bei KI und großen Sprachmodellen (LLMs).

Typische Sicherheitsprobleme in der Cloud

Durch die hohe Komplexität von Multi-Cloud-Umgebungen kann es schnell zu Fehlkonfigurationen beim Identitätsmanagement kommen. Sicherheitsteams müssen nicht selten hunderte Einstellungen im Blick behalten, die sich noch dazu von Cloud-Anbieter zu Cloud-Anbieter unterscheiden – inaktive Identitäten oder übermäßige Berechtigungen werden da schnell übersehen und lassen sich von Angreifern missbrauchen. Hinzu kommt, dass Passwörter, API-Keys, Token und Zertifikate häufig über lange Zeiträume unverändert bleiben, weil es an Automatismen für die Secrets-Rotation beziehungsweise die Erneuerung von Zertifikaten fehlt. Kein Wunder, dass fast alle deutschen Unternehmen in den vergangenen zwölf Monaten mit identitätsbezogenen Sicherheitsvorfällen wie Phishing, Credential-Diebstahl oder dem Missbrauch von privilegierten Accounts zu kämpfen hatten – häufig sogar mehrfach.

Klassische Sicherheitskonzepte, die sich auf die Perimetersicherung und die Abwehr von Bedrohungen konzentrieren, reichen für diese Cloud-Welt mit unzähligen Identitäten nicht mehr aus. Unternehmen müssen die Identitäten selbst in den Fokus ihrer Sicherheitsbemühungen rücken und Risiken – durch moderne Konzepte wie Zero Trust – minimieren. Letztlich dient dies nicht nur dem Schutz der eigenen Assets, sondern auch der Compliance, da allgemeine und branchenspezifische Regulierungen wie NIS 2 und DORA explizit ein Risikomanagement einfordern.

Best Practices für sichere Cloud-Identitäten

Zero Standing Privileges (ZSP) haben sich inzwischen als beste Möglichkeit etabliert, Identitäten in der Cloud zu schützen. Hierbei erhalten menschliche sowie maschinelle Identitäten standardmäßig keinerlei Berechtigungen oder Privilegien, sondern bekommen diese bei Bedarf sessionbasiert zugewiesen. Dadurch bieten sie kein Missbrauchspotenzial und können dennoch auf alle benötigten Ressourcen zugreifen. Dieser Ansatz vereint mit Least Privilege und Just-in-Time (JIT) zwei wichtige Prinzipien von Zero Trust, die die Angriffsfläche und damit Risiken reduzieren.

Ein modernes Identitäts- und Access-Management (IAM) hilft dabei, Sicherheitsrichtlinien über alle Clouds hinweg konsistent durchzusetzen, darunter auch eine Multi-Faktor-Authentifizierung. Darüber hinaus ist ein zentrales Secrets-Management sinnvoll, um alle Passwörter, Schlüssel, Zertifikate und Token über eine einzige Oberfläche verwalten zu können. Andernfalls verlieren Sicherheitsteams schnell den Überblick über die Secrets und es fällt schwer, Anwendung zwischen Clouds zu portieren, da die zugehörigen Secrets im Management-Tool der jeweiligen Plattform hinterlegt sind.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Idealerweise bietet das Secrets-Management auch eine Secret-Rotation, sodass Passwörter, Schlüssel, Zertifikate und Token nach einer festgelegten Zeitspanne automatisch ausgetauscht werden. Dies erspart es dem Sicherheitsteam, über Fristen zu wachen und den Austausch manuell vornehmen zu müssen. Über Integrationen in das IT-Service-Management (ITSM) und Security-Tools können Unternehmen weitere Abläufe automatisieren, etwa für die Beantragung und Vergabe von Zugriffsrechten oder die Reaktion auf Ereignisse, die ein Risiko darstellen. Ein Monitoring von Zugriffen und Sessions liefert einen detaillierten Audit-Trail, um unautorisierte Zugriffe und andere Anomalien zu erkennen, zu untersuchen und zu handhaben.

Priorisierung von Maßnahmen

Angesichts einer Vielzahl von Identitäten mit unterschiedlichen Berechtigungen besteht die Herausforderung für viele Unternehmen darin, Sicherheitsmaßnahmen effektiv zu priorisieren. In der Praxis haben sich zwei Ansätze bewährt: Der erste basiert auf der Tatsache, dass Unternehmen häufig nicht alle Sicherheitsmaßnahmen gleichzeitig implementieren können, und konzentriert sich daher zunächst auf Maßnahmen, die Risiken mit großen Auswirkungen minimieren und vergleichsweise leicht umzusetzen sind. Der zweite setzt die Prioritäten bei besonders gefährdeten Rollen und Personas und wendet alle verfügbaren Sicherheitskontrollen sofort auf sie an.

Der erste Ansatz startet mit rollenbasierten Zugriffskontrollen, Multi-Faktor-Authentifizierung und dem Schutz von Sessions, um im nächsten Schritt weitgehend Zero Standing Privileges umzusetzen und damit das größte Risiko – weitreichende Berechtigungen – zu verringern. Anschließend sollten privilegierte Identitäten, die sich nicht einfach auf ZSP umstellen lassen, mit einem Credential-Management geschützt werden. Parallel dazu erfolgt eine Reduzierung der Berechtigungen bei allen Identitäten, um Least Privilege näher zu kommen. Das Entfernen hart-kodierter Secrets und die Einführung eines Secret-Managements sind dann die nächsten Schritte, bevor ein Lifecycle-Management dafür sorgt, dass alle Identitäten über ihren gesamten Lebenszyklus zuverlässig verwaltet werden können.

Beim zweiten Ansatz werden zunächst besonders privilegierte Identitäten wie Root-Accounts oder Accounts mit globalen Admin-Berechtigungen geschützt. Anschließend wird der Schutz schrittweise auf andere Admin-Accounts, Entwickler- und Services-Accounts sowie maschinelle Identitäten ausgedehnt.

Allerdings kann es manchmal auch sinnvoll sein, beide Ansätze zu kombinieren – wichtig ist, dass Unternehmen aktiv werden und sich nicht nur um die vielfältigen Berechtigungen der menschlichen, sondern insbesondere auch um die vielen maschinellen Identitäten in der Cloud kümmern, um Cyberkriminellen keine Einfallstore zu bieten. Nur im Zusammenspiel ist in einem hoch-automatisierten Umfeld eine durchgängige Identity Security umsetzbar.

Über den Autor: Michael Kleist ist Area Vice President CEE bei CyberArk.

(ID:50548636)

Weiterführende Inhalte