CyberArk 2024 Identity Security Threat Landscape Report Zu wenig Schutz für nicht-menschliche Identitäten

Anbieter zum Thema

CyberArk Software (DACH) GmbH

FAST LTA GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Die Zahl der nicht-menschlichen Identitäten wächst schnell, doch mehr als die Hälfte der Unternehmen stuft lediglich Menschen, die Zugriff auf vertrauliche Daten haben, als privilegierte Benutzer ein. Kommt es zu identitätsbezogenen Sicherheitsvorfällen, wird daher zwar in Identity Security investiert – aber kaum in die Absicherung nicht-menschlicher Identitäten.

In eigentlich jedem Unternehmen gibt es menschliche und nicht-menschliche Identitäten, und ihre Zahl wächst schnell. Fast drei Viertel der deutschen Unternehmen (73 Prozent) geht mindestens von einer Verdopplung in den nächsten zwölf Monaten aus, wobei vor allem nicht-menschliche Identitäten für die Zunahme verantwortlich zeichnen. Viele von ihnen benötigen Zugriff auf kritische Ressourcen, etwa um Daten abzuspeichern oder zu verarbeiten oder um Abläufe zu automatisieren. Kein Wunder, dass solche Identitäten von immerhin 55 Prozent der Unternehmen als die riskantesten angesehen werden. Dem entgegen steht allerdings die von 58 Prozent geteilte Einschätzung, dass lediglich Menschen, die auf vertrauliche Daten zugreifen können, als privilegierte Benutzer einzustufen sind. 33 Prozent halten sogar nur Administratoren für privilegiert. Das geht aus dem neuen „CyberArk 2024 Identity Security Threat Landscape Report“ hervor.

Vielen Unternehmen wird offenbar erst nach Sicherheitsverletzungen bewusst, dass sie sich stärker um die Absicherung von allen Identitätstypen kümmern müssen. Immerhin 85 Prozent waren in den vergangenen zwölf Monaten von mehreren identitätsbezogenen Vorfällen betroffen, darunter unter anderem der Diebstahl von Zugangsdaten und der Missbrauch von privilegierten Zugängen. Die Vorfälle störten nicht nur den Geschäftsbetrieb und verursachten Widerherstellungskosten, sondern zogen häufig auch Reputationsverluste, Umsatzeinbußen und sogar juristische Schritte gegen das betroffene Unternehmen nach sich. Die Konsequenz: Die Unternehmen haben ihre Investitionen in identitätsbezogene Produkte und Services allesamt erhöht und werden sie auch noch weiter erhöhen – um bis zu 20 Prozent.

Das Geld fließt beispielsweise in eine bessere Kontrolle von Berechtigungen auf Endgeräten, die Verwaltung von Identitäten und Privilegien in der Cloud oder in Lösungen für Privileged Access Management, Single Sign-on und Multifaktor-Authentifizierung. Der Schutz nicht-menschlicher Identitäten wird hingegen häufig vernachlässigt und steht nur bei 23 Prozent der Unternehmen explizit auf der Agenda. Dabei ist ihnen durchaus bewusst, dass sie etwas tun müssen: 29 Prozent geben an, dass Sicherheitsbedenken die Einführung von Robotic Process Automation (RPA) und Automatisierungstools verlangsamen. 28 Prozent sind der Meinung, ihre IT-Sicherheit könne nicht mit der Entwicklung neuer Anwendungen und nicht-menschlicher Identitäten mithalten. Und 25 Prozent müssen einräumen, dass ein Sicherheitsvorfall im Zusammenhang mit nicht-menschlichen Identitäten einen erheblichen manuellen Aufwand verursachen würde.

KI – ein zweischneidiges Schwert

Beim Schutz von Identitäten setzen bereits fast alle Unternehmen auf Lösungen mit KI-Funktionen, unter anderem für präzisere Zugangskontrollen, Automatisierung sowie Breach Detection und Advanced Analytics. Zudem versuchen sie ganz allgemein, das Potenzial von KI im Geschäftsalltag zu nutzen, sorgen sich allerdings darum, dass Daten über kompromittierte KI-Modelle abfließen (34 Prozent) könnten.

Überhaupt erwarten 85 Prozent der Unternehmen negative Auswirkungen von KI, wenn etwa Cyberkriminelle die Technologie nutzen, um Malware zu erstellen, Phishing-Kampagnen zu verfeinern oder Deepfakes zu generieren. Immerhin fast 80 Prozent der Befragten sind zwar überzeugt, ihre Mitarbeiter würden Deepfakes der Führungsebene erkennen und nicht darauf hereinfallen. Zugleich gaben aber auch 83 Prozent an, in den vergangenen zwölf Monaten identitätsbezogene Sicherheitsverletzungen aufgrund von Phishing- und Vishing-Angriffen erlitten zu haben – über die Hälfte sogar mehr als drei Mal. Es gibt also weiterhin Verbesserungsbedarf, nicht nur was den Schutz nicht-menschlicher Identitäten angeht, sondern auch was Awareness-Trainings anbelangt.

Über den Autor: Michael Kleist ist Area Vice President DACH bei CyberArk.

(ID:50071282)