Bedrohungsbewusstes Identity Access Management Wie CIOs und CISOs Angriffe früh stoppen können

Digitale Identitäten haben sich von statischen Benutzerkonten zu hochdynamischen Zugriffspunkten über Cloud, SaaS, Workloads und Maschinen entwickelt. Das vergrößert die Angriffsfläche erheblich. Welche Prioritäten sollten CIOs und CISOs bei einer bedrohungsbewussten IAM-Strategie setzen – und warum ist Identity Access Management (IAM) zur aktiven Verteidigungsebene geworden?

Digitale Identität war schon immer das Bindeglied, dass die Unternehmens-IT zusammenhält. Doch was digitale Identität eigentlich bedeutet, hat sich über die vergangenen Jahre hinweg grundlegend verändert. Vor 20 Jahren umfasste eine digitale Identität einen Benutzernamen und ein Passwort, beide abgespeichert in einem Verzeichnis irgendwo im Unternehmen. Der Zugriff auf diese Identität war zudem an einen bestimmten Desktop-Computer im Unternehmens-LAN gebunden. Eine solche Identität war statisch, personenzentriert und vorhersehbar.

Dies ist heute nicht mehr der Fall. Identitäten sind nicht mehr nur für Mitarbeiter im Unternehmen, sondern auch für Auftragnehmer, Partner, Maschinen, Bots, APIs, Cloud-Workloads und Software-as-a-Service-Konnektoren (SaaS). Sie sind zudem nicht länger statisch, da sich Berechtigungen je nach Rolle, Projekt oder Integration dynamisch ändern können. Solche Identitäten erstrecken sich über lokale Active Directory-, Azure AD- und AWS IAM-Umgebungen, Okta-Mandanten und Hunderten von SaaS-Anwendungen. Gleichzeitig steigt auch die Anzahl von Machine-to-Machine-Identitäten und SaaS-Integrationen kontinuierlich – mit entsprechend größerer Angriffsfläche.

Oder anders ausgedrückt: Je mehr Identitäten, desto mehr Angriffsfläche.

IAM: Von Verwaltung zu Verteidigung

Damit hat sich auch IAM grundlegend verändert. Hybrid Cloud, SaaS und Remote-Arbeit haben zu einem Wildwuchs an Identitäten und Konten geführt. Fehlkonfigurationen und Identitäten mit zu vielen unnötigen Rechten sind dann eher die Regel als die Ausnahme. Angreifer wissen das – Identitätsmissbrauch ist oft der einfachste Einstiegspunkt.

Während Sicherheitsverantwortliche zwischen IAM-, Endpoint Detection and Response- (EDR), Security Information and Event Management- (SIEM), Privileged Access Management- (PAM) und Multi-Faktor-Authentifizierungs-Anwendungen hin- und herwechseln müssen, haben Angreifer es hingegen einfacher, denn sie können auf folgendes setzen:

• Anmeldedaten-Dumping auf kompromittierten Endpunkten

• MFA-müde Nutzer, die unüberlegt betrügerische Anmeldeversuche durchwinken

• Laterale Bewegungen im Netzwerk über hybride AD- und Cloud-Konnektoren

• Living-off-the-Land-Taktiken (LotL), für die legitime Administratoren-Tools missbraucht werden, anstatt Malware zu verbreiten

Die folgenschwersten Sicherheitsverletzungen der vergangenen fünf Jahre waren das Resultat von Identitätsfehlern, Fehlkonfiguration, Nutzern mit zu vielen unnötigen Rechten und vergessenen Konten – all dies konnten Angreifer als Einfallstor nutzen.

Beispiel Snowflake von 2024: Die Gruppe UNC5537 kompromittierte über 160 Kundenumgebungen, häufig ohne MFA, allein mit gestohlenen Zugangsdaten. Millionen personenbezogene Datensätze sowie Milliarden Kommunikationsereignisse wurden offengelegt. Zu den Opfern zählten AT&T, Santander und Ticketmaster, die offengelegten Daten umfassten personenbezogene Daten und rund 50 Milliarden aufgezeichnete Anrufe.

Dementsprechend hat sich die Aufgabe von IAM gewandelt: weg von einem operativen Hilfsmittel zu einer grundlegenden Verteidigungsebene. Heute zählt nicht mehr die Geschwindigkeit beim Onboarding, sondern die Fähigkeit, kompromittierte Konten schnell zu erkennen, Berechtigungen zu begrenzen und Angriffsbewegungen zu verhindern.

Die vier Evolutionsphasen von IAM

Diese Entwicklung spiegelt auch wider, dass Unternehmensrisiken sich kontinuierlich wandeln:

In der operativen Ära fungierte IAM als administratives Hilfsmittel, mit einem Fokus auf die Bereitstellung von Konten, die Durchsetzung von Passwortrichtlinien und die Zuordnung von Benutzern zu Rollen.

In der proaktiven Ära führten strengere Compliance-Anforderungen zu der zunehmenden Nutzung von Sign-On (SSO), MFA und eingeschränkten Zugriffsrechten. IAM trug dazu bei, bei der Nutzung dieser Ansätze Reibungsverluste zu vermeiden, die Kontrolle zu behalten und potenzielle Risiken zu antizipieren. Dennoch war IAM in dieser Zeit nach wie vor auf Prävention fokussiert.

In der reaktiven Ära beschleunigte hybride IT die breite Nutzung von digitalen Identitäten. IAM-Daten wurden in SIEM-Systeme integriert, um verdächtige Anmeldeversuche oder den Missbrauch von Berechtigungen zu identifizieren. Aber die entsprechenden Warnmeldungen häuften sich, was zu Verzögerungen bei deren Überprüfung führte, die ihrerseits von den Angreifern ausgenutzt wurden.

In der kontinuierlichen Ära fokussierten sich Angreifer komplett auf Identitätsmissbrauch. Dementsprechend musste IAM direkt in Sicherheitsprozesse integriert werden. Eine kontinuierliche Bewertung der Sicherheitslage, die Echtzeit-Analyse von Angriffspfaden und automatisierte Reaktionen – beispielsweise die Deaktivierung verdächtiger Konten oder der Widerruf von Tokens – und strengere Authentifizierung wurden vor diesem Hintergrund unerlässlich. Diese Fusion von IAM und Sicherheitsmaßnahmen wird in der Branche heute als Identity Threat Detection and Reaction (ITDR) bezeichnet – die nächste Phase von IAM.

Die bisherigen Trennlinien zwischen IAM- und Security Operations Center-Teams (SOC) existieren nicht mehr. Wenn ein Service-Konto genutzt wird, um Berechtigungen für andere Nutzer auszuweiten, handelt es sich nicht mehr länger um ein IAM- oder ein SOC-Problem, sondern um ein Problem für beide Funktionen. Hier in Silos zu denken, führt lediglich zu blinden Flecken, die von Angreifern ausgenutzt werden können.

Vier Prioritäten für eine bedrohungsbewusste IAM-Strategie

Statt mehr Tools einzuführen, sollte IAM zur aktiven Verteidigungsschicht werden. Das Fundament umfasst: kontinuierliche Bewertung der Sicherheitslage, Echtzeit-Analyse von Angriffspfaden und automatisierte Reaktionen – sowie die Einbettung dieser Ansätze in den Alltag.

1. Konsolidierung aller digitalen Identitäten in einer Single Source of Truth

Fragmentierte Datenbanken führen zu lückenhaftem Schutz. Digitale Identitäten umfassen heute Mitarbeiter, Auftragnehmer, Service-Konten, Bots, Workloads und SaaS-Konnektoren. Wenn diese nicht zentral eingesehen werden können, ist eine effektive Verwaltung unmöglich. Dementsprechend sollte es eine einzige verbindliche Single Source of Truth für alle digitalen Identitäten im Unternehmen geben: sowohl vor Ort als auch in der Cloud, die sowohl von Menschen als auch Maschinen eingesehen werden kann.

Vorteile:

• Vermeidung von Duplikaten, sodass jede Person und jeder Service genau einem Datensatz zugeordnet werden kann

• Eine klare Zuständigkeit und Verantwortlichkeit für jedes Konto und jede Berechtigung

• Basisindikatoren wie Berechtigungsstufe, Vertraulichkeit und potenzielles Risiko unterstützen bei der Priorisierung

Nur wenn diese Grundlagen vorhanden sind, werden umfassende und verlässliche Sicherheitsüberprüfungen und Risikoanalysen überhaupt möglich.

2. Kontinuierliche Bewertung der Sicherheitslage: Gefahren sofort nach ihrem Eintreten erkennen

Vierteljährliche Überprüfungen und jährliche Audits sind nicht länger zeitgemäß, denn digitale Identitäten ändern sich täglich, Rollen wechseln, SaaS-Konnektoren werden hinzugefügt oder entfernt und Auftragnehmer verlassen das Unternehmen, während ihre Konten weiterhin aktiv bleiben. Jede dieser Änderungen birgt ein potenzielles Risiko, weshalb ein moderner Ansatz wichtig ist: weg von punktuellen Audits und hin zu einer kontinuierlichen Bewertung der Sicherheitslage.

Vorteile:

• Echtzeit-Erkennung von unautorisierten Zugriffen und Abweichungen von etablierten Berechtigungsrichtlinien

• Kennzeichnen von inaktiven oder vergessenen Konten, bevor diese zum Einfallstor für Angreifer werden

• Strenge Kontrollen für Administrator-, Service- und Maschinenkonten

• Adaptive, kontextbezogene Kontrolle, die Zugriffsentscheidungen auf Basis von Gerätestatus, Standort, Sitzungsverlauf und Kritikalität der Rolle anpassen

• Integration von Verhaltensanalysen, um Anomalien wie unzulässige Anmeldungen, Massenabrufe von Daten oder ungewöhnliches Nutzerverhalten zu erkennen

• Regelmäßige Zugriffsüberprüfungen für Stakeholders, um sicherzustellen, dass die Verteilung von Berechtigungen angemessen und vertretbar bleibt

Mit diesem Ansatz wird IAM von einem rückwirkenden Compliance-Tool zu einem aktiven Abbild der aktuellen Risikolage.

3. Analyse von Angriffspfaden: Wie breiten sich Kompromittierungen aus?

Angreifer nutzen selten nur eine einzige Schwachstelle aus. Stattdessen nutzen sie kleine Fehler, eine falsch konfigurierte Rolle, ein Konto mit zu vielen Berechtigungen und einen vergessenen SaaS-Konnektor in Kombination und verknüpfen diese zu einem Angriffspfad durch das komplette Unternehmensnetzwerk. Deshalb benötigen Unternehmen Transparenz darüber, wie sich Kompromittierungen tatsächlich ausbreiten.

Vorteile:

• Einsicht in die Interkonnektivität zwischen Benutzern, Gruppen, Rollen, Anwendungen und Domänen

• Identifizieren der Wege, wie ein Konto mit wenigen Berechtigungen durch Privilegienerweiterung die Rechte eines Domänen- oder Cloud-Administratorenkontos erlangen kann

• Bewertung des potenziellen Schadens, die eine einzelne kompromittierte digitale Identität anrichten kann und Quantifizierung der Auswirkungen auf das Unternehmen

• Simulationen, um zu testen, wie schnell sich Angreifer seitlich im Unternehmensnetzwerk bewegen könnten

• Überblick über die risikoreichsten Konten und Berechtigungen, priorisiert nach potenziellem Risiko und Vertraulichkeit

Mit diesem Ansatz wird IAM von einem statischen Berechtigungsverzeichnis zu einem dynamischen Angriffsdiagramm. So müssen Unternehmen nicht mehr vermuten, worauf Angreifer potenziell Zugriff haben könnten, sondern können dies im Vorfeld abbilden und so Schwachstellen beheben, bevor diese von einem Angreifer ausgenutzt werden.

4. Integration von digitalen Identitäten in das SOC

In der Vergangenheit wurde IAM als Verwaltungs- und ein SOC als Verteidigungsebene betrachtet – dieses Silodenken nutzen Angreifer aus. So ist beispielsweise ein Service-Konto, das Angreifer für seitliche Bewegungen im Unternehmensnetzwerk missbrauchen, sowohl ein IAM- als auch ein SOC-Problem.

Wenn IAM- und SOC-Teams in solchen Fällen aber isoliert voneinander arbeiten, haben Angreifer leichtes Spiel. Unternehmen sollten stattdessen sicherstellen, dass IAM Teil des SOC wird.

Vorteile:

• Weiterleiten von identitätsrelevanten Ereignissen wie Berechtigungsänderungen, ungewöhnliches Nutzerverhalten oder Warnmeldungen zu Angriffspfaden an SIEM- und Security Orchestration, Automation and Response-Verantwortliche (SOAR)

• Möglichkeit für SOC-Verantwortliche, Konten zu deaktivieren, Tokens zu widerrufen oder eine stärkere Authentifizierung direkt über das IAM zu erzwingen

• Gemeinsame Simulationen, um die Erkennung und Eindämmung von Bedrohungen einzuüben

Die Integration IAM in Unternehmensprozesse stellt sicher, dass Kompromittierungen von digitalen Identitäten als sicherheitsrelevante Vorfälle und nicht nur als administratives Problem behandelt werden.

Die Relevanz von digitaler Identität

Angreifer finden auch in Umgebungen mit umfangreichen Sicherheitsmaßnahmen immer wieder Schwachstellen. Das verbindende Element aller Systeme, Anwendungen und Clouds bleibt die digitale Identität. Dies macht IAM zu mehr als einem Sicherheits-Tool: Es ist die Grundlage für digitale Resilienz.

Für CIOs und CISOs stellt sich also nicht mehr die Frage, ob sie in IAM investieren sollen, sondern wie sie die sicherheitstechnische Optimierung von IAM mit der entsprechenden Dringlichkeit angehen: als Sicherheitsthema und nicht als administrative Notwendigkeit.

Bedrohungsbewusstes IAM - bestehend aus kontinuierlicher Bewertung, Angriffspfad-Analysen und automatisierter Reaktion - bildet dafür das Fundament. Denn wer Identitäten schützt, schützt die gesamte Infrastruktur. Und wer sie vernachlässigt, landet schnell in den Schlagzeilen.

Über den Autor

Jayavignesh PA ist Head of Growth for IAM Suite bei ManageEngine.

(ID:50646909)