Stellen Sie sich vor, ein Angreifer wollte morgen auf Ihre Systeme zugreifen. Würde er sich die Mühe machen, einen Ihrer Mitarbeiter per Phishing zu täuschen? Wahrscheinlich nicht. Der einfachere Weg ist, einen Schlüssel zu stehlen, den Ihre Software ungenutzt herumliegen gelassen hat. Ohne Passwort und ohne Zwei-Faktor-Authentifizierung findet er einfach die Zugangsdaten und kann sich Zugang verschaffen.
Solche Anmeldeinformationen gehören größtenteils zu nicht-menschlichen Identitäten (NHI) . Dabei handelt es sich um Softwarekomponenten, die sich anstelle von Personen anmelden: eine App, die mit einer Datenbank kommuniziert, ein Skript, das eine API aufruft, eine Pipeline, die Code ausliefert, oder ein KI-Agent, der Aufgaben erledigt. Anstelle eines Passworts enthält jede dieser Komponenten ein Geheimnis wie einen API-Schlüssel, ein Token oder ein Zertifikat, und dieses Geheimnis dient dem Identitätsnachweis.
Einem Bericht zufolge gibt es in Unternehmensumgebungen mittlerweile etwa 144 nicht-menschliche Identitäten, die die Anzahl der menschlichen Identitäten um das 1-Fache übertreffen. Die meisten dieser Identitäten wurden in Eile erstellt und anschließend vergessen. Die eigentliche Frage ist also nicht, ob Sie einem Risiko durch nicht-menschliche Identitäten ausgesetzt sind, denn das sind Sie bereits. Vielmehr geht es darum, welche Risiken Sie zuerst angehen sollten.
Diese Zahlen sind nicht zufällig entstanden, und es lohnt sich, ihre Entwicklung zu verstehen. Die Cloud hat große Anwendungen in viele kleine Dienste zerlegt, die jeweils eine eigene Identität benötigen. Automatisierung erstellt Anmeldeinformationen mittlerweile selbstständig, und KI-Agenten sind die neueste Generation, die Zugriffe schneller ermöglicht, als irgendjemand sie nachverfolgen kann. Maschinen vermehren sich in Softwaregeschwindigkeit, während wir sie immer noch in menschlicher Geschwindigkeit verwalten – und genau in dieser Diskrepanz entsteht das Risiko nicht-menschlicher Identitäten.
Ein genauerer Blick auf jedes Risiko
Diese Risiken sind in der Branche wohlbekannt. OWASP listet die zehn wichtigsten in seinen „Top 10 der nicht-menschlichen Identitäten 2025“ auf, und wir werden alle zehn in derselben Reihenfolge behandeln. Jeder Abschnitt erläutert das jeweilige Risiko und gibt Empfehlungen zu den Gegenmaßnahmen.
Unsachgemäße Abmeldung
Ein verwaistes NHI ist ein Benutzerkonto, das zwar noch existiert, aber nicht mehr benötigt wird. Ein Projekt wird abgeschlossen, ein Dienst eingestellt oder die Person, die ihn erstellt hat, verlässt das Unternehmen, und das Benutzerkonto funktioniert weiterhin, ohne dass es überwacht wird. Dies kommt häufiger vor, als man denkt: Untersuchungen ergaben, dass 91 Prozent der Token ehemaliger Mitarbeiter noch aktiv sind.
Angreifer zielen genau auf diese Identitäten ab, weil sie nicht überwacht werden. Die Lösung besteht darin, die Abschaltung zu automatisieren, sodass mit der Beendigung eines Dienstes auch dessen Identitäten gelöscht werden. Weisen Sie jeder NHI einen benannten Besitzer zu und führen Sie regelmäßig eine Bereinigung durch, um alle nicht mehr benötigten Dienste abzuschalten.
Geheimes Leck
Geheimnisse werden dann preisgegeben, wenn Token, Schlüssel oder Zertifikate an Orten landen, wo sie nicht hingehören. Ein klassisches Beispiel ist die direkte Einbettung in den Quellcode. Sie können sich aber auch in Konfigurationsdateien, Protokollausgaben und gelegentlich in Chatnachrichten oder Support-Tickets einschleichen. Eine Studie in realen Umgebungen ergab, dass 44 Prozent der Token ungeschützt in Bereichen wie Code-Commits, Tickets und Chat-Tools vorlagen.
Das Beunruhigende daran ist, dass kein ausgeklügelter Exploit nötig ist. Wer das Geheimnis findet, kann es einfach nutzen. Das hat nicht nur kleine Teams, sondern auch namhafte Unternehmen getroffen. Speichern Sie Geheimnisse daher unbedingt außerhalb des Codes, sondern in einem Tresor oder Geheimnismanager. Scannen Sie Ihre Repositories und Logs regelmäßig auf offengelegte Informationen und entfernen Sie alle gefundenen Daten. Noch besser ist es, langlebige Geheimnisse komplett zu löschen. Mehr dazu erfahren Sie im Abschnitt „Langlebige Geheimnisse“ weiter unten.
Gefährdete Drittparteien-NHI
Moderne Entwicklungsumgebungen nutzen externe Tools: SaaS-Anwendungen, IDE-Erweiterungen und Integrationen. Jedes Tool erhält üblicherweise eine eigene Netzwerkschnittstelle (NHI) mit Zugriff auf Ihre Systeme. Das ist zwar praktisch, bedeutet aber auch, dass Schwachstellen in fremder Software unbemerkt zu Ihrem Problem werden können. Wird ein Drittanbieter-Tool gehackt oder veröffentlicht es ein fehlerhaftes Update, können Angreifer sofort Zugriff auf Ihre Umgebung erlangen. So beginnen viele Lieferkettenangriffe.
Sie können fremden Code nicht reparieren, aber den Schaden begrenzen. Führen Sie eine Liste aller Drittanbieterintegrationen, prüfen Sie deren Reichweite, beschränken Sie die Berechtigungen auf das absolute Minimum und entfernen Sie nicht mehr benötigte Integrationen.
Unsichere Authentifizierung
Jede NHI (Network Health Interface) muss sich gegenüber dem Dienst, mit dem sie sich verbindet, authentifizieren, bevor ihr Zugriff gewährt wird. Viele Anwendungen nutzen hierfür noch immer schwache oder veraltete Mechanismen, wie beispielsweise Legacy-Protokolle oder statische, leicht abzufangende Geheimnisse . Bei einem schwachen Authentifizierungsmechanismus kann ein Angreifer die Identität des Benutzers annehmen oder seine Berechtigungen unbemerkt erweitern.
Die Lösung besteht darin, die alten Methoden aufzugeben und stattdessen auf sichere, standardbasierte Verfahren zurückzugreifen. Bei korrekter Einrichtung sind OAuth, Mutual TLS und kurzlebige, zertifikatsbasierte Identitäten deutlich sicherer als ein veraltetes, unveränderliches Passwort.
Überprivilegierte NHI
Dieses Problem ist fast überall anzutreffen. Eine übermäßig privilegierte Krankenversicherung hat schlichtweg mehr Zugriffsrechte, als für ihre Tätigkeit erforderlich sind. Es ist so verbreitet, dass eine Studie ergab, dass 97 Prozent der Krankenversicherungen über übermäßige Privilegien verfügen. Das hat seinen Grund: Weitreichender Zugriff ist der schnellste Weg, etwas zum Laufen zu bringen, und niemand greift später darauf zurück, um ihn einzuschränken.
Dies ist entscheidend, da es darüber entscheidet, wie schwerwiegend ein Sicherheitsvorfall sein kann. Wenn ein Angreifer eine Identität mit begrenzten Berechtigungen stiehlt, bleibt der Schaden gering. Wird hingegen eine Identität mit übermäßigen Berechtigungen gestohlen, erbt der Angreifer deren gesamte zusätzliche Reichweite, und ein kleiner Fehler wird zu einem schwerwiegenden Vorfall. Wenden Sie das Prinzip der minimalen Berechtigungen an , indem Sie jeder NHI nur die benötigten Zugriffsrechte gewähren und diese regelmäßig überprüfen, um nicht mehr benötigte Berechtigungen zu entfernen.
Unsichere Cloud-Bereitstellungskonfigurationen
CI/CD-Pipelines benötigen Zugriff auf Ihre Cloud-Umgebung, um Code automatisch zu erstellen, zu testen und bereitzustellen. Das Risiko entsteht, wenn dieser Zugriff mit statischen Anmeldeinformationen konfiguriert wird, die über Repositories, Build-Logs oder Konfigurationsdateien offengelegt werden können. Kompromittierte Pipeline-Anmeldeinformationen haben schwerwiegende Folgen und gewähren einem Angreifer dauerhaften, privilegierten Zugriff direkt auf die Produktionsumgebung.
Es empfiehlt sich, statische Anmeldeinformationen zu vermeiden und stattdessen OpenID Connect (OIDC) zu verwenden. Mit OIDC nutzt die Pipeline ihre verifizierte Identität, um ein kurzlebiges Token zu erhalten. Dadurch gibt es kein dauerhaftes Geheimnis, das gestohlen werden könnte. Überprüfen Sie die Ansprüche des Tokens sorgfältig, um sicherzustellen, dass nur die von Ihnen vorgesehenen Workloads Zugriff erhalten.
Langlebige Geheimnisse
Ein langlebiges Geheimnis ist eine Zugangsberechtigung, die nur selten abläuft. Teams verwenden solche Zugangsdaten häufig, da die manuelle Aktualisierung von Zugangsdaten aufwendig ist. Daher legen sie einen Schlüssel einmalig fest und belassen es dabei. Das Problem entsteht, wenn eine solche Zugangsberechtigung gestohlen wird. Da sie nie abläuft, kann ein Angreifer sie beliebig lange nutzen. Ein vor zwei Jahren geleakter Schlüssel kann auch heute noch gültig und angreifbar sein.
Die Lösung besteht darin, Geheimnisse kurzlebig zu gestalten. Anstelle eines statischen Schlüssels sollten Anmeldeinformationen ausgegeben werden, die bei Bedarf generiert werden und nach Minuten oder Stunden ablaufen. Zertifikats- und Schlüssellebenszyklusmanager erledigen dies automatisch, und kurzlebige Zertifikate erfüllen denselben Zweck für Verbindungen zwischen Maschinen. Je kürzer die Gültigkeitsdauer, desto geringer ist das Zeitfenster für einen Angreifer.
Umgebungsisolierung
Es empfiehlt sich, Entwicklungs-, Test- und Produktionsumgebungen strikt zu trennen. Dieses Risiko entsteht, wenn dieselbe Identität in mehreren Umgebungen, insbesondere zwischen Test- und Produktionsumgebung, wiederverwendet wird. Testumgebungen sind in der Regel am wenigsten geschützt. Wenn sie sich eine Identität mit der Produktionsumgebung teilen, kann eine Schwachstelle in der Testumgebung direkt in die Produktionsumgebung hineinwirken.
Sorgen Sie für eine strikte Trennung der Umgebungen. Verwenden Sie separate Identitäten und Geheimnisse für Entwicklung, Test und Produktion und speichern Sie diese getrennt. Geben Sie keine Zugangsdaten zwischen den Umgebungen weiter, damit Testzugangsdaten niemals in die Produktionsumgebung gelangen können.
NHI-Wiederverwendung
Die Wiederverwendung von NHI (Network Health Information) liegt vor, wenn dieselbe Identität oder dasselbe Geheimnis von verschiedenen Anwendungen, Diensten oder Komponenten gemeinsam genutzt wird, oft weil die Erstellung einer separaten Identität für jede Anwendung aufwändig ist. Diese Bequemlichkeit birgt jedoch Risiken. Wird diese eine Identität an einer Stelle kompromittiert, kann ein Angreifer dieselben Anmeldeinformationen nutzen, um auf jedes andere System zuzugreifen, das darauf angewiesen ist. So weitet sich eine kleine Sicherheitslücke schnell zu einem umfassenden Problem aus.
Weisen Sie jeder Arbeitslast eine eigene Identität und ein eigenes Geheimnis zu, damit jegliche Kompromittierung auf einen einzelnen Dienst beschränkt bleibt. Verfolgen Sie, welche Identität zu welcher Anwendung gehört, vermeiden Sie die gemeinsame Nutzung von Anmeldeinformationen zwischen Komponenten und wechseln Sie diese unabhängig voneinander. Unterschiedliche Identitäten erleichtern zudem den Entzug des Zugriffs für einen Dienst erheblich, ohne die übrigen Dienste zu beeinträchtigen.
Menschliche Nutzung der NHI
Die Nutzung nicht-menschlicher Gesundheitsinformationen durch Dritte (NHI) liegt vor, wenn eine Person eine nicht-menschliche Identität, wie beispielsweise ein Dienstkonto oder ein API- Token, verwendet, um manuelle Aufgaben auszuführen, die eigentlich unter ihrem eigenen Konto laufen sollten. Dies ist leicht möglich, da das Dienstkonto oft bereits über weitreichende Zugriffsrechte verfügt. Da die meisten Plattformen nicht zwischen einer Person und einer Arbeitslast unterscheiden können, die dieselbe Identität verwendet, erscheinen ihre Aktivitäten praktisch identisch. Die Folge sind erweiterte Berechtigungen in menschlicher Hand, eine lückenhafte Nachverfolgbarkeit und Aktionen, die im Fehlerfall schwer zuzuordnen sind.
Trennen Sie menschliche und nicht-menschliche Identitäten. Weisen Sie Mitarbeitern eigene Konten mit passenden Rollen für manuelle Arbeiten und Wartungsarbeiten zu und reservieren Sie nicht-menschliche Identitäten für automatisierte Prozesse. Überwachen Sie die Nutzung nicht-menschlicher Identitäten, um menschliche Aktivitäten zu erkennen, und wenden Sie kontextbezogene Zugriffskontrollen an, die die Anmeldung einer Person mit einem Dienstkonto kennzeichnen oder blockieren.
Wir haben nun alle Risiken im Zusammenhang mit nicht-menschlichen Identitäten durchgesprochen, von durchgesickerten Geheimnissen bis hin zu Personen, die sich bei manuellen Aufgaben auf Maschinenidentitäten verlassen . Das ist viel Information auf einmal, daher ist es hilfreich, einen Schritt zurückzutreten und die einzelnen Punkte gemeinsam zu betrachten.
Ist Ihnen das Muster aufgefallen?
Die gemeinsame Betrachtung der zehn Risiken offenbart ein klares Muster. Es handelt sich nicht um zehn separate Probleme. Vielmehr sind es dieselben drei Verhaltensweisen, die sich in unterschiedlicher Form zeigen: Geheimnisse, die zu lange unentdeckt bleiben, Identitäten mit zu weitreichenden Zugriffsrechten und Identitäten, die nie bereinigt werden. Durchgesickerte Geheimnisse, statische Schlüssel, übermäßig privilegierte Konten und verwaiste Konten spiegeln alle dieselben wenigen Grundprobleme wider.
Sie brauchen keine zehn verschiedenen Tools. Sie brauchen nur ein paar solide Gewohnheiten, die Sie überall anwenden: Wissen, was Sie haben, Zugriffsrechte einschränken, Anmeldeinformationen nur kurz gültig verwenden und Geräte nach Gebrauch abschalten. Wenn Sie gleich mehrere dieser Punkte auf einmal angehen möchten, schauen Sie sich Ihre Zertifikate an. Zertifikate sind Maschinenidentitäten, die Sie bereits tausendfach verwenden und die sich mitten in dieser Liste befinden. Wenn Sie sie nicht pflegen, werden sie langlebig, verursachen Ausfälle, wenn sie unbemerkt ablaufen, und häufen sich schneller an, als man sie manuell verwalten kann.
Bekommen Sie diese Risiken in den Griff, und Sie können einen Großteil Ihres NHI-Risikos stillschweigend minimieren. Dies in großem Umfang zu managen, ist mehr als eine manuelle Aufgabe – und genau hier beweist eine speziell entwickelte Plattform ihren Wert.
Wie Verschlüsselungsberatung helfen kann
Die einfachste Möglichkeit, das NHI-Risiko schnell zu reduzieren, besteht darin, Ihre Zertifikate in Ordnung zu bringen. Encryption Consulting unterstützt Sie dabei mit seinem CertSecure Manager.
Eine der größten Herausforderungen im Zertifikatslebenszyklusmanagement ist die Transparenz. Vielen Unternehmen fehlt ein vollständiges Verzeichnis ihrer Zertifikate, was die Zuordnung von Inhabern, die Überwachung von Ablaufdaten und die Risikobewertung erschwert. Unser CertSecure Manager löst dieses Problem, indem er kontinuierlich Zertifikate in Cloud-Diensten, Servern, Anwendungen, Load Balancern und anderen Unternehmenssystemen erkennt und Unternehmen so hilft, bisher unbekannte Zertifikate aufzuspüren und zu verwalten. Dadurch wird die Anzahl unbekannter oder nicht verwalteter Zertifikate reduziert, die häufig zu Sicherheitslücken im Betrieb führen.
Sobald Zertifikate gefunden wurden, werden sie in einem zentralen Verzeichnis zusammengeführt, das einen Überblick über Zertifikatsstatus, Inhaber, Speicherort und Lebenszyklusinformationen bietet. Dies erleichtert es Sicherheits- und Betriebsteams, zu verstehen, welche Zertifikate vorhanden sind, wer dafür verantwortlich ist und wann Handlungsbedarf besteht.
Um Unternehmen bei der Bewältigung steigender Erneuerungsvolumina zu unterstützen, bietet unsere Plattform automatisierte Erneuerungs-Workflows, die den manuellen Aufwand reduzieren und den Zertifikatsaustausch optimieren. Durch die Automatisierung von Lebenszyklusprozessen können Unternehmen das Risiko von Ausfällen im Zusammenhang mit der Erneuerung senken und die administrative Belastung ihrer internen Teams verringern.
Die Plattform bietet zudem eine Überwachung des Ablaufrisikos mit proaktiven Warnungen und Benachrichtigungen für Zertifikate, deren Ablauf bevorsteht. Dadurch können sich die Teams auf die Behebung von Problemen konzentrieren, bevor diese die Dienste beeinträchtigen.
Da die Gültigkeitsdauer von Zertifikaten auf 47 Tage ansteigt, gewinnt Skalierbarkeit zunehmend an Bedeutung. Unsere Plattform ist darauf ausgelegt, große und wachsende Zertifikatsbestände in Cloud-, Hybrid- und On-Premises-Umgebungen zu unterstützen und Unternehmen so zu helfen, Transparenz und Kontrolle zu wahren, selbst bei deutlich steigender Zertifikatsaktivität.
Durch die Kombination von Erkennung, Transparenz, Überwachung und Automatisierung bietet unsere Plattform einen praktischen Ansatz für die Verwaltung von Zertifikaten in einem Umfeld, in dem die manuelle Verwaltung des Zertifikatslebenszyklus zunehmend schwieriger aufrechtzuerhalten ist.
Und wenn Sie das Gesamtbild betrachten möchten, bietet Encryption Consulting auch Beratungsleistungen im Bereich Verschlüsselung an . Das Team analysiert Ihren aktuellen Stand und unterstützt Sie bei der Entwicklung einer klaren Strategie und eines Fahrplans, damit Ihr gesamtes Programm für Maschinenidentität und Verschlüsselung Hand in Hand geht. CertSecure Manager unterstützt Sie beim Zertifikatslebenszyklusmanagement, und die Beratungsleistungen im Bereich Verschlüsselung gestalten die übergreifende Strategie rund um dieses Programm.
Fazit
Nicht-menschliche Identitäten bilden mittlerweile die größte Gruppe in Ihrer Umgebung, und die zehn oben genannten Risiken sind diejenigen, die Angreifer in der Regel zuerst ausnutzen. Die gute Nachricht: Sie alle lassen sich auf wenige grundlegende Gewohnheiten zurückführen, sodass Sie Prioritäten setzen können, anstatt zu versuchen, alles gleichzeitig anzugehen.
Sie müssen nicht alles auf einmal angehen. Ein sinnvoller erster Schritt ist die Deaktivierung nicht mehr genutzter Identitäten, da diese am einfachsten zu beheben sind. Trennen Sie anschließend Ihre Geheimnisse vom Quellcode und bewahren Sie sie in einem Tresor auf, wo sie regelmäßig ausgetauscht werden. Sobald dies eingerichtet ist, beschränken Sie alle Zugriffsrechte, die über die tatsächliche Arbeitslast hinausgehen. Die Verwaltung Ihrer Zertifikate ist der wirkungsvollste Schritt, da er mehrere Risiken gleichzeitig beseitigt. Benötigen Sie dabei Unterstützung von Experten? Wir zeigen Ihnen gerne, wie CertSecure Manager jedes Zertifikat in Ihrer Umgebung erkennt, erneuert und verwaltet.
