Das Management von Maschinenidentitäten (MIM) umfasst die Ausstellung, den regelmäßigen Wechsel und den Widerruf der Zugangsdaten, die Maschinen – wie Server, Endgeräte, Netzwerkgeräte, virtuelle Maschinen und IoT-Geräte – für die Authentifizierung und die sichere Kommunikation verwenden.
Ähnlich wie Menschen müssen auch Maschinen Zugangsdaten vorweisen, um auf Systeme und Daten zugreifen zu können. Doch während Menschen auf Benutzernamen, Passwörter und die Multi-Faktor-Authentifizierung (MFA) zurückgreifen, nutzen Maschinen Gerätezugangsdaten wie Schlüssel und Zertifikate.
Mit diesen Anmeldedaten können Computer ihre Identität nachweisen. Zu den gängigen Formen zählen TLS-Zertifikate für sichere Netzwerkverbindungen, SSH-Schlüssel für den Fernzugriff und von der Public-Key-Infrastruktur (PKI) ausgestellte Gerätezertifikate zur Geräteauthentifizierung.
Angesichts der zunehmenden Maschine-zu-Maschine-Kommunikation ist der Schutz von Maschinenidentitäten vor Cyberbedrohungen zu einer großen Herausforderung geworden. Laut dem IBM X-Force Threat Intelligence Index machen identitätsbasierte Angriffe – bei denen Cyberkriminelle gültige Anmeldedaten missbrauchen, um sich Zugang zu Netzwerken zu verschaffen – 32 % aller Datenschutzverletzungen aus.
Moderne Infrastrukturen können zudem das Management von Maschinenidentitäten erschweren. IT-Umgebungen wachsen rasch, Geräte werden häufig bereitgestellt und außer Betrieb genommen, und Zugangsdaten müssen ständig erneuert werden.
MIM hilft dabei, diese Komplexität zu bewältigen und die Cybersicherheit zu verbessern. Es ermöglicht Sicherheitsteams, festzustellen, wo sich Gerätezugangsdaten befinden, die Rotation und Sperrung zu automatisieren, Sicherheitsrichtlinien durchzusetzen und auf Ablauf oder Missbrauch zu überwachen.
Mit MIM können Unternehmen eine Zero-Trust-Architektur unterstützen und unbefugte Zugriffe, Datenschutzverletzungen sowie Ausfälle aufgrund abgelaufener Zertifikate reduzieren. Zudem können sie das Risiko durch offengelegte Schlüssel begrenzen und die für die Einhaltung gesetzlicher Vorschriften erforderlichen Prüfpfade erfassen.
Im Bereich der Identitätssicherheit sind nicht-menschliche Identitäten (NHIs) digitale Identitäten, die nicht-menschlichen „Nutzern“ zugewiesen werden, wie beispielsweise Apps, Diensten, Workloads, Containern, APIs, Bots, KI-Agenten und Geräten.
Eine Maschinenidentität ist eine Untergruppe von NHIs, die speziell einem Gerät zugeordnet ist, beispielsweise einem Server, einer virtuellen Maschine, einem Endpunkt, einem Netzwerkgerät oder einem IoT-Gerät.
Der Begriff „Maschinenidentität“ wird manchmal als weit gefasster Sammelbegriff für jede Art von NHI verwendet, obwohl diese Verwendung technisch gesehen nicht korrekt ist. Das Management von Maschinenidentitäten konzentriert sich speziell auf die Verwaltung von Maschinenidentitäten und deren Anmeldedaten.
Allerdings interagieren Maschinen häufig mit Software und Diensten, die sich mithilfe von Dienstkonten und Anmeldedaten wie API-Schlüsseln authentifizieren. MIM-Programme werden oft im Rahmen umfassenderer Maßnahmen zum Identitätsmanagement und zur Governance für nicht-menschliche Identitäten umgesetzt.
Der Aufstieg von KI-Agenten lässt die Grenze zwischen nichtmenschlichen und maschinellen Identitäten zudem weiter verschwimmen. KI-Agenten führen Aufgaben häufig über Workloads und Service-Identitäten aus und können Aufgaben sogar systemübergreifend delegieren. Das bedeutet, dass sie häufig an der Schnittstelle zwischen nicht-menschlichen Identitäten und Maschinenidentitäten agieren.
Schließen Sie sich Führungskräften im Bereich Sicherheit an, die von den kuratierten Nachrichten zu KI, Cybersicherheit, Daten und Automatisierung im Think Newsletter profitieren. Lernen Sie schnell von Experten-Tutorials und Erläuterungen, die direkt in Ihren Posteingang geliefert werden. Weitere Informationen finden Sie in der IBM Datenschutzerklärung.
Die Schätzungen variieren – von 45:1 bis 92:1 –, doch in den meisten IT-Umgebungen überwiegen nicht-menschliche Identitäten deutlich gegenüber menschlichen.
Und IT-Umgebungen entwickeln sich weiter, angetrieben durch die Einführung von Cloud-Infrastrukturen und Software as a Service (SaaS), dem Aufkommen verteilter Systeme und Microservices sowie die zunehmende Verbreitung vernetzter Geräte. Mit jedem dieser Faktoren wächst die Anzahl der Geräte und der Zugangsdaten.
Zugangsdaten für Computer sind nicht nur zahlreich, sondern auch für Cyberkriminelle besonders attraktiv. Im Gegensatz zu menschlichen Benutzern laufen Maschinen oft ununterbrochen, führen die Authentifizierung automatisch durch und können sich nicht auf interaktive Sicherheitsmaßnahmen wie MFA-Prompts verlassen. Oft werden sie in Netzwerken und Workflows zudem implizit als vertrauenswürdig eingestuft, was die Auswirkungen eines Missbrauchs dieser Zugangsdaten noch verstärken kann.
Zu den häufigsten Sicherheitsrisiken im Zusammenhang mit Maschinenidentitäten zählen unter anderem:
Die schiere Anzahl der Maschinenidentitäten in einem System und das Tempo, mit dem neue Geräte und Instanzen bereitgestellt werden, können die Transparenz erschweren und Lücken schaffen, durch die sich Cyberkriminelle einschleichen können.
Viele Unternehmen versäumen es zudem, Maschinenidentitäten formell außer Betrieb zu nehmen, wenn sie Server stilllegen, Images von virtuellen Maschinen entfernen oder Geräte aus dem Betrieb nehmen. Diese alten Identitäten werden oft nicht überwacht, ihre Berechtigungen bleiben aber intakt.
Da Maschinenidentitäten ein wesentlicher Bestandteil zentraler Workflows sind, erhalten sie häufig privilegierten Zugriff auf sensible Daten. Um sicherzustellen, dass diese Prozesse „einfach funktionieren“, gewähren Unternehmen den Gerätezugangsdaten oft umfassendere Berechtigungen, als eigentlich erforderlich wären.
Maschinen haben zwar keine Passwörter, verwenden jedoch OAuth-Token, Zertifikate und andere geheime Daten, um sich zu autorisieren und zu authentifizieren. Diese Codes können gestohlen und missbraucht werden, ähnlich wie Passwörter menschlicher Benutzer, was unbefugten Zugriff, Lateralbewegung und die Eskalation von Privilegien ermöglicht.
Geräte und Geräteverwaltungssysteme sind häufig mit Plattformen von Drittanbietern verbunden (beispielsweise mit Anbietern von IoT-Flottenmanagement- oder Geräteüberwachungsdiensten). Wenn jedoch Zugangsdaten dieser Drittanbieterplattformen kompromittiert werden, können sich Angreifer quer durch die Umgebungen bewegen.
Wenn Server außer Betrieb genommen, Images von virtuellen Maschinen gelöscht oder Geräte aus dem Dienst genommen werden, können alte Anmeldedaten weiterhin bestehen bleiben. Ohne eine systematische Sperrung und Außerbetriebnahme können diese verwaisten Geräteanmeldedaten zu Sicherheitsrisiken werden.
Unternehmen verwalten in der Regel verschiedene Typen von Anmeldedaten für Maschinenidentitäten, die jeweils unterschiedliche Merkmale und Sicherheitsanforderungen aufweisen.
Das Management von Maschinenidentitäten automatisiert und operationalisiert den Lebenszyklus von Maschinenidentitäten und verwaltet Zugangsdaten von der Ausstellung bis zur Aufhebung.
Zu den zentralen Phasen des Lebenszyklus des Managements von Maschinenidentitäten gehören:
Die Erkennung umfasst das Scannen von Netzwerken, Cloud-Umgebungen, Zertifikatsspeichern und Anwendungskonfigurationen, um alle verwendeten Gerätezugangsdaten zu identifizieren, einschließlich solcher außerhalb der formellen IT-Systeme.
Sicherheitsteams stoßen häufig auf Anmeldedaten, von deren Existenz sie gar nichts wussten, wie beispielsweise SSH-Schlüssel auf vergessenen Servern oder in Altsystemen eingebettete Gerätezertifikate.
Wenn eine neue Maschinenidentität eingerichtet oder identifiziert wird, sieht MIM vor, dass für diese Identität neue Anmeldedaten ausgestellt werden. Ein formelles MIM-Programm ermöglicht es Unternehmen, Anmeldedaten im Rahmen kontrollierter, überprüfbarer Prozesse zu erstellen, anstatt auf eine ad-hoc-basierte, manuelle Bearbeitung zurückzugreifen.
Bei der Bereitstellung – also der Zuweisung der richtigen Zugangsdaten an die richtigen Rechner – versuchen Unternehmen häufig, dem Prinzip der geringsten Berechtigungen zu folgen, indem sie jedem Rechner genau das Maß an Zugriff gewähren, das er zur Erfüllung seiner Aufgaben benötigt.
Beispielsweise kann eine in der Cloud erstellten virtuellen Maschinen innerhalb eines IAM-Systems eine bestimmte Identität zugewiesen werden. MIM kann dann dazu beitragen, dass die Virtual Machine automatisch die benötigten kurzlebigen Anmeldedaten erhält. Diese Anmeldedaten ermöglichen ihr den Zugriff ausschließlich auf die spezifischen Cloud-Ressourcen, für deren Nutzung sie vorgesehen ist – wie beispielsweise einen einzelnen Speicher-Bucket oder einen Secrets-Vault –, ohne dass langfristige Zugriffsschlüssel auf der Maschine gespeichert werden.
Rotation bedeutet, dass Zugangsdaten in regelmäßigen Abständen oder nach einem vermuteten Sicherheitsverstoß ausgetauscht werden. Dabei werden neue Zertifikate oder Schlüssel ausgestellt und die alten deaktiviert.
Anmeldedaten sind standardmäßig zeitlich begrenzt. So laufen beispielsweise TLS-Zertifikate in der Regel nach 90 Tagen bis zu einem Jahr ab. Diese begrenzte Lebensdauer erfüllt zwei Zwecke.
Erstens verringert dies das Zeitfenster für Angreifer. Werden Zugangsdaten gestohlen, sind sie nach einer Rotation unbrauchbar.
Zweitens hilft eine regelmäßige Erneuerung dabei, Ausfälle aufgrund abgelaufener Zertifikate zu vermeiden, die IT-Teams unvorbereitet treffen können.
Durch die Automatisierung lassen sich Fluktuation und Personalerneuerung in großem Maßstab bewältigen, da eine manuelle Nachverfolgung entfällt. Anstelle von Tabellenkalkulationen und Kalendererinnerungen können Plattformen für das Management von Maschinenidentitäten Ablaufdaten anhand eines Bestandsverzeichnisses der Anmeldedaten überwachen und automatisch die Erneuerung von Zertifikaten sowie Schlüsselrotationen auslösen.
Wenn nötig – beispielsweise wenn ein Zertifikat kompromittiert wurde oder ein Gerät außer Betrieb genommen wird – kann MIM Zertifikate umgehend widerrufen. Der Widerruf erfolgt in der Regel durch Aufnahme des Zertifikats in eine Zertifikatssperrliste oder durch den Einsatz von OCSP-Respondern (Online Certificate Status Protocol) – Servern, die in Echtzeit Anfragen darüber beantworten, ob ein Zertifikat noch gültig ist.
Zur Deaktivierung gehört auch die regelmäßige Löschung von Zugangsdaten, wenn Geräte und Infrastrukturkomponenten außer Betrieb genommen werden. Bei kurzlebigen Ressourcen, die nur Sekunden oder Minuten lang bestehen, sorgt MIM dafür, dass die Deaktivierung automatisch erfolgt, sobald die Ressourcen gelöscht werden.
Mehrere Technologien und Verfahren bilden die Grundlage von MIM. Zu den wichtigsten gehören:
Die Public-Key-Infrastruktur ist ein umfassendes Framework zur Vergabe, Identifizierung und Überprüfung von Benutzeridentitäten mittels digitaler Zertifikate. Sie ist das wichtigste Framework, das viele Unternehmen zur Ausstellung, Verwaltung und Sperrung digitaler Zertifikate nutzen.
Eine Zertifizierungsstelle (CA) stellt Zertifikate aus, nachdem sie die Identität der anfragenden Stelle, wie beispielsweise eines Servers, eines Geräts oder eines Unternehmens, überprüft hat. Zertifikate enthalten wertvolle Informationen, wie den öffentlichen Schlüssel der anfragenden Stelle und die digitale Signatur der Zertifizierungsstelle, die dazu beitragen, die Identität der Stelle nachzuweisen.
Wenn ein Webserver beispielsweise ein TLS-Zertifikat benötigt, sendet er eine Anfrage (oft in Form einer Zertifikatssignierungsanforderung, kurz CSR) an eine Zertifizierungsstelle. Die Zertifizierungsstelle validiert die Anfrage und stellt das Zertifikat aus. Der Server kann das Zertifikat dann verwenden, um HTTPS-Verbindungen herzustellen.
In einigen PKI-Bereitstellungen kann eine Registrierungsstelle (RA) Zertifikatsanträge auch genehmigen, bevor die Zertifizierungsstelle das Zertifikat ausstellt. RAs können die Sicherheit erhöhen, indem sie einen Genehmigungsschritt einführen und die Aufgabentrennung durchsetzen.
CLM-Tools automatisieren die Erfassung, Nachverfolgung, Verlängerung und Sperrung von Zertifikaten. Sie bieten einen zentralen Überblick über hybride Umgebungen, die Cloud- und lokale Systeme umfassen. CLM-Tools können Administratoren auf bevorstehende Ablauftermine hinweisen und automatisierte Workflows zur Erneuerung, Rotation und Sperrung von Zugangsdaten auslösen.
Ein CLM-Tool könnte beispielsweise 500 Zertifikate in den Cloud- und lokalen Umgebungen eines Unternehmens identifizieren, 30 davon kennzeichnen, die innerhalb von 30 Tagen ablaufen, und diese automatisch verlängern – wodurch Ausfälle ohne manuellen Eingriff verhindert werden.
Lösungen zur Verwaltung vertraulicher Daten ermöglichen die sichere Speicherung und rotierende Verwendung von Anmeldedaten, die in Workflows zur Infrastrukturautomatisierung und Geräteverwaltung zum Einsatz kommen (beispielsweise SSH-Schlüssel und andere privilegierte Geheimnisse). Tools zur Verwaltung vertraulicher Daten ermöglichen es Teams, Gerätegeheimnisse in einem geschützten Tresor zu speichern, anstatt sie in einem Code-Repository oder an einem anderen ungesicherten Ort aufzubewahren.
Tools zur Verwaltung von Zugangsdaten lassen sich häufig in DevOps-Workflows integrieren, um die bedarfsgerechte Bereitstellung von Zugangsdaten zu unterstützen, Zugriffsrichtlinien durchzusetzen und Prüfprotokolle zu führen.
Tools zur Steuerung privilegierter Zugriffsrechte (PAM) unterstützen die Verwaltung von Zugangsdaten mit hohen Berechtigungen. Sie bieten häufig Funktionen wie Sitzungsüberwachung und Just-in-Time-Bereitstellung – dabei wird der Zugriff nur bei Bedarf gewährt und anschließend automatisch widerrufen.
Anstatt einem Ingenieur beispielsweise dauerhaften Root-Zugriff auf Produktionsserver zu gewähren, kann PAM temporäre SSH-Zugangsdaten bereitstellen, die nach einem Wartungsfenster ablaufen, wodurch der Umfang der dauerhaften Zugriffsrechte reduziert wird.
HSMs sind manipulationssichere Hardwaregeräte zur Speicherung privater Schlüssel. Sie schützen kryptografisches Material vor dem Zugriff, selbst wenn Angreifer Zugriff auf den Server erlangen. HSMs sind häufig für Finanzdienstleistungen und die Einhaltung gesetzlicher Vorschriften wertvoll.
Beispielsweise könnte eine Bank die privaten Schlüssel für ihre Zertifikate zur Zahlungsabwicklung in einem HSM speichern, wodurch sichergestellt wird, dass die Schlüssel auch dann nicht extrahiert werden können, wenn Cyberkriminelle in den Anwendungsserver eindringen.
MIM und Identity und Access Management (IAM) sind beide Teil der Identitätssicherheit, deren Schwerpunkt auf dem Schutz digitaler Identitäten und der Systeme liegt, die diese verwalten.
Der Hauptunterschied liegt darin, was sie schützen. IAM konzentriert sich hauptsächlich auf menschliche Benutzer, während MIM den Fokus auf Maschinen legt.
IAM-Systeme nutzen häufig interaktive Abläufe – Passworteingabe, MFA-Prompts, biometrische Verfahren –, die davon ausgehen, dass eine Person anwesend ist, während MIM einen automatisierten Austausch von Anmeldedaten ohne menschliches Eingreifen nutzen muss.
Moderne Identitätssicherheitsprogramme erfordern in der Regel sowohl IAM als auch MIM, und die meisten Identity Governance and Administration (IGA)-Frameworks behandeln Maschinenidentitäten auf die gleiche Weise wie menschliche Identitäten. Maschinen haben ähnliche Governance-Anforderungen wie menschliche Nutzer. In beiden Fällen müssen Unternehmen nachverfolgen, was vorhanden ist, worauf sie zugreifen können und ob dieser Zugriff auch langfristig angemessen bleibt.
MIM kann Unternehmen dabei helfen, ihre Sicherheit zu verbessern, die Betriebszeit aufrechtzuerhalten und die Einhaltung von Vorschriften zu vereinfachen.
MIM bietet einen einheitlichen Überblick über die Anmeldedaten von Geräten im gesamten Ökosystem eines Unternehmens.
Diese Funktion kann es Sicherheitsteams erleichtern, Schwachstellen – wie verwaisten Zugangsdaten, übermäßige Berechtigungen oder bald ablaufende Zertifikate – zu erkennen und zu beheben, bevor Hacker angreifen können.
Die automatisierte Durchsetzung von Richtlinien kann IT-Teams zudem dabei unterstützen, Sicherheitsstandards einheitlich anzuwenden, wodurch das Risiko ausnutzbarer Fehlkonfigurationen verringert wird.
Abgelaufene Zertifikate sind eine häufige Ursache für unerwartete Ausfallzeit. Ohne ein gültiges Zertifikat kann ein Rechner sich nicht authentifizieren oder eine verschlüsselte Verbindung herstellen, was dazu führen kann, dass Dienste offline gehen oder ausfallen. Eine automatisierte Zertifikatsverwaltung kann dazu beitragen, diese Störungen zu vermeiden, indem sie die Zertifikate vor ihrem Ablauf erneuert.
MIM kann Unternehmen dabei unterstützen, die Einhaltung von Vorschriften wie der Datenschutz-Grundverordnung (DSGVO), dem Payment Card Industry Data Security Standard (PCI-DSS), dem Health Insurance Portability and Accountability Act (HIPAA) und dem Sarbanes-Oxley Act (SOX) sicherzustellen. MIM dokumentiert die Zuständigkeit für Zugangsdaten, den Verlauf von Passwortwechseln sowie den Zugriff auf sensible Systeme, wodurch die Erstellung von Prüfpfaden vereinfacht und Compliance-Prüfungen optimiert werden.
MIM kann die Skalierung der IT-Infrastruktur vereinfachen und ermöglicht so ein rasches Wachstum bei Cloud-Workloads, Containern und vernetzten Geräten, ohne dass der Verwaltungsaufwand entsprechend zunimmt. Dies wird durch die Automatisierung der Ausstellung, Rotation und Sperrung von Zugangsdaten erreicht, wodurch es für IT-Teams einfacher wird, die Sicherheit der Identitäten auch bei wachsenden Umgebungen zu gewährleisten.
Eine reibungslose Skalierung gewinnt zunehmend an Bedeutung, da Unternehmen ihre Ökosysteme aus Microservices, IoT-Geräten und KI-Agenten ausbauen, wobei jedes dieser Elemente neue Maschinenidentitäten und Anmeldedaten mit sich bringt, die über ihren gesamten Lebenszyklus hinweg verwaltet werden müssen.
Zero-Trust erfordert eine kontinuierliche Überprüfung jeder Verbindung, sei es durch Menschen oder Maschinen. MIM kann die kontinuierliche Überprüfung praktikabel machen, indem es Maschinenidentitäten ermittelt und katalogisiert – ein notwendiger erster Schritt, da Unternehmen keine Anmeldedaten überprüfen können, die sie nicht zuvor identifiziert haben. Darüber hinaus kann es das Prinzip der geringsten Berechtigungen unterstützen, indem es Zugriffskontrollen automatisiert und diese konsistent in allen Umgebungen anwendet.
Trotz der zahlreichen Vorteile können Unternehmen bei der Einführung und dem Betrieb von MIM mit Herausforderungen konfrontiert sein.
Anmeldedaten für Maschinen werden selten über ein einziges System oder eine einzige Sicherheitslösung verwaltet. Sicherheitsteams nutzen möglicherweise ein Tool für PKI-Zertifikate und ein anderes für die Verwaltung vertraulicher Daten, während die Betriebsteams ihre Anmeldedaten vollständig selbst verwalten. Diese Tool-Fragmentierung kann zu erheblichen Lücken in der Transparenz und zu Inkonsistenzen bei den Richtlinien führen.
Menschliche Benutzer haben in der Regel Vorgesetzte, die regelmäßig Zugriffsanfragen genehmigen und Berechtigungen überprüfen. Maschinenidentitäten fehlt es oft an einer entsprechenden Aufsicht. Wenn beispielsweise der Ingenieur, der die Zugangsdaten bereitgestellt hat, die Stelle wechselt oder das Unternehmen verlässt, kann die Verantwortlichkeit mit ihm verloren gehen. Ohne eine klar definierte Zuständigkeit können Zugangsdaten jahrelang ungeprüft bleiben.
MIM ist auf Automatisierung angewiesen. Eine vollständig automatisierte Rotation kann jedoch Anwendungen und Systeme beeinträchtigen, die statische Anmeldedaten erwarten, wie beispielsweise in Konfigurationen eingebettete Schlüssel – was zu Ausfällen führt, wenn sich ein System plötzlich nicht mehr authentifizieren kann. Unternehmen müssen ein Gleichgewicht finden zwischen einem ausreichenden Maß an Automatisierung, um ihre Prioritäten zu erreichen, und einer ausreichenden Kontrolle, um Fehler zu erkennen, bevor sie in die Produktion gelangen.