Was ist eine nichtmenschliche Identität?

Nichtmenschliche Identitäten sind die Eckpfeiler der Automatisierung. Sie ermöglichen es Software, Hardware und anderen Ressourcen, sich zu verbinden, zu kommunizieren und Aufgaben auszuführen, ohne dass eine menschliche Aufsicht erforderlich ist.

Stellen Sie sich einen automatisierten Backup-Service vor, der jede Nacht automatisch die sensiblen Daten eines Unternehmens in ein sicheres Cloud-Speichersystem kopiert. Weder die Datenbank noch das Cloud-Speichersystem würden einer beliebigen Person ohne gültige Anmeldedaten Zugang gewähren. Das Gleiche gilt für Software. Der Backup-Dienst erhält also eine Identität. Diese Identität bedeutet, dass sich der Backup-Dienst gegenüber der Datenbank und dem Speichersystem authentifizieren kann, die wiederum darauf vertrauen können, dass dieser Dienst zur Ausführung seiner Aufgaben berechtigt ist.

Die Zahl der NHIs in Unternehmenssystemen ist im Laufe der Jahre gewachsen, was vor allem durch den Aufstieg von Cloud-Diensten, künstlicher Intelligenz und maschinellem Lernen vorangetrieben wurde. Die Schätzungen variieren - von 45:1 bis 92:1 - wobei es in einem durchschnittlichen IT-System deutlich mehr Nichtmenschen als Menschen gibt.

Diese explosionsartige Zunahme von NHIs bringt neue Sicherheitsherausforderungen mit sich. Laut IBM X-Force Threat Intelligence Index zählen identitätsbasierte Angriffe – bei denen Hacker gültige Anmeldedaten missbrauchen, um sich Zugang zu Netzwerken zu verschaffen – zu den häufigsten Cyberangriffsmethoden und sind für 30 % aller Sicherheitsverletzungen verantwortlich.

Nichtmenschliche Identitäten sind besonders attraktive Bestandteile der Angriffsfläche eines Unternehmens, da sie oft erhöhte Berechtigungen und weniger Sicherheitskontrollen als menschliche Konten besitzen.

Die Verwaltung der nichtmenschlichen Identität ist ursprünglich entstanden, um die einzigartigen Sicherheitsrisiken durch nichtmenschliche Identitäten zu bekämpfen und den allgemeinen Sicherheitsstatus zu verbessern. 

NHI sind in erster Linie dazu da, Workflows zu rationalisieren, indem sie eine stärkere Automatisierung ermöglichen.

NHI identifizieren Apps, Hardware, Bots, KI-Agenten und andere Dinge innerhalb eines IT-Ökosystems, ähnlich wie menschliche Benutzer Identitäten in einem traditionellen Identitäts- und Zugriffsmanagementsystem (IAM) haben.

Durch die Zuweisung einzigartiger Identitäten an nichtmenschliche Entitäten können IT- und Sicherheitsexperten ihnen individuelle Rechte gewähren, Sicherheitsrichtlinien durchsetzen, ihre Aktivitäten verfolgen und Zugriffskontrollen effektiver anwenden.

• Wenn eine nichtmenschliche Entität keine eindeutige Identität hat, gibt es nichts, dem man Privilegien zuweisen könnte.
  
  
• Eine App oder ein Gerät kann sich nicht selbst authentifizieren, es sei denn, es verfügt über eine Identität, anhand derer dies funktioniert.
  
  
• Ohne eine Identität, der Aktivitäten zugeordnet werden können, ist es nicht möglich, diese zu verfolgen.
  
  
• Zugriffskontrollen können nur dann durchgesetzt werden, wenn es eine Identität gibt, auf die sie angewendet werden können.

Ein Beispiel für einen Anwendungsfall wäre ein Abrechnungssystem, das Daten von einer Buchhaltungsplattform und ein Kundenbeziehungsmanagement (CRM) System zur Erstellung und Versendung von Rechnungen verwendet.

Um diesen Prozess manuell durchzuführen, müsste jemand jede Datenbank aufrufen, die relevanten Daten abrufen, sie korrelieren, die Rechnung ermitteln, erstellen und an den Kunden senden.

Der Prozess kann automatisiert werden, aber da er sensible Daten betrifft, sind effektive Sicherheitsmaßnahmen erforderlich. NHI ermöglichen eine sichere Kommunikation zwischen den drei Systemen und die Durchsetzung von Zugriffsrichtlinien, damit Daten nicht missbraucht werden:

• NHI geben den drei Systemen die Möglichkeit, sich gegenseitig zu authentifizieren, wodurch das Risiko verringert wird, dass sich gefälschte Systeme einmischen.
  
  
• NHI ermöglichen es Unternehmen, dem Abrechnungssystem genau die Berechtigungen zuzuweisen, die zur Erfüllung seiner Aufgaben benötigt werden. Möglicherweise kann das Abrechnungssystem Daten nur lesen, aber nicht schreiben, oder nur zu bestimmten Tageszeiten auf die Buchhaltungs- und CRM-Tools zugreifen.
  
  
• NHI erleichtern es Unternehmen, das Verhalten aller drei Systeme während des gesamten Prozesses zu überwachen und einen Prüfpfad zu erstellen.

Letztendlich ermöglichen NHI die sichere Automatisierung komplexer IT- und Geschäftsprozesse. Backups, Systemupdates und sogar Benutzerauthentifizierung können alle im Hintergrund stattfinden, ohne die Aktivitäten menschlicher Benutzer zu stören.

Das rasante Wachstum nichtmenschlicher Identitäten wird zu einem großen Teil durch die Verbreitung von Cloud-Infrastrukturen, die Beliebtheit von DevOps und die Einführung fortschrittlicher KI-Tools verursacht.

Seit der Entstehung der Cloud arbeiten immer mehr Tools nach einem Software-as-a-Service-(SaaS) Modell. Statt lokale Apps auf lokaler Hardware auszuführen, interagieren Computer heute mit verschiedenen Servern, Dienstanbietern, Load Balancern, Anwendungen und anderen Cloud-Ressourcen – die alle ihre eigene Identität besitzen. Viele SaaS-Apps verwenden eine Microservices-Architektur, was bedeutet, dass eine einzelne App viele kleinere Komponenten mit einzigartigen Identitäten enthalten kann.

DevOps sind ein weiterer Treiber von NHI. DevOps legen einen verstärkten Schwerpunkt auf die Automatisierung von grundlegenden Softwareentwicklungs- und Betriebsabläufen wie Integration, Testen und Bereitstellung in der CI/CD-Pipeline. Diese gesamte Automatisierung erfordert zahlreiche NHI.

Zuletzt haben die generative KI und agentische KI eine neue Welle von NHI ausgelöst. Um Dinge wie Retrieval-Augmented-Generation (RAG) und Tool-Calling zu ermöglichen, benötigen KI-Systeme Identitäten, damit sie sicher auf Datenbanken, Benutzerkonten, Geräte und andere Netzwerkressourcen zugreifen können.

Zusammengenommen stellen NHI eine massive Angriffsfläche dar. Dennoch wurden viele veraltete Lösungen und Prozesse im Bereich Identity und Access Management (IAM) für menschliche Benutzer entwickelt, was Sicherheitslücken für NHI mit sich bringt.

Gängige Authentifizierungstools wie Multi-Faktor-Authentifizierung (MFA) und Single Sign-on Lösungen sind entweder schwierig oder unmöglich auf nichtmenschliche Identitäten anzuwenden.

Daher stellen NHI oft eine Herausforderung für die Cybersicherheit dar, die durch herkömmliche IAM-Taktiken nicht so leicht behoben werden können.

Laut OWASP gehört Überprivilegiierung zu den Top 10 Risiken in Verbindung mit nichtmenschlichen Identitäten.

Weil sie ein integraler Bestandteil der Workflows sind, zum Beispiel DevOps-Lebenszyklus und Systemsicherungen, haben NHI oft privilegierten Zugriff auf vertrauliche Informationen. Und um sicherzustellen, dass diese Prozesse „einfach funktionieren“, gewähren Unternehmen den NHI oft höhere Privilegien, als sie benötigen.

Übermäßige Privilegien machen NHI zu einem bevorzugten Ziel für Hacker und erhöhen den Schaden, den ein kompromittiertes NHI anrichten kann. 

Apps und Geräte haben vielleicht keine Passwörter, aber sie verwenden API-Schlüssel, OAuth-Token, Zertifikate und andere Codes zur Authentifizierung. Diese Codes können gestohlen und missbraucht werden, ähnlich wie Passwörter menschlicher Benutzer, was unbefugten Zugriff, Lateralbewegung und die Eskalation von Privilegien ermöglicht.

Hinzu kommt, dass NHI die Zwei-Faktor-Authentifizierung nicht so nutzen können wie ein Benutzer, sodass oft ein Fall gestohlener Zugangsdaten ausreicht, um ein Konto zu übernehmen. Außerdem sind NHI-Zugangsdaten oft fest in der App verankert und werden möglicherweise nicht regelmäßig rotiert. Laut OWASPs NHI Top 10 gehören Codelecks und langfristige Passcodes zu den häufigsten Risiken im Zusammenhang mit nichtmenschlichen Identitäten. 

Zahlreiche Systeme nutzen NHI, um miteinander in Verbindung zu treten und zu kommunizieren. Das bedeutet, dass Angreifer kompromittierte NHI nutzen können, um in andere Systeme einzudringen. Bei dem Datenschutzvorfall von Salesloft Drift im Jahr 2025 stahlen Hacker beispielsweise OAuth-Token von einem Chatbot und nutzten sie für den Zugriff auf Hunderte von Salesforce-Instanzen.

Die schiere Anzahl der NHI in einem System und das Tempo, mit der neue hinzukommen, können die Transparenz erschweren und für Schwachstellen sorgen, durch die sich Hacker einschleichen können. Die Tatsache, dass einige NHI kurzlebig sind, erschwert die Transparenz zusätzlich.

Viele Unternehmen versäumen es zudem, NHI formell außer Betrieb zu nehmen, wenn zugehörige Apps und Geräte ausgemustert werden. Diese alten NHI werden oft nicht überwacht, ihre vollständigen Berechtigungen bleiben aber intakt. Tatsächlich ist unsachgemäßes Offboarding laut OWASP das größte Risiko im Zusammenhang mit NHI.

KI-Identitäten können eine besondere Herausforderung darstellen, wenn es um die Verwaltung von Privilegien geht. Sie verfügen in vielerlei Hinsicht über die Funktionen menschlicher Mitarbeiter und haben Zugriff auf eine Reihe von Tools, die sie zum Teil autonom nutzen können.

Aber sie sind nicht menschlich, d.h. sie sind anfällig für Prompt Injection, Data Poisoning und andere Techniken, die sie zu Instrumenten für böswillige Akteure machen können.

KI-Agenten und große Sprachmodelle (LLMs) können ihr Verhalten ebenfalls auf eine Weise ändern, wie es andere Software nicht kann – was eigene Sicherheitsprobleme mit sich bringt. Zum Beispiel könnte ein Kundenservice, der beauftragt wurde, die Kundenzufriedenheit zu maximieren, erfahren, dass Kunden sehr zufrieden sind, wenn sie Rückerstattungen erhalten. Daher könnte der Agent damit beginnen, Rückerstattungen für jeden zu genehmigen, der danach fragt, selbst wenn dies nicht angebracht wäre.

In einem Interview mit dem IBM Security Intelligence Podcast verglich Sridhar Muppidi, IBM Fellow, Vizepräsident und CTO von IBM Security, einen KI-Agenten mit einem „Teenager mit Kreditkarte“:

„Man gibt ihnen die Kreditkarte und erwartet, dass sie sich anständig benehmen, dann wundert man sich, dass genau das nicht passiert. Agenten sind diesem Verhalten sehr ähnlich. Sie sind bis zu einem gewissen Grad nicht-deterministisch und entwickeln sich weiter. Daher könnten sie unter einer schleichenden Ausweitung des Umfangs leiden. Ich habe das System gebeten, etwas zu tun, aber es kann leicht etwas anderes tun, wenn es sich dazu entscheidet."

Die Datenschutz-Grundverordnung (DSGVO), der Health Insurance Portability and Accountability Act (HIPAA) und andere Gesetze regeln, wie Unternehmen Daten schützen, wer sensible Informationen verwenden darf und wie. Das Problem besteht darin, dass, wie bereits erwähnt, die gleichen IAM-Tools, die dazu beitragen sollen, dass Menschen diese Regeln einhalten, nicht immer reibungslos auf NHI angewendet werden können.

Darüber hinaus können NHI die Zuordnungs- und Überwachungsmaßnahmen durcheinanderbringen, die für viele Compliance-Programme unerlässlich sind. Wer ist zum Beispiel verantwortlich, wenn ein KI-Agent Daten missbräuchlich verwendet? Die Person, die den Agenten erstellt hat? Die Person, die zuletzt einen Prompt geschrieben hat? Was wäre, wenn die Wahl des Agenten weit außerhalb der vorhersehbaren Ergebnisse des Benutzerprompts lag? Viele Frameworks für Identitätsmanagement haben sich diesem Problem noch nicht angenommen.

Da herkömmliche Identitätssicherheitsplattformen und -praktiken oft für menschliche Benutzer konzipiert sind, erfordert das NHI-Management von den Sicherheitsteams einen etwas anderen Ansatz.

Viele der gleichen Prinzipien gelten auch hier – sie müssen lediglich an die besonderen Gegebenheiten des Lebenszyklusmanagements nichtmenschlicher Identitäten angepasst werden. Zu den wichtigsten Taktiken, Tools und Techniken für Sicherheitsstrategien gegen nichtmenschliche Identitäten gehören:

Unternehmen können Tools bereitstellen, die automatisch neue und bestehende nichtmenschliche Identitäten auf Cloud-Plattformen, Identitätsanbietern und Orchestrierungssystemen erkennen und dann kontinuierlich beobachten, wie sich diese Identitäten verhalten.

Einige Tools zur Erkennung von und Reaktion auf Identitätsbedrohungen (ITDR) setzen maschinelles Lernen ein, um ein Basismodell des normalen Verhaltens für jede NHI zu erstellen, Abweichungen von der Norm in Echtzeit zu markieren und automatisch auf vermutete Missbrauchsfälle zu reagieren.

Wenn beispielsweise eine Cloud-Workload, die normalerweise Anwendungsprotokolle liest, plötzlich den Zugriff auf personenbezogene Kundendaten anfordert, kann eine ITDR-Plattform sofort ihr Token widerrufen und das SOC zur Untersuchung benachrichtigen.

Das NHI-Management legt Wert auf strenge Kontrollen während des gesamten NHI-Lebenszyklus, von der ersten Bereitstellung über die aktive Nutzung bis hin zum sicheren Offboarding. Wenn ein Dienst außer Betrieb genommen, eine Pipeline ersetzt oder ein Bot nicht mehr verwendet wird, müssen die Zugangsdaten, Token und Zertifikate sofort widerrufen werden.

Die Benennung eines menschlichen Verantwortlichen für jedes NHI trägt dazu bei, sicherzustellen, dass jemand für die Rotation der Anmeldedaten, die regelmäßige Überprüfung der Berechtigungen, die Behebung von Fehlkonfigurationen, die Sanierung von Sicherheitslücken und andere wichtige Wartungsaufgaben verantwortlich und rechenschaftspflichtig ist. Ohne explizite Eigentümerangaben geraten nichtmenschliche Identitäten leicht in Vergessenheit, behalten aber oft einen mächtigen Zugriff.

NHI benötigen Anmeldedaten, aber diese Anmeldedaten müssen irgendwo gespeichert werden. Im Gegensatz zu einem menschlichen Benutzer kann eine Workload kein Passwort auswendig lernen oder ein Smartphone als Passkey verwenden.

Das Problem besteht darin, dass die NHI-Anmeldedaten oft fest in die Apps und Dienste einprogrammiert sind, die sie verwenden. Das bedeutet, dass Hacker sie finden können, wenn sie wissen, wo sie suchen müssen.

Tools zur Verwaltung von Passwörtern und zur Verwaltung privilegierter Zugriffe (PAM), wie Anmeldedaten-Tresore, können hier helfen. Tresore bieten IT- und Sicherheitsteams einen sicheren Ort zur Aufbewahrung von NHI-Anmeldedaten und unterstützen häufig temporäre Anmeldedaten, Just-in-Time-Zugriff und automatische Rotation.

Die Zugriffsverwaltung ist bei der Identitätssicherheit immer wichtig, aber besonders für NHI, denen die diskretionären Filter fehlen, die einen menschlichen Benutzer davon abhalten könnten, seine Berechtigungen zu missbrauchen. Jede Aktion, die ein Service, Workload, Bot oder Agent durchführt, muss daher durch explizite technische Kontrollen eingeschränkt werden.

Bei einem Zero-Trust-Modell erhalten NHI nur die Mindestberechtigungen, die für jede Aufgabe erforderlich sind. Sie müssen sich kontinuierlich authentifizieren, während sie zwischen den Systemen wechseln. Durch die Mikrosegmentierung des Netzwerks kann verhindert werden, dass kompromittierte Apps, Bots und Geräte sich lateral ausbreiten. Ein gehacktes NHI kann zwar auf eine Datenbank zugreifen, die es rechtmäßig benötigt, aber nicht auf andere Speichersysteme. 

Die Trennung der Aufgaben – also die Gewährleistung, dass die Partei, die eine Aufgabe ausführt, nicht dieselbe Partei ist, die für die Genehmigung der Aufgabe verantwortlich ist – ist besonders wichtig für KI-Agenten. KI-Agenten unterliegen nicht denselben ethischen Beschränkungen wie Menschen, was bedeutet, dass sie durchaus autorisierte Handlungen vornehmen können, die dennoch Schaden anrichten.

Denken Sie zum Beispiel an den hypothetischen KI-Kundenserviceagenten, der darauf optimiert ist, die Kundenzufriedenheit zu maximieren. Da menschliche Kunden gerne eine Rückerstattung erhalten, könnte der KI-Agent wahllos jeden Rückerstattungsantrag genehmigen, um sein Ziel zu erreichen.

Diese Situation lässt sich verhindern, indem man dafür sorgt, dass Rückerstattungen von einem Menschen – oder einem anderen System – genehmigt werden müssen, bevor der Agent sie gewähren kann. 

NHI und menschliche Benutzer unterscheiden sich in offensichtlichen und wichtigen Punkten. Aber ihre Eigenschaften und Funktionen werden immer ähnlicher, da KI-Tools und -Agenten einen größeren Teil des Unternehmensnetzwerks ausmachen.

Infolgedessen sagen einige Experten voraus, dass die Unterschiede zwischen menschlichem und nichtmenschlichem Identitätsmanagement größtenteils verschwinden werden. Anstatt für jede Art von Identität separate Kontrollen zu verwenden, könnte der Hauptunterschied zwischen menschlichem und nichtmenschlichem ID-Management darin bestehen, in welchem Umfang diese Kontrollen angewendet werden.

„Letztendlich sind Agenten die nächste Ebene der Insider“, sagte Sridhar Muppidi im Security Intelligence Podcast von IBM:

„Genauso wie man einen Menschen identifiziert, muss man auch einen Agenten identifizieren. Und sobald man ihn identifiziert hat, muss man dasselbe tun wie bei Menschen: ihn authentifizieren. Und dann überlegt man sich, wie man den Umfang der Möglichkeiten dieses Agenten eingrenzen kann, sowohl die guten als auch die schlechten. Und während Sie das tun, können Sie über eine sehr, sehr feine Observability nachdenken, um anomales Verhalten schnell erkennen.“