Das Ausmaß des Problems wird deutlicher, wenn man die Zahlen betrachtet: Jeder dieser vergessenen Tokens kann umfassende Administratorrechte besitzen, die ursprünglich nie vorgesehen waren. Im Schnitt verweilen Angreifer über 200 Tage unentdeckt in kompromittierten Systemen und nutzen diese ‚Ghost Identities’ für laterale Bewegungen durch die gesamte IT-Infrastruktur eines Unternehmens.
Das Kernproblem liegt in der Diskrepanz zwischen modernen Cloud-Architekturen und traditionellen Identity-Access-Management-Systemen (IAM). Diese wurden ursprünglich für die Verwaltung von Benutzeridentitäten entwickelt – für Menschen. Die explosion von KI-Agenten, automatisierten Workflows und Microservices hat die Anzahl der nicht-menschlichen Identitäten jedoch in ein Ausmaß getrieben, das manuelle Überwachung unmöglich macht.
Deutsche Unternehmen sind besonders betroffen, da viele noch auf Legacy-IAM-Systeme setzen, die für diese Herausforderung nicht ausgelegt sind. Besonders problematisch: Wenn ein Projekt endet oder ein Entwickler das Unternehmen verlässt, werden diese Credentials selten systematisch gelöscht. Sie bleiben im System, sammeln sich an und werden zu schlafenden Zeitbomben.
Die Lösung erfordert einen fundamentalen Paradigmenwechsel. Sicherheitsteams müssen ihre Umgebungen systematisch nach verwaiseten Non-Human Identities durchsuchen und diese dokumentieren. Ein strukturierter Prozess sollte folgende Elemente umfassen: Vollständige Inventarisierung aller Service-Accounts und API-Keys, regelmäßige Aktivitätsüberwachung, Priorisierung von Tokens mit privilegiertem Zugriff und strikte Lifecycle-Management-Richtlinien.
Unternehmen sollten zudem Zugriffsrechte minimieren – der Grundsatz der geringsten Privilegien (Principle of Least Privilege) gilt auch für automatisierte Identitäten. Automatische Rotation und Ablaufdaten für Credentials sowie Alarmierungsmechanismen bei ungewöhnlichen Aktivitäten sind weitere wesentliche Maßnahmen.
Für deutsche Organisationen mit strengeren Datenschutzanforderungen ist dies auch ein Compliance-Thema. Die TISAX-Anforderungen und branchenspezifische Regulierungen verlangen zunehmend nachweisbare Kontrollen über alle Arten von Identitäten in der IT-Umgebung. Ungemanagete Service-Accounts sind nicht nur ein Sicherheitsrisiko, sondern auch ein Compliance-Verstoß.