Identity Sprawl entsteht, wenn Konten, Zugangsdaten und Zugriffspfade schneller wachsen, als eine zentrale Stelle sie erfassen kann. Menschliche Beschäftigte stellen dabei nur einen Bruchteil dar: APIs authentifizieren sich gegenüber anderen APIs, Workloads übernehmen Rollen, und SaaS-Integrationen schaffen Vertrauensbeziehungen, die oft undokumentiert bleiben. Die operative Folge ist simpel – wer etwas nicht sieht, kann es nicht steuern. Verwaiste Zugangsdaten und übermäßige Rechte häufen sich still an und vergrößern die Angriffsfläche, ohne zwingend einen Alarm auszulösen.
Konfigurationsdaten sagen, was erlaubt sein sollte. Verhaltenssichtbarkeit sagt, was tatsächlich geschieht. Nichtmenschliche Identitäten übertreffen in vielen Unternehmen die Zahl menschlicher Konten zahlenmäßig, erhalten aber nur einen Bruchteil der Governance-Aufmerksamkeit. Da Maschinenidentitäten meist durch Infrastrukturautomatisierung entstehen und nicht durch HR-getriebene Lebenszyklus-Ereignisse, umgehen sie die üblichen Kontrollen der Identitätsverwaltung routinemäßig.
Der Kern des Problems ist Verantwortlichkeit: Gehört ein Dienstkonto niemandem, richtet auch niemand seine Berechtigungen passend zu, rotiert seine Geheimnisse oder nimmt es außer Betrieb, wenn der zugehörige Workload verschwindet. Überprivilegierte Zugangsdaten liefern Angreifern fertige Rechte, ruhende Identitäten bleiben lange nach ihrem Zweck gültig und bieten unauffällige Einstiegspunkte, herrenlose Identitäten haben keinen definierten Lebenszyklus. Besonders heikel sind Control-Plane-Identitäten, die das Verhalten der Infrastruktur steuern: Sie benötigen oft weitreichende Rechte und können die Umgebung selbst umgestalten – in manchen Fällen auch jene Kontrollen abschalten, die sie entdecken sollen.
Nichtmenschliche Identitäten brauchen dieselben Governance-Merkmale wie menschliche Konten: einen Eigentümer, einen definierten Zweck, ein Ablaufdatum und aktive Überwachung – ereignisgesteuert und kontinuierlich statt in periodischen manuellen Reviews, zwischen denen monatelang Drift auflaufen kann.
In hybriden und Multi-Cloud-Umgebungen verteilen sich Identitäten über Anbieter, die Zugriffskontrolle jeweils unterschiedlich umsetzen. Ein einheitlicher Fabric normalisiert das zu einer Sicht. Das ist deshalb bedeutsam, weil laterale Bewegung in der Cloud häufig über IAM-Vertrauensbeziehungen erfolgt; bleibt der Rechtewildwuchs nach dem Deployment unbearbeitet, werden diese Pfade zu weitgehend unsichtbaren Routen. Identitäten direkt aus Anwendungen und Infrastruktur zu entdecken, statt allein der IAM-Konfiguration zu vertrauen, schließt diese Lücke.
Kontinuierliche Zugriffsbewertung gleicht Berechtigungen mit der tatsächlichen Nutzung ab und entzieht oder markiert Rechte, die nicht mehr zum beobachteten Verhalten passen. Least Privilege wird praktikabler, wenn sichtbar ist, welche Berechtigungen wirklich genutzt werden – das verkleinert den Wirkungsradius jedes einzelnen kompromittierten Zugangs. Zugleich verkürzt der gebündelte Kontext die Reaktionszeit: Fragmentierte Werkzeuge zwingen Analysten, Identitätsverläufe über getrennte Systeme hinweg zu rekonstruieren, was die Eindämmung verzögert.
KI-Identitäten zählen zu den am schnellsten wachsenden Kategorien nichtmenschlicher Identitäten. Ein KI-Agent erhält eine Aufgabe und entscheidet selbst über den Weg – seine Ausführung kann von der Absicht abweichen, wie es statische Richtlinien nicht vorsehen. Ein Agent, der Daten zusammenfassen darf, könnte über verkettete Aktionen oder manipulierte Eingaben Ressourcen erreichen, die niemand vorgesehen hat. Auch Daten werden so zur Angriffsfläche: Bei Data Poisoning wird vertrauenswürdige Automatisierung zum unwissentlichen Angreifer.
Der Aufbau ist ein Reifeweg. Er beginnt mit der Inventarisierung aller Identitätsquellen – Verzeichnisse, Cloud-IAM, Secrets-Manager – und erstreckt die Erkennung auf Anwendungen und Infrastruktur; entscheidend ist die Kartierung der Vertrauensbeziehungen. Priorisiert wird nach Ausnutzbarkeit: Fehlkonfiguration allein bedeutet nicht Ausnutzbarkeit, das reale Risiko ergibt sich aus Berechtigungen, Netzwerkerreichbarkeit und Laufzeitkontext zusammen. Als Kennzahlen bieten sich der Anteil außerhalb des IAM entdeckter Identitäten an, der Anteil nichtmenschlicher Identitäten mit zugewiesenem Eigentümer, die Reduktion überprivilegierter Konten sowie die mittlere Zeit zur Rekonstruktion eines Identitätsverlaufs im Vorfall.