Hintergrund
Die Identitäten hinter den Kulissen
Eine nicht-menschliche Identität (NHI) ist jede Identität, die keinem Menschen gehört: das Servicekonto, das den Nachtjob ausführt, der API-Schlüssel, der zwei Systeme verbindet, das Zertifikat hinter einer Integration und das Token in einer CI/CD-Pipeline. Sie entstehen, wann immer jemand etwas baut, integriert oder automatisiert – und sie verschwinden selten wieder.
Wo ein Mitarbeitender eine Führungskraft, ein Eintrittsdatum und einen Austrittsprozess hat, hat das Servicekonto typischerweise nichts davon. Es wurde vor Jahren für ein Projekt angelegt, das Projektteam ist weitergezogen, und heute wagt niemand, es abzuschalten, weil niemand weiß, was dann stehen bleibt.
Das Risiko
Warum sie ein naheliegendes Ziel sind
- Breite Berechtigungen: Servicekonten erhalten oft mehr Rechte als nötig, weil das der schnellste Weg war, die Integration zum Laufen zu bringen.
- Keine Rotation: Passwörter und Schlüssel, die nie gewechselt werden und in Skripten, Pipelines und geteilten Dokumenten liegen.
- Keine MFA: Maschinen können nicht per Telefon bestätigen – das Konto schützt allein sein Passwort oder Schlüssel.
- Kein Eigentümer: wo niemand verantwortlich ist, reagiert auch niemand auf verdächtige Aktivität oder räumt auf.
- Kein Ablauf: Mitarbeitende scheiden aus – Servicekonten laufen weiter, bis jemand sie aktiv stilllegt.
Governance für Identitäten, die keine E-Mail beantworten können
Die Disziplinen sind dieselben wie bei Mitarbeitenden: Jede nicht-menschliche Identität braucht einen benannten Eigentümer, einen dokumentierten Zweck und nur die Zugriffe, die die Aufgabe erfordert. Die Anlage erfolgt über einen kontrollierten Prozess, und Schlüssel und Passwörter werden automatisch rotiert – idealerweise aus einer zentralen Secrets-Lösung statt im Code.
Die Rezertifizierung fängt den Rest ein: In festen Intervallen bestätigt der Eigentümer, dass das Konto noch gebraucht wird und die Zugriffe der tatsächlichen Nutzung entsprechen. Konten ohne Eigentümer oder ohne Aktivität sind die ersten Kandidaten für die Stilllegung.
Wo sollten Sie anfangen?
Mit dem Überblick. Die meisten Organisationen sind überrascht, wie viele Servicekonten, Schlüssel und Tokens eine Bestandsaufnahme findet – und wie viele davon niemand erklären kann. Erfassen Sie sie, weisen Sie Eigentümer zu, und schließen Sie, was nicht mehr genutzt wird.
Halten KI-Agenten Einzug in Ihre Umgebung, drängt die Zeit umso mehr: Agenten sind der neueste und am schnellsten wachsende Typ nicht-menschlicher Identitäten, und sie erben alle NHI-Probleme in verstärkter Form. Die Disziplinen aus unserem Artikel zur Steuerung von KI-Agenten sind dieselben, die auch hier stehen müssen.
Wie viele Identitäten haben Sie eigentlich?
Ein IAM Healthcheck erfasst Ihre Identitäten und Zugriffe – Menschen wie Maschinen – und gibt Ihnen einen priorisierten Plan für Aufräumen und Governance.
