Glossar
Nicht-menschliche Identitäten
Auch: Non-Human Identities, Dienstkonten, Maschinenidentitäten
Nicht-menschliche Identitäten sind Zugänge, die nicht einer Person, sondern einem Programm, Gerät oder KI-Agenten gehören, etwa Dienstkonten, App-Registrierungen, API-Schlüssel und Zertifikate. Sie brauchen Rechte wie Menschen, werden aber seltener überwacht.
Welche Konten dazugehören
Nicht jedes Konto gehört einer Person. In einem Microsoft 365-Tenant sammeln sich mit der Zeit viele Zugänge für Technik:
- Dienstkonten: Benutzerkonten, mit denen ein Programm oder ein Gerät, etwa ein Scanner, E-Mails versendet.
- App-Registrierungen und Dienstprinzipale: die Identität einer Anwendung in Microsoft Entra ID.
- Verwaltete Identitäten: von Microsoft verwaltete Zugänge für Azure-Dienste, ohne Passwort.
- Schlüssel und Tokens: API-Schlüssel, Zertifikate, Zugriffstoken für Schnittstellen und Automatisierung.
- Bots und KI-Agenten: Programme, die selbstständig Aufgaben ausführen und dafür Rechte brauchen.
Warum sie ein Risiko sind
Diese Zugänge teilen drei Schwächen. Sie haben oft kein MFA, weil kein Mensch ein Telefon bestätigen kann. Ihre Passwörter laufen häufig nie ab. Und sie bekommen gern zu viele Rechte, weil es damals schnell gehen musste. Wer ein solches Konto erbeutet, hat dauerhaften Zugriff, der in keiner Anmeldeübersicht auffällt.
Dazu kommt das Vergessen: Wenn die Person geht, die das Konto angelegt hat, bleibt es bestehen. Niemand weiß mehr, wofür es gebraucht wurde, und niemand wagt, es zu löschen.
Was ein KMU tun kann
- Bestand aufnehmen: Welche Dienstkonten und App-Registrierungen gibt es, wer ist zuständig?
- Rechte verkleinern: Nur das, was das Programm wirklich braucht.
- Verwaltete Identitäten bevorzugen, wo es möglich ist, statt Passwörter zu hinterlegen.
- Ablaufdaten setzen: Geheimnisse und Zertifikate laufen aus und werden bewusst erneuert.
- Aufräumen: Zugänge ohne Verwendung und ohne Besitzer entfernen.
Einordnung
Nicht-menschliche Identitäten sind ein Teilbereich von Identity Security. Sie gewinnen an Bedeutung, je mehr Automatisierung und KI-Werkzeuge im Unternehmen laufen, denn jeder Agent braucht eine Identität mit Rechten. Die Verwaltung liegt in Microsoft Entra ID.
Wo Sie stehen
Ob in Ihrem Tenant verwaiste Zugänge liegen, lässt sich prüfen. Der Sicherheitscheck ist der Einstieg.
Wo steht Ihr Unternehmen bei diesem Thema?
Der kostenlose Check klärt es in wenigen Fragen. Keine Registrierung, kein Download.