nicht-menschliche identitäten. Die Unternehmens-IT-Sicherheitsinfrastrukturen, die seit über einem Jahrzehnt auf der Prämisse eines menschlichen Nutzers aufgebaut wurden, der eine Sitzung authentifiziert und deren Kontrolle behält, zeigen vor dem Hintergrund der Verbreitung autonomer Softwareagenten, Coding-Assistenten und automatisierter Workflows, die in Clouds, APIs und Code-Repositories ohne kontinuierliche Aufsicht operieren, Anzeichen von Schwäche.

Das Hauptproblem besteht nicht mehr darin zu verifizieren, wer sich angemeldet hat, sondern zu verstehen, was danach geschieht, wenn in Echtzeit Entscheidungen von Software und nicht von einer Person getroffen werden. Die wirtschaftliche Tragweite des Problems betrifft den gesamten Umfang der modernen Unternehmenssicherheit.

nicht-menschliche identitäten: Warum das wichtig ist

Organisationen setzen Künstliche-Intelligenz-Werkzeuge mit einer Geschwindigkeit ein, die über der Fähigkeit der Sicherheitsteams liegt, diese angemessen zu schützen. Dies erzeugt sogenannte Lücken in Sichtbarkeit und Governance, die bestehen bleiben werden, wenn sie nicht strukturell angegangen werden. Die Angreifer ihrerseits suchen nicht mehr nach komplexen technischen Schwachstellen, sondern nutzen den einfachsten Weg: Gestohlene oder kompromittierte Zugangsdaten werden zum primären Ziel, da sie es ermöglichen, legitim zu erscheinen, ohne auf raffinierte Methoden zurückzugreifen.

Zur Komplikation des Szenarios kommen der sogenannte Shadow AI, kurzlebige Zugangsdaten und von Maschinen initiierte Aktionen. Diese Faktoren vergrößern die Angriffsfläche im Verhältnis zur Geschwindigkeit der Einführung automatisierter Werkzeuge. Traditionelle Identity-und-Access-Management-(IAM)-Systeme und Tools für privilegierten Zugriff sind effektiv darin, einen Zugang zu einem bestimmten Zeitpunkt zu validieren, bleiben aber statisch gegenüber Entitäten, die sich nicht nur authentifizieren.

KI-Agenten treffen Entscheidungen, rufen Werkzeuge auf und ändern Systeme weit über den anfänglichen Login hinaus. Dieses Verhalten erfordert Kontrollmechanismen, die den Kontext bewerten können, während die Aktion stattfindet, und nicht nur beim Einstieg. Viele Organisationen verfügen noch nicht über ein klares Inventar darüber, welche KI-Agenten existieren, auf welche Daten sie zugreifen können, wer sie genehmigt hat und welche Aktionen sie im Namen anderer ausführen.

Dieser Mangel an Inventarisierung wird in fragmentierten Cloud- und SaaS-Umgebungen besonders kritisch. Dort erfordern Antworten auf elementare Fragen zu Eigentum, Befugnis und Verantwortung der Agenten einen wachsenden Aufwand, je mehr sich ihre Verbreitung vervielfacht. Hinzu kommt das Risiko der Offenlegung von Zugangsdaten: Langzeit-Geheimnisse, geteilte Zugangsdaten und weitreichende delegierte Zugriffe, die in von menschlichen Operatoren gesteuerten Kontexten bereits problematisch sind, werden noch gefährlicher, wenn sie autonomen Werkzeugen anvertraut werden, die mit Maschinengeschwindigkeit operieren.

Was sich ändert und welche Auswirkungen es hat

Die von Branchenanalysten skizzierte Antwort besteht nicht darin, die operativen Fähigkeiten der Agenten zu begrenzen, sondern darin, eine Infrastruktur aufzubauen, die gleichzeitig menschliche und künstliche Identitäten unterstützen kann. Diese Entwicklung stützt sich auf drei Säulen: Governance, verstanden als Identifizierung der Agenten, Zuweisung eines klaren Eigentums und Definition der operativen Grenzen; Runtime-Vertrauen, das die kontextuelle Bewertung von Zugriffen und die schnelle Eindämmung riskanter Verhaltensweisen vorsieht, ohne sich auf statische Zugangsdaten zu verlassen; schließlich Operabilität, die durch den Wandel der Arbeit hin zu APIs, Terminals und Orchestrierungsstufen erforderlich wird, die Identitätsverwaltungssysteme erfordern, die über die einfache administrative Konsole hinaus nutzbar sind.

Das agentische Unternehmen ist nicht mehr theoretisch. Künstliche Intelligenz beeinflusst bereits Operationen und Entscheidungsprozesse innerhalb der Unternehmen. Dies verschiebt den Schwerpunkt der Diskussion von der Theorie zur täglichen operativen Praxis der Sicherheitsteams. Die Frage lautet nicht mehr nur, wer sich angemeldet hat, sondern was in der Umgebung agiert, mit welcher Befugnis und ob die Teams über die Werkzeuge verfügen, um einzugreifen, wenn das Risikoprofil sich ändert.

Laut Berichten wird Governance einer der wichtigsten Faktoren sein, der bestimmt, ob ein Unternehmen langfristig Erfolg mit seinen KI-Programmen haben wird oder nicht. Es bleibt abzuwarten, wie viele Organisationen tatsächlich bereit sind, in Governance zu investieren, bevor ein Vorfall dies zur Pflicht macht, und ob der Markt für Sicherheitsanbieter in der Lage sein wird, Runtime-Kontrollwerkzeuge mit derselben Geschwindigkeit anzubieten, mit der Unternehmen autonome Agenten in ihre kritischen Systeme einführen.

Quelle und weiterführende Informationen zu nicht-menschliche identitäten: Originalartikel.

Weitere Meldungen zu nicht-menschliche identitäten finden Sie in den aktuellen Technik-News von HWReady.

* Inhalt erstellt mit Unterstützung von Künstlicher-Intelligenz-Systemen.