Netwrix Innovation Week: KI-Angriffe sind schneller, als Ihr SIEM sie protokollieren kann

KI verkürzt die Zeit zwischen gestohlenen Zugangsdaten und einem kompromittierten privilegierten Konto, und ein Erkennungszyklus, der für menschliche Prüfer ausgelegt ist, kann in diesem Tempo nicht reagieren. Teams können dieses Risiko verringern, indem sie Zugangsdaten in einem verschlüsselten Tresor ablegen, den Zugriff nach Rollen begrenzen, vor privilegiertem Zugriff eine Freigabe verlangen und jede Aktion an Zugangsdaten protokollieren. Prävention schließt den einfachsten Weg hinein, und das SIEM kann sich dann auf den Rest konzentrieren.

Entdecken Sie alle Gespräche der Innovation Week, in denen Netwrix und Branchenexperten über Daten- und Identitätssicherheit sprechen.

Die meisten Incident-Response-Pläne gehen davon aus, dass die Verteidiger Zeit haben. Ein Alarm wird ausgelöst, ein Analyst prüft die Logs, das Team entscheidet, und jemand reagiert. Angreifer, die KI einsetzen, arbeiten schneller, als diese Abfolge es zulässt. Der Plan braucht deshalb einen Schritt, der vor dem Alarm stattfindet.

Der langsame Teil der Erkennung ist die Entscheidung

Die Protokollierung ist der schnelle Teil des Erkennungszyklus. Prüfung und Entscheidung dauern länger, und Teams haben diesen Zyklus aufgebaut, als Angreifer noch Zeit brauchten. Die Aufklärung dauerte Tage und die laterale Bewegung Stunden, was Verteidigern Spielraum gab.

KI hat diesen Spielraum größtenteils beseitigt. Mit automatisierten Werkzeugen kann ein Angreifer ein Verzeichnis kartieren, gestohlene Zugangsdaten gegen ein Dutzend Systeme testen und ein privilegiertes Konto erreichen, während der erste Alarm noch in der Warteschlange liegt. Credential Stuffing war früher ein lauter Brute-Force-Angriff, und Bots passen heute Geschwindigkeit und Fingerabdrücke in Echtzeit an, um legitimen Nutzern zu ähneln.

Kompromittierte Identitäten sind der häufigste Einstiegspunkt

Angreifer müssen weder Verschlüsselung knacken noch eine Zero-Day-Schwachstelle finden, wenn eine einzige funktionierende Zugangsberechtigung verfügbar ist. Laut dem Netwrix-Bericht 2026 zur Daten- und Identitätssicherheit beginnen 75 % der Offenlegungen sensibler Daten mit kompromittierten Identitäten oder falsch konfigurierten Berechtigungen.

Ein aktueller Angriff auf einen Betreiber kritischer Infrastruktur folgte diesem Weg. Einstiegspunkt war ein VPN-Konto für den Fernzugriff, das ungenutzt war und nie deaktiviert wurde, keine MFA hatte und ein Passwort besaß, das bereits in einem geleakten Zugangsdatensatz aufgetaucht war. Der Betrieb stand tagelang still.

Passwörter aus alten Datenpannen, die erneut verwendet werden, gemeinsame Logins in Tabellenkalkulationen und privilegierte Konten, die 10 Personen kennen, weil niemand die Rotation übernehmen will, schaffen alle dieselbe Lücke. KI findet solche Schwachstellen in großem Maßstab, ohne dass jemand Passwörter von Hand eintippt.

MFA verringert das Risiko, beseitigt es aber nicht. Angreifer senden wiederholt Push-Anfragen, bis ein Nutzer eine bestätigt, um die Benachrichtigungen zu beenden, und eine Kontrolle, die davon abhängt, dass eine müde Person im richtigen Moment ablehnt, lässt nur wenig Spielraum.

Prävention nimmt den Zeitvorteil weg

Erkennung bestätigt im Nachhinein, dass etwas geschehen ist. Prävention hält einen sensiblen Schritt an, bis jemand ihn freigibt, und beseitigt damit die Lücke, auf die Angreifer setzen. Teams brauchen beides.

Dauerhafter, unüberwachter Zugriff ist die Quelle dieses Vorteils. Derselbe Bericht ergab, dass 76 % der Organisationen dauerhaften Zugriff nicht sofort widerrufen können, wenn er nicht mehr benötigt wird.

So reduzieren Sie dauerhaften Zugriff auf Zugangsdaten

Passwörter, die in Browsern, geteilten Dokumenten und Direktnachrichten liegen, lassen sich nicht steuern, weil niemand sie alle sehen kann. Ein zentraler, verschlüsselter Tresor bietet Teams einen einzigen Ausgangspunkt.

Rollenbasierter Zugriff beschränkt jede Person auf die Zugangsdaten, die ihre Rolle erfordert, sodass gestohlene Zugangsdaten nur das tun können, was ihr Inhaber tun durfte.

Domänenadministratoren, Datenbankbesitzer und Dienstkonten erfordern eine menschliche Entscheidung. Ein Antragsteller bittet um Zugriff, eine zweite Person gibt ihn frei, und erst dann stehen die Zugangsdaten zur Verfügung. Regelmäßige Passwortrotation verkürzt anschließend die Lebensdauer jeder geleakten Zugangsdaten.

Die Protokollierung jeder Aktion an Zugangsdaten verbindet Prävention mit Erkennung. Eine abgelehnte Rechteanfrage um 2 Uhr nachts erscheint als aussagekräftiges Ereignis statt als eine Zeile unter Tausenden routinemäßigen Anmeldungen, und Analysten erhalten weniger, aber bessere Alarme.

Auch KI-Agenten und Automatisierungen benötigen Zugangsdaten, darunter API-Schlüssel, Dienstkonten und Tokens mit echten Berechtigungen. Der Bericht ergab, dass 41 % der Organisationen bereits agentische KI in der Produktion einsetzen, während nur 19 % angeben, nicht-menschliche Identitäten vollständig zu steuern. Agenten ermüden nicht und hinterfragen keine Anweisungen, daher brauchen ihre Zugangsdaten mindestens die gleiche Behandlung wie die eines menschlichen Administrators: im Tresor abgelegt, eng gefasst und vor privilegierter Nutzung freigegeben. Teams, die agentische KI für das SOC planen, sollten deren Schlüssel am selben kontrollierten Ort aufbewahren wie die aller anderen.

Häufige Einwände gegen diesen Ansatz

Freigabeschritte bremsen die Menschen aus. Für die meisten Nutzer ändert sich nichts, da sie nie auf privilegierte Konten zugreifen. Die wenigen, die den zusätzlichen Schritt bemerken, besitzen die sensibelsten Schlüssel, und eine kurze Wartezeit auf die Freigabe kostet weniger als ein Sicherheitsvorfall.

Teams, die bereits PAM einsetzen, sollten es behalten, wenn es privilegierte Konten durchgängig abdeckt. Ist die Abdeckung nur teilweise gegeben, besteht die erste Aufgabe darin, die nicht abgedeckten Bereiche zu identifizieren. In jedem Fall sollte das Werkzeug mit Active Directory, Entra ID oder dem jeweils genutzten Verzeichnis funktionieren, damit die Zugriffssteuerung den Identitäten folgt, die bereits im Verzeichnis liegen.

So unterstützt Netwrix Password Secure den Zugriff nach dem Prinzip der minimalen Rechte

Netwrix Password Secure unterstützt jeden dieser Schritte. Zugangsdaten werden in einem zentralen, verschlüsselten Tresor gespeichert, und rollenbasierter Zugriff beschränkt Nutzer auf das, was sie benötigen. Freigabe-Workflows sind dem privilegierten Zugriff vorgeschaltet, und ein vollständiger Audit-Trail zeigt, wer wann auf was zugegriffen hat. Die Integration mit Active Directory und Entra ID verknüpft den Zugriff mit bestehenden Identitäten. Teams können über Desktop, Web und Mobilgeräte arbeiten und die Lösung On-Premises, in der Cloud oder hybrid bereitstellen, passend zu ihren Infrastruktur- und Compliance-Anforderungen.

Angriffe in KI-Geschwindigkeit gelingen in der Zeit zwischen einem Ereignis und dem Moment, in dem jemand es bemerkt. Nehmen Sie zuerst dauerhafte Zugangsdaten aus der Reichweite, dann fängt das SIEM ab, was übrig bleibt.

Password Secure in Aktion erleben