Identity-Sicherheit: Ein Leitfaden für Sicherheitsverantwortliche

Laut dem Netwrix 2026 Data and Identity Security Report, ergab eine Umfrage unter 2.317 IT- und Sicherheitsexperten, dass 75 % der sensiblen Datenlecks mit kompromittierten Identitäten oder falsch konfigurierten Berechtigungen beginnen.

Zugänge, die gültig erscheinen, können lange nach der Bereitstellung Risiken bergen, weshalb Identitätssicherheit eher eine Frage der Cyber-Resilienz und Unternehmensführung als eine rein technische Angelegenheit ist.

In einer Organisation mit 100 bis 5.000 Mitarbeitern erfordert die Beantwortung eines Vorstandsmitglieds oder externen Prüfers, der fragt, wer auf was Zugriff hat oder ob die Organisation sicher ist, oft eine manuelle Abstimmung. Die zugrunde liegenden Daten befinden sich in Active Directory (AD), Microsoft Entra ID, mehreren SaaS-Administrationskonsolen und Tabellenkalkulationen, und diese Aufzeichnungen stimmen oft nicht überein.

Ein diszipliniertes Programm verwandelt diese fragmentierten Daten in eine messbare Haltung, die Sicherheitsteams, Vorstände und Prüfer nutzen können. Kontinuierliche Governance unterstützt dann schnellere Reaktionen, nachvollziehbare Zugriffsentscheidungen und klare Nachweise des Fortschritts.

Was ist Identity Security?

Identitätssicherheit ist die fortlaufende Praxis, jede Identität in der Organisation vor Kompromittierung und Missbrauch zu schützen. Sie erkennt, wo gewährter Zugriff Risiken schafft, überwacht die Nutzung dieses Zugriffs und unterbricht anomale Identitätsaktivitäten. Der Umfang umfasst Mitarbeiter und Auftragnehmer sowie Servicekonten, Anwendungsidentitäten und KI-Agenten.

Identity and access management (IAM) ist die zugehörige Disziplin, die es den richtigen Personen oder Maschinen ermöglicht, zur richtigen Zeit aus legitimen Gründen auf die richtigen Ressourcen zuzugreifen. IAM verwaltet die Bereitstellung, entscheidet, wer was erhält, und richtet es ein.

Identitätssicherheit folgt dieser Entscheidung, indem sie Prävention vor einem Angriff sowie Erkennung und Reaktion während eines laufenden Angriffs anwendet. IAM baut die Struktur, und Identitätssicherheit verteidigt sie.

Warum Identity Security jetzt ein Risiko auf Vorstandsebene ist

Vorstände benötigen spezifische, messbare Nachweise, um die Identitätsexposition als Teil der Cyber-Resilienz-Strategie der Organisation zu verwalten. Drei Kräfte haben kürzlich die Einsätze erhöht.

Fast die Hälfte der Organisationen hatte im letzten Jahr eine Kompromittierung eines Cloud-Kontos

Der Netwrix 2026 Data and Identity Security Report ergab eine Verletzungsrate von 43 % in den letzten 12 Monaten bei Organisationen, bei denen KI den Identity-Fußabdruck erheblich erhöht hatte, verglichen mit 11 % bei denen, bei denen sich nichts Wesentliches geändert hatte. Jede hinzugefügte Identity ist eine weitere Anmeldeinformation, die ein Angreifer nutzen kann. Gültige Cloud-Tenant-Anmeldeinformationen ermöglichen es einem Angreifer, E-Mails zu lesen, Daten abzurufen und zwischen SaaS-Diensten zu wechseln, ohne Kontrollen auszulösen, die für Netzwerkperimeter entwickelt wurden.

Identitäten und Berechtigungen bestimmen die Wege, die Angreifer zu Daten nehmen

Wo sensible Daten offengelegt werden, ist eine andere Frage als die, wie Angreifer zunächst Zugang erhalten. In Verizon's 2026 Data Breach Investigations Report (DBIR) überholte die Ausnutzung von Schwachstellen (31 %) den Missbrauch von Zugangsdaten (13 %) als wichtigsten anfänglichen Zugangspfad. Missbrauch von Zugangsdaten trat dennoch in 39 % der Verstöße in irgendeiner Phase auf.

Einmal drin, sei es durch eine Sicherheitslücke oder ein gestohlenes Passwort, läuft der Datenzugriff über Identitäten und Berechtigungen. Firewall-Kontrollen steuern den Netzwerkverkehr, während Identitäten und Berechtigungen den Datenzugriff steuern.

Versicherer kalkulieren dieses Risiko bereits in Verlängerungen ein

Unter versicherten Organisationen Der Netwrix 2025 Cybersecurity Trends Report ergab, dass die Nachfrage nach IAM von 38 % im Jahr 2023 auf 48 % im Jahr 2025 gestiegen ist. Erneuerungszyklen enthalten jetzt identitätsspezifische Fragen, und die Prämien spiegeln die Antworten wider.

Die Fragen, die die Sicherheit von Identity Management beantworten muss

Ein umsetzbares Programm beantwortet vier praktische Fragen in Begriffen, die Vorstände und Prüfer bewerten können:

1. Wer hat gerade effektiven Zugriff?
2. Wird dieser Zugriff normal verwendet?
3. Können Zugriffsentscheidungen später verteidigt werden?
4. Wird der Zugriff rechtzeitig entfernt?

Unterstützende Disziplinen umfassen Privileged Access Management (PAM), Identitätsgovernance und -verwaltung (IGA), Identity Threat Detection & Response (ITDR) und Identity Security Posture Management (ISPM).

Wer hat gerade jetzt Zugriff auf was in allen Systemen?

Teams beantworten diese Frage üblicherweise System für System. Das AD-Team zieht Gruppenmitgliedschaften, der Microsoft 365-Administrator exportiert Rollenzuweisungen, und jeder SaaS-Eigentümer hat eine Konsole. Was fehlt, ist ein aktuelles Gesamtbild über AD, Microsoft Entra ID, SaaS und Cloud, bei dem verschachtelte Gruppenmitgliedschaften auf den effektiven Zugriff einer Person aufgelöst sind. Die Antwort erfordert meist eine zusätzliche Abstimmung nach dem Meeting.

Wird dieser Zugriff so genutzt, wie er sein soll?

Verhalten muss weiterhin separat überprüft werden, wenn eine Person ein Konto außerhalb der erwarteten Zeiten nutzt, auch wenn das Konto die richtigen Berechtigungen hat. Anmeldeinformationen-Diebstahl, laterale Bewegung und Privilegieneskalation können aus Sicht der Berechtigungen wie erlaubte Aktivitäten aussehen, da das Konto Dinge tut, die es darf, aber in einer Reihenfolge und einem Tempo, das nicht mit legitimen Administratorverhalten übereinstimmt. Die Beantwortung dieser Frage erfordert eine Verhaltensanalyse über die Zeit, was die Aufgabe von ITDR ist.

Können wir nachträglich zeigen, warum der Zugriff angemessen war?

Wenn Teams später keine gültige Zugriffsentscheidung rekonstruieren können, fehlen der Organisation die Beweise, die ein Prüfer erwartet. Die Organisation benötigt eine Aufzeichnung darüber, wer den Zugriff angefordert hat, wer ihn genehmigt hat und wann er zuletzt überprüft wurde. Diese Aufzeichnung verbindet die ursprüngliche Entscheidung mit der aktuellen Berechtigung.

Wird der Zugriff entfernt, wenn er entfernt werden soll?

Geschriebene Richtlinien und Verzeichniszustand können schnell auseinanderdriften. Standing privileged access, das seinen Zweck überlebt, ein Auftragnehmerkonto, das nach Projektende noch aktiv ist, und ein Dienstkonto, dessen Besitzer schon lange weg ist, hinterlassen jeweils Berechtigungen, die heute niemand mehr neu genehmigen würde.

Der Netwrix 2026 Data and Identity Security Report ergab, dass 76 % der Organisationen den dauerhaften Zugriff nicht sofort widerrufen können, wenn er nicht mehr benötigt wird – ein Problem, das Führungskräfte mit stärkeren Lifecycle-Kontrollen lösen können.

Die Kernkomponenten der Identitätssicherheit

Identity-Sicherheit teilt die Arbeit auf Provisioning, privilege, Governance, Erkennung und das Verzeichnis auf, von dem alle abhängen, in der Reihenfolge, in der jede Disziplin in den Zugriff-Lebenszyklus eintritt.

IAM: der Schirm, der Zugriff gewährt und verwaltet

IAM umfasst die Systeme und Prozesse, die entscheiden, wer auf was Zugriff erhält und diesen bereitstellt, einschließlich Verzeichnisse, Single Sign-On, MFA und Zugriffsanfragen. Sicherheitskontrollen bauen auf den von IAM gewährten Rechten auf, indem sie ausgestellte Berechtigungen auf Anzeichen von Kompromittierung, Missbrauch oder angesammeltem Risiko überprüfen.

Privileged Access Management: die privilegierte Teilmenge, die den größten Schaden anrichten kann

Privileged Access Management steuert Konten, die die Umgebung selbst ändern können, einschließlich Domänenadministratoren, Cloud-Globaladministratoren und Servicekonten mit erhöhten Rechten. PAM-Tools wenden strengere technische Kontrollen auf die Konten, Anmeldeinformationen und Befehle an, die zur Verwaltung oder Konfiguration von Systemen und Anwendungen verwendet werden.

Organisationen verwenden separate Tools und Sitzungsaufzeichnungen für diesen engen, risikoreichen Zugriff, da Versicherer und Prüfer ihn genauer prüfen als den Standardbenutzerzugang. Der Netwrix Cybersecurity Trends Report 2025 ergab, dass 42 % der IT-Fachleute die Verbesserung von PAM gegenüber allen anderen Sicherheitsinitiativen priorisieren würden, wenn sie die Wahl hätten.

IGA: Die Governance-Schicht, die den Zugriff prüft, macht immer noch Sinn

Identity Governance und Administration bieten die Ebene der periodischen Überprüfung. Während IAM-Provisioning nach vorne schaut, weil eine Person heute eine Rolle benötigt, blickt IGA zurück und fragt, ob der Zugriff, den jemand vor 18 Monaten erhalten hat, noch angemessen ist und was das Team bereits hätte widerrufen sollen. Zu den Kernfunktionen von IGA gehören das Identity Lifecycle Management, Zugriffszertifizierung und die Verarbeitung von Zugriffsanfragen. Für Audit-Zwecke erstellt IGA Zertifizierungsnachweise, die zeigen, dass jemand den Zugriff überprüft hat.

ITDR: Überwachung von Kompromittierungen nach Zugriffserteilung

Identity threat detection and response bietet die Echtzeitschicht. Gartner führte die Kategorie im Jahr 2022 ein. Es erkennt Anmeldeinformationen-Diebstahl, laterale Bewegungen und Privilegienerweiterungen, sobald sie auftreten. IGA und PAM regeln, ob Teams den Zugriff korrekt einrichten, während ITDR Missbrauch nach bestehendem Zugriff identifiziert.

Sicherheit von Directory: Schutz des Systems, von dem jede Identität abhängt

Active Directory und Entra ID bilden die Grundlage für die anderen Disziplinen. Ein kompromittiertes oder falsch konfiguriertes Verzeichnis untergräbt alle gleichzeitig, da die Verzeichnissteuerung die Quelle der Wahrheit für jede Identität ändert.

Die Five Eyes-Richtlinie Erkennung und Minderung von Active Directory-Komprimittierungen, erstmals veröffentlicht im September 2024 und seitdem überarbeitet, warnt davor, dass die Kontrolle über Active Directory böswilligen Akteuren privilegierten Zugriff auf alle von ihm verwalteten Systeme und Benutzer verschafft.

Wo Identity-Sicherheit in Zero Trust passt

Die Cybersecurity and Infrastructure Security Agency (CISA) stellt die Identität in den Mittelpunkt der kontinuierlichen Überprüfung. CISAs Zero Trust Maturity Model macht die Identität zur ersten von fünf Säulen, mit einer Optimalen Phase, in der eine Organisation die Identität während des Zugriffs kontinuierlich mit phishing-resistenter MFA validiert.

Kontinuierliche Validierung, least privilege und die Neubewertung von Vertrauen während einer Live-Sitzung sind alles Aufgaben der Identitätssicherheit. Eine Zero-Trust-Strategie, die mit dem CISA-Modell übereinstimmt, hängt von der Stärke der Identitätskontrollen ab, die sie umsetzen.

Wie Sie den Stand Ihrer Organisation bewerten

Drei Übungen erzeugen eine nachvollziehbare Basislinie mit Werkzeugen, die das Team bereits besitzt. Ein zeitgesteuerter Sichtbarkeitstest, eine Überprüfung der Genehmigung für privilegierten Zugriff und ein unabhängiger Verzeichnis-Scan liefern jeweils ein spezifisches Artefakt, das das Team der Führung oder einem Prüfer vorlegen kann.

Führen Sie einen eintägigen Test zur Sichtbarkeit effektiver Zugriffe durch

Bitten Sie das Team, innerhalb eines Arbeitstages zu beantworten, „wer hat gerade jetzt auf jedem System Zugriff auf was“. Erfassen Sie die Anzahl der verwendeten Konsolen, die benötigte Zeit und alle Systeme, die das Team nicht abdecken konnte. Das Ergebnis sollte eine einzige abgeglichene Liste der effektiven Zugriffe pro Benutzer sein oder, falls nicht möglich, eine dokumentierte Liste der Hindernisse, die die Erstellung verhindert haben. Beide Ergebnisse gehören später in den Bericht für den Vorstand.

Überprüfen Sie dauerhafte privilegierte Zugriffe für Genehmigungen, an deren Erteilung sich niemand erinnert

Rufen Sie die vollständige Liste der Konten mit erhöhten Rechten ab, einschließlich Dienstkonten und Konten, die Administratorrechte über verschachtelte Gruppen erben. Für jedes Konto ermitteln Sie, wer es genehmigt hat, wann die Genehmigung erfolgte und warum der Zugriff weiterhin aktiv ist.

Fertig sieht aus wie eine Tabelle mit einem Genehmigungsnachweis, der jedem Eintrag beigefügt ist, und einer Auswahlliste von Konten, die widerrufen werden sollen. Cybersecurity Maturity Model Certification (CMMC) Level-2-Prüfer verlangen genau dieses Artefakt-Set, einschließlich einer Liste aktiver Systemkonten, die benannten Personen zugeordnet sind, und der entsprechenden Zugriffsberechtigungsnachweise, sodass die Übung auch als Auditvorbereitung dient.

Führen Sie einen unabhängigen Verzeichnis-Scan anhand einer Standard-Checkliste durch

Bewerten Sie das Verzeichnis mit einem externen Scan, wie einer MITRE ATT&CK-abgebildeten Bewertung oder einer, die auf den AD-Kompromittierungstechniken in der Five Eyes guidance, um eine unabhängige Basislinie zu erstellen. Das Ergebnis ist eine Rangliste von Fehlkonfigurationen, einschließlich derjenigen, die einem normalen Benutzer erlauben, zum Administrator aufzusteigen, und der Konten, die Angreifer ohne interaktive Anmeldung anvisieren können.

Identitätssicherheit in Vorstand- und Prüfungs-Sprache übersetzen

Die Finanzierung hängt davon ab, Identitätsbefunde in Exposition, Reaktionszeit und verteidigungsfähige Beweise umzusetzen, auf die ein Vorstand reagieren kann. Das Director's Handbook on Cyber-Risk Oversight, fünfte Ausgabe (2026), überträgt diese Übersetzungsverantwortung dem Management.

Die Kennzahlen, die in einer Vorstandsdiskussion funktionieren

Eine Zählung von Schwachstellen misst den Aufwand, während ein Vorstand die Exposition sehen muss. Zeitbasierte Identitätsmetriken bieten diese Sicht, indem sie technische Aktivitäten in eine Risikozusammenfassung übersetzen, die ein nicht-technischer Direktor bewerten kann. NACD führt diese unter den Metriken auf, die mindestens vierteljährlich und unmittelbar nach jedem wesentlichen Vorfall berichtet werden sollten:

• Mittlere Erkennungszeit (MTTD): Wie lange eine kompromittierte Identität unbemerkt bleibt, das Zeitfenster, in dem ein Angreifer sich seitlich bewegen oder Privilegien unerkannt eskalieren kann.
• Mittlere Reaktionszeit (MTTR): Wie lange es dauert, unnötigen oder kompromittierten Zugriff nach der Meldung zu widerrufen – ein direkter Maßstab dafür, wie schnell die Organisation eine Schwachstelle schließt.
• Anteil der Vorfälle mit hohen Kosten: Der Netwrix Cybersecurity Trends Report 2025 stellte fest, dass der Anteil der Organisationen, die Schäden durch Angriffe von über 200.000 $ melden, sich fast verdoppelt hat, von 7 % im Jahr 2024 auf 13 % im Jahr 2025. Dieser Trend gibt MTTD und MTTR eine geschäftliche Bezugsgröße.

Nachweise, die Prüfer erwarten zu sehen

Genaue Zugriffsentscheidungen und Nachweise dieser Entscheidungen sind separate Prüfungsanforderungen. Das Kriterium CC6.2 des System and Organization Control 2 (SOC 2) verlangt die Entfernung von Benutzer-Systemanmeldeinformationen, wenn der Zugriff nicht mehr autorisiert ist, und AICPA's Trust Services Criteria legen den Standard fest, gegen den SOC 2-Prüfer testen.

Eine Überprüfung verfolgt typischerweise zwei Arten von Beweisen:

• Bereitstellungs- und Beendigungsaufzeichnungen: eine Stichprobe von Zugriffsgewährungs- und Zugriffsentfernungsereignissen, die auf genehmigte Tickets zurückverfolgt werden, mit verzögerten Entfernungen als Ausnahmen dokumentiert.
• Dokumentation der Zugriffsüberprüfung: Name des Prüfers, Überprüfungsdatum, abgedeckte Systeme und Genehmigung durch den Manager, aufgezeichnet bei jeder periodischen Überprüfung, nicht nur bei der Ersterteilung.

Eine mündliche Zusicherung lässt diese Tests ungestützt. Prüfer betrachten einen mit Zeitstempel versehenen Export aus dem Aufzeichnungssystem als überprüfbaren Nachweis.

Ergebnisse in eine Risikoberichterstattung statt in eine To-do-Liste verwandeln

Wenn Teams Verzeichnisbefunde als technischen Rückstand präsentieren, kann ein Vorstand sie leicht als Routinewartung behandeln. Die gleichen Befunde im Kontext operativer Ergebnisse darzustellen, macht Risiko und Behebungsziel klarer.

Zum Beispiel wird aus „ständiger Domain-Admin-Zugriff fehlt nachvollziehbare Genehmigung“ „das Entfernen unnötigen ständigen Zugriffs verengt die Wege zur Verzeichnis-weiten Kontrolle und macht Genehmigungen prüfbar.“

Wie Netwrix die Identitätssicherheit in der Praxis unterstützt

Netwrix erstellt Kontrollen über den gesamten Identitätslebenszyklus für hybride Microsoft-Umgebungen, von der Verzeichnisbewertung und Sichtbarkeit der Sicherheitslage bis hin zur Aktivitätsaufzeichnung, Durchsetzung von Privilegien, Bedrohungserkennung und Echtzeit-Blockierung. Jedes Produkt bezieht sich auf eine der vier Fragen, mit denen dieser Leitfaden begonnen hat.

Bewertung der Verzeichnis-Exposition mit einer externen Basislinie

Netwrix PingCastle bewertet, punktet und rankt AD-Risiken anhand von über 170 MITRE ATT&CK-abgebildeten Prüfungen und liefert so die unabhängige Basislinie, die der obige Verzeichnis-Scan fordert. Da die Verzeichnissteuerung jede andere Identity-Disziplin stützt, verwandelt eine priorisierte PingCastle-Bewertung ein umfassendes Microsoft-Verzeichnisproblem in eine messbare Aufgabenliste, mit der ein technischer Einkäufer arbeiten kann.

Ein aktuelles Bild des Identitätsrisikos bewahren

Netwrix Identity Security Posture Management (ISPM), bereitgestellt über die Netwrix 1Secure™ Platform, erkennt Fehlkonfigurationen in AD und Microsoft Entra ID mit über 170 Prüfungen und hält die Sichtbarkeit der Sicherheitslage aktuell, sodass Teams ein Bild erhalten, das sich mit der Umgebung ändert, anstatt hinter der letzten manuellen Abstimmung zurückzubleiben.

Genau das ist erforderlich, um zu beantworten, „wer hat gerade jetzt Zugriff auf was“. Das SaaS-Bereitstellungsmodell entfernt die Infrastruktur-Bereitstellung aus dem Einrichtungsaufwand.

Verkürzung der Untersuchungszeit mit hybriden Aktivitätsaufzeichnungen

Netwrix Auditor zeichnet Änderungen und Zugriffsaktivitäten in AD, Microsoft 365, Dateisystemen und anderen Plattformen auf. Dieses Protokoll liefert Teams die Nachweiskette, die für die Beantwortung von „Können wir zeigen, warum der Zugriff angemessen war?“ erforderlich ist, sowie eine schnellere Möglichkeit, Aktivitäten außerhalb normaler Muster zu erkennen.

Durchsetzung des Prinzips der geringsten Rechte für risikoreiche Konten

Netwrix Privilege Secure beantwortet direkt die Frage „Wird der Zugriff rechtzeitig entfernt?“ für privilegierte Konten. Es ersetzt dauerhafte Administratorrechte durch Just-in-Time-Zugriff für eine bestimmte Aufgabe, entfernt diesen automatisch nach Abschluss der Aufgabe und zeichnet die resultierenden Sitzungen zur Auditprüfung auf.

Eastern Carver County Schools hat den dauerhaften Administratorzugang zu Systemen mit Daten von 9.300 Schülern abgeschafft, durch Just-in-Time-Zugriff ersetzt und die Einführung in Tagen statt Monaten abgeschlossen.

Missbrauch von Zugriffen in Echtzeit erkennen

Netwrix Threat Manager beantwortet die Frage: „Wird dieser Zugriff in Echtzeit normal genutzt?“ Es erkennt Diebstahl von Anmeldeinformationen, laterale Bewegungen, Privilegieneskalation, Kerberoasting, Golden Ticket-Angriffe und andere Identitätsbedrohungen in AD- und Microsoft Entra ID-Umgebungen, mit zusätzlicher Abdeckung für Active Directory Certificate Services (AD CS) ESC1-ESC7-Techniken.

Netwrix Threat Prevention geht weiter, indem es DCSync-, Kerberoasting- und Pass-the-Hash-Angriffe in Echtzeit blockiert. Die Aufteilung von Erkennung und Blockierung auf zwei Produkte hält die Kontrollen getrennt und schützt gleichzeitig Tier-Zero-Assets wie privilegierte Gruppen, Domänencontroller und Group Policy Objects (GPOs).

Wissen Sie, wo Ihre Identitäten stehen

Eine effektive Zugriffsübersicht über hybride Microsoft-Umgebungen, nachvollziehbare Governance-Nachweise, aktuelle Statusinformationen sowie rechtzeitige Erkennung oder Eindämmung sollten Investitionen in die Identitätssicherheit vorantreiben.

Vergleichen Sie die schriftliche Richtlinie mit dem Verzeichnisstatus, um eine Basislinie zu erstellen, und nutzen Sie dann den Ein-Tages-Sichtbarkeitstest, die Überprüfung privilegierter Konten und den unabhängigen Scan, um zu ermitteln, wo die nächste Investition den größten Effekt hat.

Fordern Sie eine Demo an und sehen Sie, wie Netwrix Ihnen hilft, effektiven Zugriff in hybriden Microsoft-Umgebungen zu kartieren, dauerhaften privilegierten Zugriff zu beseitigen und Identitätsbedrohungen in Echtzeit zu erkennen.