Zombie-Accounts: der IAM-Blindfleck im Offboarding
Ein Microservice wird abgeschaltet, die Doku archiviert, das Team zieht weiter. Der Service Account, mit dem er lief, bleibt aktiv, mit Rechten, die niemand mehr überblickt. OWASP nennt genau das den Blindfleck Nummer eins bei Maschinen-Identitäten und Angreifer wissen das längst.
Das Wichtigste in Kürze
- Maschinen überleben ihr Offboarding: Service Accounts, API-Keys und Workload-Identitäten bleiben aktiv, lange nachdem der zugehörige Dienst verschwunden ist. Für Menschen gibt es einen HR-Prozess, für Maschinen meist keinen.
- OWASP setzt es auf Platz eins: In der Non-Human Identities Top 10 steht Improper Offboarding als Risiko NHI1. Verwaiste Identitäten sind in der Praxis ein bevorzugter Pfad für Lateral Movement.
- Der Hebel ist ein Lebenszyklus: Wer Maschinen-Identitäten inventarisiert, einem Eigentümer zuordnet und an die Lebensdauer des Dienstes koppelt, schließt die Lücke, bevor die KI-Welle die Zahl der Konten weiter hochtreibt.
Verwandt:Die Konten, die niemand zählt / Adaptive MFA im NIS2-Audit
Warum Maschinen-Konten ihr eigenes Lebensende überleben
Wenn ein Mitarbeiter das Unternehmen verlässt, läuft ein Prozess an. Die Personalabteilung meldet den Austritt, das Konto wird deaktiviert, Berechtigungen werden entzogen. Für menschliche Identitäten ist dieser Ablauf eingespielt, auch wenn er nicht immer sauber funktioniert. Für Maschinen-Identitäten existiert er in vielen Organisationen gar nicht.
Was ist eine Maschinen-Identität? Sie ist alles, womit sich ein System statt eines Menschen authentifiziert: Service Accounts, API-Keys, Tokens, Zertifikate oder die Identität einer Workload in der Cloud. Diese Konten entstehen beiläufig, wenn ein Dienst aufgesetzt wird. Sie verschwinden aber nicht beiläufig, wenn der Dienst abgeschaltet wird. Das Abschalten betrifft den Code und die Infrastruktur, selten die Identität, mit der beides lief.
Genau hier setzt OWASP an. In der Non-Human Identities Top 10 aus dem Jahr 2025 steht Improper Offboarding auf Platz eins, vor Secret Leakage und überprivilegierten Konten. Die Definition ist nüchtern: die unzureichende Deaktivierung oder Entfernung von Maschinen-Identitäten, wenn sie nicht mehr gebraucht werden. Hinter der nüchternen Formulierung steckt ein praktisches Problem. Niemand fühlt sich zuständig, ein Konto abzuschalten, von dessen Existenz er nichts weiß.
In der Praxis entsteht ein solches Konto in Sekunden und überlebt Jahre. Ein Entwickler legt für eine Integration einen Service Account an, hinterlegt einen API-Key in der Pipeline, der Job läuft. Wird die Integration später ersetzt, kümmert sich das Team um den neuen Weg, nicht um die Spur, die der alte hinterlassen hat. Der Key bleibt gültig, das Konto bleibt berechtigt und beide tauchen in keinem Austrittsprozess auf, weil es für eine Maschine keinen Austritt gibt. So sammeln sich über die Zeit Schichten von Identitäten an, die niemand mehr einem Zweck zuordnen kann.
Wie aus einem vergessenen Konto ein Angriffspfad wird
Ein verwaister Service Account ist kein theoretisches Risiko. Er ist eine gültige Identität mit gültigen Rechten, die in keiner Aufmerksamkeit mehr steht. Für einen Angreifer ist das die ideale Ausgangslage. Wer ein solches Konto übernimmt, bewegt sich im Netzwerk, ohne einen Alarm auszulösen, weil das Konto legitim ist und seine Aktivität niemand mehr beobachtet.
Verschärft wird das durch zwei weitere Punkte der OWASP-Liste, die selten allein auftreten. Long-Lived Secrets, also Zugangsdaten ohne Ablaufdatum, halten ein verwaistes Konto unbegrenzt nutzbar. Überprivilegierte Maschinen-Identitäten geben ihm mehr Rechte, als der ursprüngliche Dienst je gebraucht hätte. Beides zusammen macht aus einem vergessenen Konto einen komfortablen Standort für Lateral Movement, also die seitliche Bewegung von einem kompromittierten System zum nächsten.
Der Unterschied zur menschlichen Identität ist grundlegend und er erklärt, warum die bewährten Offboarding-Routinen hier nicht greifen.
| Aspekt | Menschliche Identität | Maschinen-Identität |
|---|---|---|
| Auslöser fürs Offboarding | Austritt, gemeldet durch HR | Dienst-Abschaltung, oft ungemeldet |
| Eigentümer | Die Person selbst plus Vorgesetzte | Häufig unklar oder verwaist |
| Lebensdauer der Zugangsdaten | An die Anstellung gekoppelt | Oft ohne Ablaufdatum |
| Sichtbarkeit nach dem Ende | Konto deaktiviert, Zugriff blockiert | Bleibt aktiv, Nutzung wirkt legitim |
Die zweite Fallgrube: wenn Menschen Maschinen-Konten benutzen
Es gibt eine Variante des Problems, die seltener besprochen wird und auf der OWASP-Liste als NHI10 steht: Human Use of NHI. Gemeint ist der Fall, in dem ein Administrator ein Service-Konto für eine manuelle Aufgabe verwendet, weil es gerade da ist und die nötigen Rechte hat. Im Moment spart das Zeit. Danach ist der Audit-Trail beschädigt und ein Konto mit oft weitreichenden Maschinenrechten liegt unkontrolliert in menschlicher Hand.
Sobald eine menschliche Aktion unter einer Maschinen-Identität läuft, lässt sich im Nachhinein nicht mehr sauber trennen, was automatisiert geschah und was eine Person ausgelöst hat. Für die forensische Aufarbeitung eines Vorfalls ist das ein echtes Problem. Genau in dem Moment, in dem man eine klare Spur braucht, vermischen sich privilegierte Maschinen- und Menschenaktivität in einem einzigen Log. In hybriden Umgebungen mit gemeinsam genutzten Admin-Konten ist dieser Reflex noch Alltag, während Aufsicht und Regulierung längst nachvollziehbare Spuren verlangen.
Was ein sauberer NHI-Lebenszyklus braucht
Keine dieser Lücken verlangt ein neues Produkt. Sie verlangen einen Lebenszyklus, den menschliche Identitäten längst haben. Drei Bausteine tragen den größten Teil.
Der erste ist ein Inventar. Man kann nichts abschalten, was man nicht kennt und in den meisten Organisationen gibt es keine vollständige Liste der aktiven Maschinen-Identitäten. Der zweite ist Eigentümerschaft. Jede Maschinen-Identität braucht eine verantwortliche Person oder ein Team, sonst wiederholt sich das Grundproblem bei jeder Abschaltung. Der dritte ist die Kopplung an den Lebenszyklus des Dienstes. Wird ein Service stillgelegt, muss seine Identität im selben Schritt deaktiviert werden, nicht in einem späteren, der nie kommt.
Der Druck auf dieses Thema wächst, weil die Zahl der Maschinen-Identitäten mit KI-Agenten und automatisierten Pipelines schneller steigt als jede manuelle Offboarding-Routine. Wer den Lebenszyklus erst dann aufsetzt, wenn die Konten bereits unüberschaubar sind, muss zuerst aufräumen, was längst Wildwuchs ist. Jetzt damit anzufangen ist deutlich günstiger als später.
Häufige Fragen
Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.
Was ist eine Maschinen-Identität?
Eine Maschinen-Identität, oft als Non-Human Identity bezeichnet, ist alles, womit sich ein System statt eines Menschen authentifiziert: Service Accounts, API-Keys, Tokens, Zertifikate oder die Identität einer Workload in der Cloud. Sie ermöglicht es Diensten, untereinander und mit Ressourcen zu kommunizieren.
Was bedeutet Improper Offboarding bei Maschinen-Identitäten?
Improper Offboarding beschreibt die unzureichende Deaktivierung oder Entfernung einer Maschinen-Identität, wenn sie nicht mehr gebraucht wird. OWASP führt es in der Non-Human Identities Top 10 von 2025 als Risiko NHI1, also an erster Stelle.
Warum sind verwaiste Service Accounts so gefährlich?
Sie sind gültige Identitäten mit gültigen Rechten, die niemand mehr beobachtet. Ein Angreifer, der ein solches Konto übernimmt, bewegt sich im Netzwerk, ohne einen Alarm auszulösen, weil die Aktivität legitim erscheint. Das macht verwaiste Konten zu einem bevorzugten Pfad für Lateral Movement.
Wie finde ich verwaiste Maschinen-Identitäten?
Der erste Schritt ist ein Inventar aller aktiven Maschinen-Identitäten samt zugehörigem Dienst und Eigentümer. Identitäten ohne erkennbaren aktiven Dienst oder ohne Eigentümer sind die ersten Kandidaten für eine Prüfung und Deaktivierung.
Was hat KI mit dem Problem zu tun?
KI-Agenten und automatisierte Pipelines erzeugen neue Maschinen-Identitäten in hohem Tempo. Dadurch wächst die Zahl der Konten schneller, als manuelle Offboarding-Prozesse hinterherkommen und der Blindfleck vergrößert sich, wenn kein Lebenszyklus etabliert ist.
Lesetipps der Redaktion
LesetippEin Link macht Microsoft-365-Copilot zum DatenleckLesetippDie Schwachstelle, die nur die KI gefunden hatLesetippSecurity Awareness: die Klickrate misst das Falsche
Mehr aus dem MBF Media Netzwerk
cloudmagazinReserved Instances: Die Coverage-Quote, die nichts beweistMyBusinessFutureOpen Banking für den Mittelstand: Was vor PSD3 schon gehtDigital ChiefsDigitalisierung als CIO-Sache: der teure DACH-Reflex
