Illustration Absmeier foto ki designer

Service-Konten, API-Schlüssel, Zertifikate und KI-Agenten sind heute zentrale Bausteine digitaler Geschäftsprozesse – zugleich aber oft kaum gesteuerte Risikoträger. Unternehmen müssen nicht-menschliche Identitäten deshalb konsequent inventarisieren, begrenzen und überwachen, um Angriffsflächen zu reduzieren, Compliance-Anforderungen zu erfüllen und Automatisierung sicher zu skalieren.

Management Summary

Nicht-menschliche Identitäten entwickeln sich in hybriden IT-, Cloud- und KI-Umgebungen zu einer geschäftskritischen Sicherheits- und Governance-Aufgabe.
Service-Konten, API-Schlüssel, Zertifikate, Workloads und KI-Agenten müssen vollständig inventarisiert, eindeutig verantwortet und über ihren gesamten Lebenszyklus gesteuert werden.
Die größten Risiken entstehen durch verwaiste Konten, statische Secrets, überprivilegierte Zugriffe und fehlende Transparenz über technische Identitäten.
Unternehmen sollten Least Privilege, regelmäßige Rechteprüfungen, automatisierte Secret-Rotation und konsequentes Monitoring als verbindliche Kontrollmechanismen etablieren.
Der Einsatz agentischer KI erhöht den Handlungsdruck, weil technische Identitäten künftig nicht nur Systeme verbinden, sondern zunehmend eigenständig Aktionen ausführen.

Nicht-menschliche Identitäten sind längst ein zentraler Bestandteil moderner IT-Umgebungen. Dazu zählen unter anderem Service-Konten, API-Schlüssel, OAuth-Tokens, Maschinenzertifikate, Skripte, Bots, Workloads und zunehmend auch KI-Agenten. Sie ermöglichen Automatisierung, Datenaustausch und den Betrieb verteilter Systeme. Gleichzeitig entstehen Risiken, wenn diese Identitäten nicht erfasst, regelmäßig überprüft und angemessen begrenzt werden.

Die Relevanz des Themas hat in den vergangenen Jahren deutlich zugenommen. Laut der SANS-Erhebung »State of Identity Threats and Defenses 2026« gehören nicht-menschliche Identitäten zu den am schnellsten wachsenden Identitätsklassen [1]. Die Studie verweist unter anderem darauf, dass viele Organisationen ihre Zugangsdaten für diese Identitäten nicht regelmäßig rotieren und dass KI-Agenten oder Automatisierungen zunehmend eigene Berechtigungen benötigen. Auch NIST betont in seinen aktuellen Leitlinien die Bedeutung eines strukturierten Identitäts- und Zugriffsmanagements, das neben Menschen auch »Dinge« und technische Identitäten angemessen berücksichtigt [2].

Was unter nicht-menschlichen Identitäten zu verstehen ist

Eine nicht-menschliche Identität ist eine digitale Identität, die nicht einer Person, sondern einer technischen Komponente zugeordnet ist. Sie kann einer Anwendung, einem Dienst, einer Maschine, einem Skript, einem Container, einer Cloud-Workload oder einem KI-Agenten gehören. Solche Identitäten greifen selbstständig auf Systeme, Daten oder Schnittstellen zu. Häufig besitzen sie eigene Zugangsdaten, Zertifikate, Tokens oder Geheimnisse.

Wichtig ist die begriffliche Trennung: Eine Maschinenidentität beschreibt die technische Identität selbst. Zugangsdaten oder Secrets sind die Mittel, mit denen diese Identität authentifiziert wird. Berechtigungen legen fest, worauf sie zugreifen darf. Governance beschreibt die Regeln, Verantwortlichkeiten und Prüfmechanismen, mit denen diese Identitäten über ihren gesamten Lebenszyklus gesteuert werden.

Warum das Thema jetzt dringlicher wird

Nicht-menschliche Identitäten sind nicht neu. In Fertigung, Gesundheitswesen, Finanzdienstleistungen, Logistik und öffentlicher Verwaltung verbinden sie seit Jahren Systeme miteinander. Neu ist vor allem ihre Anzahl, ihre Verteilung über Cloud- und SaaS-Umgebungen sowie die Geschwindigkeit, mit der neue technische Identitäten entstehen.

Hinzu kommt der Einsatz agentischer KI. KI-Agenten können Aufgaben eigenständig ausführen, Daten aus unterschiedlichen Quellen abrufen, Workflows anstoßen oder mit anderen Diensten interagieren. Dadurch entstehen neue Zugriffspfade, die sich nicht immer mit klassischen Modellen für menschliche Benutzerkonten kontrollieren lassen.

Typische Risiken

Unbekannte oder verwaiste Service-Konten, deren ursprünglicher Zweck nicht mehr dokumentiert ist.
Statische Zugangsdaten, die über Monate oder Jahre unverändert bleiben.
Zu weitreichende Berechtigungen, die nicht dem Prinzip der minimalen Rechte entsprechen.
Fehlende Verantwortliche für Erstellung, Änderung, Prüfung und Stilllegung technischer Identitäten.
Unzureichende Protokollierung und Überwachung von Zugriffen durch Maschinen, Dienste oder KI-Agenten.

Governance statt Einzelmaßnahme

Ein wirksamer Umgang mit nicht-menschlichen Identitäten beginnt mit Transparenz. Unternehmen sollten wissen, welche technischen Identitäten existieren, welchem Zweck sie dienen, welchen Systemen sie zugeordnet sind, welche Berechtigungen sie besitzen und wer für sie verantwortlich ist. Ohne ein solches Inventar lassen sich weder Risiken bewerten noch Prüfpfade zuverlässig herstellen.

Dabei sollte Governance nicht erst bei privilegierten Konten beginnen. Auch scheinbar einfache API-Schlüssel, Automatisierungsskripte oder Integrationen zwischen Fachanwendungen können kritische Zugriffe ermöglichen. Entscheidend ist daher ein Lebenszyklusmodell: Jede Identität braucht einen klaren Zweck, einen Eigentümer, definierte Berechtigungen, regelmäßige Überprüfung, nachvollziehbare Protokollierung und einen geregelten Prozess zur Deaktivierung.

Empfohlene Maßnahmen

Ein zentrales Verzeichnis aller nicht-menschlichen Identitäten aufbauen und regelmäßig aktualisieren.
Für jede Identität einen fachlichen oder technischen Verantwortlichen benennen.
Berechtigungen nach dem Least-Privilege-Prinzip vergeben und regelmäßig überprüfen.
Zugangsdaten, Tokens und Zertifikate automatisiert rotieren und kompromittierte Secrets schnell widerrufen können.
Dauerhafte Sonderrechte reduzieren und, wo möglich, Just-in-Time- oder Zero-Standing-Privilege-Ansätze einsetzen.
Zugriffe technischer Identitäten überwachen, protokollieren und auf ungewöhnliches Verhalten prüfen.
KI-Agenten gesondert betrachten, weil sie Aufgaben dynamisch ausführen und mehrere Systeme miteinander verknüpfen können.

Ein weiterer Schritt, um die Verbreitung von agentenbasierten Identitäten und veralteten NHIs in den Griff zu bekommen, ist die Einführung einer Privileged Access Management (PAM)-Software [4]. Sie erlaubt es, Zugriffskontrollen automatisch zu wechseln und privilegierte Konten, insbesondere von Dienstkonten, der Governance zu unterstellen.

Bedeutung für Compliance und Prüfung

Für interne Revision, externe Audits und regulatorische Nachweise ist entscheidend, dass technische Identitäten nachvollziehbar gesteuert werden. Prüfer benötigen Antworten auf einfache, aber oft schwer zu beantwortende Fragen: Welche nicht-menschlichen Identitäten gibt es? Wofür werden sie verwendet? Wer hat sie genehmigt? Welche Rechte besitzen sie? Wann wurden sie zuletzt überprüft? Und wie schnell lassen sie sich bei einem Sicherheitsvorfall deaktivieren?

Gerade in hybriden Umgebungen mit lokalen Systemen, Cloud-Diensten und SaaS-Anwendungen ist diese Nachvollziehbarkeit eine Voraussetzung für belastbares Risikomanagement. Sie hilft außerdem, Verantwortlichkeiten zwischen IT, Security, Fachbereichen und Compliance klarer zu verteilen.

Fazit

Nicht-menschliche Identitäten sind kein Randthema mehr. Sie bilden die Grundlage moderner Automatisierung und digitaler Geschäftsprozesse, können aber zugleich zu schwer sichtbaren Angriffsflächen werden. Unternehmen sollten sie deshalb mit derselben Konsequenz verwalten wie menschliche Identitäten: transparent, rollenbasiert, überprüfbar und mit klaren Verantwortlichkeiten. Der Einsatz von KI-Agenten verstärkt diesen Handlungsbedarf, weil technische Identitäten künftig nicht nur Verbindungen herstellen, sondern zunehmend eigenständig Aktionen ausführen.

Robert Kraczek, One Identity

FAQ

Was sind nicht-menschliche Identitäten?
Dabei handelt es sich um digitale Identitäten technischer Komponenten wie Anwendungen, Dienste, Skripte, Bots, API-Schlüssel, Zertifikate oder KI-Agenten, die eigenständig auf Systeme und Daten zugreifen.

Warum sind sie riskant?
Risiken entstehen vor allem durch fehlende Transparenz, verwaiste Konten, statische Secrets, zu weitreichende Berechtigungen und unzureichende Überwachung.

Was sollten Unternehmen zuerst tun?
Der erste Schritt ist ein aktuelles Inventar aller nicht-menschlichen Identitäten, ergänzt um Zweck, Eigentümer, Berechtigungen, Laufzeit, Rotation und Stilllegungsprozess.

Welche Rolle spielen KI-Agenten?
KI-Agenten verschärfen die Governance-Frage, weil sie nicht nur automatisiert handeln, sondern dynamisch Aufgaben ausführen, Berechtigungen nutzen und mehrere Systeme miteinander verknüpfen können.

Quellen

[1] SANS Institute: 2026 State of Identity Threats & Defenses Survey Insights.

https://www.sans.org/white-papers/2026-state-of-identity-threats-defenses-survey-how-identity-became-new-security-perimeter

[2] NIST: Digital Identity Guidelines, SP 800-63-4.

https://csrc.nist.gov/pubs/sp/800/63/4/final

[3] Cloud Security Alliance: Defining Non-Human Identity und Veröffentlichungen zur Governance nicht-menschlicher Identitäten.

https://cloudsecurityalliance.org/artifacts/defining-non-human-identity

[4] https://www.oneidentity.com/landing/your-business-needs-should-shape-your-identity-security-with-form/

126 Artikel zu „Identitäten NHI“

News | IT-Security | Künstliche Intelligenz | Services

KI-Agenten brauchen Identitäten – sonst werden sie zum Sicherheitsrisiko

9. Juli 2026

KI-Agenten ziehen in Unternehmen ein – oft schneller, als IT- und Security-Teams sie kontrollieren können. Im Gespräch mit manage it erklärt Sven Kniest, Vice President Central and Eastern Europe bei Okta, warum KI-Governance ohne kontinuierliche Identitätsprüfung ins Leere läuft und weshalb digitale Identitäten zur Voraussetzung für sichere Agentic Enterprises werden. Die manage it traf…