Zero Standing Privilege und Echtzeitkontrolle als neuer Mindeststandard: Ist auch Ihr Unternehmen im KI-Blindflug? Sorgen Sie für Durchblick: mit Technologie und Best Practices

Advertorial

Eine neue Gefahrenlandschaft und ihre Herausforderungen

Seit einigen Monaten wird klar, was Experten lange befürchtet hatten: Keine noch so kleine Schwachstelle ist vor agentischen KI-Systemen sicher. Unautorisiert greifen sie auf vertrauliche Daten zu, nutzen kompromittierte Zugangsdaten oder ihre Fähigkeit zur Vernetzung, um ihre Ziele auch auf illegalem Weg zu erreichen. Im Wesentlichen arbeiten die Systeme dabei wie gute Hacker – nur in millionenfacher Geschwindigkeit. Das stellt IT-Verantwortliche vor zwei große Aufgaben: Sie müssen ihre Organisation zum Umgang mit der neuen Realität befähigen und Sicherheitsversäumnissen der Vergangenheit einen effektiven Riegel vorschieben.

Blackboxes und Schatten-IT: Viele Unternehmen nutzen KI im Blindflug

So gut wie jedes Unternehmen hat inzwischen klare Regeln für den Umgang mit künstlicher Intelligenz (KI). Aber wie gut werden sie im Arbeitsalltag umgesetzt? Für seinen aktuellen Identity Security Report befragte Delinea 2.254 IT-Verantwortliche und 2.250 Mitarbeitende aus Fachabteilungen in Unternehmen mit mehr als 500 Mitarbeitenden. Die Ergebnisse sind ernüchternd. Zwei Trends greifen dabei auf fatale Weise ineinander: IT-Verantwortliche haben keine ausreichende Kontrolle über den Einsatz der Systeme während Mitarbeitende unsicher sind und die KI-Policy des Unternehmens nicht kennen oder sich nicht daranhalten – allen voran die Führungsebene.

KI-Compliance: Mitarbeitende überfordert, Führungskräfte ausgebremst

Fast die Hälfte der befragten Mitarbeitenden nutzt KI zur Verarbeitung von Unternehmensdaten ohne formelle Genehmigung. Dabei gaben ausgerechnet acht von zehn Führungskräften an, dass sie Genehmigungsverfahren regelmäßig oder immer umgehen – obwohl sie die Regeln kennen. Ein häufiger Grund: zu langsame Prozesse in der IT- oder der Rechtsabteilung. Allgemein sind Mitarbeitende unsicher im Umgang mit KI-Systemen.

Nur rund 30 Prozent verstehen die KI-Richtlinien des Unternehmens und wissen auf welche Daten ein System zugreifen darf. Aber nur einer von zehn Mitarbeitenden könnte erkennen, wenn ein System unautorisierte Aktionen durchführt. Kurz gesagt: Schatten-IT ist mit dem Einzug von KI-Tools und -Agenten zur Norm geworden.

Mangelnde Transparenz, fehlende Kontrolle: IT-Sicherheitsverantwortlichen fehlt Durchgriff

Auf der anderen Seite ist die KI-Nutzung im Unternehmen für IT-Verantwortliche vielfach eine Blackbox. Wer hat einem Tool oder Agenten Zugriff gegeben? Welche Daten konnte das System verarbeiten? Auf diese einfachen Fragen finden viele Sicherheitsabteilungen keine ausreichende Antwort, Rund 87 Prozent der IT-Verantwortlichen sagen, dass ein KI-Tool seinen zugewiesenen Arbeitsbereich verlassen hat und auf mehr Daten zugegriffen hat, als für die Aufgabe nötig war. Aber nur 36 Prozent können nachverfolgen, welche Person das System autorisiert hat.

Nur etwa die Hälfte der Befragten kann KI-Richtlinien in Echtzeit – also vor oder während einer Aktion – durchsetzen. Ausgerechnet in CI/CD-Pipelines und Kubernetes-Umgebungen ist eine Echtzeitautorisierung am seltensten zu finden. Diese Umgebungen nutzen Entwickler häufig für sensible Aufgaben.

Fast noch fataler: Selbst wenn ein Regelverstoß rechtzeitig bemerkt wird, hat nur rund ein Drittel der Unternehmen die Möglichkeit, Rechte sofort zu entziehen und eine Sitzung zu beenden. 22 Prozent sagen, sie können zwar die Rechte entziehen, aber nicht die Sitzung beenden. 27 Prozent geben an, dass es bis zu einem Tag dauern kann, bis ein System komplett ausgesperrt und ausgeschaltet werden kann.

Zu viele Berechtigungen, zu wenig Kontrolle: Sicherheitslücke Identitätsmanagement

Mitverantwortlich für die mangelnde Kontrolle von KI-Systemen sind drei typische „Bad Practices“ im Identitätsmanagement: KI-Tools und -Agenten werden autorisiert wie Menschen. Sie erhalten eine eigene Identität, oft mit den Rechten des jeweiligen Nutzers ausgestattet.

Gleichzeitig besteht das Identitätsmanagement heute im Wesentlichen aus Autorisieren und Protokollieren. Aber im Nachhinein zu dokumentieren, was passiert ist, oder Zugriffe erst später zu entziehen, verhindert den Schaden nicht. Nicht zuletzt fehlt es vielfach an einem konsequenten Berechtigungs-Lifecycle. Zugangsdaten bleiben häufig bis zur nächsten Sitzung aktiv und werden nicht automatisch gesperrt.

Zero Standing Privileges und Laufzeitautorisierung: Best Practices für den KI-Einsatz

Konsequente Best Practices und eine neue technische Kontrollebene können IT-Sicherheitsverantwortlichen die Kontrolle und Transparenz zurückgeben und den Mitarbeitenden Sicherheit geben. Das können Sie jetzt tun:

• Access-Kontrolle: Kontrollieren Sie Zugriffe auf Ressourcen, nicht auf das Netzwerk

Identifizieren und klassifizieren Sie sensible Ressourcen, auf die KI-Agenten zugreifen möchten. Setzen Sie die Kontrolle an der Stelle an, an der ein Konto – sei es ein Mensch oder ein Agent – versucht, auf diese Ressourcen zuzugreifen.

• Agentenspezifische Richtlinien: Behandeln Sie KI nicht wie Menschen

Zwar ist das Management von Identitäten nach wie vor wichtig, aber aufgrund der schieren Anzahl von KI-Agenten nicht praktikabel.

• Echtzeitkontrolle: Autorisieren Sie die Aktion, nicht die Anmeldung.

Führen Sie eine technologische Kontrollschicht ein, die für jede Aktion eines KI-Agenten während der Runtime in Echtzeit Identität, Ressource und Kontext prüft – und die Sitzung sofort beendet, sobald das System gegen die Richtlinien verstößt.

• Zero Standing Privilege: Minimieren Sie dauerhafte Zugriffsrechte

Terminieren Sie dauerhafte Zugriffsrechte (Standing Privileges) für Mitarbeiter wo immer möglich. Privilegierte Zugriffsrechte sollten nur für einzelne Aufgaben bestehen und auf diese beschränkt sein, das heißt, nach Abschluss wieder entzogen werden. Just-in-Time-Zugriff verhindert den Missbrauch von dauerhaften Zugriffsrechten. Wo dauerhafte Zugangsdaten weiterhin notwendig sind, sollten diese sicher verwaltet und regelmäßig gewechselt werden.

• Regeln für Mensch und Maschine: Betrachten Sie Identitätsmanagement ganzheitlich

Das Ziel sollte es sein, Identitätsmanagement als Ganzes sicherer zu machen. Lassen Sie dabei menschliche Identitäten oder andere nicht-agentische Non-Human Identities (NHIs) nicht außer Acht. Machen Sie Best Practices wie die Einschränkung dauerhafter Zugriffsrechte und das Schaffen von Kontrolle und Transparenz zum Goldstandard für jeden Identitäts-Typ – einschließlich menschlicher Identitäten.

Mehr dazu hier