Was ist Identity Security Posture Management (ISPM)?

Identitätsinfrastrukturen haben das Netzwerk als primäre Angriffsflächeabgelöst. Anwendungen befinden sich heute in der Cloud, Mitarbeiter melden sich von überall an, und jede Verbindung basiert auf einer einzigen verifizierten Identität. Angreifer haben einen direkten, auf Zugangsdaten basierenden Weg, der sich durch herkömmlichen Perimeterschutz nicht stoppen lässt.

Hybride Umgebungen erhöhen die Komplexität zusätzlich. Schnelle Cloud-Migrationen können die Identitätsinfrastruktur über lokale Active Directory (AD), Microsoft Entra ID und Okta aufspalten, oft ohne dass eine einheitliche Sichtweise diese verbindet. Jede Plattform hat eigene Zugriffsberechtigungen, eigene Eigenheiten und eigene Transparenzlücken. Heutige Angreifer sind geschickt darin geworden, die Lücken zwischen ihnen auszunutzen.

Auch die Einsätze werden immer höher. Der Report von Zscaler ThreatLabz zur KI-Sicherheit 2026 ergab, dass die Transaktionen im Bereich KI und ML in Unternehmen im Jahresvergleich um 91 % gestiegen sind – und zwar in mehr als 3.400 Anwendungen. Jedes neue KI-Tool, das Ihr Unternehmeneinführt, benötigt eine Identität zur Authentifizierung. Da kompromittierte Zugangsdaten der primäre Weg zu firmeneigenen Daten sind, vergrößert jede KI-Integration die Angriffsfläche für identitätsbasierte Angriffe.

Welche Gefahren bergen Fehlkonfigurationen veralteter Identitätssysteme?

Legacy-Identitätsspeicher, insbesondere die Konten von IT- und Führungskräften mit Sonderberechtigungen, stellen nach wie vor die am häufigsten angegriffenen Assets in der IT-Umgebung von Unternehmen dar. Über 90 % der Unternehmen verlassen sich immer noch auf Active Directory zur Authentifizierung. Dessen Standardeinstellungen sowie die über Jahrzehnte angesammelten Konfigurationen machen es von Natur aus anfällig. Angreifer wissen das und haben eigens dafür Toolkits entwickelt, um diese Schwachstelle auszunutzen.

Mangelhafte Verzeichniskonfigurationen schaffen einfache Angriffswege. Pass-the-Hash ermöglicht einem Angreifer, sich mit einem gestohlenen Passwort-Hash zu authentifizieren, ohne jemals das Passwort selbst zu benötigen. Kerberoasting ermöglicht einem Angreifer, Service-Tickets anzufordern, die mit schlecht gesicherten Service-Konten verknüpft sind, und dann die verschlüsselten Anmeldedaten offline mit eigener Hardware zu knacken. Beide Methoden eignen sich besonders für Verzeichnisse, die in letzter Zeit nicht geprüft wurden.

Zu den bestehenden Problemen kommt noch hinzu, dass sich Identitätsrisiken schleichend im Verborgenen anhäufen können. Die Konten ehemaliger Mitarbeiter bleiben monatelang aktiviert. Verwaiste Service-Zugangsdaten überdauern die Anwendungen, für die sie erstellt wurden. Die Userberechtigungen gehen weit über das ursprünglich Genehmigte hinaus. Jede einzelne ist eine offene Tür, und die meisten Unternehmen haben keine Ahnung, wie viele sie überhaupt eingerichtet haben.

ISPM erkennt kontinuierlich alle menschlichen und nicht-menschlichen Identitäten in einer Umgebung, prüft jede einzelne auf Fehlkonfigurationen und übermäßige Berechtigungen und wandelt die Ergebnisse in eine einzige risikobasierte Sicherheitsbewertung um. ISPM integriert verschiedene Funktionen in einen kontinuierlichen Zyklus aus Erkennung, Analyse und Behebung von Problemen. Jeder Aspekt spielt eine bestimmte Rolle, und zusammen zeigen sie, wo sich Identitätsrisiken verbirgt.

Lückenlose Transparenz und Erkennung

Die durchgängige Transparenz und Erkennung ist der ISPM-Prozess, bei dem jede Identität, ob menschlich oder nicht-menschlich, lokalisiert und katalogisiert wird, bevor mit einer Risikoanalyse begonnen werden kann. Sicherheitsteams können nur schützen, was sie sehen können. Daher inventarisiert ISPM Mitarbeitende, Auftragnehmer, Servicekonten und Maschinenidentitäten, die über AD-, Entra ID- und Cloud-Infrastrukturplattformen verteilt sind.

Die Identifizierung nicht-menschlicher Identitäten (NHIs) erfordert zusätzliche Aufmerksamkeit. API-Schlüssel, Automatisierungstoken und Workload-Identitäten operieren häufig völlig außerhalb des Geltungsbereichs der traditionellen Verzeichnisverwaltung. Ein Entwickler erstellt ein Servicekonto für ein Wochenendprojekt. Drei Jahre später verfügt es immer noch über Administratorrechte, und niemand überwacht es. ISPM macht NHIs sichtbar, sodass keine Identität im Verzeichnis ungesehen bleibt.

Kontinuierliche Prüfung und Statusbewertung im ISPM

Die kontinuierliche Prüfung und Bewertung des Sicherheitsstatis ist die ISPM-Funktion, die rund um die Uhr die Konfiguration jeder Identität scannt und die Ergebnisse in eine einzige, nachvollziehbare Risikobewertung umwandelt. Die Erkennung dient der Feststellung des Ist-Zustands; die Prüfung dient der Feststellung der Sicherheit. Häufige Probleme, die bei diesen Scans auftauchen, sind:

• Schwache oder wiederverwendete Passwörter
• Deaktivierte Multifaktor-Authentifizierungsrichtlinien (MFA)
• Veraltete Berechtigungsstrukturen, die aus Rollenwechseln oder nie vollständig durchgeführten Offboarding-Prozessen übrig geblieben sind

Dieser Wert bietet IT- und Sicherheitsteams einen klaren Maßstab, um Fortschritte zu verfolgen und der Führungsebene über Verbesserungen zu berichten. Ein steigender Wert deutet auf eine Verbesserung der Identitätssicherheit hin; ein sinkender Wert warnt vor neuen Risiken, bevor daraus Vorfälle entstehen.

Analyse von Angriffspfaden und Rechteausweitung

Die Analyse von Angriffspfaden und Rechteausweitungen ist eine ISPM-Funktion, die Beziehungen zwischen Identitäten, Berechtigungen und Ressourcen abbildet, um aufzudecken, wie Angreifer kleine Schwachstellen zu vollständigen Sicherheitsverletzungen ausnutzen. Dies ist hilfreich, da eine einzelne Fehlkonfiguration selten das Gesamtbild zeigt.

Stellen wir uns einmal vor, Sicherheitsfachkräfte entdecken ein Konto mit geringen Berechtigungen, das über Berechtigungen für eine versehentlich falsch konfigurierte Richtlinie verfügt. Für sich genommen wirkt das Konto harmlos. In Verbindung mit einer schlummernden Vertrauensbeziehung zu einer anderen Domäne kann es Domänenadministratorrechte erlangen, und aus einem geringfügigen Risiko wird ein kritischer Angriffspfad. Die Visualisierung von Angriffspfaden ermöglicht Sicherheitsbeauftragten, die Verbindungen mit dem höchsten Risiko zu korrigieren.

Adaptive, risikobasierte Durchsetzung

Die adaptive, risikobasierte Durchsetzung löst automatisch zusätzliche Kontrollmaßnahmen aus, sobald eine Schwachstelle auftritt, anstatt auf manuelle Folgemaßnahmen zu warten. Diese Kontrollmechanismen umfassen:

• Beschränkung des Zugangs zu vertraulichen Bereichen auf Grundlage des Risikogrades
• Identifizierung anomaler Anfragen nach erhöhten Berechtigungen
• Einspeisen von Echtzeit-Statusdaten in Zero-Trust-Richtlinien

Dadurch entsteht ein geschlossener Regelkreis zwischen Erkennung und Korrektur, wodurch die Verbesserung der Identität Teil der täglichen Betriebsabläufe wird.

ISPM integriert sich in den Identitäts-Stack, indem es die Zugriffsdurchsetzung, die IAM bietet, und die Governance, die IGA bietet, um eine kontinuierliche Statusanalyse erweitert. Anstatt eine der beiden Disziplinen zu ersetzen, nimmt sie die Rolle zwischen der Authentifizierung einer Anmeldung und der Bestätigung ein, dass der Zugriff über die Zeit sicher bleibt.

Worin besteht der Unterschied zwischen ISPM und IAM?

ISPM und IAM unterscheiden sich im Anwendungsbereich. IAM regelt Zugriffsberechtigungen bei der Anmeldung, verwaltet die Userkonten eines Unternehmens und überprüft den Zugriff über Single Sign-On (SSO) und Multi-Faktor-Authentifizierung (MFA). ISPM prüft stattdessen kontinuierlich, ob die Berechtigungen einer bereits authentifizierten Identität weiterhin sicher sind.

IAM allein kann nicht vor Identitätsbedrohungen schützen. Es überprüft die Anmeldedaten beim Einloggen, kann aber nicht feststellen, ob das Konto über übermäßige Berechtigungen verfügt. Ein verifizierter Mitarbeiter, der sich über eine ordnungsgemäße Multi-Faktor-Authentifizierung anmeldet, kann Administratorrechte besitzen, die er nicht mehr benötigt. IAM genehmigt sie jedes Mal.

Worin besteht der Unterschied zwischen ISPM und IGA?

ISPM und IGA unterscheiden sich im Rhythmus. IGA regelt den Zugriff durch automatisierte Bereitstellung und regelmäßige Zertifizierungsprüfungen. Dadurch erhalten die Compliance-Verantwortlichen einen Überblick darüber, welche Zugriffe wann genehmigt wurden. ISPM läuft hingegen kontinuierlich und prüft zwischen den Überprüfungszyklen, ob der genehmigte Zugriff noch gültig ist.

Die Überprüfung von IGA-Berechtigungen erfolgt größtenteils manuell und monatlich oder vierteljährlich, wodurch riskante Berechtigungen wochenlang unentdeckt bleiben können, bevor die nächste Überprüfung stattfindet.

Im Gegensatz dazu führt ISPM kontinuierliche und automatische Statusanalysen der Verzeichniskonfiguration durch, anstatt auf die nächste planmäßige Überprüfung zu warten. IGA fragt: „Haben wir diesen Zugriff genehmigt?“ ISPM fragt: „Ist dieser Zugriff derzeit sicher?“

Zusammen bilden diese drei Disziplinen ein vollständiges Identitätspaket. IAM steuert, wer Zugriff erhält, IGA regelt, wer Zugriffsberechtigungen haben soll, und ISPM stellt sicher, dass die zugrunde liegende Infrastruktur frei von Fehlkonfigurationen ist, auf die Angreifer angewiesen sind, um unbemerkt einzudringen.

Automatisierte Angriffspfade gefährden die Identitätssicherheit, indem sie die Zeitspanne zwischen Entdeckung und Kompromittierung verkürzen. Angreifer nutzen KI-gestützte Tools, um Ihre AD-Struktur in Sekundenschnelle abzubilden, den kürzesten Weg zu Domänenadministratorrechten zu identifizieren und zuzuschlagen, bevor die Verteidiger reagieren können.

Kompromittierte nicht-menschliche Identitäten erhöhen das Risiko zusätzlich. Ein einziger ausgenutzter API-Schlüssel oder ein vergessenes Automatisierungstoken kann eine stille Hintertür öffnen, die nur selten die Anmeldewarnungen auslöst, die ein menschliches Konto auslösen würde.

Geschwindigkeit ist der am wenigsten berechenbare Aspekt. Bei Red-Team-Tests von KI-Systemen in Unternehmen stellte ThreatLabz eine mittlere Zeit bis zum kritischen Ausfall von 16 Minuten fest, wobei 90 % der Systeme innerhalb von 90 Minuten vollständig kompromittiert wurden. Reaktive Sicherheitsmaßnahmen können mit diesem Tempo nicht mithalten. Ihr Unternehmen benötigt ein proaktives Sicherheitsmanagement, um Schwachstellen zu beheben, bevor es zu einem Sicherheitsvorfall kommt.

Die Abwehrmechanismen von ISPM halten mit der blitzschnellen Ausnutzung von Sicherheitslücken Schritt, indem sie kontinuierliche Konfigurationshärtung, automatisierte Behebung von Berechtigungslücken und Echtzeit-Bedrohungserkennung kombinieren. Diese Maßnahmen schließen die Lücken, auf die automatisierte Angreifer vor Beginn eines Angriffs angewiesen sind, und kennzeichnen aktive Bedrohungen sofort nach deren Auftreten.

Integration von ISPM mit Identity Threat Detection and Response (ITDR)

ISPM und ITDR ergänzen sich gegenseitig, indem die Identitätsverteidigung in zwei sich ergänzende Hälften aufgeteilt wird. ISPM stärkt die Identitätskonfiguration proaktiv und behebt so die Fehlkonfigurationen, auf die Angreifer setzen. ITDR erkennt und isoliert aktive Bedrohungen in Echtzeit, sobald ein Angreifer bereits in die Umgebung eingedrungen ist.

Durch die Kombination beider Vorgehensweisen entsteht ein vollständiger Kreislauf zur Abwehr identitätsbasierter Bedrohungen. Die von ISPM gewonnenen Erkenntnisse zum Sicherheitsstatus fließen direkt in die Risikominderungs-Playbooks von ITDR ein, sodass die zuständigen Fachkräfte bereits vor dem Auslösen einer Warnung wissen, welche Konten das höchste Risiko bergen. Anstelle von zwei voneinander unabhängigen Werkzeugen entsteht ein kontinuierlicher Zyklus aus Härtung und Reaktion.

Automatisierte Behebung unnötiger Berechtigungen

Berechtigungen weiten sich oft schleichend aus. Ein User wechselt in eine neue Rolle und erhält vorübergehenden Zugriff auf ein Projekt. Das Projekt endet; die Zugriffsberechtigung bleibt bestehen. Wird dieses Konto kompromittiert, gehen alle angesammelten Berechtigungen in den Besitz des Angreifers über.

ISPM bekämpft dieses Problem mit automatisierten Korrekturmaßnahmen: dem Kennzeichnen unnötiger Berechtigungen und dem Entzug von Zugriffsrechten für Benutzer, die diese nicht mehr benötigen. Weniger Berechtigungsrechte bedeuten weniger Möglichkeiten zum MIssbrauch durch einen Bedrohungsakteur.

Erweiterung der Zero-Trust-Prinzipien auf Verzeichniskonfigurationen

Zero Trust bezieht sich üblicherweise auf den Netzwerkzugriff, aber die Denkweise „Vertrauen ist gut, Kontrolle ist besser“ gilt ebenfalls für Verzeichnisse.

ISPM überprüft jede Konfigurationseinstellung, jede Vertrauensbeziehung und jede delegierte Berechtigung und erweitert die Zero-Trust-Sicherheitsprinzipien bis unter die Anmeldeaufforderung und in das Verzeichnis, das festlegt, was ein authentifizierter Benutzer tun darf.

Die effektive Implementierung von ISPM lässt sich auf eine Handvoll disziplinierter Schritte reduzieren. Folgen Sie diesen Schritten, um einen messbar stärkeren Identitätssttatus zu erreichen.

1. Verzeichnisübersicht vereinheitlichen: Verbinden Sie Ihr lokales Active Directory mit Ihren Cloud-nativen Systemen, einschließlich Microsoft Entra ID und Okta, sodass alle Aktivitäten in einem Dashboard anstatt in mehreren isolierten Ansichten angezeigt werden.
2. Schatten-Identitätsspeicher erkennen: Führen Sie eine kontinuierliche Asset-Erkennung durch, um Verzeichnisse zu finden, die von unabhängigen Entwicklern oder SaaS-Integrationen mit Drittanbietern außerhalb der offiziellen Governance erstellt wurden. Diese Speicherorte werden in der Regel weniger überwacht und sind daher anfälliger für Ausbeutung.
3. Überflüssige Berechtigungen entfernen: Mithilfe von ISPM-Daten werden überflüssige Berechtigungen nach dem Prinzip der minimalen Rechtevergabe aus User- und Dienstkonten entfernt, wobei jedes Konto nur die unbedingt erforderlichen Zugriffsberechtigungenerhält.
4. Verwaiste Anmeldedaten eliminieren: Prüfen Sie, ob Dienstkonten oder ungenutzte Anmeldedaten ohne Besitzer vorhanden sind, und löschen Sie diese, bevor jemand anderes sie ausnutzen kann.
5. Konfigurationsbezogene Warnmeldungen automatisieren: Benachrichtigen Sie Verzeichnisadministratoren sofort, wenn eine Konfigurationsänderung von Ihrer Sicherheitsbasislinie abweicht.
6. Identitätsstatus im Zeitverlauf verfolgen: Betrachten Sie Ihre ISPM-Bewertung als ein aktuelles Maß für Ihre Identitätssicherheit, nicht für Ihren allgemeinen Sicherheitsstatus. Besprechen Sie es regelmäßig mit Ihren Sicherheitsbeauftragten, um den Fortschritt bei der Risikominimierung zu bestätigen.

Diese Schritte bauen aufeinander auf. So wird aus einer einmaligen Implementierung eine fortlaufende Praxis, die Ihre Identitätsdatenbank angesichts sich weiterentwickelnder Bedrohungen schützt.

Zscaler Identity Protection (Zscaler ITDR) prüft kontinuierlich AD- und hybride Identitätsspeicher auf Fehlkonfigurationen, liefert eine risikobasierte Statusansicht und erkennt Angriffe wie Kerberoasting in Echtzeit. Es ist nativ mit der Zscaler Zero Trust Exchange™ integriert.

Zu den wichtigsten Funktionen gehören:

• Kontinuierliche AD- und Entra-ID-Statusprüfung: Zscaler ITDR scannt lokale und hybride Identitätsspeicher rund um die Uhr, um Fehlkonfigurationen, veraltete Berechtigungen und offengelegte Anmeldedaten aufzudecken, bevor Angreifer sie finden.
• Echtzeit-Erkennung von Identitätsangriffen: Die Plattform erkennt Techniken wie Kerberoasting, Pass-the-Hash und DCSync, sobald sie auftreten, und schließt so das Zeitfenster zwischen Kompromittierung und Reaktion (siehe Einführung zu Zscaler ITDR).
• Einheitliche Bewertung des Identitätsrisikos: Zscaler ITDR wandelt verstreute Ergebnisse in eine einzige, nachvollziehbare Statusbewertung um, über die IT- und Sicherheitsteams im Laufe der Zeit berichten können.
• Native Integration mit der Zero Trust Exchange: Status- und Bedrohungsdaten fließen direkt in adaptive Zero Trust-Richtlinien ein, sodass Identitätsrisiken Zugriffsentscheidungen in Echtzeit über den Zscaler Zero Trust Exchange beeinflussen.
• Abdeckung nicht-menschlicher Identitäten: Zscaler ITDR erweitert die Transparenz auf Servicekonten, API-Schlüssel und Workload-Identitäten, die herkömmliche Identitätstools regelmäßig nicht erfassen.

Fordern Sie eine Demo an, um zu erfahren, wie Zscaler ITDR Ihnen helfen kann, Ihre Identitätssicherheit zu verbessern.