Non-Human Identities Management

Lassen Ihre Non-Humans Hacker herein?

Nicht-menschliche Identitäten (non-human identities / NHIs) sind für automatisierte Prozesse und moderne digitale Geschäftsmodelle unverzichtbar. Gleichzeitig entwickeln sich zu einer zentralen Angriffsfläche in Unternehmen, insbesondere wenn Verantwortung, Berechtigungen und Zugangsdaten nicht transparent und strukturiert verwaltet werden.

Ein wirksames NHI-Programm verbindet vollständige Inventarisierung, klare Governance, kurzlebige Zugangsdaten, minimale Berechtigungen und kontinuierliche Überwachung. So lassen sich Risiken nachvollziehbar priorisieren und nicht-menschliche Identitäten dauerhaft kontrollieren.

Was sind NHIs?

Non-Human Identities (NHIs) sind digitale Identitäten, die Maschinen, Anwendungen und automatisierten Prozessen den authentifizierten Zugriff auf Systeme und die Interaktion untereinander ermöglichen. Beispiele sind Identitäten von KI-Agenten, Dienstkonten oder Anwendungen.

Im Unterschied zu menschlichen digitalen Identitäten werden NHIs häufig programmatisch erstellt. Entwickler:innen oder automatisierte Pipelines erzeugen sie in großer Zahl und teilweise ohne ausreichende zentrale Kontrolle. Dadurch kann ihre Anzahl rasch wachsen, während Verantwortlichkeiten und Nutzung schwer nachvollziehbar bleiben.

Während Benutzerkonten zentral kontrolliert werden, entstehen Service Accounts, Workload-Identitäten und Secrets oft dezentral, hoch privilegiert und in großer Zahl. Herkömmliche Identity Governance kann dieses Risiko nur bedingt adressieren.

David Mayer, Partner, Cybersecurity

Warum sind NHIs ein Cyberrisiko?

Nicht-menschliche Identitäten können Sicherheitsmaßnahmen umgehen, die primär für menschliche Nutzende entwickelt wurden. Besonders relevant ist, dass NHIs in der Regel keine Multi-Faktor-Authentifizierung (MFA) nutzen. Gelangen Zugangsdaten in falsche Hände, kann dies einen direkten Zugang zu kritischen Systemen ermöglichen.

Eine kompromittierte NHI kann unmittelbare geschäftliche Folgen haben. Dazu zählen gestörte Transaktionen, Ausfälle kundenorientierter Dienste oder unterbrochene Integrationen zwischen geschäftskritischen Systemen.

Neben finanziellen Schäden können Sicherheitsvorfälle im Zusammenhang mit NHIs auch Reputationsschäden, Vertrauensverluste und hohe Kosten für die Wiederherstellung von Systemen verursachen. Schwerwiegende Sicherheitsverstöße können zudem erhebliche regulatorische Sanktionen nach sich ziehen.

David Albert Mayer

Director, Advisory / Cybersecurity, Graz

KPMG Austria

mail
call

Bernhard Wannasek

Senior Manager, Advisory / Cybersecurity, Wien

KPMG Austria

mail
call

Thomas Schmid

Manager, Advisory / Cybersecurity, Wien

KPMG Austria

mail
call

Die fünf zentralen Fragen an die Cyberführung

Eine wirksame NHI-Governance beginnt mit Transparenz über Bestand, Verantwortung und Lebenszyklus der Identitäten.

Gibt es eine NHI-Policy?
Liegt ein vollständiges Inventar aller NHIs vor?
Ist für jede nicht-menschliche Identität eine verantwortliche Person oder ein Team festgelegt?
Werden Zugangsdaten sicher gespeichert und regelmäßig rotiert?
Wie werden long-standing Credentials vermieden oder kontrolliert?

Wo entstehen unzureichend geschützte NHIs?

Service Accounts

führen nicht-interaktive Backend-Prozesse aus.

Sie sind häufig von MFA-Prozessen ausgenommen und können weitreichende Berechtigungen besitzen.

API-Keys und Token

authentifizieren Dienste und Anwendungen untereinander.

Werden sie offengelegt oder verfügen sie über zu umfangreiche Berechtigungen, steigt das Risiko eines unbefugten Zugriffs.

RPA-Bots (Robotic Process Automation Bots)

imitieren oft menschliche Anmeldungen.

Dabei verwenden RPA-Bots teilweise gemeinsame Zugangsdaten, die selten rotiert werden.

Agentic AI-Agents

können Aktionen autonom über verschiedene Systeme hinweg verknüpfen.

Dadurch entstehen zusätzliche NHIs, die ohne unmittelbare menschliche Aufforderung auf Systeme und Daten zugreifen können.

Wie können Unternehmen NHIs schützen?

Der Schutz von NHIs erfordert einen kontinuierlichen Ansatz aus Transparenz, Governance, technischen Kontrollen und Überwachung.

NHI-Landschaft bewerten

Unternehmen sollten ihre NHI-Landschaft erfassen, um Transparenz über vorhandene Identitäten, Berechtigungen und Risiken zu schaffen. Diese Bewertung bildet die Grundlage für eine priorisierte Risikobehandlung.
Governance und Lebenszyklus definieren

Ein Governance Framework sollte Verantwortlichkeiten, Eigentümerschaft sowie Kontrollen für den gesamten Lebenszyklus einer nicht-menschlichen Identität festlegen. Dazu gehören Erstellung, Nutzung, Überprüfung, Rotation und Stilllegung.
Secretless-Architektur umsetzen

Zusätzlich zu einer Architektur ohne reusable (wiederverwendbare) Zugangsdaten sollten Zugriffe zudem nach dem Prinzip der minimalen Berechtigung vergeben werden, um das Hauptrisiko der NHI-Sicherheit zu reduzieren.

(Implement secretless archi
Kontinuierliches Monitoring

Die laufende Überwachung hilft, ungewöhnliche Aktivitäten und potenzielle Kompromittierungen frühzeitig zu erkennen. Identity Threat Detection and Response (ITDR) unterstützt dabei, identitätsbezogene Anomalien in Echtzeit zu identifizieren und geeignete Reaktionen einzuleiten.

Wie lässt sich der Erfolg eines NHI-Programms messen?

Die Identifizierung, Inventarisierung, Absicherung und Überwachung von NHIs erfordert messbare Kennzahlen. Vier Kennzahlen zeigen besonders klar, wie reif die Verwaltung nicht-menschlicher Identitäten ist und ermöglichen eine laufende Bewertung der NHI-Reife statt einer einmaligen Bestandsaufnahme.

Ownership Mapping

Anteil der NHIs, die einer verifizierten Person oder einem Team zugeordnet sind.
Credential-Lifespan

Verhältnis langlebiger Zugangsdaten zu kurzlebigen temporären Token.
Pipeline-Hygiene

Geschwindigkeit, mit der fest codierte Zugangsdaten in CI/CD-Pipelines erkannt und behoben werden.
Cleanup-Rate

Anzahl ruhender oder verwaister NHIs, die quartalsweise außer Betrieb genommen werden.

Man kann nur schützen, was man kennt. Die größte Herausforderung bei Non-Human Identities ist nicht die Absicherung einzelner Konten, sondern die fehlende Transparenz über Bestand, Verantwortlichkeiten und Berechtigungen.

Thomas Schmid, Manager, Cybersecurity

Wie unterstützt KPMG beim Management von NHIs?

Unsere Expert:innen unterstützen Organisationen dabei, NHI-bezogene Risiken gezielt in Business-Enablers zu transformieren und sichere digitale Geschäftsprozesse zu ermöglichen. Dabei begleiten wir den gesamten Lebenszyklus nicht-menschlicher Identitäten.

Das Leistungsspektrum umfasst die Identifizierung und Risikobewertung, die Gestaltung von Governance-Modellen, die Transformation zu Secretless-Architekturen ohne wiederverwendbare Zugangsdaten sowie die kontinuierliche Überwachung.

Das KPMG Fachteam für NHI-Management verfügt über umfassende Expertise in den Bereichen technische Implementierung, Plattformlösungen und regulatorische Anforderungen, um den Übergang von einer fragmentierten Sichtbarkeit zu kontinuierlich kontrollierten und auditierbaren NHI-Umgebungen zu gewährleisten.

KPMG-Titelbild: Schriftzug „Non‑Human Identities Management“ neben humanoidem Roboter mit digitalen Diagrammen.

KPMG Cybersecurity: Non-Human Identities (NHI) Management – From Risk to Resilience

Der KPMG LLP Leitfaden[EP1] „KPMG Cybersecurity: Non-Human Identities (NHI) Management – From Risk to Resilience“ beschäftigt sich mit Machine Identities, Service Accounts, API-Keys, Cloud-Workloads, KI-Agenten und automatisierten Systemen.

Download