Unternehmen sehen sich 2026 mit einer exponentiell wachsenden Zahl sogenannter Non‑Human Identities (NHIs) konfrontiert. Das können Service‑Accounts oder API‑Keys sein, aber auch Workload‑Identitäten – digitale Identitäten für Agents, Services, Container oder Skripte, damit diese sich sicher authentifizieren und autorisieren können.
Kontrolle, Governance und Transparenz sind bei Non-Human Identities nicht ausreichend
Diese Entwicklung bringt nicht nur technologische Komplexität, sondern auch erhebliche Sicherheits‑ und Compliance‑Risiken mit sich, denn vielen Organisationen fehlt es an Transparenz, Kontrolle und Governance. Regulatorische Anforderungen wie der Digital Operational Resilience Act (DORA) oder die Richtlinie zur Netzwerk- und Informationssicherheit NIS2 erhöhen den Druck, eine ganzheitliche und prüfungssichere Steuerung aller Identitäten sicherzustellen.
Zentrale Herausforderungen im Management von Non-Human Identities
Der folgende Beitrag thematisiert die drei zentralen Herausforderungen im Management von Non-Human Identities und zeigt auf, welche strategischen Handlungsfelder sich daraus ergeben.
- Identitätsschwemme und fehlende Transparenz
- Sicherheitslücken durch unzureichende Absicherung
- Fehlende Governance- und Compliance‑Einbettung
1. Identitätsschwemme und fehlende Transparenz
Herausforderungen
Cloud‑Technologien, DevOps‑Modelle und moderne Applikationsarchitekturen führen dazu, dass immer mehr NHIs automatisiert und in hoher Frequenz entstehen – etwa in kleinteiligen, dynamischen Service-Architekturen (Microservices) oder automatisierten Prozessen in der Softwareentwicklung, sogenannten Build- und Deployment-Pipelines. Agenten und Workloads legen bei Integrationen eigenständig Service‑Accounts, API‑Keys oder Tokens an – sogenannte Shadow Identities, für die kein zentraler Onboarding- und Steuerungsprozess im Identity and Access Management (IAM) stattfindet. Governance‑Prozesse und Rezertifizierungen laufen zu langsam.
Das Ergebnis: Es entstehen Blind Spots – viele Unternehmen haben keinen vollständigen Überblick über ihre Maschinenidentitäten.
Risiken
Die unsichtbaren Berechtigungen, die Shadow-Identities und verwaisten Accounts (orphaned accounts) zugewiesen sind, bergen zahlreiche Risiken – etwa unbemerkte Zugriffswege, die über Jahre hinweg durch Angreifer genutzt werden können, sowie eine erhöhte Wahrscheinlichkeit lateraler Bewegungen innerhalb der Infrastruktur. Zudem können diese unsichtbaren Berechtigungen Compliance‑Probleme aufgrund unvollständiger Nachweise verursachen und die Forensikprozesse sowie die Schadenseindämmung nach einem Cybervorfall erschweren
Nicht zuletzt werden Zero‑Trust‑Prinzipien untergraben – denn: Was nicht sichtbar ist, kann nicht geschützt werden.
Strategische Handlungsfelder
Transparenz schafft die Grundlage für Resilienz, regulatorische Compliance und eine funktionierende Zero‑Trust‑Architektur. Unternehmen sollten daher folgende Maßnahmen verfolgen. Die Inventarisierung und automatische Erkennung ermöglichen den Aufbau einer zentralen, automatisiert gepflegten NHI‑Datenbasis inklusive Klassifizierung nach Risiko und Kritikalität. Über ein Target Operating Model (TOM) können NHIs als gleichwertige Identitäten in die IAM‑Governance integriert werden – mit klaren Verantwortlichkeiten und Lifecycle‑Prozessen. Monitoring und Analytics sichern die kontinuierliche Überwachung durch Verfahren zur Anomalieerkennung.
2. Sicherheitslücken durch unzureichende Absicherung
Herausforderungen
Viele Organisationen behandeln NHIs noch immer als „Identitäten zweiter Klasse“. Während menschliche Zugänge umfassend abgesichert sind, bestehen bei Maschinenidentitäten häufig erhebliche Defizite. Beispielsweise finden sich vielfach hartcodierte API-Keys, statische Client-IDs oder selten rotierte Zugangsdaten in JSON-Dateien. Zudem fehlen Authentifizierungsmechanismen, die Workloads über eine kryptografische Attestierung der zugrunde liegenden Ausführungs- bzw. Rechenumgebung identifizieren.
Ebenso sind Zugriffsrechte für Workloads auf Basis von Least-Privilege- und zeitgebundenen Berechtigungen – auf Minuten-, maximal Stunden-Basis – kaum etabliert. Hinzu kommt, dass häufig eine lückenlose Aufzeichnung der Aufruf-Ketten fehlt – also die Nachvollziehbarkeit, welche menschliche Identität eine Agenten-Identität initiiert hat. Erst diese Transparenz erlaubt es, überprivilegierte Workload-Accounts zu erkennen und Anomalien im Verhaltensprofil zuverlässig zu identifizieren. Sie ist zugleich Voraussetzung, um wirksame Kontrollen zur Funktionstrennung (Segregation of Duties, SoD) umzusetzen.
Risiken
Die Sicherheitsdefizite machen NHIs zu leichten Zielen für Cyberangriffe: Kompromittierte Zugangsdaten ermöglichen den direkten Zugriff auf kritische Systeme, übermäßige Berechtigungen vergrößern den potenziellen Schaden, unbemerkte Aktivitäten verzögern die Reaktion auf Vorfälle und bewirken Verstöße gegen regulatorische Anforderungen und Sicherheitsstandards. Fallbeispiele zeigen, dass Fehlkonfigurationen bei Maschinenidentitäten zu massiven Datenverlusten und hohen Strafzahlungen führen können.
Strategische Handlungsfelder
Mit diesen Maßnahmen können Unternehmen Angriffsflächen reduzieren, die Sicherheitslage verbessern und regulatorische Anforderungen erfüllen: Ein zentrales Secrets Management bietet durch den Einsatz sicherer Vault‑Lösungen die Funktionen Verschlüsselung, Rotation und Policy Enforcement. Durch das Etablieren von Least-Privilege-Berechtigungen und Just‑in‑Time Access können Berechtigungen auf ein Minimum reduziert sowie Zugriffskonzepte zeitlich begrenzt werden. Ein Monitoring-and-Response-System ermöglicht die kontinuierliche Echtzeit‑Analyse von Aktivitäten und automatisierte Reaktionen auf verdächtige Ereignisse.
3. Fehlende Governance- und Compliance‑Einbettung
Herausforderungen
NHIs sind in vielen Unternehmen noch nicht in eine konsistente Governance‑Struktur integriert. Häufig fehlen klare Ownership‑Modelle, standardisierte Richtlinien sowie konsistente Prozesse für Lifecycle und Zugriff. Gleichzeitig verlangen regulatorische Vorgaben eine gleichwertige Behandlung von menschlichen und maschinellen Identitäten.
Risiken
Die fehlende Einbettung von NHIs in Governance-, Risiko- und Compliance-Prozesse führt zu mangelnder Transparenz und unklaren Verantwortlichkeiten („Ownerless Risk“). Dadurch werden Audits erschwert, regulatorische Anforderungen können nicht zuverlässig nachgewiesen werden und geschäftskritische Abhängigkeiten bleiben häufig unberücksichtigt. Dies erhöht das Risiko von Compliance-Verstößen, Kontrollschwächen und Fehlentscheidungen im Umgang mit sicherheitsrelevanten Maschinenidentitäten.
Strategische Handlungsfelder
Zur Verbesserung von Audit Readiness, Skalierbarkeit und der nachhaltigen Integration von NHIs in die Unternehmenssteuerung, sollten Governance, Risiko- und Compliance-Prozesse gezielt weiterentwickelt werden. Hierzu gehört das Erweitern des Governance-Rahmens durch das Einführen unternehmensweiter NHI-Policies mit klar definierten Zuständigkeiten und Attributierungsregeln. Zudem sollten NHIs im Risikomanagement sowie in internen Kontrollsystemen berücksichtigt werden. Ergänzend empfiehlt sich die Definition eines Target Operating Models inklusive Roadmap, um ein Zielbild für die NHI-Steuerung über Organisation, Prozesse und Technologie hinweg festzulegen.
Fazit: NHIs als zentraler Bestandteil moderner IAM‑Strategien
Non‑Human Identities sind eine zentrale Komponente der digitalen Unternehmensarchitektur. Die Herausforderungen – Transparenz, Sicherheit und Governance – sind eng miteinander verknüpft und erfordern einen integrierten Ansatz.
Unternehmen, die NHIs frühzeitig und systematisch in ihre IAM‑Strategie einbetten, profitieren von erhöhter Cyber‑Resilienz, verbessern ihre Compliance und ermöglichen die sichere Nutzung moderner Technologien wie Cloud und KI.
Die Zukunft des Identity and Access Managements liegt darin, Maschinenidentitäten mit derselben Konsequenz zu steuern wie menschliche – als Voraussetzung für eine vertrauenswürdige digitale Transformation.
Mehr KPMG Insights zum Thema
Ihre Ansprechperson
Dr. Florian Kohlar
Partner, Consulting - Cyber Security & Resilience
KPMG AG Wirtschaftsprüfungsgesellschaft