KI ist nicht das Problem - Unkontrollierte Zugriffe sind es

Warum KI die Angriffe gefährlicher macht

Cyberangriffe werden durch KI nicht automatisch magisch oder unbesiegbar. Aber sie werden professioneller. Das betrifft vor allem drei Bereiche:

• Phishing wird persönlicher, weil öffentlich verfügbare Informationen aus sozialen Netzwerken, Webseiten oder früheren Datenlecks leichter ausgewertet werden können.
• Schadsoftware kann sich schneller verändern und dadurch klassische Schutzmechanismen eher umgehen.
• Passwortangriffe werden intelligenter, weil Angreifer nicht mehr nur einfache Zeichenketten ausprobieren, sondern Verhaltensmuster, Interessen oder bekannte Informationen einbeziehen können.

Früher war eine Phishing-Mail oft an Rechtschreibfehlern, merkwürdigen Formulierungen oder unrealistischen Versprechen zu erkennen. Heute kann Voice Phishing, also betrügerische Anrufe mit KI-generierten Stimmen, glaubwürdigen Gesprächsverläufen und hohem Zeitdruck einen Angriff sehr real wirken lassen. Wenn jemand angeblich aus dem IT-Support anruft und eine dringend notwendige Handlung verlangt, reicht ein kurzer Moment der Unsicherheit aus.

Deshalb ist es gefährlich, allein auf Awareness zu setzen. Schulungen bleiben wichtig. Aber man muss davon ausgehen, dass Menschen Fehler machen. Nicht aus Nachlässigkeit, sondern weil Angriffe einfach sehr gut gemacht sind.

Das eigentliche Einfallstor: Identitäten

Wenn ein Angreifer an Zugangsdaten kommt, nutzt er häufig keine klassische technische Schwachstelle mehr. Er meldet sich einfach mit gültigen Zugangsdaten an. Aus Sicht der Systeme ist das legitim, weil die Berechtigung ja vorhanden ist. Genau hier beginnt das Problem:

Was darf diese Identität alles? Hat das Konto Zugriff auf sensible Daten? Ist es Mitglied in mehreren Gruppen? Gibt es alte Berechtigungen aus früheren Projekten? Wurde ein Konto nach einem Rollenwechsel bereinigt? Gibt es Servicekonten mit zu weitreichenden Rechten?

In vielen Unternehmen sind Berechtigungen historisch gewachsen. Das bekannte Beispiel ist der Auszubildende, der während der Ausbildung verschiedene Abteilungen durchläuft und überall zusätzliche Rechte erhält. Nach einiger Zeit hat diese Person womöglich mehr Zugriffe als viele andere Mitarbeitende. Nicht, weil das jemand bewusst entschieden hat, sondern weil Rechte vergeben, aber selten wieder entfernt werden.

Was für einzelne Benutzer gilt, gilt zunehmend auch für technische Identitäten und KI-Agenten. Je mehr KI-Systeme in Geschäftsprozesse eingebunden werden, desto wichtiger wird die Frage: Auf welche Daten darf diese KI eigentlich zugreifen?

KI-Agenten sind keine Spielerei, sondern neue Identitäten

Viele Unternehmen nutzen mehr und mehr KI. Das ist verständlich und grundsätzlich richtig. KI kann Prozesse beschleunigen, Wissen besser nutzbar machen und Mitarbeitende im Alltag entlasten. Je mehr Daten ein KI-Agent nutzen darf, desto hilfreicher wirkt er zunächst. Aber genau darin liegt das Risiko.

Ein KI-Agent ohne saubere Zugriffskontrolle ist im schlimmsten Fall wie ein Benutzerkonto mit zu vielen Rechten. Wenn nicht klar ist, welche Daten verarbeitet werden dürfen, wer die Berechtigungen vergeben hat und wie diese überprüft werden, entsteht eine neue Form von Schatten-IT: Schatten-KI.

Dabei ist die Lösung nicht, KI grundsätzlich zu verbieten. Das wäre weder realistisch noch hilfreich. Entscheidend ist vielmehr, KI-Agenten genauso ernst zu nehmen wie andere Identitäten im Unternehmen.

Das bedeutet:

• Jeder KI-Agent braucht eine eigene, nachvollziehbare Identität.
• Zugriffe müssen an konkrete Anwendungsfälle gebunden sein.
• Berechtigungen sollten nach dem Least-Privilege-Prinzip vergeben werden.
• Rechte müssen regelmäßig überprüft und angepasst werden.
• Shared Accounts sollten vermieden werden.
• Kritische Aktionen brauchen klare Freigaben und Protokollierung.

Kurz gesagt: Was für Benutzerkonten gilt, muss auch für KI-Agenten gelten.

Warum Multifaktor-Authentifizierung allein nicht reicht

Neben den Ki-Agenten und Service Konten stehen aber weiterhin die eigentlichen Benutzer-Konten im Fokus. Multifaktor-Authentifizierung ist eine der wichtigsten Schutzmaßnahmen überhaupt. Trotzdem nutzen viele Menschen solche Schutzmaßnahmen noch nicht konsequent. Laut BSI verwenden nur 34 Prozent der Befragten Zwei-Faktor-Authentisierung.

MFA muss Teil jedes Sicherheitskonzeptes sein, ist aber kein Freifahrtschein. MFA löst nicht das Problem übermäßiger Berechtigungen. Wenn ein kompromittiertes Konto zu viele Rechte hat, bleibt der Schaden groß. Es braucht mehrere Schutzschichten, ähnlich wie bei einer gut gesicherten Tür: Eine Kamera ist hilfreich, aber sie ersetzt kein Schloss. Und ein Schloss hilft wenig, wenn zu viele Personen einen Schlüssel haben.

Drei Bausteine für besseres Identity Management

1. Kontextbasierte Zugriffe einführen

Unternehmen sollten nicht nur fragen, ob das Passwort richtig ist. Sie sollten auch prüfen, unter welchen Umständen ein Zugriff erfolgt. Ist das Gerät bekannt? Passt der Standort zum üblichen Verhalten? Wird auf eine besonders sensible Anwendung zugegriffen? Gibt es Hinweise auf ein erhöhtes Risiko?

Solche kontextbasierten Regeln helfen, ungewöhnliche Zugriffe frühzeitig zu erkennen. KI-Mechanismen prüfen das Risiko jeden Zugriffs und entscheiden Kontextbasiert, ob ein Zugriff erlaubt wird, weitere Faktoren zur Anmeldung erforderlich sind oder der Zugriff verweigert wird.

Der Vorteil: Sicherheit wird dynamischer. Sie hängt nicht nur an einem starren Login, sondern berücksichtigt die Situation.
 

2. Angriffspfade sichtbar machen

Viele Unternehmen wissen nicht, wie ein Angreifer sich nach einem ersten erfolgreichen Zugriff weiterbewegen könnte. Genau dafür sind Angriffspfadanalysen wichtig. Sie zeigen, welche Konten, Gruppen, Systeme und Berechtigungen miteinander verbunden sind und welche Wege zu besonders kritischen Zielen führen. Dabei geht es nicht darum, jede einzelne theoretische Angriffsmöglichkeit manuell abzuarbeiten. Viel wichtiger ist die Priorisierung.

Angriffspfadanalysen machen sichtbar, was im Alltag oft verborgen bleibt. Sie helfen, aus einem diffusen Bauchgefühl konkrete Maßnahmen abzuleiten.
 

3. Systeme härten und Angriffsflächen verkleinern

Identity Management endet nicht beim Benutzerkonto. Geräte, Server, Cloud-Dienste und lokale Systeme müssen ebenfalls sicher konfiguriert sein. Systemhärtung bedeutet, unnötige Dienste, Funktionen und Berechtigungen abzuschalten. Was nicht aktiv ist, kann auch nicht ausgenutzt werden.

Systemhärtung ist kein einmaliges Projekt sein. Sie gehört in einen kontinuierlichen Verbesserungsprozess.

KI zwingt uns zu mehr Disziplin

KI ist nicht das eigentliche Problem. Das Problem ist, dass KI bestehende Schwächen schneller sichtbar und ausnutzbar macht. Wer unklare Berechtigungen, alte Konten, fehlende Prozesse und unkontrollierte Zugriffe hat, wird durch KI nicht unsicher. Er war es vorher schon. Nur fällt es jetzt stärker ins Gewicht.

Deshalb sollten Unternehmen die aktuelle Entwicklung als Chance verstehen. KI zwingt uns, Identity Management ernster zu nehmen. Nicht als technisches Nebenthema, sondern als zentrales Element der Unternehmenssicherheit.

Es reicht nicht mehr, einmal im Jahr eine Berechtigungsliste zu prüfen oder MFA einzuführen und das Thema dann abzuhaken. Identitäten verändern sich ständig. Mitarbeitende wechseln Rollen, Projekte enden, neue Anwendungen entstehen, KI-Agenten kommen hinzu. Sicherheit muss mit dieser Dynamik Schritt halten.

Was Unternehmen jetzt konkret tun sollten

Ein guter Einstieg muss nicht kompliziert sein. Wichtig ist, strukturiert anzufangen:

1. Überblick schaffen
   Welche Benutzer, Gruppen, Servicekonten und KI-Agenten gibt es? Wer hat Zugriff worauf?
2. Kritische Identitäten priorisieren
   Besonders privilegierte Konten, Administratoren, Servicekonten und KI-Agenten sollten zuerst betrachtet werden.
3. MFA und phishing-resistente Verfahren ausbauen
   Wo möglich, sollten moderne Verfahren wie Sicherheitsschlüssel, zertifikatsbasierte Authentifizierung oder passwortlose Verfahren geprüft werden.
4. Berechtigungen reduzieren
   Rechte sollten nur dort bestehen, wo sie wirklich gebraucht werden. Besonders stehende Adminrechte sollten kritisch hinterfragt werden.
5. Angriffspfade analysieren
   Unternehmen sollten verstehen, wie sich ein Angreifer von einem normalen Konto zu kritischen Systemen bewegen könnte.
6. KI-Agenten in Governance-Prozesse aufnehmen
   KI darf nicht außerhalb bestehender Sicherheits- und Compliance-Strukturen laufen.
7. Kontinuierlich prüfen
   Identity Management ist kein Projekt mit Enddatum, sondern ein dauerhafter Prozess.

Fazit

KI macht Angreifer schneller. Aber sie macht Unternehmen nicht automatisch wehrlos. Entscheidend ist, ob Identitäten, Berechtigungen und Zugriffe sauber gesteuert werden.

Wer seine Benutzerkonten, privilegierten Rechte, Servicekonten und KI-Agenten kennt, reduziert das Risiko erheblich. Wer hingegen nicht weiß, welche Identität worauf Zugriff hat, verliert im Ernstfall wertvolle Zeit und möglicherweise die Kontrolle.

Identity Management ist deshalb keine rein technische Aufgabe. Es ist eine Führungsaufgabe, eine Prozessfrage und ein zentraler Bestandteil moderner IT-Sicherheit. Gerade im Zeitalter von KI gilt: Nicht jede neue Bedrohung braucht eine neue Wunderlösung. Oft beginnt wirksame Sicherheit damit, die eigenen Grundlagen konsequent in Ordnung zu bringen.