Die Cybersicherheitswelt wurde durch die jüngste Ankündigung, dass Palo Alto Networks CyberArk in einem bahnbrechenden Deal im Wert von rund 25 Milliarden US-Dollar übernehmen wird, erschüttert. Über den finanziellen Umfang der Transaktion hinaus markiert diese Übernahme einen Wandel in der Sichtweise der Branche Identity-Security-LückenDie jüngste Übernahme bestätigt, was wir bereits betont haben: Identität ist sowohl die erste als auch die letzte Verteidigungslinie, und es erfordert eine eigene dedizierte Sicherheitsebene. Wie wir in anderen Bereichen wie der Endpunkt- und Cloud-Sicherheit gesehen haben, erfordert der Schutz von Identitäten eine End-to-End- Lernumgebung– eine, die einheitliche Sichtbarkeit, intelligente Einblicke und Inline-Schutz bietet.
CyberArk, verwurzelt in Privilegierte Zugriffsverwaltung (PAM)hat seine Identitätskompetenzen als Reaktion auf die Marktbedürfnisse erweitert. Diese Übernahme wirft jedoch eine wichtigere und aktuellere Frage auf:
Wie sieht die Zukunft von PAM aus?
Wir glauben, dass wir den Beginn einer Transformation erleben. Eine Zukunft, in der Sicherung des privilegierten Zugriffs wird sich nicht mehr um eine Gewölbe. Tatsächlich werden Tresor-basierte Ansätze nicht mehr die primär Methode zur Durchsetzung der Sicherheit privilegierter Zugriffe.
Dieser Wandel verläuft parallel zu Transformationen, die wir bereits in anderen Bereichen der Cybersicherheit beobachten konnten:
- Cloud-Sicherheit ist agentenlos geworden und ersetzt aufdringliche Bereitstellungen durch leichte, API-basierte Sichtbarkeit.
- Multi-Faktor-Authentifizierung (MFA) erfordert keine Codeänderungen oder Proxys wie in der Vergangenheit. Heute wird es vom Identitätsanbieter oder einer Erweiterung des Identitätsanbieters erzwungen.
- Identitätsschutz Plattformen jetzt Richtlinien in Echtzeit durchsetzen ohne Schlüssel oder Passwörter einzuschleusen, wodurch die Angriffsfläche reduziert wird.
- Netzwerksicherheit weg von physischen Firewalls und VPNs hin zu Zero Trust Network Access (ZTNA), das Zugriff dynamisch basierend auf Identität, Kontext und Haltung gewährt.
In jedem dieser Fälle war die Kernidee dieselbe: Weg von der Sicherung Geheimnisse oder Infrastrukturund konzentrieren sich stattdessen auf die Sicherung der Zugriff selbst. PAM macht derzeit eine ähnliche Entwicklung durch.
Das Problem mit Tresor-basiertem PAM
Tresore wurden eingeführt, um die Anmeldeinformationen privilegierter Konten zu schützen – Administrator-Benutzernamen und -Passwörter für Server, Datenbanken, Switches und mehr. Die Prämisse war schlüssig: Benutzer sollten keine starken Passwörter kennen oder wiederverwenden. Stattdessen sollten sie ihre Anmeldeinformationen bei Bedarf aus einem sicheren Tresor abrufen und diese Passwörter nach Gebrauch rotieren können.
In der Praxis bringt Tresor-basiertes PAM jedoch mehrere Probleme mit sich:
- Es sichert die Anmeldeinformationen, nicht den Zugriff. Sobald ein Benutzer die Anmeldeinformationen abruft, endet der Schutz des Tresors. Das Passwort kann aus dem Speicher gestohlen, von Malware protokolliert, von Insidern missbraucht oder bei einem Man-in-the-Middle-Angriff abgefangen werden. Der Zugriff selbst ist nicht geschützt – nur die Speicherung des Passworts.
- Es ist betrieblich komplex. Vault-basiertes PAM führt zu erheblichen Reibungsverlusten in Arbeitsabläufen. Die Änderung der Benutzeranmeldung – die Umleitung über einen Proxy, die ständige Überprüfung von Passwörtern und die erneute Authentifizierung – erfordert oft Schulungen, Workarounds oder Ausnahmen. Im NHI-Bereich ist die Rotation Dienstkonto Anmeldeinformationen sind in der Regel mehrere Genehmigungen erforderlich und sorgfältige Arbeit, um Änderungen zu vermeiden. Diese Verhaltensänderung erschwert die Einführung und macht PAM-Bereitstellungen zeitaufwendig und teuerViele Organisationen nehmen Jahre um PAM in großem Maßstab einzuführen, insbesondere in Hybridumgebungen, in denen Legacy-Systeme, Dienstkonten und Zugriffe von Drittanbietern jeweils separate Konfigurationen erfordern.
- Es ist nicht bruchsicher. Tresore selbst sind wertvolle Ziele. Angreifer wissen, dass die Kompromittierung eines Tresors Zugangsdaten für die sensibelsten Systeme im Unternehmen erbeuten kann. Wir haben in der Praxis Sicherheitsverletzungen erlebt, die dies belegen. In ein hohes Profil Bei einem Datenleck im Jahr 2022 verschaffte sich der Angreifer Berichten zufolge Zugriff auf den Tresor des Unternehmens für privilegierten Zugriff, indem er Anmeldeinformationen sammelte und einen Mitarbeiter dazu brachte, MFA-Anfragen zu genehmigen. Nach dem Eindringen hatte der Angreifer Zugriff auf Admin-Tools, Infrastruktur und sensible Daten. In anderen Fällen nutzten Angreifer Fehlkonfigurationen des Tresors, API-Token oder Integrationsschwächen aus, um ihren Zugriff zu erweitern. Die Vorstellung, Tresore seien undurchdringlich, ist nicht länger haltbar.
- Es erzeugt ein falsches Sicherheitsgefühl. Sicherheitsteams gehen oft davon aus, dass die Rotation der Anmeldeinformationen und die Zugriffsbeschränkung auf den Tresor ausreichen. Wird das Passwort jedoch weiterhin an den Benutzer weitergegeben – auch nur für kurze Zeit –, kann es dennoch exfiltriert oder missbraucht werden. Die Sicherheitskontrollen (wie MFA, Sitzungsaufzeichnung oder Genehmigungsworkflows) sind an den Tresor gebunden, nicht an den privilegierten Zugriff selbst. Nach der Anmeldung gibt es keinen weiteren Durchsetzungspunkt, um Sicherheitskontrollen anzuwenden.
Tresorzentriertes PAM funktionierte im Zeitalter statischer Infrastrukturen und langlebiger Konten gut. Die heutigen IT-Umgebungen sind jedoch dynamisch, verteilt und identitätsgesteuert. Der einfache Schutz von Anmeldeinformationen in einem Tresor reicht nicht mehr aus.
Von der Verwaltung privilegierter Konten bis zur Sicherheit privilegierter Zugriffe
Die wahre Chance – und das, was die Zukunft ohne Tresorraum ausmacht – besteht in der Abkehr von flächendeckende Gesundheitsprogramme privilegierten Konten zu Sicherung des privilegierten Zugriffs.
In diesem Modell sind Unternehmen nicht mehr auf permanente Konten mit geschützten Passwörtern angewiesen. Stattdessen werden Berechtigungen dynamisch und zeitnah erteilt und entzogen, sobald sie nicht mehr benötigt werden. Der Zugriff wird in Echtzeit basierend auf Benutzeridentität, Kontext (Gerät, Standort, Zeit) und Richtlinien vermittelt und überwacht.
Dadurch werden viele der mit Tresor-basiertem PAM verbundenen Risiken eliminiert:
- Es gibt keine ständigen Anmeldeinformationen, die gestohlen oder wiederverwendet werden könnten.
- Die Änderung des Benutzerverhaltens ist minimal: keine Unterbrechung der Anmeldung und kein Kennwort-Checkout-Prozess.
- Jeder Zugriff wird streng überwacht und ist an eine verifizierte Identität gebunden.
- Selbst wenn der Angreifer das Passwort in die Hände bekommt, ist der Zugang noch immer gesichert und der Angriff kann dort gestoppt werden.
Dieses Modell erstreckt sich nahtlos auch auf nichtmenschliche Identitäten (NHIs) – wie Dienstkonten, Skripte, KI-Agenten und Automatisierungstools –, die mittlerweile den Großteil des privilegierten Zugriffs in den meisten Organisationen ausmachen. Anstatt Tausende langlebiger Anmeldeinformationen für diese Entitäten zu verwalten, können Organisationen Richtlinien durchsetzen, die es bestimmten Systemen ermöglichen, privilegierten Zugriff unter strengen Kontrollen und ohne statische Geheimnisse zu initiieren. Als NHIs werden durch Identitätsanbieter besser verwaltbar, Cloud-native Tools und Laufzeitdurchsetzung wird der vault-freie Ansatz sowohl praktikabler als auch sicherer.
Identitätszentrierter Zugriff: Ein sichererer Ansatz
Dieser Wandel hin zu privilegierter Zugriffssicherheit wird durch technologische Fortschritte im Bereich der Identitätssicherheit ermöglicht. Unternehmen können nun strenge Sicherheitskontrollen auf der Identitätsebene anwenden und MFA, risikobasierte Richtlinien, Sitzungsüberwachung und Just-in-Time-Erhöhung-ohne Einfügen von Anmeldeinformationen oder Ändern der Infrastruktur.
Tatsächlich können moderne Plattformen privilegierten Zugriff auf folgende Weise sichern:
- Proxylos – erfordert nicht die Weiterleitung des gesamten Netzwerkverkehrs über ein Gateway oder das Neuschreiben von Apps.
- Anmeldeinformationen-frei – vermeidet das Einfügen oder Offenlegen privilegierter Anmeldeinformationen.
- Inline und Echtzeit – reagiert dynamisch auf Zugriffsversuche mit adaptiven Richtlinienentscheidungen.
Dieser Architekturwandel ermöglicht es Unternehmen, Zero Trust-Prinzipien anwenden auf privilegierten Zugriff – kontinuierliche Validierung jeder Anfrage, Anwendung von Richtlinien mit geringsten Berechtigungen und sofortige Reaktion auf Anomalien.
Und es entspricht der Arbeitsweise von Sicherheitsteams: Reduzierung der Angriffsfläche, wodurch Benutzerunterbrechungen minimiert und Vorgänge vereinfacht werden.
Werden Tresore verschwinden?
Tresore werden auf absehbare Zeit Teil der privilegierten Zugriffslandschaft bleiben. Einige Systeme werden weiterhin Passwörter erfordern. Einige Compliance-Anforderungen schreiben die sichere Speicherung von Anmeldeinformationen vor. Und in bestimmten Break-Glass- oder Legacy-Szenarien ist ein Tresor als Fallback-Mechanismus weiterhin sinnvoll.
Aber Tresore werden nicht mehr die primär Art und Weise, wie Organisationen privilegierten Zugriff sichern. Stattdessen wird sich der Schwerpunkt auf Echtzeit-Kontrollen mit Identitätserkennung– ein Modell, das nicht auf die Weitergabe von Benutzeranmeldeinformationen angewiesen ist und für das diese Anmeldeinformationen überhaupt nicht vorhanden sein müssen.
Wir beobachten diesen Wandel bereits. Moderne Identitätssicherheitsplattformen werden eingesetzt, um granulare Zugriffskontrollen für privilegierte Sitzungen in Cloud- und lokalen Umgebungen durchzusetzen. Diese Kontrollen – basierend auf der Identität des Benutzers, den Ressourcen, auf die er zugreift, und dem jeweiligen Kontext – sind präziser, skalierbarer und sicherer als Vault-basierte Ansätze.
Und was noch wichtiger ist: Sie sind schnellere Bereitstellung und einfachere Verwaltung, da Benutzer weder ihre Anmeldedaten ändern noch IT-Teams ihre Umgebungen neu gestalten müssen.
Blick in die Zukunft
Die Zukunft des privilegierten Zugriffs ist vault-frei. Vaults erfüllten früher eine wichtige Funktion. Doch da Identität zum neuen Perimeter und Zugriff zum Kontrollpunkt wird, ist es Zeit, sich weiterzuentwickeln.
Sicherheitsverantwortliche, die Risiken reduzieren, die Einführung von Zero Trust beschleunigen und ihren Betriebsaufwand vereinfachen möchten, sollten zunächst folgende Fragen stellen: Muss ich dieses Passwort schützen oder kann ich es ganz entfernen?
Indem wir den Fokus von Konten auf den Zugriff verlagern, können wir Identitäten endlich auf eine Weise sichern, die für Benutzer unsichtbar, resistent gegen Sicherheitsverletzungen und für die dynamischen Umgebungen von heute – und morgen – konzipiert ist.
Erfahren Sie mehr über Privileged Access Security und wie Identitäts- und Sicherheitsteams davon profitieren.