Internet-Sicherheit 
Cyberkriege beschränken sich nicht mehr nur auf Geopolitik. Was einst vor allem ein Problem für Regierungsbehörden und Rüstungsunternehmen war, ist heute für Unternehmen aller Branchen Realität.
Mitarbeiter setzen KI-Tools, -Agenten und -Automatisierungen schneller ein, als Unternehmen sie steuern können. Die wirkliche Gefahr entsteht, wenn sich diese Tools direkt mit internen Systemen und vertraulichen Daten verbinden, um die Produktivität zu steigern. Unter den Mitarbeitern, die KI bei der Arbeit nutzen, tun dies viele ohne formelle Genehmigung von IT- oder Sicherheitsteams, was üblicherweise als Schatten-KI bezeichnet wird.
Viele Organisationen behandeln Schatten-KI immer noch als ein Problem der Datenexposition, während es sich tatsächlich zu einem Problem der Identitätsverwaltung entwickelt. Jede nicht genehmigte KI-Integration erstellt stillschweigend neue Konten, Zugangsdaten und Identitäten, die über traditionelle Zugriffskontrollen hinaus operieren. Organisationen müssen die Identity-First-Sicherheitskontrollen auf alle menschlichen und nicht-menschlichen Identitäten (NHI) ausweiten, die mit ihren Systemen verbunden sind, um die Sichtbarkeit wiederherzustellen, die Unternehmensführung durchzusetzen und die allgemeinen Sicherheitsrisiken zu reduzieren.
Was Schatten-KI tatsächlich kreiert
Schatten-KI verbreitet sich schnell, weil moderne KI-Tools wenig bis keine Einrichtung erfordern. Mitarbeiter können Anwendungen verbinden, Arbeitsabläufe automatisieren und Daten nahezu augenblicklich verarbeiten, ohne die IT einzubeziehen. Die Tools selbst sind selten das Problem. Das Risiko ergibt sich daraus, womit die Mitarbeitenden ihre Geräte verbinden. Sobald KI-Plattformen Zugang zu SaaS-Plattformen, Cloud-Umgebungen und internen Datenbanken erhalten, führen sie Zugangsdaten und Identitäten ein, von denen die meisten Sicherheitsteams nicht wissen, dass sie existieren und für die sie keinen Rahmen zur Verwaltung haben.
Jede nicht genehmigte KI-Integration schafft neue Identitäten und Zugangsdaten, die von niemandem überprüft werden. Jeder einzelne trägt zu einem wachsenden Bestand an Konten, Zugriffspunkten und Geheimnissen bei, die von der IT-Abteilung nie eingerichtet wurden und daher auch nicht widerrufen werden können. Wenn Mitarbeiter Konten für KI-Tools erstellen, legen sie Identitäten mit eigenem Zugriffsbereich, eigenen Datenberechtigungen und eigenen Sitzungsverläufen an. Diese vermehren sich schnell. Die IT hat am Ende einen unsichtbaren Cluster unverwalteter Identitäten, die über externe Plattformen verteilt sind, ohne Transparenz darüber, worauf sie zugreifen können, keine Möglichkeit, die Nutzung zu überprüfen, und keinen Deprovisionierungsprozess, wenn der Mitarbeiter das Unternehmen verlässt.
Wenn Mitarbeiter einen Schritt weiter gehen und KI-Tools mit internen Systemen verknüpfen, führen sie Dienstkonten in die Unternehmensumgebung ein. Diese NHIs werden in der Regel völlig unabhängig vom Lebenszyklusmanagement, der Rotation von Zugangsdaten und der Zugriffssteuerung betrieben. Und jede Integration generiert Zugangsdaten wie API-Schlüssel, Token und Geheimnisse, die oft in Browsererweiterungen oder Konfigurationsdateien außerhalb des Sicherheitsrahmens gespeichert werden. Diese Zugangsdaten werden selten rotiert und fast nie geprüft.
Die dadurch entstehende Identitäts-Governance-Lücke
Die herkömmliche Identitätssicherheit wurde für menschliche Benutzer, von der IT bereitgestellte Zugänge und festgelegte Netzwerkgrenzen entwickelt. Die Schatten-KI widerlegt alle drei Annahmen gleichzeitig.
In vielen Unternehmensumgebungen übersteigen nicht-menschliche Identitäten (NHI) bereits die Anzahl menschlicher Identitäten. KI-Agenten mit Zugriff auf eine Produktionsdatenbank stellen dasselbe Risiko privilegierter Zugriffe dar wie ein menschlicher Administrator mit gleichwertigen Berechtigungen, werden jedoch oft ohne dieselbe Sorgfalt bereitgestellt, ohne dieselbe Konsistenz überwacht und ohne denselben Prozess wieder außer Dienst gestellt.
Unsere eigenen Recherchen bestätigen das. Der Bericht Identitätssicherheit in Maschinengeschwindigkeit von Keeper Security ergab, dass weltweit 43 % der Entscheidungsträger im Bereich Cybersicherheit das KI-bezogene NHI-Management als eine der größten Lücken in ihren Identity-Governance-Programmen identifizieren. Die Organisationen, die diese Lücke erkennen, sind denjenigen voraus, die noch nicht hingeschaut haben.
Was Organisationen anders machen müssen
Die Antworten auf Schatten-KI sind weder strengere Richtlinien noch umfassendere Verbote. Es erweitert sicherheitsorientierte Kontrollmechanismen, um jede von KI-Tools erstellte Identität zu berücksichtigen – sowohl menschliche als auch maschinelle – und es macht die Verwaltung kontinuierlich statt periodisch.
Erhalten Sie volle Transparenz über KI-Nutzung
Organisationen können nicht regeln, was sie nicht sehen; sie müssen kontinuierlich alle genehmigten und nicht genehmigten KI-Tools, Agenten, Automatisierungen und Integrationen erfassen, die in ihren Umgebungen zum Einsatz kommen. Durch die Überwachung ihrer Netzwerke können Unternehmen die Anwendungsnutzung nachverfolgen und Kontrollmaßnahmen entwickeln, um nicht genehmigte KI-Tools einzuschränken und gleichzeitig jede NHI zu identifizieren, die durch diese Tools erstellt wird und ursprünglich nicht von der IT bereitgestellt wurde. Über die Erfassung hinaus müssen Unternehmen eine Echtzeit-Überwachung und -Aufzeichnung privilegierter Sitzungen implementieren, um einen vollständigen Überblick über KI-gesteuerte Arbeitsabläufe zu behalten und so kontinuierliche Audits anstelle von periodischen, nachträglichen Überprüfungen zu ermöglichen.
Wenden Sie Identitätssicherheit sowohl auf Menschen als auch auf Maschinen an
Jede NHI sollte der gleichen Authentifizierung, Autorisierung und dem gleichen Lebenszyklusmanagement unterliegen wie eine menschliche Identität, mit Least-Privilege-Zugriff, automatisierter Rotation der Zugangsdaten und definierter Deprovisionierung, die an den Lebenszyklus des zugehörigen menschlichen Eigentümers oder der Arbeitslast gekoppelt ist. Die gleichen Kontrollen, die für privilegierte menschliche Konten gelten, müssen auch für die KI-Agenten und Dienstkonto gelten, die neben ihnen operieren.
Bieten Sie den Mitarbeitern einen realistischen Weg
Mitarbeiter, die zu Schatten-KI beitragen, tun dies oft nicht, weil sie Sicherheitsvorkehrungen umgehen wollen, sondern weil sie nicht wissen, dass es eine regulierte Alternative gibt. Klare Vorgaben darüber, welche Instrumente für welche Anwendungsfälle und unter welchen Bedingungen zugelassen sind, sowie die Bereitstellung zugänglicher, zugelassener Alternativen bekämpfen die Ursache und nicht nur die Symptome.
Verbessern Sie Ihre Identitätssicherheit zur Verwaltung von Schatten-KI
Traditionelle Sicherheitsmodelle wurden für menschliche Nutzer, IT-bereitgestellter Zugriff und definierte Netzwerkgrenzen entwickelt. Schatten-KI widerlegt diese Annahmen, indem es jedes Mal, wenn ein Mitarbeiter ein nicht genehmigtes KI-Tool mit der Infrastruktur verbindet, unkontrollierte Maschinenidentitäten, Anmeldedaten und Integrationen in Cloud- und SaaS-Umgebungen einführt. Organisationen, die Schatten-KI ausschließlich als ein Problem des Datenlecks betrachten, werden die zugrunde liegende Gefahr übersehen: die unkontrollierte Ausbreitung von Identitäten. Um die Schatten-KI effektiver zu verwalten, benötigen Unternehmen einen umfassenden Überblick über KI-gesteuerten Zugriff, die Steuerung sowohl menschlicher als auch maschineller Identitäten sowie automatisierte Kontrollen für Anmeldedaten und privilegierten Zugriff. Um zu erfahren, wie Organisationen ihre Identitätssicherheitsstrategien für KI-gesteuerte Umgebungen anpassen, lesen Sie unseren neuesten Bericht.
