Entitlement Creep: Das Identitätsrisiko in Finanzinstituten

Schwerpunkt: Identity, KYC & Fraud Prevention

Alejandro Leal, Lead Analyst bei KuppingerCole, thematisiert das Risiko des Entitlement Creep in Finanzinstituten. Eine legitime Identität mit übermäßigen Berechtigungen kann zu Sicherheitsvorfällen führen, die nicht auf Software-Schwachstellen basieren. — Alejandro Leal, Lead Analyst, KuppingerCole KuppingerCole

Nicht jeder erfolgreiche Angriff auf ein Finanzinstitut beginnt mit einer ausgenutzten Software-Schwachstelle – immer häufiger genügt eine legitime Identität mit zu weitreichenden Berechtigungen. Verantwortlich dafür ist ein schleichender Prozess namens „Entitlement Creep“: Mitarbeitende sammeln im Laufe ihrer Karriere Zugriffsrechte an, die selten wieder entzogen werden, wenn sie nicht mehr benötigt werden. Gerade in den komplexen IT-Landschaften von Banken und Versicherungen, die Kernbankensysteme, SWIFT, Cloud-Dienste und oft mehrere Identitätsverzeichnisse aus Fusionen verbinden, wird das zum erheblichen Sicherheitsrisiko.

von Alejandro Leal, Lead Analyst, KuppingerCole

Finanzinstitute haben erheblich in die Stärkung der Authentifizierung, die Absicherung privilegierter Konten und die Überwachung von Cyberbedrohungen investiert. Dennoch beginnen viele erfolgreiche Angriffe heute nicht mehr mit der Ausnutzung von Schwachstellen in Software. Stattdessen nutzen sie legitime Identitäten mit übermäßigen Berechtigungen aus.

An diesem Punkt wird „Entitlement Creep“ zu einer strategischen Herausforderung für die Cybersicherheit.

Der Begriff beschreibt die schleichende Anhäufung von Zugriffsrechten, wenn Mitarbeitende ihre Rolle wechseln, an Projekten teilnehmen, in andere Abteilungen wechseln oder vorübergehende Ausnahmen erhalten.“

Neue Berechtigungen werden hinzugefügt, weil sie benötigt werden. Alte Berechtigungen bleiben häufig bestehen, weil ihre Entfernung selten Priorität hat. Im Laufe der Zeit sammeln Nutzer dadurch Zugriffsrechte an, die über ihre aktuellen Aufgaben hinausgehen und verstoßen so gegen das Prinzip der geringsten Rechte (Principle of Least Privilege).

Der Infrastruktur-Wildwuchs

Banken und Versicherungen sind besonders gefährdet. Ihre IT-Umgebungen verbinden Kernbankensysteme, Active Directory oder Microsoft Entra ID, die Infrastruktur der Society for Worldwide Interbank Financial Telecommunication (SWIFT), Zahlungssysteme, Cloud-Dienste, SaaS-Anwendungen und Data Warehouses.

Viele Institute sind zudem durch Fusionen und Übernahmen gewachsen, wodurch mehrere Identitätsverzeichnisse und uneinheitliche Berechtigungsmodelle entstanden sind. Wechselt beispielsweise ein Relationship Manager ins Firmenkundengeschäft, ein Händler den Trading Desk oder erhält ein Entwickler vorübergehend Zugriff auf die Produktionsumgebung, sind neue Berechtigungen möglicherweise erforderlich und legitim. Nicht mehr benötigte Zugriffsrechte bleiben jedoch häufig bestehen.

Die Folgen gehen weit über die Compliance hinaus.

Übermäßige Berechtigungen vergrößern die Auswirkungen kompromittierter Zugangsdaten, erleichtern internen Missbrauch, schwächen Kontrollen zur Funktionstrennung (Segregation of Duties) und erschweren die Reaktion auf Sicherheitsvorfälle.“

Eine einzige kompromittierte Identität mit über Jahre angesammelten Berechtigungen kann Angreifern legitimen Zugriff auf mehrere Geschäftsbereiche verschaffen – ohne dass dafür auch nur eine Softwareschwachstelle ausgenutzt werden muss.

Compliance folgt guter Governance

Vorgaben wie DORA, NIS2, die Datenschutz-Grundverordnung (DSGVO/GDPR) und die EBA-Leitlinien unterstreichen die Bedeutung einer wirksamen Identity Governance. Entitlement Creep sollte jedoch nicht als reine Compliance-Aufgabe betrachtet werden. Im Kern handelt es sich um eine Frage der operativen Resilienz. Moderne Cyber-Resilienz setzt voraus, dass kontinuierlich sichergestellt wird, dass Identitäten ausschließlich über die Zugriffsrechte verfügen, die sie für ihre aktuellen Aufgaben benötigen.

Traditionelle Governance-Ansätze, die auf jährlichen Rezertifizierungskampagnen beruhen, können mit der Dynamik heutiger hybrider Umgebungen kaum Schritt halten. Cloud-Plattformen, DevOps-Praktiken und Automatisierung schaffen hochdynamische Infrastrukturen, in denen sich Berechtigungen fortlaufend verändern. Entitlement Creep lässt sich nicht mit einer einzelnen Technologie beheben.

Unternehmen benötigen eine Kombination aus Identity Governance and Administration (IGA), automatisierten Joiner-Mover-Leaver-Prozessen (JML), kontinuierlichen Zugriffsüberprüfungen, Privileged Access Management (PAM) und Cloud Infrastructure Entitlement Management (CIEM). Gemeinsam helfen diese Funktionen dabei, unnötige Zugriffsrechte zu reduzieren. Gleichzeitig können durch maschinelles Lernen unterstützte Identitätsanalysen überprivilegierte Konten erkennen, bevor daraus Sicherheitsvorfälle entstehen.

Insbesondere CIEM hat sich als wichtige Fähigkeit etabliert. Statt sich ausschließlich auf menschliche Identitäten zu konzentrieren, verbessert CIEM die Transparenz über Cloud-Berechtigungen, identifiziert übermäßige Privilegien, erkennt Fehlkonfigurationen und unterstützt die kontinuierliche Governance von Infrastrukturzugriffsrechten. CIEM sollte jedoch nicht als eigenständige Lösung verstanden werden. Den größten Nutzen entfaltet es als Bestandteil einer umfassenderen, identitätszentrierten Strategie.

Identität bestimmt die Resilienz

Autor Alejandro Leal, KuppingerCole

Alejandro Leal, Lead Analyst bei KuppingerCole, wird in einem professionellen Umfeld abgebildet. Er trägt einen schwarzen Anzug und hat einen neutralen Gesichtsausdruck. Der Hintergrund besteht aus horizontalen, hellen Streifen.

Alejandro Leal ist Lead Analyst bei KuppingerCole Analysts (Webseite) mit Schwerpunkt auf Cybersicherheit, digitaler Transformation und Identity Security. Zu seinen Fachgebieten zählen Access Management, Authentifizierung, ITDR, SOAR und ZTNA.

Ein Identity Fabric schafft einen einheitlichen Rahmen für die Verwaltung von Zugriffen in zunehmend komplexen hybriden Umgebungen. Anstatt Mitarbeiteridentitäten, privilegierte Konten, Cloud-Berechtigungen, Maschinenidentitäten und SaaS-Anwendungen als voneinander getrennte Governance-Probleme zu behandeln, verbindet es diese über eine gemeinsame Architekturschicht. Damit wird Identität zum ordnenden Prinzip in hybriden und Multi-Cloud-Umgebungen – statt lediglich zu einer weiteren Ansammlung unabhängiger Werkzeuge.

Die Prinzipien von Zero Trust auch für Entitlement Creep

Dieser Ansatz entspricht auch stärker den Prinzipien von Zero Trust. Vertrauen wird kontinuierlich anhand von Identität, Kontext und geschäftlicher Notwendigkeit bewertet und nicht auf Grundlage historischer Autorisierungsentscheidungen, die die aktuelle organisatorische Realität möglicherweise nicht mehr abbilden.

Finanzinstitute werden weiter digitaler und verteilter arbeiten und stärker von Identitäten als von klassischen Infrastrukturgrenzen abhängen. Entitlement Creep ist unvermeidbar, weil sich Organisationen fortlaufend verändern. Übermäßige Zugriffsrechte sind es jedoch nicht.

Der nächste erfolgreiche Angriff auf ein Finanzinstitut muss keine unbekannte Schwachstelle ausnutzen. Möglicherweise nutzt er lediglich einen Zugriff, der bereits vor Jahren hätte entzogen werden müssen. Am besten vorbereitet sind daher nicht zwangsläufig die Institute mit der stärksten Authentifizierung. Entscheidend ist vielmehr, dass sie genau verstehen, wer worauf zugreifen darf, warum dieser Zugriff besteht und wann er enden muss. Alejandro Leal, KuppingerCole/dk