In Ransomware-Playbooks dominieren menschliche Reaktionsmuster – Passwort-Resets, Konto-Sperrungen, Active-Directory-Maßnahmen. Was dabei systematisch übersehen wird: die weit zahlreichere und kaum überwachte Welt der maschinellen Identitäten. Zertifikate, API-Tokens, Service-Accounts und Kryptoschlüssel sind längst zur bevorzugten Einfallsschneise für Angreifer geworden.

Wer sich durch gängige Incident-Response-Playbooks für Ransomware-Vorfälle arbeitet, begegnet einem vertrauten Muster: Benutzerkonten werden gesperrt, Passwörter zurückgesetzt, Privilegien entzogen. Gartner-Empfehlungen und branchenübliche Rahmenwerke setzen dabei nahezu ausschließlich auf menschliche Identitäten als Handlungsfeld. Das ist nachvollziehbar – und zugleich strukturell unzureichend.

Denn in modernen Unternehmensinfrastrukturen übersteigen maschinelle Identitäten ihre menschlichen Pendants zahlenmäßig um ein Vielfaches. Service-Accounts, die automatisierte Prozesse steuern, API-Tokens, die Systemkommunikation absichern, Zertifikate, die Vertrauensketten innerhalb von CI/CD-Pipelines begründen – all das bildet eine dichte, schwer überschaubare Schicht von Credentials, die im operativen Alltag wenig Aufmerksamkeit erhält. Genau das macht sie attraktiv.

Verwaiste Zugangsdaten als Einfallstor

Angreifer haben diese Lücke erkannt und systematisch ausgenutzt. Identitätsbasierte Angriffe, die nicht über kompromittierte Nutzerpasswörter, sondern über langfristig gültige Schlüssel oder verwaiste Service-Accounts verlaufen, nehmen in der Praxis deutlich zu. Verwaist deshalb, weil diese Credentials häufig keiner konkreten Person mehr zugeordnet sind – der ursprüngliche Verantwortliche hat das Unternehmen verlassen, das Projekt wurde eingestellt, der Prozess umstrukturiert. Was bleibt, ist ein aktiver Zugang ohne Owner, ohne Überwachung, ohne Rotationsroutine.

Laterale Bewegung und Privilegienausweitung in Unternehmensnetzen erfolgen zunehmend genau über diese Strukturen. Wer einmal einen solchen Credential erbeutet hat, bewegt sich im Netz oft mit legitim erscheinenden Zugriffsmustern – schwer erkennbar für Monitoring-Systeme, die auf anomales Nutzerverhalten kalibriert sind, nicht auf ungewöhnliche Maschineninteraktionen.

Das Symmetrieproblem in der Identity Security

Das eigentliche Problem ist konzeptioneller Natur: Identity Security wird in vielen Organisationen noch immer vorrangig als Disziplin menschlicher Zugangssteuerung verstanden. Zero Trust, Least Privilege, Just-in-Time-Zugriff – diese Prinzipien sind im Bereich der Human Identities weit verbreitet, im Bereich der Machine Identities hingegen selten konsequent umgesetzt.

Das zeigt sich besonders deutlich in CI/CD-Pipelines und automatisierten Workloads: Dort existieren Langzeitschlüssel, die aus Praktikabilitätsgründen nicht rotiert werden, überprivilegierte Service-Accounts, die auf breite Ressourcensätze zugreifen können, und Zertifikate, deren Ablauf niemand aktiv überwacht. Eine Organisationsstruktur, die für den Ernstfall einen detaillierten Passwort-Reset-Prozess kennt, aber kein Verfahren zur systematischen Identifikation aktiver maschineller Credentials, operiert mit einer strukturellen Blindstelle.

Was wirksame Playbooks leisten müssen

Eine belastbare Ransomware-Abwehr erfordert die konzeptionelle Gleichstellung menschlicher und maschineller Identitäten. Konkret bedeutet das vier Handlungsfelder:

Erstens braucht es eine systematische Discovery-Kapazität: Im Ernstfall muss eine Organisation innerhalb kurzer Zeit wissen, welche maschinellen Accounts, Schlüssel, Tokens und Zertifikate in ihrer Infrastruktur existieren. Wer das erst im Krisenfall ermitteln muss, verliert wertvolle Zeit.

Zweitens ist klare Ownership unverzichtbar. Jeder maschinelle Credential braucht einen verantwortlichen Ansprechpartner – nicht als formale Kategorie, sondern als gelebte Praxis mit Review-Zyklen und Eskalationswegen.

Drittens ist Lebenszyklus-Management kein optionaler Zusatz, sondern eine operative Grundvoraussetzung. Erstellung, Rotation und geordnete Löschung von Credentials müssen in Standardprozesse eingebettet sein, nicht dem Ermessen einzelner Teams überlassen bleiben.

Viertens sollten Prinzipien wie Least Privilege und Just-in-Time-Credentials konsequent auch auf automatisierte Workloads angewendet werden. Ein Service-Account, der dauerhaft weitreichende Zugriffsrechte besitzt, ist eine potenzielle Waffe in fremden Händen.

Strukturelles Defizit mit hoher Dringlichkeit

Die Schlussfolgerung ist unbequem, aber klar: Wer maschinelle Identitäten aus dem Scope seiner Incident-Response-Planung herauslässt, hat sein Playbook nur zur Hälfte geschrieben. Die Angriffsfläche identitätsbasierter Ransomware-Operationen umfasst beide Dimensionen – und die maschinelle ist, gerade wegen ihrer Unsichtbarkeit im Betrieb, die gefährlichere von beiden.

Organisationen, die diesen blinden Fleck nicht schließen, werden feststellen, dass selbst gut ausgeführte Passwort-Resets und Benutzer-Sperren wenig bewirken, wenn der Angreifer seinen Zugang längst über einen Service-Account gesichert hat, der auf keiner Checkliste steht.

Quelle: VentureBeat Security – „Machine identities: the missing link in ransomware playbooks“