Ontinue: So verlieren Hacker die Lust an Machine-Identity-Attacken
Zürich, 23. Juli 2026 – Hacker sind höchst einfallsreich, wenn es darum geht, sich Zugang zu internen Unternehmenssystemen zu verschaffen. Aktuell richten sie dabei ihr Augenmerk auf nicht-menschliche Cloud-Identitäten. Ontinue, der führende Experte für Managed Extended Detection and Response (MXDR), gibt eine Übersicht über die aktuelle Gefahrenlage und nennt fünf Schutzmaßnahmen.
Da viele Unternehmen große Mühen auf sich nehmen, um User Accounts vor Fremdzugriff zu schützen, fokussieren sich Hacker vermehrt auf nicht-menschliche Cloud-Identitäten, sogenannte Service Principals. Dafür verwenden Angreifer spezialisierte Secret-Scanning-Tools wie TruffleHog, um große Mengen an Quellcode, Git-Repositories, Konfigurationsdateien, CI/CD-Artefakten und Clouds systematisch nach exponierten Zugangsdaten zu durchsuchen. Sie identifizieren aber nicht nur potenzielle Secrets anhand von Signaturen und Entropie-Analysen, sondern validieren Fundstellen aktiv gegen die jeweiligen Zielsysteme. Im Kontext von Cloud-Umgebungen erkennen diese Tools so offengelegte Client IDs und Client Secrets aus Microsoft Entra ID automatisiert und testen sie unmittelbar gegen OAuth-Authentifizierungsendpunkte. Gültige Anmeldedaten ermöglichen anschließend die Ausstellung legitimer Access Tokens, den Zugriff auf Cloud-Ressourcen sowie die Ausnutzung von Diensten und Berechtigungen. Durch diese Automatisierung verkürzt sich die Zeitspanne zwischen der Offenlegung eines Secrets und dessen missbräuchlicher Nutzung erheblich. Die Folge: Service Principals werden zunehmend zu einem attraktiven Ziel für identitätsbasierte Angriffe. Ontinue nennt fünf Sicherheitsmaßnahmen, mit denen Unternehmen ihre Cloud-Identitäten schützen.
Maßnahme #1: Keine hartcodierten Secrets speichern
Häufig beginnt die Kompromittierung von Service Principals mit dem Speichern von Zugangsdaten im Klartext. Hacker finden Client IDs und Client Secrets von Microsoft Entra ID oft direkt in Konfigurationsdateien, Deployment-Skripten, CI/CD-Artefakten oder geklonten Repositories, die Unternehmen durch Unachtsamkeiten veröffentlichen – im Falle von Repositories etwa auf GitHub. Daher sollten Unternehmen keine Secrets fest in ihren Code-Basen speichern. Stattdessen empfiehlt sich der Einsatz von Secret Vaults, also speziell gesicherten Systemen für die zentrale Speicherung von Secrets, oder Managed Identities. Letztere sind von Cloud-Plattformen bereitgestellte Identitäten, mit denen sich Workloads gegenüber Cloud-Services authentifizieren können, ohne dass Entwickler Zugangsdaten wie Passwörter oder API-Schlüssel im Code hinterlegen müssen.
Maßnahme #2: Monitoring und Einschränkung von Service Principals
Da Hacker bei kompromittierten Service Principals reguläre OAuth-Authentifizierungsverfahren und gültige Zugangsdaten nutzen, wirkt deren Handeln oft wie legitime Cloud-Nutzung. Um solche Vorfälle zu erkennen, sollten Organisationen die Authentifizierung von Service Principals gezielt monitoren und auf ungewöhnliche Anmeldemuster oder verdächtige Zugriffe achten. Gleichzeitig sollten sie die in der Regel weitreichenden Berechtigungen von Service Principals massiv einschränken und ihnen nur so viel Freiraum lassen, wie sie für die Erfüllung ihrer Aufgaben benötigen.
Maßnahme #3: OAuth und Microsoft-Graph-Aktivitäten auditieren
Nach erfolgreicher Authentifizierung können Angreifer legitime Access Tokens beziehen und diese für den Zugriff auf Microsoft Graph APIs sowie Daten in SharePoint, Exchange oder OneDrive verwenden. Da diese Aktivitäten auf regulären Authentifizierungsmechanismen beruhen, bleiben sie häufig unauffällig. Eine gezielte Prüfung und Überwachung von OAuth- und Microsoft-Graph-Aktivitäten ist daher unbedingt nötig, um missbräuchliche Nutzung besser sichtbar zu machen.
Maßnahme #4: Transparenz über nicht-menschliche Identitäten herstellen
Ein zentrales und wiederkehrendes Problem besteht darin, dass Unternehmen selten eine hohe Visibilität über ihre nicht-menschlichen Identitäten haben. Das wirkt sich auch auf die Governance aus, die so deutlich hinter der für Benutzerkonten hinterherhinkt. Gleichzeitig übernehmen Service Principals wichtige Aufgaben in Cloud-Anwendungen und Automatisierungsprozessen. Unternehmen sollten daher möglichst vollständige Transparenz über Service Principals und andere nicht-menschliche Identitäten herstellen, um Risiken, Berechtigungen und potenzielle Missbrauchsszenarien besser bewerten zu können.
Maßnahme #5: CI/CD-Pipelines und Entwicklungsumgebungen absichern
Unsichere CI/CD-Pipelines, gemeinsam genutzte Entwicklungsumgebungen und Deployment-Prozesse sind die typischen Orte, an denen sensible Zugangsdaten offenliegen. Da Hacker heute automatisiert nach solchen Informationen suchen und deren Gültigkeit unmittelbar überprüfen können, kommt der Absicherung dieser Teile des IT-Ökosystems eine besondere Bedeutung zu.
„Maschinelle Identitäten oder Machine Identities sind längst zu einem Teil des Angriffsvektors geworden“, betont Theus Hossmann, Chief Technology Officer bei Ontinue. „Während die meisten Unternehmen ihre Sicherheitsmaßnahmen auf Benutzerkonten und Endpunkte konzentrieren, geraten Service Principals oft aus dem Blickfeld. Hacker wissen das natürlich und nutzen sie daher zunehmend, um einen direkten Weg in die Systeme von Unternehmen zu erhalten. Daher ist es heute umso wichtiger, den Schutz auf diese nicht-menschlichen Accounts auszuweiten.“
Über Ontinue
Ontinue, der Experte für KI-gestützte Managed Extended Detection and Response (MXDR), ist ein rund um die Uhr verfügbarer Sicherheitspartner mit Hauptsitz in Zürich. Um die IT-Umgebungen von Unternehmen durchgehend zu schützen, ihren Sicherheitsstatus zu bewerten und kontinuierlich zu verbessern, kombiniert Ontinue in seinem Managed Security Operations Center (SOC) KI-gesteuerte Automatisierung und menschliches Fachwissen mit dem Microsoft-Sicherheits-Produktportfolio. Durch die intelligente, Cloud-basierte Nonstop-SecOps-Plattform reicht Ontinues Schutz vor Cyberattacken weit über die grundlegenden Detection- und Response-Services hinaus.
Weitere Informationen gibt es unter www.ontinue.com.
Pressekontakt
PR-COM GmbH
Katrin Link
Senior Account Executive
Sendlinger-Tor-Platz 6
80336 München
Telefon +49 89 59997-814
katrin.link@pr-com.de