--- title: "Die unsichtbare Bedrohung: Warum Machine Identities Ihre größte Cloud-Sicherheitslücke sind" description: Es gibt um Faktor 100 mehr Machine Idenitities als Menschen. Warum 97% zu viele Berechtigungen haben und wie Sie das Risiko in 30 Tagen reduzieren. image: https://dmoove.com/hubfs/AI-Generated%20Media/Images/Digital%20Landscape%20with%20Machine%20Identities%20and%20Cyber%20Threats.png --- [Zum Inhalt springen](https://dmoove.com/blog/machine-identities-cloud-security-2026#main-content) [![DMoove](https://dmoove.com/hubfs/raw_assets/public/dmoove-2026/images/logo.svg)](https://dmoove.com/) Menü - Leistungen - [AWS Landing Zone](https://dmoove.com/aws-landing-zone) - [Kubernetes auf AWS](https://dmoove.com/kubernetes-auf-aws) - [European Sovereign Cloud](https://dmoove.com/european-sovereign-cloud) - [Amazon Quick & KI](https://dmoove.com/amazon-quick-ki) - [Migration & DevOps](https://dmoove.com/migration-devops) - Lösungen - [GuardAudit](https://dmoove.com/dmoove-guardaudit) - [Cloud Kosten optimieren](https://dmoove.com/cloud-kosten-optimieren) - [EC2 Image Builder](https://dmoove.com/ec2-image-builder) - [Case Study](https://dmoove.com/case-study-kubernetes-cluster) - [Über uns](https://dmoove.com/ueber-uns) - [Blog](https://dmoove.com/blog) [Termin buchen](https://dmoove.com/meetings/yannick-tresch) 1. [Blog](https://dmoove.com/blog) 2. [Cloud Computing](https://dmoove.com/blog/tag/cloud-computing) Cloud Computing # Die unsichtbare Bedrohung: Warum Machine Identities Ihre größte Cloud-Sicherheitslücke sind [Yannick Tresch](https://dmoove.com/blog/author/yannick-tresch) 11\. September 2026 · Min. Lesezeit ![](https://dmoove.com/hs-fs/hubfs/AI-Generated%20Media/Images/Digital%20Landscape%20with%20Machine%20Identities%20and%20Cyber%20Threats.png?width=1200&height=750&name=Digital%20Landscape%20with%20Machine%20Identities%20and%20Cyber%20Threats.png) Cloud & Identity Security # Das Problem: 100:1 und niemand sieht es Während Sie diesen Satz lesen, laufen in Ihrer AWS-Umgebung vermutlich tausende Identitäten, die keinem Menschen gehören. Kaum jemand hat sie im Blick und genau das macht sie gefährlich. Service Accounts, API Keys, Workload Identities, CI/CD-Credentials, AI-Agent-Tokens: Laut dem *Identity Security Outlook 2026* von ManageEngine berichten Organisationen von Machine-to-Human-Verhältnissen von 100:1, in einzelnen Branchen bis zu 500:1. Das ist an sich kein Sicherheitsproblem. Zum Problem wird es, weil diese Non-Human Identities (NHIs) selten sauber erfasst sind: keine durchgängige IAM-Governance, keine automatische Rotation, kaum Monitoring. Kompromittiert ein Angreifer eine davon, hat er im schlimmsten Fall einen Generalschlüssel zur gesamten Cloud-Infrastruktur. ## Die Zahlen dahinter Der *2025 State of Non-Human Identities and Secrets in Cybersecurity*-Report von Entro Security liefert ein konkretes Bild der Praxis in Unternehmen: | 97% aller NHIs mit übermäßigen Rechten | 92 NHIs pro menschlicher Identität im Schnitt | 91% Tokens ehemaliger Mitarbeiter bleiben aktiv | | --- | --- | --- | Dazu kommt: 44 % aller Tokens sind irgendwo im Klartext auffindbar — in Teams-Chats, Jira-Tickets, Confluence-Seiten oder Code-Commits. 60 % der NHIs werden von mehr als einer Anwendung gemeinsam genutzt, was jede einzelne zu einem Single Point of Failure macht. Und 71 % werden nicht innerhalb empfohlener Fristen rotiert. Das klassische Muster dahinter: Ein Entwickler braucht eine Lambda-Funktion, die ein S3-Bucket lesen soll. Unter Zeitdruck wird `AdministratorAccess` angehängt. Die Funktion läuft und niemand geht später zurück, um die Rechte zu verschlanken. ## Wie ein realer Vorfall das Risiko zeigt Im März 2026 wurde **Trivy**, ein bei Zehntausenden CI/CD-Pipelines eingesetzter Open-Source-Vulnerability-Scanner von Aqua Security, selbst zum Angriffsvektor (CVE-2026-33634). Angreifer verschafften sich Schreibzugriff auf das `trivy-action`-Repository und verschoben rückwirkend 76 von 77 Versions-Tags auf manipulierte Commits, die einen mehrstufigen Credential-Stealer nachluden. Jede Pipeline, die die Action über ein Tag statt über einen gepinnten Commit-Hash referenzierte, zog beim nächsten Lauf automatisch die kompromittierte Version. Bemerkenswert: Es handelte sich um den zweiten Vorfall in dieser Kette. Nach einem ersten Vorfall Ende Februar 2026 wurden zwar Credentials rotiert - aber nicht atomar, sodass die Angreifer das Rotationsfenster nutzen konnten, um weiterhin gültige Tokens abzugreifen. Der Fall zeigt zwei Dinge auf einmal: Wie leicht sich Vertrauen in der Software-Lieferkette missbrauchen lässt, sobald mutable Tags statt gepinnter Commit-Hashes verwendet werden und wie wenig eine einzelne Rotationsrunde bringt, wenn sie nicht vollständig und gleichzeitig für alle betroffenen Secrets erfolgt. ## AWS Best Practices: Von statischen Keys zu Workload Identity AWS bietet die nötigen Werkzeuge dafür - sie werden nur selten konsequent eingesetzt. ### IAM Roles statt Access Keys Grundregel: keine langlebigen IAM Access Keys für Workloads. Stattdessen Instance Profiles für EC2, Execution Roles für Lambda, Task IAM Roles für ECS und IAM Roles for Service Accounts (IRSA) für EKS-Pods. Diese liefern über den AWS Security Token Service (STS) temporäre, automatisch rotierende Credentials. Ein statischer Key, der nie abläuft, ist das Wertvollste, das ein Angreifer stehlen kann. ### IRSA für Kubernetes Wer EKS betreibt, kommt an IRSA praktisch nicht vorbei. IRSA koppelt Kubernetes Service Accounts über OIDC-Föderation an IAM Roles. Pods erhalten so temporäre AWS-Credentials, ohne dass Secrets in ConfigMaps landen. ### AWS Secrets Manager mit automatischer Rotation Für Secrets, die sich nicht vermeiden lassen - Datenbank-Passwörter, Drittanbieter-API-Keys - gehört AWS Secrets Manager statt Environment Variables oder Config-Dateien eingesetzt, mit konfigurierter automatischer Rotation, die on-demand oder nach Zeitplan läuft, ohne laufende Anwendungen zu unterbrechen. ### Cloud Infrastructure Entitlement Management (CIEM) CIEM wird 2026 zum Pflichtprogramm. Tools wie AWS IAM Access Analyzer, Microsoft Defender for Cloud oder Palo Alto Cortex Cloud inventarisieren jede menschliche und nicht-menschliche Identität, berechnen die tatsächlich genutzten Permissions und markieren riskanten Standing Access. IAM Access Analyzer zeigt konkret, welche Rechte wirklich in Anspruch genommen werden - darauf lassen sich Policies rightsizen, statt sie nach Bauchgefühl zu vergeben. ## Ein praktischer 30-Tage-Plan ### Woche 1: Discovery Sie können nicht regieren, was Sie nicht sehen. Erfassen Sie alle IAM Users, Roles und Service Accounts, alle Kubernetes Service Accounts in Ihren EKS-Clustern, alle Secrets in Secrets Manager und Parameter Store sowie alle API Keys in SaaS-Integrationen. Ergebnis sollte ein Graph sein: Identität, Owner, Zweck, effektive Permissions. ### Woche 2: Rightsizing Mit IAM Access Analyzer prüfen, welche Permissions tatsächlich genutzt werden. Dann: ungenutzte Policies entfernen, `AdministratorAccess` durch spezifische Policies ersetzen, verwaiste Service Accounts deaktivieren oder löschen. ### Woche 3: Automation Migration zu modernen Credential-Modellen: IAM Users durch IAM Roles ersetzen, IRSA für EKS einführen, automatische Secrets-Rotation im Secrets Manager konfigurieren. ### Woche 4: Monitoring Kontinuierliche Überwachung aufsetzen: CloudTrail für alle IAM-Aktivitäten, GuardDuty für anomale Identity-Aktivität, regelmäßige CIEM-Scans — wöchentlich oder täglich, je nach Risikoprofil. ## Was Sie jetzt tun sollten Beginnen Sie mit einer einfachen Frage: Wie viele Service Accounts haben Sie eigentlich? Wenn Sie es nicht wissen, ist das Ihr erstes Projekt. Führen Sie danach einen IAM-Access-Analyzer-Bericht durch und sehen Sie sich die Lücke zwischen vergebenen und tatsächlich genutzten Rechten an - diese Lücke ist Ihre Angriffsfläche. Der nächste Schritt ist dann die Migration zu temporären, automatisch rotierten Credentials. Kein Nice-to-have mehr, sondern Grundvoraussetzung. **Quellen** - ManageEngine, [Identity Security Outlook 2026](https://www.manageengine.com/news/manageengine-enterprise-identity-security-2026-study.html) - Entro Security, [2025 State of Non-Human Identities and Secrets in Cybersecurity](https://nhimg.org/2025-state-of-non-human-identities-and-secrets-in-cybersecurity) - CVE-2026-33634 — Trivy / trivy-action Supply-Chain-Kompromittierung, März 2026 ([Details](https://fieldguide.lutrasecurity.com/CVE-2026-33634)) Yannick Tresch In diesem Artikel Fragen zu Ihrer Plattform? 30 Minuten, direkt mit dem Gründer. [Termin buchen](https://dmoove.com/meetings/yannick-tresch) Weiterlesen ## Weitere Artikel. - ### [![Schematische Darstellung eines kontinuierlichen Cloud-Analyse-Kreislaufs mit vernetzten Knoten und Dokumenten-Icons – symbolisiert den AWS Well-Architected Agent](https://dmoove.com/hs-fs/hubfs/blog/agent-images/aws-well-architected-agent-preview-featured-040119.png?width=800&height=500&name=aws-well-architected-agent-preview-featured-040119.png) Cloud Computing AWS Well-Architected Agent: Kontinuierliche Cloud-Optimierung statt jährlichem Review 24\. Oktober 2026 · Min. Lesezeit](https://dmoove.com/blog/aws-well-architected-agent-cloud-optimierung) - ### [![Serverrack mit geöffnetem Einschub, aus dem ein Netz gleichzeitiger HTTP-Verbindungen strömt – symbolisch für Lambda Web Functions und Multi-Concurrency](https://dmoove.com/hs-fs/hubfs/blog/agent-images/lambda-web-functions-serverless-http-featured-040109.png?width=800&height=500&name=lambda-web-functions-serverless-http-featured-040109.png) Cloud Computing Lambda Web Functions: AWS startet einen neuen Serverless-Typ für HTTP-Workloads 15\. Oktober 2026 · Min. Lesezeit](https://dmoove.com/blog/lambda-web-functions-serverless-http) - ### [![Kalenderseite mit dem 2. Dezember, umkreist in Rot, neben drei ineinandergreifenden Zahnrädern mit Schloss-Symbol – symbolisch für die EU AI Act Dezember 2026 Compliance-Fristen](https://dmoove.com/hs-fs/hubfs/blog/agent-images/eu-ai-act-dezember-2026-neue-verbote-featured-205033.png?width=800&height=500&name=eu-ai-act-dezember-2026-neue-verbote-featured-205033.png) Cloud Computing EU AI Act Dezember 2026: Zwei neue Verbote und eine Kennzeichnungspflicht – was Unternehmen jetzt tun müssen 13\. Oktober 2026 · Min. Lesezeit](https://dmoove.com/blog/eu-ai-act-dezember-2026-neue-verbote) ![DMoove](https://dmoove.com/hubfs/raw_assets/public/dmoove-2026/images/logo-white.svg) DMoove Solutions GmbH Damaschkestraße 23 10711 Berlin Leistungen - [AWS Landing Zone](https://dmoove.com/aws-landing-zone) - [Kubernetes auf AWS](https://dmoove.com/kubernetes-auf-aws) - [European Sovereign Cloud](https://dmoove.com/european-sovereign-cloud) - [Amazon Quick & KI](https://dmoove.com/de/amazon-quick-ai-essentials) - [Migration & DevOps](https://dmoove.com/migration-devops) Unternehmen - [Über uns](https://dmoove.com/ueber-uns) - [Blog](https://dmoove.com/blog) - [Termin buchen](https://dmoove.com/meetings/yannick-tresch) - [LinkedIn](https://www.linkedin.com/company/dmoove) Rechtliches - [Impressum](https://dmoove.com/impressum) - [Datenschutz](https://dmoove.com/datenschutz) © 2026 DMoove Solutions GmbH ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "Yannick Tresch", "url" : "https://dmoove.com/blog/author/yannick-tresch" }, "dateModified" : "2026-09-11T06:30:00.654Z", "datePublished" : "2026-09-11T06:30:00.000Z", "headline" : "Die unsichtbare Bedrohung: Warum Machine Identities Ihre größte Cloud-Sicherheitslücke sind", "image" : [ "https://dmoove.com/hubfs/AI-Generated%20Media/Images/Digital%20Landscape%20with%20Machine%20Identities%20and%20Cyber%20Threats.png" ], "mainEntityOfPage" : { "@id" : "https://dmoove.com/blog/machine-identities-cloud-security-2026", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://dmoove.com/hubfs/dmo_logo450.png" }, "name" : "DMoove Solutions GmbH" } } ``` ```json { "@context" : "https://schema.org", "@type" : "BreadcrumbList", "itemListElement" : [ { "@type" : "ListItem", "item" : "https://dmoove.com/blog", "name" : "Blog", "position" : 1 }, { "@type" : "ListItem", "item" : "https://dmoove.com/blog/tag/cloud-computing", "name" : "Cloud Computing", "position" : 2 }, { "@type" : "ListItem", "item" : "https://dmoove.com/blog/machine-identities-cloud-security-2026", "name" : "Die unsichtbare Bedrohung: Warum Machine Identities Ihre größte Cloud-Sicherheitslücke sind", "position" : 3 } ] } ```