Orchid Security: Zwei Drittel der nichtmenschlichen Konten sind unsichtbar und unkontrolliert

Zudem werden 67 % der nicht-menschlichen Konten direkt innerhalb der Anwendungen erstellt und bleiben für IAM-Programme unsichtbar und unkontrolliert. Diese Erkenntnis fällt in einen kritischen Zeitpunkt: Organisationen setzen KI-Agenten schnell ein, was wiederum die Identitätsaussetzung beschleunigt.

Traditionelle IAM-Lösungen wurden entwickelt, um Menschen zu regeln. Sie waren nicht für autonome Systeme konzipiert, die Credentials vererben, ohne menschliche Aufsicht handeln und häufig im Blindfeld operieren, das durch identity dark matter entsteht.

Zustzliche signifikante Erkenntnisse: 70 % der Unternehmensanwendungen enthalten eine bermige Anzahl privilegierter Konten, was das potenzielle Ausma erhht. 57 % der Anwendungen umgehen zentrale Identittsanbieter. 40 % der Konten sind verwaisen und bleiben auch nach dem Ausscheiden ihrer Nutzer verfgbar.

Technischer Hintergrund

36 % aller Zugangsdaten sind in Anwendungen hartcodiert und als Klartext gespeichert. Die Unternehmensidentitt hat eine gefhrliche Schwelle berschritten: Die Identitten, die wir heute nicht mehr sehen knnen, bersteigen die Anzahl der sichtbaren Identitten", sagte Roy Katmor, CEO und Mitbegrnder. Dies war bereits ein erhebliches Sicherheits- und Compliance-Problem.

In der ra der agentischen KI wird es zu einer operativen Krise. KI-Agenten warten nicht auf vierteljhrliche berprfungen.

Sie handeln in Echtzeit ber Systeme hinweg und nutzen jeden Zugriff, den das Unternehmen ihnen zur Verfgung stellt." Wenn Organisationen nicht jede Identität erkennen, deren Autorität verstehen und deren Handlungen steuern können, sind sie nicht bereit, KI sicher zu skalieren.

Nichtmenschliche Konten stellen ein enormes Blindfeld

Nichtmenschliche Konten stellen ein enormes Blindfeld dar – genau dann, wenn es am dringendsten ist.

Das etablierte IAM-Modell für nichtmenschliche Identitäten ist stets mit Risiken verbunden: Diese Konten erhalten in der Regel weitreichende, dauerhafte Zugriffsrechte lokal (laut Analyse 67 % der Fälle), basierend auf der Annahme, dass ihr Verhalten vorbestimmt und wiederholend ist.

Eine Maschine, ein Dienst oder ein Bot, der denselben Job nach festem Zeitplan ausführt, birgt zwar ein Risiko, doch dieses ist durch den Code begrenzt. Mit der neuesten Klasse, der Agent AI, ändert sich jedoch alles. Obwohl technisch nichtmenschlich, sind Agent AI bei weitem nicht vorbestimmt oder wiederholend in ihren Handlungen.

Moegliche Anwendungen

Stattdessen sind sie unvorhersehbar und unermüdlich in der Verfolgung ihrer Anweisungen. Es stellt ein enormes Risiko dar, sie unsichtbar und unkontrolliert laufen zu lassen. Anwendungen sind überberechtigt, unkontrolliert und anfällig.

Zwischen formellen Identitätskontrollen und der tatsächlichen Funktionsweise des Zugriffs besteht eine wachsende Diskrepanz.

Obwohl viele Organisationen ihre unternehmensweiten IAM-Systeme mit einem robusten Stapel aus einem zentralen Identitätsverzeichnis, einer starken Authentifizierung durch einen Identitätsanbieter (IdP), einem Privileged Access Management (PAM) sowie einer zunehmenden Identity Governance and Administration (IGA) gestärkt haben, stellen Orchid fest, dass diese Kontrollen häufig umgangen werden.

Technischer Hintergrund

Beispielsweise verfügen fast drei über übermäßige privilegierte Konten, mehr als die Hälfte der Anwendungen ermöglichen die Authentifizierung über lokale oder nicht verwaltete Wege, und bei einem Drittel der Anwendungen sind Credentials im Klartext direkt im Code oder in Konfigurationsdateien gespeichert.

All dies trägt zur wachsenden Schicht des nicht verwalteten Zugriffs, auch „Identity Dark Matter" genannt, bei und untergräbt damit das Fundament der Identität an ihrer Wurzel. „Organisationen haben stark in die Absicherung der Haustür investiert, doch die Forschung zeigt, dass das Identitätsrisiko zunehmend an den Seitentüren konzentriert ist: lokale Konten, nicht verwaltete Zugriffswege, hartcodierte Zugangsdaten und übermäßige Berechtigungen, die außerhalb formaler Kontrollen liegen", sagte Katmor.

Verschärfung des Risikos: Die Zunahme toxischer Kombinationen Neben einzelnen Expositionen identifiziert der Bericht, was Orchid als „toxische Kombinationen" bezeichnet – überlappende Identitätslücken, die das Risiko erheblich steigern.

Technischer Hintergrund

Dazu gehören: verwaiste Konten mit erhöhten Berechtigungen, Anwendungen, die zentrale Identitätsanbieter umgehen und Zugangsdaten im Klartext speichern, sowie inaktive Konten, die ohne Protokollierung oder Überwachung betrieben werden.

Einzeln sind diese Lücken besorgniserregend; gemeinsam bilden sie unbeobachtete Zugriffswege, die das potenzielle Ausmaß einer Kompromittierung drastisch erhöhen können.

Die Kernaussage: KI-Agenten beschleunigen die Offenlegung ätslücken Da Organisationen KI-Agenten zur Automatisierung äftsprozessen rasch einsetzen, nehmen diese Identitätslücken nicht nur zu, sondern werden zudem sichtbarer und ausnutzbarer.

Technischer Hintergrund

Aus Effizienzgründen identifizieren KI-Agenten intuitiv die direktesten Zugangswege, die verfügbar sind – einschließlich solcher, die außerhalb zentraler IAM-Kontrollen liegen –, unabhängig davon, ob diese Konten, Credentials oder Berechtigungen für ihren Einsatz vorgesehen waren. „KI-Agenten entdecken und nutzen Identitätskontrolllücken und -expositionen auf eine Weise und mit einer Geschwindigkeit, die wir noch nie zuvor gesehen haben", sagte Katmor. „Wenn in Ihrer Umgebung ein Abkürzungsweg existiert, wird ein autonomes System diesen finden." Eine wachsende Kluft zwischen Identität, Absicht und Realität Die Erkenntnisse deuten darauf hin, dass viele Organisationen die Implementierung ändigen Verständnis davon vornehmen, wie Zugriffe in ihrer Umgebung tatsächlich funktionieren, oft ohne es zu merken.

Dies verhindert das notwendige Risikomanagement, das mit dem Aufkommen ächst das Fundament der Unternehmensidentität (jedes einzelne Anwendungssystem) zu festigen, setzen sich Unternehmen zunehmenden Cyber-, Compliance- und Betriebsrisiken aus – nun im Maßstab der Maschine. „Identitätsprogramme sehen auf dem Papier stark aus, doch die meisten Identitätsaktivitäten finden außerhalb dieser Programme statt", so Katmor. „Dort beginnen sich Sicherheits-, Compliance- und KI-Risiken wirklich aufzubauen." Über den Bericht Der Bericht „Identity Gap: 2026 Snapshot" basiert auf anonymisierten Telemetriedaten, die, die zwischen April 2025 und März 2026 in Nordamerika und Europa eingesetzt wurden.

Die Daten umfassen Branchen wie Finanzdienstleistungen, Gesundheitswesen, Einzelhandel, Produktion und Energie und spiegeln sowohl verwaltete als auch nicht verwaltete Identitätsaktivitäten in Unternehmensumgebungen wider. Identiverse 2026 Orchid Security wird vom 15. bis 18. Juni vor Ort auf der Identiverse 2026 in Booth #239 vertreten sein.

Technik und Auswirkungen

Teilnehmern, die erfahren möchten, wie Organisationen agentenbasierte KI sicher skalieren und gleichzeitig unkontrolliertes Identitätsrisiko verringern können, wird empfohlen, das Team vor Ort aufzusuchen oder einen Termin zu vereinbaren.

Orchid Security wird zudem folgende Sitzungen im Rahmen des Events veranstalten: Wenn „faule" KI-Agenten auf defekte Identitäts-Hygiene treffen Dienstag, 16. Juni | Nachmittag – Nachmittag | Oceanside E Vom Sehen zum Wissen: Die Grenze der Identitäts-Observability Mittwoch, 17.

Juni | Vormittag – Vormittag | Oceanside E Über Orchid Security Orchid Security blickt direkt in die Anwendungsbinary und bietet die weltweit erste Identity Control Plane an, die die Komplexität, Compliance und Kontrolle verwandelt.

Technischer Hintergrund

Die Identittszentrierte Sicherheitsorchestrierungsplattform, analysiert deren native Authentifizierungs- und Autorisierungsablufe und beschleunigt die Integration in Governance-Systeme.

Sie liefert Sicherheitsverantwortlichen und -praktikern echte Einblicke in Identitten, ohne dass fr jede Aufgabe oder Informationsanfrage traditionell monatelange manuelle Arbeit erforderlich ist.

Durch die Aufdeckung und Behebung der im modernen Umfeld versteckten Identittsdunkelmaterie" hilft Orchid Unternehmen, Identittsmanagement am Kern zu lsen: Risiko wird reduziert, operative Kosten gesenkt und Compliance im groen Mastab erreicht. Kontaktieren Sie uns. Eine PR-Newswire-Syndikationsplattform fr Cybersicherheitsunternehmen.

Lyrie.ai lanciert den globalen Identittsstandard fr die ra der KI-Agenten und das Cyber-Verifikationsprogramm ersten Kohorte des Cyber-Verifikationsprogramms.