Günther Müller (Orchid Security) – Identity Dark Matter: Unsichtbare Risiken moderner IT-Architekturen
Im Gespräch mit Michael Ghezzo erklärt Günther Müller, Director DACH & Italy bei Orchid Security, wie „unsichtbare Identitäten“ zum Sicherheitsrisiko werden, warum klassische IAM-Systeme an ihre Grenzen stoßen und weshalb Observability zur zentralen Voraussetzung moderner Security-Strategien wird.
Orchid Security ist ein spannendes Unternehmen. Womit beschäftigt ihr euch konkret?
Wir sind aus der Team8-Schmiede entstanden – einem Netzwerk aus mehreren hundert CISOs. Dort wird systematisch analysiert, welche konkreten Probleme Unternehmen tatsächlich haben.
Eine dieser Fragestellungen war:
Wie gehen große Organisationen heute mit Identitäten um – und wo liegen die Schwachstellen?
Unsere Antwort darauf ist ein klarer Fokus auf genau diese blinden Flecken.
Was ist „Identity Dark Matter“?
Damit meinen wir Identitäten, Accounts und Authentifizierungsprozesse, die außerhalb der Sichtbarkeit klassischer Identity- und Access-Management-Systeme liegen.
IAM-Tools funktionieren sehr gut – aber nur innerhalb ihres eigenen Systems. Alles, was außerhalb entsteht, insbesondere direkt in Anwendungen oder im Code, bleibt unsichtbar.
Genau diese Bereiche machen wir sichtbar.
Sie wollen an Ihr IT-Team “Danke” sagen, wissen aber nicht wie? Mit einer Nominierung für die Confare LivinIT Trophy holen Sie Ihr Team und ihr Projekt auf die Bühne. HIER nominieren und einreichen.
Unsichtbare Identitäten sind nicht nur ein technisches Problem – sie stellen ein erhebliches Sicherheitsrisiko dar.
Wir sprechen hier oft über privilegierte oder nicht überwachte Accounts. Beispiele sind:
- verwaiste Benutzerkonten ehemaliger Mitarbeitender
- versteckte Backdoor-Zugänge
- nicht dokumentierte Authentifizierungsmechanismen
Solche Schwachstellen werden gezielt von Angreifern genutzt. Gleichzeitig entstehen daraus auch Compliance-Risiken – bis hin zu persönlicher Haftung.
Wie fügt sich Orchid Security in bestehende IAM-Landschaften ein?
Wir verstehen uns nicht als weiteres IAM- oder IGA-Tool, sondern als Ergänzung.
Man kann es sich wie eine zusätzliche Schicht vorstellen – eine Art Base Layer.
Wir liefern Observability und Visibilität, auf deren Basis bestehende Systeme besser orchestrieren können.
Unsere Daten werden über APIs integriert und ermöglichen ein höheres Maß an Automatisierung.
Ein besonders kritischer Bereich sind sogenannte Non-Human Identities – also Service Accounts, Maschinen oder AI-Agenten.
Diese Identitäten wachsen aktuell exponentiell, getrieben durch Automatisierung und künstliche Intelligenz.
Das Problem:
Sie werden oft unterschätzt, weil sie „nicht menschlich“ sind. Tatsächlich sind sie aber häufig kritischer.
Mit einem Menschen kann ich sprechen – mit einer Maschine nicht.
Deshalb ist es entscheidend zu verstehen:
- Welche Identitäten existieren?
- Welche Credentials werden verwendet?
- Wie sehen die Authentifizierungsflüsse aus?
Die Themen, die Sie beschäftigen – ganz bequem in Ihrer Mailbox. Schließen Sie HIER Ihr kostenloses conText Abo ab und bleiben Sie mit uns immer auf dem Laufenden.
Welche Rolle spielt Agentic AI im Kontext der Non-Human Identities?
AI wirkt wie ein Brandbeschleuniger. Sie kann bestehende Probleme massiv verstärken – oder helfen, sie zu lösen.
Mehr Automatisierung bedeutet automatisch auch mehr Machine Identities.
Viele Unternehmen bauen derzeit Systeme auf, ohne das Fundament ausreichend zu berücksichtigen.
Genau hier liegt die Gefahr.
Was sollen CIOs und CISOs konkret machen?
Der erste Schritt ist ein ehrlicher Realitätscheck.
- Observability schaffen
Verstehen, welche Identitäten tatsächlich existieren und wie sie genutzt werden. - Analyse durchführen
Welche Accounts gibt es? Welche Rechte haben sie? Wo bestehen Risiken? - Ownership klären
In vielen Organisationen ist unklar, wer für Identity verantwortlich ist.
Diese Verantwortung muss auf C-Level verankert werden.
Identity Management wird oft als rein technisches Thema gesehen – ist es aber nicht.
Operativ liegt es in der IT.
Aber strategisch ist es ganz klar ein Thema für die Führungsebene.
Es geht um Compliance, Risiko und Haftung – und damit automatisch um C-Level-Verantwortung.
Welche KPIs wirklich helfen
Ein großes Problem: Viele Unternehmen haben noch keine klaren Messgrößen für Identity Security.
Typische KPIs sind:
- Anteil vollständig integrierter Applikationen im IAM
- Anzahl verwaister Accounts
- Verhältnis von Non-Human zu Human Identities
- Ergebnisse aus Audits
- Reduktion manueller Prozesse
Diese Kennzahlen helfen, den eigenen Reifegrad besser zu verstehen.
Besonders kritisch wird es in komplexen Umgebungen:
- OT-Landschaften:
Gewachsene Systeme mit wenig Transparenz - M&A-Szenarien:
Übernommene Systeme ohne vollständige Integration
Hier entstehen massive Blindspots. Gleichzeitig steigen die regulatorischen Anforderungen – Ignorieren ist keine Option mehr.
Wie sieht eine zukunftsfähige Identity-Architektur aus?
Der zentrale Punkt ist Observability.
Man muss verstehen, was innerhalb von Anwendungen passiert und wie Identitäten miteinander verbunden sind.
Das Ziel ist eine möglichst vollständige Abdeckung durch bestehende Identity-Tools –
aber ohne Transparenz in den Blindspots ist das schlicht nicht erreichbar.