Traditionelles IAM vs. ITDR: Warum statische Regeln nicht mehr ausreichen

Von Mirko Peters · 2026-08-13

Willkommen zurück im Blog! Wenn Sie unserer Podcast-Reise folgen, wissen Sie, dass wir viel Zeit darauf verwenden, komplexe Sicherheitsframeworks aufzuschlüsseln und Administratoren dabei zu helfen, ihre Cloud- und On-Premises-Umgebungen zu verstehen. Heute vertiefen wir ein Thema, das verändert, wie moderne Security Operations Center arbeiten: die Abkehr von veralteten Sicherheitsgrenzen hin zu f

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück im Blog! Wenn Sie unserer Podcast-Reise folgen, wissen Sie, dass wir viel Zeit darauf verwenden, komplexe Sicherheitsframeworks aufzuschlüsseln und Administratoren dabei zu helfen, ihre Cloud- und On-Premises-Umgebungen zu verstehen. Heute vertiefen wir ein Thema, das verändert, wie moderne Security Operations Center arbeiten: die Abkehr von veralteten Sicherheitsgrenzen hin zu fortschrittlichem Identitätsschutz. Konkret geht es darum, warum klassisches Identity and Access Management (IAM) nicht mehr ausreicht, um Organisationen vor raffinierten, auf Anmeldedaten basierenden Angriffen zu schützen, und warum Identity Threat Detection and Response (ITDR) zum Goldstandard für kontinuierliche Sicherheitsüberwachung geworden ist.

In einer Welt, in der Remote-Arbeit, Hybrid-Cloud-Architekturen und automatisierte Skripte den Arbeitsalltag bestimmen, hat sich der Perimeter vollständig aufgelöst. Angreifer versuchen nicht mehr, Ihre Firewalls zu durchbrechen; stattdessen melden sie sich einfach mit gestohlenen Anmeldedaten an. Um vollständig zu verstehen, warum statische Regeln versagen und wie moderne Werkzeuge diese Lücke schließen, hören Sie unbedingt unsere begleitende Podcast-Folge Microsoft Defender for Identity - Simply Explained. Darin steigen wir direkt in die praktischen Mechanismen ein, mit denen Sie Identitäten in Ihrem Unternehmen schützen.

Traditionelles IAM vs. ITDR verstehen

Um zu verstehen, warum sich moderne Sicherheitspraktiken so schnell weiterentwickeln, müssen wir zunächst die Werkzeuge der Vergangenheit betrachten. Klassische Identity-and-Access-Management-Lösungen wurden vor allem für Lebenszyklusverwaltung und Bereitstellung entwickelt. Ihre Hauptaufgabe war es, einfache Fragen zu beantworten: Wer ist dieser Benutzer? Zu welcher Gruppe gehört er? Hat er die Berechtigung, auf diese bestimmte Dateifreigabe oder Anwendung zuzugreifen? Sobald sich der Benutzer erfolgreich authentifiziert und sein Token oder seinen Zugangsausweis erhalten hatte, zogen sich traditionelle IAM-Systeme weitgehend zurück und gingen davon aus, dass alles in Ordnung war.

Hier kommt Identity Threat Detection and Response ins Spiel, meist kurz ITDR genannt. ITDR wurde speziell entwickelt, um die massive Sichtbarkeitslücke nach der Authentifizierung zu schließen. Während sich traditionelles IAM auf Zugriffskontrolle, Bereitstellung und statische Richtlinien konzentriert, setzt ITDR auf kontinuierliche Überwachung, die Erkennung ungewöhnlichen Benutzerverhaltens und die Reaktion auf aktive, identitätsbasierte Kompromittierungen in Echtzeit. Denn ein korrektes Passwort bedeutet nicht automatisch, dass die Person, die es eingibt, auch der legitime Inhaber des Kontos ist.

Die Grenzen statischer Regeln in der modernen Sicherheit

Einer der größten Schwachpunkte veralteter Sicherheitsmodelle ist ihre starke Abhängigkeit von statischen Regeln. Jahrzehntelang setzten Sicherheitsteams auf fest codierte Richtlinien, einfache Schwellenwert-Auslöser und vordefinierte Listen bekannter Bösewichte. Erfüllte ein Anmeldeversuch eine bestimmte Gruppe statischer Bedingungen – etwa die Herkunft von einer Unternehmens-IP-Adresse während der üblichen Geschäftszeiten –, galt er automatisch als sicher, unabhängig davon, was danach geschah.

Leider haben moderne Cyberkriminelle gelernt, diese statischen Barrieren mühelos zu umgehen. Angreifer nutzen legitime administrative Anmeldedaten, führen Living-off-the-Land-(LotL-)Binärdateien aus und ahmen den normalen Geschäftsverkehr sorgfältig nach, um regelbasierten Warnmeldungen vollständig zu entgehen. Wenn sich Ihre Sicherheitslage ausschließlich auf statische Regeln stützt, warten Sie im Grunde darauf, dass ein Angreifer ein bekanntes, vorhersehbares Muster verwendet. Weicht er auch nur geringfügig davon ab oder nutzt er Anmeldedaten, die er durch Phishing erbeutet hat, bleibt Ihr traditionelles IAM-System gegenüber der bösartigen Aktivität, die sich direkt in Ihrer Umgebung abspielt, völlig blind.

Wie Verhaltensanalysen das Spiel verändern

Um Angriffen zu begegnen, die statische Regeln umgehen, mussten Sicherheitsarchitekten grundlegend umdenken, wie sie den Datenverkehr im Unternehmen überwachen. Hier kommen Verhaltensanalysen ins Spiel. Anstatt zu fragen, ob eine Aktion gegen eine starre, vordefinierte Regel verstößt, stellen Verhaltensanalysen eine weitaus wirkungsvollere Frage: Ist dieses Verhalten für diesen konkreten Benutzer normal?

Die Engine für verhaltensbasierte Analysen erstellt über die Zeit eine Baseline für normale Aktivitäten. Sie lernt typische Anmeldezeiten eines Benutzers, bevorzugte Arbeitsstationen, übliche Geschwindigkeiten beim Dateizugriff, Dynamiken bei Gruppenmitgliedschaften und sogar Tippmuster oder Navigationsgewohnheiten. Wird ein Konto kompromittiert, imitiert ein Angreifer selten jede Nuance des Tagesablaufs des Opfers. Indem Security-Lösungen diese Verhaltensmuster kontinuierlich bewerten, können sie subtile Anomalien erkennen, etwa ungewöhnliche laterale Bewegungen, plötzliche Anfragen zur Replikation des Verzeichnisses oder unerwartete Rechteausweitungen. Das geschieht, lange bevor der Bedrohungsakteur sein eigentliches Ziel erreicht.

Echtzeitüberwachung und Signale aus Active Directory

In der Cybersicherheit ist Sichtbarkeit alles. Wenn Sie nicht sehen, was in Ihren Verzeichnisdiensten passiert, können Sie sich nicht dagegen verteidigen. Moderne ITDR-Plattformen glänzen, weil sie sich direkt an die zentralen Signale Ihrer Identitätsinfrastruktur anbinden, einschließlich des lokalen Active Directory und cloudbasierter Identity Provider.

Die Echtzeitüberwachung bewertet Risikofaktoren dynamisch während der eigentlichen Authentifizierung und Autorisierung. Anstatt am nächsten Morgen einen Bericht zu erstellen, analysiert ein leistungsfähiges ITDR-Tool Kontextvariablen wie IP-Reputation, Gerätekonformität, auffällige User Agents und unmögliche Reisebewegungen genau in dem Moment, in dem eine Anfrage erfolgt. Wird während einer laufenden Sitzung eine Bedrohung erkannt, kann das System sofort eine Multi-Faktor-Authentifizierung erzwingen, Sitzungstoken widerrufen oder den Zugriff vorübergehend einschränken, bevor ein struktureller Schaden entsteht.

Bedrohungen mit KI-gestützter Risikobewertung priorisieren

Alarmmüdigkeit gehört zu den größten stillen Gefahren in modernen Security Operations Centern. Wenn ein Überwachungstool jeden Tag Tausende Alarme mit geringer Aussagekraft ausspuckt, ermüden die Analysten zwangsläufig. Das führt zu übersehenen Warnungen und verzögerten Reaktionszeiten bei Vorfällen.

Moderne ITDR-Systeme lösen dieses Problem mithilfe einer KI-gestützten Risikobewertung. Anstatt jeden einzelnen Alarm als eigenständigen Notfall zu behandeln, korreliert künstliche Intelligenz mehrere schwache Signale, etwa eine geringfügige Verhaltensänderung in Kombination mit einer leichten Veränderung des Gerätekontexts, und berechnet daraus einen einheitlichen Risikowert für die Entität. Vorfälle werden anhand von Schweregradmetriken nachvollziehbar priorisiert. So wissen Ihre SOC-Analysten sofort, welche Alarme ein dringendes manuelles Eingreifen erfordern und welche sicher über automatisierte Workflows abgearbeitet werden können.

Abläufe mit automatisierten Reaktionen beschleunigen

In der Cybersicherheit zählt Geschwindigkeit alles. Ein Angreifer kann eine Identität kompromittieren, Anmeldeinformationen abgreifen und sich innerhalb weniger Minuten im Netzwerk seitwärts bewegen. Darauf zu warten, dass ein Analyst einen Alarm manuell prüft, die Kompromittierung bestätigt und handelt, ist oft viel zu langsam.

Deshalb sind automatisierte Reaktionsmöglichkeiten so wichtig geworden. Moderne Identity-Security-Plattformen bieten vorgefertigte Playbooks und automatisierte Workflows, die sofort Gegenmaßnahmen einleiten, sobald eine Bedrohung mit hohem Schweregrad bestätigt ist. Zeigt ein Dienstprinzipal oder ein Benutzerkonto eindeutige Anzeichen eines Brute-Force-Angriffs oder eines Diebstahls von Anmeldeinformationen, kann das System das Konto automatisch deaktivieren, den betroffenen Endpunkt isolieren und das Incident-Response-Team benachrichtigen. Für die initiale Eindämmung ist dabei kein menschliches Eingreifen nötig. Das verkürzt die Verweildauer des Angreifers drastisch und begrenzt den Schaden, den ein Angriff anrichten kann.

Hybride und Multi-Cloud-Umgebungen absichern

Nur noch wenige Organisationen arbeiten rein in der Cloud oder ausschließlich on-premises. Die große Mehrheit moderner Unternehmen betreibt komplexe hybride Umgebungen, in denen lokale Active-Directory-Domänen nahtlos mit Cloud-Verzeichnissen wie Microsoft Entra ID synchronisiert werden.

Diese hybride Realität bringt besondere Sicherheitsherausforderungen mit sich, denn Angreifer nutzen häufig die Übergänge zwischen lokaler und Cloud-Infrastruktur aus, um ihre Rechte zu erweitern. Moderne Tools zur Erkennung von Identitätsbedrohungen sind genau dafür gemacht, diese Lücke zu schließen. Indem sie Signale sowohl von lokalen Domänencontrollern als auch von Cloud-Identitätsdiensten einlesen, bieten diese Lösungen eine einheitliche Gesamtsicht, die verdächtige Aktivitäten in Ihrer gesamten digitalen Umgebung nachverfolgt. Ob ein Angreifer auf einem alten lokalen Dateiserver beginnt und sich dann zu cloudbasierten Produktivitätsanwendungen vorarbeitet: Ihr Identitätsschutz behält dabei die vollständige Sichtbarkeit.

Fazit: Der Weg zu einem proaktiven Sicherheitsmodell

Die Entwicklung von statischem Identitätsmanagement hin zu dynamischer Bedrohungserkennung und -reaktion ist nicht nur ein vorübergehender Trend, sondern eine absolute Notwendigkeit, um in der heutigen Bedrohungslandschaft bestehen zu können. Cyberkriminelle werden immer raffinierter und nutzen zunehmend legitime Anmeldeinformationen, um perimeterbasierte Schutzmaßnahmen zu umgehen. Daher ist es nicht mehr zielführend, sich auf veraltetes IAM und starre Regelwerke zu verlassen. Mit kontinuierlicher Verhaltensüberwachung, KI-gestützter Risikobewertung, Echtzeitüberwachung und automatisierten Reaktionen können Unternehmen von einer reaktiven Haltung zu einem wirklich proaktiven Sicherheitsmodell übergehen.

Um tiefer in die Umsetzung dieser Konzepte in Unternehmensumgebungen einzusteigen, hören Sie sich unbedingt unsere vollständige Podcast-Episode an: Microsoft Defender for Identity - Simply Explained. Wer diese Werkzeuge versteht und sie korrekt implementiert, sorgt dafür, dass sein Unternehmen auch gegen die identitätsbasierten Bedrohungen von morgen widerstandsfähig bleibt.