Dies ist der zweite Blog-Beitrag einer siebenteiligen Reihe zum Thema Identity-Sicherheit zur Gewährleistung von KI-Sicherheit.
TL;DR: Im August 2025 verbreitete sich eine Sicherheitsverletzung unbemerkt in der SaaS-Welt – es gab keine Ransomware-Forderungen und keine auffälligen Verunstaltungen. Stattdessen wurden längst vergessene und dennoch gefährlich lebendige Anmeldedaten gestohlen. Das Ziel war Salesloft Drift, eine Marketingautomatisierungsplattform, die den Drift AI-Chat-Agenten unter anderem mit einer Salesforce- oder Google Workspace-Instanz verbindet. Die Angreifer brauchten keine Brute-Force-Taktiken, sondern nutzten OAuth-Token (digitale Schlüssel, die Monate zuvor ausgestellt wurden), um über 700 Unternehmen zu infiltrieren. Die Folgen waren enorm: Geschäftskontakte, Salesforce-Daten und interne API-Keys wurden entwendet. Es war eine der bislang größten SaaS-zu-SaaS-Sicherheitsverletzungen und hat ein tieferes Problem beim Identity-Management aufgezeigt. KI-Agenten melden sich nicht ab und ihre Anmeldedaten bleiben oft monatelang gültig. Sie werden schlicht vergessen und nicht widerrufen. Dadurch werden diese Token zu tickenden Zeitbomben.
Die Lösung beginnt mit einer Neukonzeption von Identität und Zugriff. Anmeldedaten sollten kurzlebig, automatisch erneuert und widerrufen werden, sobald sie nicht mehr benötigt werden. Dauerhafte Autorisierung muss mit einem eingebauten Ablaufdatum versehen sein, nicht nur mit Bequemlichkeit.
Der Vorfall, der das Problem beweist
Im August 2025 ereignete sich eine der weitreichendsten SaaS-Sicherheitsverletzungen der letzten Zeit. Salesloft Drift wurde ohne Exploit-Code, Zero-Day-Schwachstellen oder Malware kompromittiert. Die Angreifer brauchten sie nicht. Alles, was sie brauchten, waren Zeit und Tokens. Die Angreifer verschafften sich zuerst zwischen März und Juni 2025 Zugriff auf das GitHub-Account von Salesloft. Dann platzierten sie bösartige Workflows und griffen auf die AWS-Umgebung von Drift zu. Einmal drin, stahlen sie OAuth-Tokens für die Technologieintegrationen der Drift-Kunden. Mehr als 700 Organisationen waren betroffen.
Aber die eigentliche Schwachstelle war nicht der Diebstahl, sondern die Langlebigkeit. Diese Token, von denen viele bereits Monate zuvor ausgestellt worden waren, waren immer noch aktiv. Sie waren weder abgelaufen noch widerrufen worden. Als Angreifer im August begannen, sie für den Zugriff auf Daten von verbundenen Diensten wie Salesforce, Cloudflare, Palo Alto Networks und Zscaler zu verwenden, erschien die Aktivität legitim. Die Token waren gültig. Die Dienste vertrauten ihnen. Die Automatisierung sah normal aus.
Es war nicht nötig einzubrechen, da die Türen nie verschlossen waren.
Diese Episode ist ein Paradebeispiel für „Autorisierungsdrift“ – ein wachsendes Sicherheitsrisiko, bei dem Maschinen-Anmeldedaten die Workflows und Geschäftsabsichten, für die sie erstellt wurden, überdauern. Und das ist nicht überraschend, wenn man bedenkt, dass 51 % der Unternehmen noch immer keinen formellen Prozess für den Widerruf dieser langlebigen Secrets haben. Da nicht-menschliche Identitäten die menschlichen inzwischen im Verhältnis von 144 zu 1 übertreffen, stellt diese Nachlässigkeit eine große Lücke im System dar.
Um das Problem zu lösen, muss die Art und Weise, wie wir Machine-to-Machine-Aktivitäten autorisieren, überdacht werden. Static Credentials sollten durch kurzlebige Tokens ersetzt werden, die nur erneuert werden, wenn der Kontext dies zulässt. Die Zugriffskontrolle muss nicht nur fragen: "Ist dieses Token gültig?", sondern auch: "Sollte es noch verwendet werden?" Und in sich schnell bewegenden, verteilten Systemen muss sich die Autorisierung kontinuierlich anpassen, um mit der Absicht synchron zu bleiben. um mit der Absicht übereinzustimmen.
Die Salesloft Drift-Sicherheitsverletzung nutzte keine Schwäche im Code aus. Sie nutzte eine Schwäche in den Annahmen aus, dass der gewährte Zugriff verantwortungsvoll verwaltet würde. Wenn sich die Verwaltung von Anmeldedaten nicht weiterentwickelt, brauchen Angreifer keine neuen Taktiken. Sie werden einfach warten.
Das Problem des Autorisierungslebenszyklus
KI-Agenten sind keine Benutzer im traditionellen Sinne. Sie melden sich nicht an, erledigen eine Aufgabe und melden sich wieder ab. Sie laufen kontinuierlich tagelang, sogar wochenlang und führen lange Workflows wie Datenabgleich, Onboarding oder Modelltraining aus. Und dennoch basieren die meisten Identity-Systeme immer noch auf menschlichen Annahmen: Sessions mit Anfang und Ende, einmal ausgestellte und vergessene Anmeldedaten.
Dieses Modell funktioniert nicht, wenn es auf autonome Systeme angewendet wird. Über die Verwaltung von Benutzer-Logins hinaus entwickelt sich IAM zu einem Echtzeit-Vertrauensmanagement über Menschen, Dienste und Agenten hinweg, die in unserem Namen agieren, über Systeme hinweg, ohne direkte Aufsicht. Die OpenID Foundation nennt dies „asynchrone Ausführung mit dauerhafter delegierter Autorität“: Agenten, die unabhängig unter verwalteten, widerruflichen Identitäten agieren.
In der Praxis bedeutet dies ein Überdenken der Grundlagen:
Delegierte Identitäten, die speziell für Agenten entwickelt wurden und von Benutzeranmeldedaten getrennt sind.
Kontinuierlich erneuerbarer Zugriff, bei dem sich die Berechtigung dynamisch an den Kontext anpasst.
Sofortiges De-Provisioning über alle Systeme hinweg, wenn Risiken auftauchen – keine Verzögerung, keine manuelle Bereinigung.
Echtzeitprüfungen, die den Zweck im Moment der Handlung validieren, nicht nur zum Zeitpunkt der Tokenausstellung.
Das ist die Richtung, in die sich die Sicherheit von KI-Agenten entwickelt: Identität als dynamische Vertrauensebene für KI.
Und wenn Prävention nicht genug Motivation ist, wird die Regulierung kommen.
Ab dem 2. August 2026 müssen Unternehmen laut Artikel 14 des EU-Gesetzes zur künstlichen Intelligenz (EU AI Act) nachweisen, dass jede KI-gesteuerte Aktion nicht nur zum Zeitpunkt der Ausstellung der Anmeldedaten, sondern auch zum Zeitpunkt ihrer Ausführung autorisiert wurde. Diese Verlagerung hin zur Verantwortlichkeit zur Ausführungszeit hat echtes Gewicht: Verstöße könnten bis zu 35 Millionen Euro (38 Millionen Dollar) oder 7 % des weltweiten Umsatzes kosten.
Die Gesetzgebung in den USA bewegt sich in die gleiche Richtung. Rahmenwerke wie FICAM (Federal Identity, Credibility, and Access Management) und die Data Security Program Rule (Datensicherheitsregel) des US-Justizministeriums führen Forderungen nach einer Lebenszykluskontrolle für nicht-menschliche Identitäten und automatisierte Zugriffe ein.
Die alte Denkweise mit der Annahme, dass „das Token gültig war“, hält nicht mehr stand.
Wirtschaftsprüfer stellen jetzt härtere Fragen:
„Dieser Agent hat am Tag 45 auf Kundendaten zugegriffen. Der Mitarbeiter ist am Tag 30 ausgeschieden. Die Aufgabe wurde am Tag 10 beendet. Zeigen Sie mir den Autorisierungs-Trail.“
Ein schwaches System könnte antworten:
„Das OAuth-Token war 90 Tage lang gültig.“ Das ist nicht mehr gut genug.
Ein ausgereiftes, Lebenszyklus-orientiertes System reagiert anders:
„Der Agent operierte unter einer eindeutigen, delegierten Identity. Das Token wurde automatisch widerrufen, als die Aufgabe an Tag 10 abgeschlossen war. Der gesamte Zugriff wurde geloggt, die Delegierungskette verifiziert und die Deprovisionierung erfolgte innerhalb von Sekunden.“
Die Kosten für die Autorisierungsabweichung
Autorisierungsdrift ist die stille Bedrohung, die die meisten Teams nicht kommen sehen. Es ist die Zeitspanne zwischen dem Zeitpunkt, an dem ein Zugriff entzogen werden sollte, und dem Zeitpunkt, an dem dies tatsächlich geschieht. Laut dem NHI7-Bericht von OWASP bleiben Anmeldedaten durchschnittlich 47 Tage aktiv, nachdem sie nicht mehr benötigt werden. Das sind fast zwei Monate, in denen Angreifende freie Hand haben und unvorhergesehene Fehler auftreten können.
Nicht-menschliche Identitäten sind in einigen Unternehmen inzwischen um das 144-fache höher als die Anzahl der menschlichen Identitäten. Jedes verbleibende Token, das mit einem KI-Agenten verbunden ist, öffnet die Tür zu unbeabsichtigtem Zugriff, lange nachdem die Aufgabe erledigt, der Mitarbeiter gegangen oder die Integration verschoben wurde.
Deshalb wird die lebenszyklusbewusste Autorisierung immer wichtiger. Sie trägt dazu bei, dass der Zugriff nicht einfach gewährt und vergessen wird, sondern sich anpasst. Anmeldedaten laufen automatisch ab, wenn Workflows abgeschlossen sind. Der Zugriff wird nur erneuert, wenn der Kontext noch sinnvoll ist. Es ist dynamisches Vertrauen, nicht statische Berechtigung.
Ohne dieses Vertrauen steht sehr viel auf dem Spiel. Laut Schätzung aus dem 2025 Cost of a Data Breach Report von IBM betragen die globalen Durchschnittskosten einer Sicherheitsverletzung mittlerweile 4,4 Millionen US-Dollar. Wenn der Zugriff nicht an die Absicht geknüpft ist und die Absicht nicht in Echtzeit überwacht wird, wird „dauerhafte Autorisierung“ nur zu einem weiteren Begriff für verstecktes Risiko.
Von statischer zu Lifecycle-Autorisierung.
Um Authorization Drift zu stoppen, benötigen KI-Agenten Anmeldedaten, die sich an die Echtzeitbedingungen anpassen, unter denen sie operieren. Die meisten Sicherheitstools wurden nicht für Agenten entwickelt, die wochenlang autonom arbeiten.
Die Behebung beginnt mit der Lebenszyklus-orientierten Autorisierung: Sie überprüft, ob Anmeldedaten ablaufen, erneuert oder widerrufen werden, basierend auf dem Kontext und nicht nur auf einem voreingestellten Timer. Vier wichtige Designprinzipien machen dies möglich:
Durable Delegated Identity: Jeder KI-Agent hat seine eigene Identität, getrennt von Benutzern, verwaltet und überprüfbar.
Kontinuierlich erneuerbare Autorisierung: Der Zugriff passt sich automatisch an, wenn sich die Aufgabe, der Benutzer oder die Umgebung ändert.
Sofortiges systemübergreifendes De-Provisioning: Der Widerruf des Zugriffs an einer Stelle schaltet ihn überall ab, schnell.
Echtzeit-Autorisierungsvalidierung: Aktionen werden im Moment ihres Geschehens erneut mit den aktuellen Richtlinien abgeglichen, nicht nur bei der Ausstellung der Anmeldedaten.
Das Okta-Framework für das Lifecycle Management (LCM) von KI-Agenten setzt diese Ideen in die Praxis um. Es handhabt die Erstellung von Identitäten, fortlaufende Autorisierungsprüfungen und die automatisierte Deprovisionierung für KI-Systeme und unterstützt so einen sichereren, konformen Betrieb, da KI mehr Verantwortung übernimmt. Da die behördliche Kontrolle zunimmt und die Agenten autonomer werden, wird dieser Ansatz schnell zu einer Notwendigkeit und nicht zu einem Luxus.
Wie Okta und Auth0 diesRealität werden lassen
Lebenszyklus-basierte Autorisierung ist kein Ersatz für IAM; sie erweitert es, um die Anforderungen moderner, autonomer Systeme zu erfüllen. Da KI-Agenten mehr Verantwortung in verschiedenen Systemen übernehmen, müssen Anmeldeinformationen den gleichen Regeln folgen wie der Zugriff durch Menschen: nur gültig, wenn dies erforderlich ist, und widerrufen, sobald sie nicht mehr benötigt werden.
1. Dauerhafte delegierte Identity – Okta KI Agent Lifecycle Management
Als Teil des Identity Security Fabric registriert Okta Lifecycle Management KI-Agenten als eigenständige Entitäten und verwaltet diese Identitäten mit klaren Delegierungsketten. Damit agieren Sie nicht als Vertreter von Benutzenden, sondern handeln als verwaltete, nicht-menschliche Akteure mit Richtlinien, die auf ihre Rollen zugeschnitten sind. Durch Okta Identity Governance und Privileged Access erhalten Agenten nur das, was sie benötigen, wann sie es benötigen, und der Zugriff wird ihnen in dem Moment entzogen, in dem dieser Kontext endet.
2. Kontextbezogene Autorisierung – Auth0 Token Vault + FGA
Auth0 Token Vault stellt Anmeldedaten aus, die kurzlebig und an bestimmte Aufgaben gebunden sind, wodurch Token-Drift und -Persistenz minimiert werden. Auth0 Fine-Grained Authorization (FGA) fügt dynamische, kontextbezogene Entscheidungsfindung bei jedem API-Aufruf hinzu. Für asynchrone Aktionen überprüfen die Client-Initiated Backchannel Authentication (CIBA)-Frameworks von Auth0 die Live-Delegierung vor der Ausführung und nicht nur bei der Ausstellung von Anmeldedaten.
3. Kontinuierlicher Widerruf und Audit-Transparenz – Okta Identity Security Fabric
Wenn der Zugriff widerrufen wird, muss dies sofort und überall wirksam werden, da sonst die Möglichkeit besteht, dass dieser Zugriff ausgenutzt wird. Der Identity Security Fabric von Okta erzwingt den Widerruf gemeinsam genutzter Signale und die Einhaltung offener Standards wie DPoP (RFC 9449). Dies trägt dazu bei, dass widerrufene Anmeldedaten sofort in gesamten SaaS-Ökosystemen verbreitet werden. Die Propagierung im Subsekundenbereich trägt dazu bei, dass keine veralteten Token zurückbleiben. Zudem wird jede Entscheidung für eine vollständige Audit-Transparenz protokolliert.
Fazit
KI-Agenten sind ihren menschlichen Pendants inzwischen zahlenmäßig weit überlegen, in einigen Unternehmen sogar um das 144-fache! Aber mit dieser Größenordnung geht eine gefährliche Lücke einher.
Die Salesloft-Drift-Sicherheitsverletzung und die NIST-Studie von 2025 zum Thema Agent Hijacking legen ein beunruhigendes Muster offen: gültige Anmeldedaten, die lange nach ihrem Widerruf noch vorhanden sind. Der geschäftliche Bedarf besteht nicht mehr. Die Benutzenden waren nicht mehr im Unternehmen tätig. Doch der Zugriff war weiterhin gültig.
Das Problem ist nicht, dass KI-Agenten zu mächtig sind, sondern dass unsere Systeme zur Verwaltung ihres Zugriffs nicht mitgekommen sind. Sie wurden für Personen entwickelt, die sich an- und abmelden, nicht für autonomen Code, der wochenlang läuft und stillschweigend sensible Aufgaben ausführt.
Der Identity Security Fabric von Okta und die adaptive Autorisierungsfunktionen von Auth0 beschreiten einen neuen Weg. Ihre sich entwickelnden Frameworks zeigen, wie die Zukunft aussieht: KI-Agenten, die eigene Identitäten statt geliehene Anmeldedaten haben, die durch Richtlinien gesteuert werden und sich kontinuierlich an den Echtzeit-Kontext anpassen. Der Zugriff wird nicht nur zu Beginn einer Aufgabe gewährt, sondern fortlaufend neu bewertet. Und wenn eine Aufgabe endet oder sich eine Bedingung ändert, werden die Zugriffsrechte sofort entzogen. Kein Warten, keine manuelle Bereinigung.
Mit anderen Worten, dies ist ein Paradigmenwechsel:
Gemeinsam genutzte Anmeldedaten werden durch delegierte, agentenspezifische Identitäten ersetzt.
Statische, langlebige Token weichen Anmeldedaten, die sich im Kontext erneuern oder ablaufen.
Beliebige Zeitlimits werden durch einen an die Business Logic gebundenen Widerruf ersetzt.
Die manuelle Deprovisionierung wird durch sofortige, automatisierte Abschaltungen in allen Systemen ersetzt.
Dies ist mehr als ein Upgrade von IAM, es ist eine Revolution. Der Zugriff ist jetzt dynamisch und reagiert auf Workflows, Rollen und Aufgaben. Anmeldedaten passen sich dem an, was in Echtzeit geschieht, und verschwinden, wenn ihre Aufgabe erledigt ist.
Keine verbleibenden Token mehr. Keine stille Gefährdung mehr. Nur Identität als eine lebende Vertrauensebene für autonome Systeme. Alles andere setzt Unternehmen Sicherheitsverletzungen aus, die nicht aus böser Absicht, sondern aus Trägheit entstehen.
Weiter: blog 3 befasst sich mit der domänenübergreifenden Föderation. Wie KI-Agenten eine delegierte Berechtigung über mehrere Organisationen hinweg nachweisen können, selbst wenn es keine einzige verlässliche Informationsquelle gibt.
