Robuste Schutzmaßnahmen von Okta: So funktioniert KI-gestützte ITDR

Während Sie diesen Satz lesen, werden weltweit Tausende schädliche Anmeldeversuchen unternommen. Das Ausmaß und die Komplexität Identity-bezogener Angriffe sind erschreckend, und die Bedrohungen entwickeln sich täglich weiter. Im Jahr 2025 blockierte allein Okta mehr als 15 Milliarden schädliche Anmeldungen in über 10.000 Unternehmen. Wie können Unternehmen da Schritt halten? Die Antwort liegt nicht im Bau einer einzigen massiven Mauer, sondern in der Entwicklung einer intelligenteren, reaktionsfähigeren Abwehr. Dies ist das Kernprinzip, das hinter der KI-gestützten Lösung Identity Threat Detection & Response (ITDR) von Okta steckt. Nachfolgend werden wir uns ausführlich mit der Architektur der Sicherheitsplattform von Okta befassen und Ihnen ein Konzept vorstellen, das Inline-Prävention und Offline-Analysen in sich vereint und auf diese Weise robuste Schutzmaßnahmen gewährleistet.

In einem vorherigen Blog haben wir bereits das Konzept mehrschichtiger Schutzmaßnahmen vorgestellt. In diesem Blog werden wir nun die vollständige Architektur untersuchen. Folgende drei Themen werden behandelt:

1. Die Architektur unserer Inline-Schutzmaßnahmen, d. h. der Wachen am Tor, die Benutzende in Echtzeit schützen, während sie direkt mit Okta interagieren
2. Die Architektur unserer Offline-Schutzmaßnahmen, d. h. der Überwachungssysteme, die Identitäten kontinuierlich schützen, indem sie die Sicherheitssignale von Okta und Drittanbietern analysieren
3. Wichtige Empfehlungen zum Absichern von Okta-Tenants

Warum wir Inline- und Offline-Schutzmaßnahmen brauchen

Wir erkennen und beheben Angriffe sowohl inline, im Pfad von Webanfragen an Okta (z. B. Anmeldeversuche, Benutzerregistrierungen), als auch offline, als Reaktion auf Sicherheitsereignisse (z. B. wenn ein Sicherheitsanbieter Malware auf einem Benutzergerät erkennt).

Die Kombination aus Inline- und Offline-Schutzmaßnahmen ist aus folgenden Gründen erforderlich:

1. Nachdem Benutzende Okta für die Single Sign-On-Anmeldung bei einer Drittanbieteranwendung verwendet haben, interagieren sie solange mit dieser Drittanbieteranwendung, wie der Token gültig ist. Okta befindet sich nicht im Pfad dieser Webanfragen und ist deshalb auf Offline-Signale vom Gerät, der Drittanbieteranwendung und von Partneranbietern (z. B. ZTNA, SASE und EDR) angewiesen, um Angriffe zu erkennen.
2. Inline-Erkennungen müssen innerhalb weniger Millisekunden erfolgen, damit sie sich nicht auf die User Experience niederschlagen. Einige hochentwickelte Angriffe lassen sich mit Inline-Erkennung nicht präzise genug erkennen.

Das folgende Diagramm zeigt eine allgemeine Übersicht über Inline- und Offline-Schutzmaßnahmen. Wie aus dem Diagramm hervorgeht, bilden die von den Inline-Schutzmaßnahmen generierten asynchronen Ereignisse zusammen mit den Signalen von Drittanbietern die Eingabe für die Offline-Schutzmaßnahmen. Die Arten der Aktionen, die wir inline ausführen können (z. B. Blockieren oder MFA), unterscheiden sich von den Aktionen, die wir offline ausführen können (z. B. Universal Logout oder das Ausführen von Workflows) und ergänzen diese.

Inline-Schutzmaßnahmen

Okta verarbeitet täglich mehr als 100 Millionen Anmeldungen und 100.000 neue Benutzerregistrierungen. Wir ergreifen mehrschichtige Schutzmaßnahmen im Pfad dieser Anfragen, die nachfolgend beschrieben werden. In den letzten 18 Monaten haben wir die folgenden Ebenen (fett und kursiv in den blauen Feldern dargestellt) zusätzlich zu den bereits bestehenden Ebenen eingeführt, die wir im vorherigen Blog beschrieben haben.

Lassen Sie uns die neuesten Innovationen bei den Inline-Schutzmaßnahmen genauer betrachten.

Erweiterte dynamische Zonen

Angreifende verwenden oft Anonymisierungs-Proxys, Residential Proxys und bestimmte Arten von VPNs, um ihren Standort zu verbergen und Angriffe wie Credential Stuffing und Session Hijacking zu starten. Damit wir solche Angriffe erkennen können, haben wir die Unterstützung für Enhanced Dynamic Zones eingeführt. Kundenunternehmen können jetzt Netzwerkzonen basierend auf einer Kombination aus IP-Service-Kategorien (bestimmte Typen von Anonymisierungs-Proxys, Residential Proxys und VPNs), geografischen Standorten und ASNs (Autonomous System Numbers) erstellen. Diese Zonen können als Blocklisten verwendet oder als Bedingungen in den Anmelde-, MFA- und anderen Richtlinien konfiguriert werden. 

Mithilfe von Zonen lassen sich verschiedenste Anwendungsfälle abdecken, zum Beispiel:

1. Blockierung aller Anfragen an den Tenant von Anonymisierungs-Proxys, mit Ausnahme derjenigen Proxys, die Ihre Sicherheitsrichtlinien zulassen
2. Erzwingen von MFA für Anmeldungen, die von bestimmten VPN-Typen stammen, und Zulassen des übrigen Datenverkehrs
3. Verweigern der MFA-Registrierung, wenn eine bestimmte Kombination aus ASNs, Ländern und Proxy-Typen vorliegt

Die Tragweite dieser Funktion ist erheblich: Wir bewerten mittlerweile die IP-Metadaten für jede Anfrage, die Okta erreicht. Im Jahr 2025 nutzten mehr als 1.000 Kundenunternehmen von Okta diese Funktion, wodurch über eine Milliarde schädliche Anfragen blockiert werden konnten.

Das folgende Diagramm zeigt die allgemeine Architektur für die Aufnahme von IP-Metadaten-Feeds von Drittanbietern und deren Bereitstellung für extrem schnelle Suchvorgänge. Diese Feeds liefern die Geolokation sowie weitere IP-Metadaten, z. B. IP-Service-Kategorien.

Mit diese Architektur werden zwei Hauptziele erreicht:

1. Höhere Qualität: Um das Risiko von False Positives und False Negatives zu reduzieren, haben wir eine Offline-Pipeline erstellt, die die IP-Metadaten aktualisiert, sobald die Daten von Drittanbietern verfügbar sind.
2. Reduzierte Latenz: Um die Antwortzeiten für Anfragen zu reduzieren, haben wir die Anwendungsebene so aufgebaut, dass die IP-Metadaten von mehreren Anbietern innerhalb weniger Millisekunden (im einstelligen Bereich) abgerufen werden.

Bot-Schutz

Schädliche Bots sind an zahlreichen groß angelegten Angriffen über Anmeldedaten, wie der betrügerischen Erstellung von Accounts oder Passwort Spraying-Angriffe, beteiligt. Um dem entgegenzuwirken, haben wir die kürzlich angekündigte Betaversion von Bot Protection entwickelt, die ThreatInsight ergänzt und darauf ausgerichtet ist, Angriffe über Anmeldedaten auf folgende Weise zu blockieren:

1. Erkennung: ThreatInsight wurde entwickelt, um IP-Adressen zu erkennen, die an Sign-in-Angriffen beteiligt sind. Bot Protection erkennt Bots anhand von Signalen, die über die beteiligte IP-Adresse hinausgehen, nicht nur bei der Anmeldung, sondern auch bei Angriffen im Rahmen der Registrierung und Wiederherstellung. 
2. Behebung: ThreatInsight bietet die Behebungsoptionen Blockieren und Protokollieren. Blockieren ist eine starke Behebungsmaßnahme, und die Kosten bei falsch-positiven Ergebnissen sind hoch. Bot Protection ermöglicht es Kundenunternehmen, eine einfachere Proof-of-Work-Aufgabe als Behebung zu konfigurieren. Dies führt zu Verzögerungen für Bots, während legitime Benutzende nur minimal Reibungspunkte wahrnehmen.
3. Konfiguration: Bot Protection ermöglicht es Kundenunternehmen, die Behebung auf der Grundlage ihrer Risikotoleranz zu konfigurieren. Sie können die Funktion abstimmen und für die Erkennung von False Positives und False Negatives optimieren.

Anhand der umfassenden Angriffsdaten, die Okta im Laufe der Jahre gesammelt hat, entwickeln wir Machine Learning-Heuristiken und -Modelle, die die Identifizierung von Bots ermöglichen.

Identity Threat Protection: Bewertung des Session-Kontexts

Auch nach der Benutzerauthentifizierung bleibt das Risiko bestehen. Identity Threat Protection umfasst jetzt die Inline-Bewertung von Änderungen am Session-Kontexts und ermöglicht dadurch die Erkennung von Bedrohungen nach der Authentifizierung. Diese Funktion wertet Sessions kontinuierlich aus, um Anzeichen für eine kompromittierte Session zu erkennen. Immer wenn sich der IP-Adress- oder Gerätekontext ändert, bewerten wir das Risiko der Session neu, indem wir ein Machine Learning-Modell zur Bestimmung des Risikoniveaus ausführen. Das Modell ermittelt, wie stark die Anfrage im Vergleich zur Baseline für eine bestimmte Person von der Norm abweicht. 

Kundenunternehmen können Richtlinien konfigurieren, die gewährleisten, dass alle globalen Richtlinien und Anmelderichtlinien der Anwendung neu bewertet werden, wenn die Session riskant ist. Dies sind dieselben Richtlinien, die bereits im Vorfeld ausgewertet werden, bevor eine Session überhaupt gewährt wird. Mit der Auswertung von Richtlinien nicht nur im Kontext einer Anmeldung, sondern auch kontinuierlich als Reaktion auf jede Änderung im Session-Kontext, bietet Okta eine reale kontinuierliche Authentifizierung. 

In diesem Blog erhalten Sie weitere Details zur kontinuierlichen Authentifizierung.

Offline-Schutzmaßnahmen

Unsere ereignisgesteuerten Offline-Schutzmaßnahmen analysieren kontinuierlich Sicherheitssignale aus einer Vielzahl von Quellen, um Bedrohungen proaktiv zu identifizieren und darauf zu reagieren.

Identity Threat Protection: Kontinuierliche Bewertung des Benutzerrisikos

Identity Threat Protection geht über die Inline-Analyse hinaus. Wir nehmen kontinuierlich ein breites Spektrum von First-Party- und Third-Party-Sicherheitsereignissen auf und analysieren diese. Anschließend nutzen wir eine Kombination aus Offline-ML-Modellen und Heuristiken, um das Risikoniveau einer Benutzerin oder eines Benutzers kontinuierlich einzuschätzen. Das Kundenunternehmen kann Richtlinien konfigurieren, die gewährleisten, dass automatisierte Maßnahmen ergriffen werden, wenn Benutzende als risikoreich eingestuft werden. Dazu gehört beispielsweise die Einleitung von Universal Logout, um Benutzende von Okta und allen Anwendungen abzumelden, bei denen sie angemeldet sind. Im Jahr 2025 hat Identity Threat Protection mehr als 70.000 Benutzende als Benutzende mit hohem Risiko gekennzeichnet. In diesem Blog erhalten Sie einen detaillierteren Einblick in die Auswirkungen von Identity Threat Protection in der Praxis.

Das folgende Diagramm beschreibt die allgemeine Architektur für das Einlesen von Signalen aus verschiedenen Quellen und das asynchrone Verarbeiten dieser Informationen, um das Risiko von Benutzenden zu aktualisieren und zu beheben.

Erfassung von Third-Party-Signalen

Die meisten Kundenunternehmen nutzen Okta zusammen mit anderen Sicherheitsprodukten von Drittanbietern. Doch viele Sicherheitsprodukte arbeiten isoliert, und es ist äußerst schwierig, die Signale von mehreren Produkten zu integrieren, um Identity-bezogene Angriffe zu erkennen und zu blockieren. Unser innovativer Standard OpenID Shared Signals Framework trägt dazu, bei diese Herausforderung zu bewältigen. Identity Threat Protection ermöglicht es Kundenunternehmen, Okta so zu konfigurieren, dass Sicherheitsmeldungen mit den bestehenden Sicherheitsprodukten (ZTNA, WAF, SASE, EDR usw.) ausgetauscht werden können. Der standardbasierte Signalaustausch gewährleistet eine nahtlose und sichere Integration sowohl für Sicherheitsanbieter als auch für Kundenunternehmen.

First-Party-Signale von Okta

Identity Threat Protection bezieht Signale aus verschiedenen nativen Okta-Quellen, zum Beispiel:

1. Wir speisen Threat-Feeds ein, die vom Okta Threat Intelligence-Team generiert wurden. Diese Feeds enthalten Indikatoren für eine Kompromittierung (Indicators of Compromise, IOCs) im Zusammenhang mit einer schädlichen Phishing-as-a-Service-Infrastruktur. Dies ermöglicht es Kundenunternehmen, automatisierte Behebungsmaßnahmen (wie Universal Logout) zu ergreifen, die auf den umsetzbaren Erkenntnissen basieren, die von unserem Bedrohungsforschungsteam generiert wurden. 
2. Über Okta Verify erfassen wir kontinuierlich Gerätesignale (z. B. den Gerätemanagementstatus, ob das Gerät einem Jailbreak unterzogen wurde oder Signale einer auf dem Gerät installierten EDR-Software), um einen umfassenden Gerätekontext herzustellen. Anhand dieses Gerätekontexts bewerten wir dann kontinuierlich das Benutzer- und Session-Risiko.
3. Wir erfassen kontinuierlich Systemprotokollereignisse von Okta in einem Data Lake, sodass wir Offline-ML-Modelle und -Heuristiken ausführen können, die riskante Benutzende und schädliche IP-Adressen kennzeichnen.

Schutz vor kompromittierten Anmeldedaten

Schätzungen zufolge existieren im Dark Web mehr als 50 Milliarden kompromittierte Anmeldedaten. Angreifende nutzen diese, um umfangreiche Angriffe durchzuführen. Die Okta-Funktion Breached Credential Protection (jetzt allgemein verfügbar) lässt sich in Drittanbieter-Dienste integrieren und ermöglicht es, kontinuierlich zu prüfen, ob die Anmeldedaten von Benutzenden in bekannten Data Breaches aufgetaucht sind. Wenn eine Übereinstimmung gefunden wird, können wir automatisch das kompromittierte Passwort ablaufen lassen und alle aktiven Sitzungen beenden, wodurch verhindert wird, dass die gestohlenen Anmeldedaten verwendet werden können. 

Wir haben eine hochgradig skalierbare Architektur aufgebaut, mit der diese umfassenden Datenbanken heruntergeladen, verarbeitet und, nach erfolgreicher Authentifizierung via Passwort, für eine Suche mit sehr geringer Latenz zur Verfügung gestellt werden können.

Das folgende Diagramm zeigt die allgemeine Architektur für die Aufnahme von Milliarden kompromittierte Anmeldedaten von verschiedenen Anbietenden und wie diese Daten verwendet werden, um Sicherheitsverletzungen zu erkennen und zu beheben.

Innerhalb von drei Monaten nach Beginn der allgemeinen Verfügbarkeit wurden mit Breached Credential Protection 1,7 Millionen kompromittierte Anmeldedaten gekennzeichnet und 770.000 Anmeldedaten zurückgesetzt.

Einheitliche Intelligenz: Wie KI die Puzzleteile zusammensetzt

Weder die Inline- noch die Offline-Ebene arbeitet isoliert. Die große Stärke dieser Architektur ist unsere KI-basierte Erkennungs-Engine, die Daten von beiden Ebenen vereint. Herzstück dieser Erkennungs-Engine sind die einzigartigen Nutzungsdaten (z. B. IP-Adressen, Anwendungsnutzung, Anmeldedatenvalidierung, Gerätenutzung), die Okta in der Identity-Pipeline im Zusammenhang mit Milliarden Anmeldungen pro Monat erfasst. Diese aussagekräftigen Nutzungsdaten werden zusammen mit den gekennzeichneten Daten bekannter Angriffe zusammengeführt, um Offline- und Inline-Modelle für Machine Learning zu trainieren und hochentwickelte, Identity-bezogene Angriffe zu blockieren, zum Beispiel:

1. Wir verwenden ein Offline-Machine Learning-Modell, um schädliche IP-Adressen zu identifizieren, die an breit angelegten Angriffen über Anmeldedaten beteiligt sind. Um diese IP-Adressen zu identifizieren suchen wir nach Mustern in Bezug auf Passwort Spraying, Anmelderaten, Fehlerraten, Fehlertypen usw. Passwort Spraying ist eine interessante, auf Anmeldedaten basierende Angriffsmethode, bei der Angreifende ein Passwort automatisiert für mehrere User Accounts ausprobieren. Okta kann diese Passwörter identifizieren, indem es deren Verwendung über Benutzende und Unternehmen hinweg verfolgt und diese Versuche blockiert.
2. Wir verwenden ein Offline-ML-Modell, um IP-Adressen zu identifizieren, die an Phishing-Angriffen beteiligt sind, und stützen uns dabei auf Signale von Versuchen, die von FastPass blockiert wurden.
3. Wir verwenden ein Inline-ML-Modell, um gehackte Accounts und Session Hijacking-Angriffe zu erkennen. Das Machine Learning-Modell bestimmt, ob die Anfrage von der Baseline (sichere IP-Adressen, Geräte, Standorte usw.) abweicht, die wir für Benutzende auf Basis ihrer erfolgreichen Anmeldungen festgelegt haben.
4. Wir verwenden ein Inline-ML-Modell, um verdächtige Anfragen anhand verschiedener Attribute auf Anfrageebene zu identifizieren, sodass wir diese separat von legitimen Anfragen an das Unternehmen begrenzen können.

Wichtige Empfehlungen 

1. Aktivieren Sie ThreatInsight, Enhanced Dynamic Zones und Bot Protection, um groß angelegte, automatisierte Angriffe proaktiv an der digitalen Eingangstür zu blockieren.
2. Aktivieren Sie Breached Credential Detection, um Bedrohungen durch Anmeldedaten, die bei Datenschutzverletzungen Dritter kompromittiert wurden, sofort zu neutralisieren.
3. Aktivieren Sie Identity Threat Protection, um eine reale kontinuierliche Authentifizierung zu erreichen und in Echtzeit auf Bedrohungen nach der Authentifizierung zu reagieren.

Fazit

Wir empfehlen Ihnen, Ihre Sicherheitslage anhand dieser detaillierten Informationen genauer unter die Lupe zu nehmen. Arbeiten Ihre Schutzmechanismen koordiniert zusammen? Nutzen Sie KI, um Verborgenes zu erkennen? Das Überführen herkömmlicher, isolierter Tools in ein integriertes, KI-gestütztes ITDR-Framework ist der nächste entscheidende Schritt, um Ihre Identitäten und Assets vor modernen Bedrohungen zu schützen.