Auf der diesjährigen EDUCAUSE Cybersecurity and Privacy Professionals Conference (CPPC) in Anaheim, Kalifornien, konnte es durchaus vorkommen, dass Besuchende mit einer Star Wars-Figur Rolltreppe fuhren oder von Minnie-Mäusen durch die Lobby begleitet wurden. Die Social-Media-Influencer-Messe auf der anderen Straßenseite hat eindrücklich gezeigt, dass Selfie-Sticks ein praktisches Zubehör und Neon-Tanktops immer en Vogue sind.
Im Konferenzbereich hingegen diskutierten Hunderte Cybersicherheitsfachleute darüber, wie man Sicherheit im Hochschulbereich am besten gewährleisten kann, angesichts der Tatsache, dass KI, Regulierung und Angriffstechniken gleichermaßen an Fahrt aufnehmen. In den Sessions ging es um KI-gestützte Bedrohungen, die Risiken und das Potenzial von KI-Agenten, Zero-Day-Resilienz, die Harmonisierung von Frameworks, die Verankerung von Modernisierungsinitiativen in der Sicherheit sowie um Möglichkeiten, IT-Umgebungen vor Betrug zu schützen. Der rote Faden, der sich durch die Konferenz zog, war die Feststellung, dass Identity-Management im kommenden Jahrzehnt die Grundlage für die IT-Sicherheit im Hochschulbereich bilden wird.
Drei wichtige Erkenntnisse sollten Hochschulen mitnehmen:
Erkenntnis 1: MFA ist notwendig, aber nicht mehr ausreichend
In mehreren Sessions wurden zwar unterschiedliche Wege eingeschlagen, die jedoch letztendlich alle zum selben Ergebnis führten. Browser-in-the-Middle-Phishing-Kits leiten eine echte Anmeldung weiter, sodass eine sich anmeldende Person die MFA abschließen und anschließend die authentifizierte Session übernehmen kann. Prompt-Bombing, SIM-Swapping und Man-in-the-Middle-Kits sind mittlerweile Routine und keine Ausnahme mehr. KI-gesteuertes Phishing hat eine Qualität und ein Ausmaß erreicht, mit denen herkömmliche Benutzerschulungen kaum mehr mithalten können. Sprach-Deepfakes, die auf Helpdesks abzielen, wurden als aktives Bedrohungsmuster identifiziert.
Einige Sessions brachten es auf den Punkt: MFA schützt zwar Anmeldedaten, doch die heutigen Angriffe haben es auf Sessions, Geräte und Wiederherstellungsabläufe sowie auf die Personen abgesehe, die ans Telefon gehen.
Die nächste Phase und ihre Komponenten sind alte Bekannte: Phishing-resistente Faktoren, die an die legitime Website und ein vertrauenswürdiges Gerät gebunden sind, kontinuierliche Bewertung des Session- und Geräterisikos nach der Anmeldung, Governance, die an die Rolle geknüpft ist, und ein automatisierter Lebenszyklus, bei dem der Zugriff in dem Moment widerrufen wird, in dem eine Person die Rolle wechselt oder das Unternehmen verlässt. MFA allein konnte diese Bedrohungen noch nie bewerkstelligen, und auch die isolierte Nutzung dieser Tools wird dazu nicht in der Lage sein. Die Einrichtungen, die echte Fortschritte erzielen, sind diejenigen, die diese Tools zu einer einheitlichen Identity-Plattform zusammenführen.
Erkenntnis 2: KI und KI-Agenten machen sich auf dem Campus breit
Wenn Sie gehofft hatten, eine Woche zu erleben, in der Sie nichts über KI und KI-Agenten hören würden, dann war die Konferenz der falsche Ort. Die Sessions liefen parallel: Während in der einen Horrorszenarien über KI-gestützte Angriffe verbreitet wurden, lobten andere die Vorteile agentengestützter Anwendungsfälle.
Letzteres trifft momentan für die IT im Hochschulbereich zu. Produktive und effiziente KI-Agenten entstehen in den IT-Abteilungen schneller, als sie inventarisiert werden können. Die Fakultäten sind davon überzeugt, dass OpenClaw besser sein könnte als ihre Lehrassistenten, wenn nur der Zugriff auf ein paar weitere Systeme gegeben wäre. Studierende entwickeln ständig neue Anwendungsfälle in allen Hochschulbereichen.
Doch dies birgt Risiken in zweifacher Hinsicht: Was die Angreiferseite betrifft, hat die KI die Kosten für die Erstellung überzeugender Phishing-Angriffe, Business-E-Mail-Kompromittierungen, Deepfakes und automatisierter Aufklärung auf ein Niveau gesenkt, mit dem statische Authentifizierungs- und Zugriffsrichtlinien nicht mehr Schritt halten können. Und dann gibt es noch die Schatten-KI an Hochschulen. Wenn Sie ein Security-Team fragen, wie viele KI-Agenten in der Einrichtung aktiv sind, folgt der ersten Schätzung meist der Zusatz: „Das sind zumindest diejenigen, von denen wir wissen.“
Identity-Management bietet eine Lösung für beide Aspekte, die letztendlich darauf hinausläuft, die folgenden drei Fragen zu beantworten:
- Wo sind meine Agenten?
- Worauf haben meine KI-Agenten Zugriff?
- Was können sie tun?
Universitäten entwickeln bereits KI-Assistenten und Workflows für zahlreiche Teams, Tools und Plattformen. Die Herausforderung besteht nicht darin, ob diese Einrichtungen KI nutzen werden, sondern vielmehr darin, wie sie KI auf einer Identity-Grundlage skalieren können, die es ihnen ermöglicht, diese drei Fragen souverän zu beantworten. Dies impliziert Folgendes:
- Erkennung jedes einzelnen Agenten
- Registrierung einer verantwortlichen Person
- Sichere Delegierung von Benutzerrechten
- Durchsetzung feingranularer Zugriffsrechte mit menschlicher Genehmigung in kritischen Situationen
- Führung eines prüffähigen Protokolls für das gesamte IT-Ökosystem der Einrichtung
Erkenntnis 3: Forschungsenklaven, regulierte Daten und die darunterliegende Identity-Ebene
Das Thema Compliance kam am häufigsten dort zur Sprache, wo sie sich am stärksten auswirkt. Forschungsintensive Universitäten und akademische medizinische Zentren müssen die Anforderungen mehrerer, oft überlappender Compliance-Frameworks gleichzeitig auf denselben Systemen verwalten, darunter CMMC, NIST 800-171, HIPAA, FERPA und bundesstaatliche Datenvereinbarungen. In einer Session wurde die Journey zum Aufbau einer regulierten Forschungsenklave nach CMMC Level 2 nachvollzogen, und es wurde deutlich, dass es ohne Identity-Management nicht weitergeht.
Bei einem Großteil von CMMC Level 2 geht es um Identifizierung, Authentifizierung, Zugriffskontrolle, Audit und Verantwortlichkeit, ähnlich sieht es beim HIPAA und den bundesstaatlichen Datenvereinbarungen für Forschung aus. Eine einheitliche Identity-Plattform, die Authentifizierung, privilegierte Zugriffe, Governance und prüffähiges Reporting abdeckt, reduziert den Mehraufwand in all diesen Bereichen.
Ein Identity Security Fabric sorgt nicht automatisch für Compliance, macht aber den Identity-bezogenen Teil der Bemühungen messbar, wiederholbar und vertretbar.
Das Happy End
Diese Zusammenfassung könnte den Eindruck erwecken, dass es bei der Konferenz, die verdächtig nah am glücklichsten Ort der Welt stattfand, nur um Identity-Management ging. Tatsächlich handelte es sich jedoch um ein Treffen von Cybersicherheitsprofis, die sich mit anspruchsvollsten Problemstellungen in den Bereichen Sicherheit, Compliance, KI und Resilienz im Hochschulwesen befasst haben. Der Begriff „Identität“ tauchte einfach überall auf. Und nicht alle haben ALLE Fahrgeschäfte ausprobiert.
Für Fachkräfte im Bereich Cybersicherheit und Datenschutz im Hochschulwesen beschränkt sich das Ziel nicht mehr nur auf besseres SSO und moderne Authentifizierung. Der Trend geht zum einheitlichen Identity Security Fabric, der Zugriff, Governance, Risikomanagement, Compliance, KI-Sicherheit und User Experience miteinander verbindet, damit alle auf dem Campus jede Technologie sicher nutzen können.
