Was ist eine nicht-menschliche Identität (NHI)?

Eine nicht-menschliche Identität (NHI) ist jede digitale Identität, die von Software, Diensten, Arbeitslasten oder Automatisierung genutzt wird statt von einer Person. Dienstkonten, API-Schlüssel, OAuth-Token, IAM-Rollen, Bots und KI-Agenten sind allesamt NHI: Entitäten, die sich ausweisen, authentifizieren und autorisieren müssen, um auf gesicherte Ressourcen zuzugreifen. Über sie gelangen Maschinen in Systeme, nicht Menschen.

NHI zählen, weil sie still und leise zur vorherrschenden Art von Identität in modernen Umgebungen geworden sind, und zur am wenigsten gesteuerten. Während Unternehmen Cloud, Microservices, Anbindungen Dritter und inzwischen KI-Agenten eingeführt haben, ist die Zahl der nicht-menschlichen Identitäten den Kontrollen davongelaufen, die sie absichern sollten. Jede NHI ist eine Zugangsberechtigung, die gestohlen, mit zu vielen Rechten ausgestattet oder vergessen werden kann, und Angreifer wissen das.

Was eine nicht-menschliche Identität bedeutet

Eine NHI authentifiziert sich und handelt so, wie es ein Nutzerkonto tut, nur im Namen von Code statt einer Person. Ein nächtlicher Job, der Daten lädt, nutzt ein Dienstkonto. Eine Anwendung, die eine Bezahl-API aufruft, nutzt einen API-Schlüssel. Eine Arbeitslast in der Cloud nimmt eine IAM-Rolle an. Ein KI-Agent, der eine Datenbank abfragt, tut das unter eigenen Zugangsdaten. Diese Identitäten sind unverzichtbar, denn Zugriff von Maschine zu Maschine ist das, was Automatisierung und Anbindung überhaupt möglich macht. Doch ihnen fehlen oft der Lebenszyklus, die Verantwortlichkeit und die Aufsicht, die menschliche Konten von Haus aus bekommen.

Warum NHI jetzt zählen

Zwei Entwicklungen haben NHI zur Priorität gemacht. Erstens der Maßstab: Cloud-native Architekturen erzeugen weit mehr maschinelle Identitäten als menschliche, und viele davon entstehen nebenbei und werden nie aufgeräumt. Zweitens die KI: Jeder autonome Agent ist eine neue NHI mit Zugriff auf Daten und Werkzeuge. Das Ergebnis ist eine wuchernde, schnell wachsende Population von Zugangsberechtigungen, viele mit zu vielen Rechten, manche verwaist, die die Angriffsfläche schneller ausweitet, als Sicherheitsteams sie verfolgen können. Ein einziger durchgesickerter Schlüssel oder ein altes Dienstkonto kann Angreifern dauerhaften und schwer erkennbaren Zugang verschaffen.

Die OWASP NHI Top 10

Um zu vereinheitlichen, wie Unternehmen über diese Risiken nachdenken, hat OWASP 2025 die Non-Human Identities Top 10 veröffentlicht, eine Liste der dringendsten Sicherheitsrisiken von NHI, samt Hinweisen zu den Herausforderungen und dazu, wie man ihnen begegnet. Zwei der am höchsten eingestuften zeigen das Muster:

• Improper Offboarding (NHI1:2025). NHI, die nicht deaktiviert oder entfernt werden, sobald sie nicht mehr gebraucht werden, bleiben über ihren Zweck hinaus aktiv. Das hinterlässt dauerhafte Lücken, die Angreifer nutzen, um Systeme zu erreichen, Daten abzuziehen und sich langfristigen Zugang zu sichern.
• Secret Leakage (NHI2:2025). Wenn folgenschwere Zugangsdaten durchsickern, also Schlüssel, Token und Geheimnisse, steigt das Risiko eines schweren Einbruchs stark. Ein durchgesickertes Geheimnis ist ein fertiger Schlüssel zu allem, was es schützt.

Die weitere Liste deckt Risiken wie Identitäten mit zu vielen Rechten, unsichere Authentifizierung und schwache Verwaltung von Geheimnissen ab. Ihr Zweck ist Aufklärung und ein gemeinsamer Maßstab, um die nicht-menschlichen Identitäten einer Umgebung abzusichern.

Governance und Lebenszyklus

NHI abzusichern heißt, vertraute Identitätsdisziplin auf Maschinen anzuwenden:

• Bestandsaufnahme. Kennen Sie jede NHI, die existiert, was sie ist und worauf sie zugreifen kann. Man kann nicht steuern, was man nicht sieht.
• Verantwortlichkeit. Weisen Sie jeder NHI einen menschlichen Verantwortlichen zu, damit sie nicht verwaist.
• Geringste Rechte. Geben Sie jeder NHI nur den Zugriff, den ihre Aufgabe verlangt, zugeschnitten darauf, was die Daten tatsächlich sind.
• Rotation der Geheimnisse. Rotieren Sie Schlüssel und Token und bewahren Sie sie sicher auf, damit ein Leck eine kurze, begrenzte Reichweite hat.
• Sauberes Offboarding. Nehmen Sie NHI außer Betrieb und entziehen Sie ihnen den Zugriff in dem Moment, in dem sie nicht mehr gebraucht werden.

NHI und KI-Agenten

KI-Agenten machen die Governance von NHI dringend statt Routine. Jeder Agent ist eine NHI, die sich authentifiziert, auf Daten zugreift und handelt, oft über viele Systeme hinweg und in Maschinengeschwindigkeit. Ein Agent mit zu vielen Rechten ist eine NHI mit zu vielen Rechten, die zusätzlich schließen und Handlungen verketten kann, was den Einsatz bei jeder Zugriffsentscheidung erhöht. Hier treffen sich die Sicherheit von NHI und die Governance von KI-Agenten: Einen Agenten zu steuern heißt, seine Identität zu steuern, seinen Zugriff auf die geringsten Rechte zu begrenzen und ein klares Bild der Daten zu haben, die er berühren darf.

Wie Dawiso hineinpasst

Dawiso ist kein Werkzeug für Identitäts-Governance oder die Verwaltung von Geheimnissen, es authentifiziert keine NHI und rotiert keine Schlüssel. Was es liefert, ist die Ebene, die solche Werkzeuge voraussetzen, aber selten haben: gesteuerten Datenkontext darüber, was eine NHI oder ein Agent tatsächlich erreicht. Eine Zugriffsentscheidung ist nur so gut wie Ihr Verständnis der Daten auf der anderen Seite, und genau die steuert Dawiso.

• Ein Bestand der Daten, die NHI berühren. Der Datenkatalog gibt Ihnen eine gesteuerte Karte der vorhandenen Datenbestände, sodass Sie beurteilen können, worauf eine NHI oder ein Agent zugreifen darf.
• Verantwortlichkeit und Rechenschaft. Klare Datenverantwortung bedeutet, dass jeder Datensatz, den eine NHI erreicht, einen rechenschaftspflichtigen Menschen hat, und genau darauf bauen sauberes Offboarding und geringste Rechte auf.
• Sensibilität ausdrücklich gemacht. Die Klassifizierung kennzeichnet, welche Daten sensibel sind, sodass sich Zugriffsrichtlinien und Leitplanken für Agenten am tatsächlichen Risiko ausrichten lassen statt an Vermutungen.
• Lineage für Wirkung und Prüfung. Die interaktive Lineage zeigt, woher die Daten kommen, die eine NHI nutzt, und wohin sie fließen, was die Wirkungsanalyse trägt, wenn eine Zugangsberechtigung kompromittiert wurde.

Verbinden Sie Ihre Werkzeuge für Identitäten und Geheimnisse mit dem gesteuerten Datenkontext von Dawiso, und Zugriffsentscheidungen für NHI und Agenten stehen auf dem, was die Daten tatsächlich sind, und nicht nur darauf, wer oder was gerade fragt.

Fazit

Eine nicht-menschliche Identität ist jede digitale Identität, die von Software, Diensten oder KI-Agenten statt von einer Person genutzt wird, und NHI sind heute zahlreicher als menschliche Identitäten und bleiben dennoch untersteuert. Die OWASP NHI Top 10 vereinheitlichen die größten Risiken, von unsauberem Offboarding bis zum Abfluss von Geheimnissen, und die Abhilfe ist klassische Identitätsdisziplin, auf Maschinen angewandt: Bestandsaufnahme, Verantwortlichkeit, geringste Rechte, Rotation und sauberes Offboarding. Weil jeder KI-Agent eine NHI ist, lässt sich diese Disziplin von der Governance von KI-Agenten nicht trennen, und sie wirkt am besten, wenn Zugriffsentscheidungen auf gesteuertem Kontext über die Daten beruhen, die diese Identitäten berühren.