Maschinenidentität

Wenn du dich bei einem Onlinedienst anmeldest, weist du dich mit Benutzername und Passwort aus. Der Dienst prüft, ob du wirklich du bist. Genau dasselbe Problem gibt es zwischen Programmen: Eine Bezahl-App muss der Bank beweisen, dass sie tatsächlich diese App ist. Dafür bekommt jedes Programm, jedes Gerät und jeder Server einen eigenen digitalen Ausweis. Dieser Ausweis heißt Maschinenidentität. Er besteht nicht aus einem Passwort zum Merken, sondern aus langen Zahlenfolgen, die ein Computer verwaltet.

Warum es mehr Ausweise für Software als für Menschen gibt

In einem typischen Unternehmen arbeiten vielleicht 5.000 Menschen. Gleichzeitig laufen dort aber hunderttausende kleine Programme, die ständig miteinander sprechen. Sicherheitsfirmen schätzen, dass auf jeden menschlichen Zugang inzwischen mehrere Dutzend maschinelle kommen. Jeder dieser Zugänge ist eine mögliche Eintrittstür für Angreifer. Wer einen solchen Ausweis stiehlt, kann sich als vertrauenswürdiges Programm ausgeben.

Menschen merken es meist, wenn ihr Konto übernommen wird. Ein Programm merkt gar nichts. Es arbeitet einfach weiter, auch wenn seine Zugangsdaten längst kopiert wurden. Deshalb gelten gestohlene Maschinenidentitäten als besonders gefährlich. Mehrere große Angriffe der letzten Jahre begannen genau so: mit einem Schlüssel, der versehentlich öffentlich im Internet lag.

Neu befeuert wird das Thema durch KI-Systeme, die selbstständig Aufgaben erledigen. Solche Programme buchen Reisen, schreiben E-Mails oder greifen auf Datenbanken zu. Auch sie brauchen einen Ausweis, und zwar einen mit genau abgegrenzten Rechten. Sonst kann ein fehlgeleitetes Programm Schaden anrichten, den niemand geplant hat.

Zertifikate, Schlüssel und Token

Die häufigste Form ist das digitale Zertifikat. Man kann es sich als beglaubigten Ausweis vorstellen. Eine vertrauenswürdige Stelle, die Zertifizierungsstelle, bestätigt darin: Dieser Server gehört wirklich zu dieser Adresse. Dein Browser prüft solche Zertifikate bei jedem Aufruf einer Webseite. Das kleine Schloss in der Adressleiste zeigt an, dass die Prüfung geklappt hat.

Daneben gibt es API-Schlüssel und Token. Ein API-Schlüssel ist eine lange Zeichenkette, die ein Programm bei jeder Anfrage mitschickt. Ein Token ist ein zeitlich begrenztes Eintrittsticket, das nach Minuten oder Stunden verfällt. Kurze Laufzeiten sind Absicht: Ein gestohlenes Ticket ist schnell wertlos. Zertifikate laufen ebenfalls ab, oft nach 90 Tagen oder weniger.

Genau daraus entsteht die eigentliche Arbeit. Jeder Ausweis muss rechtzeitig erneuert, verteilt und irgendwann gesperrt werden. Bei hunderttausenden Identitäten geht das nicht mehr von Hand. Spezielle Software übernimmt diesen Lebenszyklus automatisch. Vergisst ein Team eine Erneuerung, fällt der Dienst aus, obwohl technisch nichts kaputt ist.

Vom Browser-Schloss bis zur Cloud-Rechnung

Du begegnest Maschinenidentitäten täglich, ohne es zu merken. Jede verschlüsselte Webseite nutzt eines dieser Zertifikate. Deine Banking-App prüft, ob sie wirklich mit dem Server der Bank spricht. Auch dein Handy weist sich gegenüber dem Mobilfunknetz aus, über die SIM-Karte.

In den Wirtschaftsnachrichten taucht der Begriff meist in zwei Zusammenhängen auf. Erstens bei Sicherheitsvorfällen, wenn Angreifer über abgelaufene oder geleakte Schlüssel eingedrungen sind. Zweitens als Wachstumsmarkt: Anbieter wie CyberArk, Venafi oder HashiCorp verdienen Geld damit, diese Ausweise zu verwalten. Die Übernahme von Venafi durch CyberArk im Jahr 2024 galt als Beleg dafür, wie wichtig das Feld geworden ist.

Ein verbreiteter Irrtum ist, Maschinenidentität sei bloß ein anderes Wort für Passwort. Der Unterschied liegt in Menge und Tempo. Ein Mensch ändert sein Passwort selten, ein Cloud-System erzeugt und löscht Identitäten im Sekundentakt. Genau diese Dynamik macht das Thema anspruchsvoll.