Unbeaufsichtigte Administratorkonten stellen ein kritisches Sicherheitsrisiko für Unternehmensinfrastrukturen dar

brown concrete building under white clouds during daytime — Alexandre Viard / Unsplash

Unbeaufsichtigte Administratorkonten, die oft als Geisterkonten bezeichnet werden, stellen eine erhebliche Bedrohung für die Sicherheit von Unternehmensinfrastrukturen dar. Diese Konten besitzen volle Berechtigungen zur Datenverwaltung und Zugriffskontrolle, werden jedoch nicht mehr aktiv verwaltet und entziehen sich der üblichen Governance und Überwachung.

Laut Craig Birch von Cayosoft entstehen solche Konten häufig als Dienstkonten für automatisierte Aufgaben wie nächtliche Datensicherungen oder die zeitgesteuerte Erstellung von Berichten. Wenn der ursprüngliche Administrator das Unternehmen verlässt oder ein Projekt endet, werden diese Konten oft nicht deaktiviert. Zugangsdaten und Passwörter verbleiben häufig in Aufgabenmanagementsystemen, im Quellcode oder in internen Kommunikationskanälen. Dies ermöglicht es Angreifern, sich als legitime Konten auszugeben und unbemerkt in Active Directory und Kerninfrastrukturen einzudringen, da das System diese Konten als gültig erkennt.

Erich Kron, CISO-Berater bei KnowBe4, weist darauf hin, dass solche Konten oft aus Eile entstehen. Dazu gehören die Vergabe hoher Berechtigungen an Standardkonten zur schnellen Lösung technischer Probleme, Migrationen von lokalen Systemen zu Cloud-Diensten wie Cloud-E-Mail und Azure Active Directory sowie die Beibehaltung globaler Administratorrechte in Testumgebungen nach Abschluss der Arbeiten.

Die Verizon Data Breach Investigations Report für das Jahr 2026 zeigt, dass bei mehr als einem Drittel der befragten Organisationen, also etwa 37 Prozent, die Mehrfaktor-Authentifizierung auf Administratorkonten in Infrastructure-as-a-Service-Umgebungen deaktiviert ist. Ein weiterer kritischer Faktor ist das Fehlen regelmäßiger Passwortwechsel. Proofpoint berichtete über einen Angriff in Chile, bei dem Angreifer sieben unüberwachte Dienstkonten übernahmen. Diese Konten hatten keine definierten Baseline-Zugriffsmuster und nutzten einfache, nie rotierte Standardpasswörter.

Die Bewältigung dieser Risiken erfordert mehr als nur Endpunkt-Schutz. Es ist notwendig, strenge Identitätskontrollrichtlinien zu implementieren. Dazu gehört ein Audit aller Dienstkonten und die Überprüfung der letzten Nutzung, etwa durch die Identifizierung von Konten ohne Anmeldung seit mehr als 90 Tagen. Vor der endgültigen Löschung wird empfohlen, komplexe Passwörter zu setzen und die Konten für zwei bis drei Monate vorübergehend zu sperren, um Abhängigkeiten in anderen Systemen zu testen.

Jedes Konto und jede Berechtigung muss einen klar identifizierbaren Verantwortlichen haben. Bei einem Weggang eines Mitarbeiters muss die Verantwortung sofort übertragen werden, und der Kontoinhaber muss die Notwendigkeit der Nutzung regelmäßig bestätigen. Nicht-menschliche Identitäten wie Anwendungen und Server müssen wie menschliche Mitarbeiter behandelt werden. Es gilt, nur die erforderlichen Berechtigungen zu erteilen und die Identitäten in einer Datenbank zu verwalten, um Berechtigungen bei der Aktualisierung oder Abschaltung von Servern gleichzeitig zu entziehen. Das Verlassen hoher Berechtigungen in Active Directory ist vergleichbar mit dem Offenlassen der Haustür für Unbefugte. Moderne Organisationen müssen die Governance für nicht-menschliche digitale Identitäten auf ein Niveau heben, das der Strenge für Mitarbeiterkonten entspricht.