Warum Just-in-Time-Berechtigungen zu kurz greifen

Zeitlich begrenzte Zugriffsrechte gelten als wirksames Mittel gegen überprivilegierte Konten – doch der Timer allein schafft noch keine Sicherheit. Denn entscheidend ist nicht nur, wie lange ein Zugriff besteht, sondern ob er überhaupt legitim, angemessen und auf die konkrete Aufgabe zugeschnitten ist. Mit der wachsenden Zahl autonomer KI-Agenten wird diese Frage für Unternehmen noch dringlicher.

Thomas Müller-Martin von Omada Identity erklärt warum zeitlich begrenzte Zugriffsrechte allein nicht ausreichen – erst in Verbindung mit einer konsequenten Identity Governance wird aus Just-in-Time Access ein belastbares Sicherheitsmodell.

In der IT-Sicherheit gilt ein ähnliches Prinzip wie in der analogen Welt: Je weniger Schlüssel im Umlauf sind, desto geringer ist die Wahrscheinlichkeit, dass einer verloren geht oder missbraucht wird. Übertragen auf digitale Identitäten bedeutet das: Jede dauerhaft aktive Zugriffsberechtigung vergrößert die potenzielle Angriffsfläche.

Das ist deshalb relevant, weil erfolgreiche Cyberangriffe längst nicht zwingend mit hochentwickelter Malware beginnen. Häufig genügt ein gültiger Login. Laut Verizon gehörten gestohlene Zugangsdaten bei jüngsten Datenlecks mit einem Anteil von 22 Prozent zu den häufigsten initialen Angriffsvektoren.

Für Angreifer entscheidet damit nicht allein der Zugang zu einem Konto, sondern vor allem die Frage, welche Berechtigungen sie anschließend vorfinden.

Hier setzen Just-in-Time-Berechtigungen (JIT) an. Sie stellen Zugriffsrechte nur für einen definierten Zeitraum bereit und entziehen sie anschließend automatisch.

Ein externer Prüfer könnte beispielsweise während eines Audits temporären Zugriff auf Finanzsysteme erhalten. Ein Incident Responder wiederum benötigt möglicherweise für die Dauer einer Untersuchung erweiterte Rechte auf einer Produktionsdatenbank.

Das Grundprinzip ist einfach: Endet die Aufgabe, endet auch die Berechtigung.

Damit lassen sich dauerhaft bestehende Privilegien deutlich reduzieren. Doch genau hier liegt auch die Grenze des Ansatzes: Zeitliche Begrenzung beantwortet noch nicht die Frage, ob eine Berechtigung überhaupt richtig vergeben wurde. Wenn der Timer das falsche Problem löst

Just-in-Time regelt primär die Dauer eines Zugriffs – nicht dessen Legitimität.

Sollte die betreffende Person diese Rechte überhaupt erhalten? Verstößt die Kombination verschiedener Berechtigungen gegen die Aufgabentrennung? Ist der Zugriff tatsächlich auf die konkrete Tätigkeit begrenzt?

Ein überdimensioniertes Zugriffsrecht bleibt auch dann riskant, wenn es nur zwei Stunden besteht. Der potenzielle Blast Radius verändert sich nicht grundsätzlich – lediglich das Zeitfenster wird kleiner.

Gerade angesichts automatisierter und KI-gestützter Angriffsmethoden ist das ein entscheidender Punkt. Angreifer benötigen möglicherweise keine Tage mehr, um privilegierten Zugriff auszunutzen. Unter Umständen reichen Minuten.

Ohne ein belastbares Governance-Fundament droht JIT deshalb lediglich eines zu erreichen: falsch definierte Berechtigungen schneller wieder zu entziehen.

JIT ist kein Ersatz für Identity Governance

Identity Governance and Administration (IGA) ergänzt JIT um die inhaltliche und organisatorische Kontrolle von Zugriffsrechten. Der erste Baustein ist Transparenz. Eine IGA-Plattform erfasst kontinuierlich Berechtigungen über Anwendungen, Infrastruktur und SaaS-Dienste hinweg und ordnet diese den jeweiligen Identitäten zu. Ohne diesen Überblick lässt sich kaum bewerten, welche Rechte überhaupt temporär vergeben werden dürfen.

Hinzu kommt das Regelwerk. Rollenmodelle, Richtlinien und Vorgaben zur Aufgabentrennung definieren, wer welche Zugriffe anfordern darf und welche Kombinationen ausgeschlossen werden müssen.

Vereinfacht gesagt: JIT bestimmt, wie lange ein Zugriff besteht. IGA entscheidet, welcher Zugriff überhaupt zulässig ist.

Der dritte Faktor ist Kontext. Moderne Identity-Governance-Systeme können beispielsweise Rolle, Projektzugehörigkeit, Sensibilität einer Ressource und bestehende Richtlinien in die Entscheidungsfindung einbeziehen. Dadurch wird aus einer reinen Freigabe ein risikobasierter Governance-Prozess.

Nicht zuletzt entsteht ein nachvollziehbarer Audit-Trail. Regelmäßige Access Reviews können nicht mehr benötigte Berechtigungen identifizieren, während dokumentierte Genehmigungs- und Entzugsprozesse Nachweise für regulatorische und organisatorische Anforderungen liefern.

KI-Agenten skalieren das Berechtigungsproblem

Besonders deutlich wird die Bedeutung dieser Governance bei KI-Agenten. Maschinelle Identitäten wechseln nicht automatisch ihre Rolle, verlassen kein Unternehmen und verfügen nicht über menschliche Sicherheitsintuition. Erhalten sie zu weitreichende oder nicht ausreichend kontrollierte Berechtigungen, können diese systematisch und mit hoher Geschwindigkeit genutzt werden.

Damit verschiebt sich das Problem von einzelnen privilegierten Benutzerkonten hin zu einer potenziell großen Zahl autonom handelnder Identitäten.

Je stärker Unternehmen operative Aufgaben an KI-Agenten delegieren, desto wichtiger wird deshalb die Frage, welche Ressourcen diese Agenten nutzen dürfen, unter welchen Bedingungen und für welchen Zeitraum. Governance wird damit zum Gegenstück der zunehmenden Autonomie.

Least Privilege braucht Zeit und Kontext

Just-in-Time-Berechtigungen liefern einen wichtigen Baustein für das Least-Privilege-Prinzip – aber eben nur die zeitliche Dimension.

Identity Governance ergänzt die inhaltliche Kontrolle: Welche Identität darf welche Berechtigung für welchen Zweck erhalten?

Erst die Kombination beider Ansätze macht aus temporärem Zugriff ein belastbares Sicherheitsmodell. Unternehmen können damit dauerhaft privilegierte Konten reduzieren, den möglichen Schadensradius kompromittierter Identitäten begrenzen und zugleich nachvollziehbar dokumentieren, warum Zugriffe vergeben wurden.

Gerade in einer IT-Landschaft, in der neben Menschen zunehmend autonome Agenten handeln, wird diese Verbindung von Governance und zeitlich begrenzten Privilegien zu einem zentralen Bestandteil moderner Identity Security.