TÍTEL: Resiliente, bedrohungsorientierte Identity-and-Access-Management-Architektur: Formale Modellierung, Verhaltensbasierte Erkennung und Operatives Hardening in hybriden Umgebungen

1. Einleitung

Die digitale Identität hat sich als das zentrale Sicherheitsperimeter in zeitgenössischen Unternehmensinfrastrukturen etabliert. Die beschleunigte Migration zu SaaS-Diensten, öffentlichen Cloud-Plattformen und API-basierten Architekturen hat zur schrittweisen Ablösung traditioneller Netzwerkperimeter durch identitätszentrierte Modelle geführt. In diesem Kontext übernehmen Identity and Access Management (IAM)-Mechanismen eine zentrale Rolle bei der Gewährleistung von Vertraulichkeit, Integrität und Verfügbarkeit unternehmensweiter Systeme.

Empirische Berichte zeigen, dass der Missbrauch legitimer Zugangsdaten weiterhin eine der Hauptursachen für Sicherheitsvorfälle darstellt. Der Data Breach Investigations Report 2023 weist darauf hin, dass etwa 74 % der untersuchten Verstöße den Missbrauch gültiger oder kompromittierter Zugangsdaten betrafen (VERIZON, 2023). Techniken wie Valid Accounts (T1078), Steal or Forge Kerberos Tickets (T1558) und Account Manipulation (T1098) gehören im MITRE ATT&CK-Framework durchgängig zu den am häufigsten beobachteten (MITRE, 2023).

Ausführlich dokumentierte Vorfälle verdeutlichen die Kritikalität dieses Vektors. Die mit dem SolarWinds-Fall assoziierte Kompromittierung der Lieferkette zeigte, wie privilegierte Identitäten und föderierte Vertrauensbeziehungen ausgenutzt werden können, um mehrere Organisationen gleichzeitig zu kompromittieren (CISA, 2021). In Microsoft-Active-Directory-Umgebungen ermöglichten Schwachstellen wie CVE‑2021‑42278 und CVE‑2021‑42287 eine Privilegieneskalation durch Manipulation von Kontenkennungen, woraus die als „noPac“-Angriff bekannte Technik hervorging (MICROSOFT, 2021).

Darüber hinaus führen Cloud-Umgebungen neue Risiken ein, die mit falsch konfigurierten IAM-Richtlinien, übermäßigen Berechtigungen und unsachgemäßer Verwendung von Authentifizierungstoken verbunden sind. Anbieter wie AWS, Azure und Google Cloud stützen sich in erheblichem Maß auf modellbasierte deklarative Richtlinien, deren Komplexität mit der zunehmenden Anzahl von Identitäten und Diensten signifikant wächst (HUMBLE; FARLEY, 2021).

Vor diesem Hintergrund besteht das zentrale technische Problem darin, sicherzustellen, dass Authentifizierungs- und Autorisierungsrichtlinien konsistent, minimal privilegiert und widerstandsfähig gegenüber Angreifern bleiben, die in der Lage sind, Zugangsdaten zu kompromittieren oder Vertrauensbeziehungen auszunutzen.

Die Forschungsfragen, die diese Arbeit leiten, sind:

• RQ1: Wie lässt sich die identitätsbezogene Angriffsfläche in hybriden und Multi-Cloud-Umgebungen formal modellieren?
• RQ2: Wie kann der Missbrauch gültiger Konten mittels Verhaltensanalyse mit niedriger Falsch-Positiv-Rate erkannt werden?
• RQ3: Wie lassen sich das Hardening und die kontinuierliche Validierung von IAM-Richtlinien in organisatorischem Maßstab automatisieren?

Die wesentlichen Beiträge dieser Arbeit sind:

• Vorschlag eines graphbasierten formalen Modells zur Quantifizierung effektiver Privilegien.
• Entwicklung eines Verhaltensdetektionsmechanismus, angewendet auf mehrdimensionale Authentifizierungsereignisse.
• Implementierung eines operativen Frameworks, integriert in weit verbreitete Werkzeuge in Unternehmensumgebungen.

2. Hintergrund und verwandte Arbeiten

Identity and Access Management umfasst eine Reihe von Prozessen, Richtlinien und Technologien, die der Authentifizierung, Autorisierung und Auditierung digitaler Identitäten dienen (FERRAIOLLO; KUHN; CHANDRAMOULI, 2003). Diese Mechanismen bilden die Grundlage der Sicherheit verteilter Systeme und moderner Unternehmensinfrastrukturen.

Historisch wurden verschiedene formale Modelle der Zugriffskontrolle vorgeschlagen.

• DAC — Discretionary Access Control
• MAC — Mandatory Access Control
• RBAC — Role‑Based Access Control
• ABAC — Attribute‑Based Access Control

Das von Sandhu et al. (1996) formalisierte RBAC-Modell führte eine auf organisatorischen Rollen basierende Abstraktion ein und ermöglichte so die Vereinfachung der Rechteverwaltung in komplexen Systemen. Formal definieren wir:

• $U$ — Menge der Benutzer
• $R$ — Menge der Rollen
• $P$ — Menge der Berechtigungen

Die grundlegenden Relationen sind:

$UA \subseteq U \times R$

$PA \subseteq R \times P$

Dieses Modell legt fest, dass Berechtigungen Rollen zugewiesen werden und Rollen Benutzern zugewiesen werden, was eine skalierbare Verwaltung von Privilegien ermöglicht.

Mit dem Wachstum verteilter und auf kontextuellen Attributen basierender Umgebungen wurde das ABAC-Modell als flexiblere Alternative eingeführt. In diesem Modell werden Autorisierungsentscheidungen durch Funktionen bestimmt, die Attribute von Benutzern, Ressourcen und Betriebskontext auswerten (HU; FERNADEZ; KUHN, 2015).

Zero-Trust-Architekturen erweiterten diesen Ansatz durch die Einführung kontinuierlicher Identitäts- und Kontextprüfung und verringerten die Abhängigkeit von traditionellen Netzwerkperimetern (ROSE et al., 2020). Allerdings fehlt vielen praktischen Implementierungen eine mathematische Formalisierung der effektiven Privilegienfläche, was eine quantitative Risikobewertung erschwert.

Aktuelle Forschung untersucht zudem verhaltensbasierte Anomalieerkennung zur Identifikation von Kontokompromittierungen. Statistische Verfahren und Techniken des maschinellen Lernens werden häufig eingesetzt, um Abweichungen in Authentifizierungsmustern zu erkennen (SOMMER; PAXSON, 2010; CHANDOLA; BANERJEE; KUMAR, 2009). Ein Großteil der Literatur konzentriert sich jedoch auf Netzwerkverkehr, während auf Identität fokussierte Analysen vergleichsweise begrenzt bleiben.

Darüber hinaus hat das Wachstum hybrider und Multi-Cloud-Umgebungen neue Risikokategorien eingeführt, die mit Dienstidentitäten, OAuth-Token und föderierten Richtlinien verbunden sind (GUPTA; ZHANG, 2022). Diese Merkmale unterstreichen die Notwendigkeit von Ansätzen, die formale Privilegienmodellierung mit operativen Mechanismen zur Erkennung und Minderung integrieren.

3. Bedrohungsmodell und Problemformalierung

Wir betrachten einen Angreifer $\mathcal{A}$ mit Fähigkeiten, die realistischen Bedrohungen entsprechen, wie sie in zeitgenössischen Unternehmensumgebungen beobachtet werden. Dieser Angreifer kann initialen Zugriff durch gezielte Phishing-Kampagnen, Password-Spraying-Angriffe oder die Ausnutzung zuvor geleakter Zugangsdaten erlangen.

Nach dem Initialzugriff nehmen wir an, dass der Angreifer zusätzliche Techniken ausführen kann, einschließlich der Extraktion von Zugangsdaten aus dem Speicher (T1003), lateraler Bewegung unter Verwendung administrativer Protokolle und des Missbrauchs föderierter Authentifizierungstoken.

Wir modellieren das IAM-System als gerichteten Graphen:

$$ G = (V, E) $$

wobei:

$V = U \cup R \cup P$

die Menge der Knoten darstellt, die Benutzern, Rollen und Berechtigungen entsprechen, und

$E = UA \cup PA$

die Zuordnungsbeziehungen zwischen diesen Entitäten darstellt.

Das effektive Privileg eines Benutzers $u$ ist definiert als:

$$ EP(u) = {p \in P \mid \exists r \in R : (u,r) \in UA \land (r,p) \in PA} $$

Diese Definition stellt die Menge der Berechtigungen dar, die ein Benutzer unter Berücksichtigung der vorhandenen Rollenstruktur tatsächlich ausüben kann.

Wir definieren die globale identitätsbezogene Angriffsfläche als:

$$ SA = \sum_{u \in U} |EP(u)| $$

Diese Metrik stellt die Gesamtzahl der für alle Identitäten des Systems tatsächlich zugänglichen Berechtigungen dar. Reduktionen von $SA$ weisen auf eine Verringerung der potenziellen Exposition im Zusammenhang mit Kontokompromittierungen hin.

Darüber hinaus führen wir den Begriff eines Pfads zur Privilegieneskalation in $G$ ein. Ein Pfad $u \rightarrow r \rightarrow p$ stellt die Möglichkeit des Zugriffs auf eine sensible Ressource dar. Längere Ketten können indirekte Delegationen oder hierarchische Rollen repräsentieren.

Die Sicherheitsziele umfassen:

• strikte Anwendung des Prinzips der minimalen Privilegien
• Implementierung der Aufgabentrennung
• automatische Erkennung von Verhaltensabweichungen mit einer Falsch-Positiv-Rate unter 5 %

4. Vorgeschlagene Methodik

Die vorgeschlagene Architektur integriert drei Hauptschichten: Ereigniserfassung, Verhaltensanalyse und strukturelle Modellierung von Privilegien.

Die Erfassungsschicht verwendet Audit-Agenten, die Authentifizierungsereignisse, Token-Nutzung und Änderungen an IAM-Richtlinien erfassen können. Protokolle verschiedener Identitätsanbieter werden normalisiert und an ein zentrales Analysesystem übermittelt.

Die analytische Schicht nutzt statistische Methoden zur Identifikation von Abweichungen in Authentifizierungsmustern. Jedes Authentifizierungsereignis wird als Verhaltensvektor dargestellt:

$$ x = (hora, geoIP, deviceID, ASN, tipo_auth) $$

Zur Modellierung des historischen Verhaltens jeder Identität berechnen wir den Mittelwert $\mu$ und die Kovarianzmatrix $S$, die mit der Menge der beobachteten Vektoren assoziiert sind.

Die Mahalanobis-Distanz wird dann verwendet, um den Abweichungsgrad eines neuen Ereignisses zu messen:

$$ D_M(x) = \sqrt{(x-\mu)^T S^{-1} (x-\mu)} $$

Ereignisse, die $D_M(x) > \tau$ erfüllen, werden als potenziell anomal klassifiziert, wobei $\tau$ einen empirisch bestimmten Schwellenwert darstellt.

Parallel dazu wird die Privilegienstruktur in einer graphorientierten Datenbank modelliert. Dieser Ansatz ermöglicht die schnelle Identifikation komplexer Delegationsbeziehungen und potenzieller Eskalationspfade.

Algorithmus 1: Berechnung des effektiven Privilegs

Input: UA, PA
Output: EP

for each user u in U:
    EP[u] = {}
    for each role r where (u,r) in UA:
        for each permission p where (r,p) in PA:
            EP[u].add(p)
return EP

Die Komplexität des Algorithmus beträgt $O(|E|)$, wobei $E$ die Gesamtmenge der Zuordnungsbeziehungen darstellt.

5. Implementierung

Die experimentelle Implementierung wurde unter Verwendung weit verbreiteter Werkzeuge in Unternehmensumgebungen und kompatibel mit Zero-Trust-Architekturen durchgeführt.

Komponente	Technologie
Identitätsanbieter	Keycloak 22
Unternehmensverzeichnis	FreeIPA
Loganalyse	Elastic Stack 8
Graphdatenbank	Neo4j 5
Richtlinien-Engine	Open Policy Agent
Netzwerk-IDS	Suricata

Die Integration zwischen diesen Komponenten ermöglicht eine kontinuierliche Erfassung von Authentifizierungsereignissen und eine dynamische Aktualisierung des Privilegiensgraphs.

Beispiel einer Cypher-Abfrage zur Identifikation von Benutzern mit einer großen Anzahl von Berechtigungen:

MATCH (u:User)-[:HAS_ROLE]->(r:Role)-[:HAS_PERMISSION]->(p:Permission)
RETURN u.name, count(p) AS total_permissions
ORDER BY total_permissions DESC

Darüber hinaus wurden Angriffsszenarien mit Atomic Red Team simuliert, um Techniken des MITRE ATT&CK-Frameworks nachzubilden.

6. Experimentelle Bewertung

Die experimentelle Umgebung bestand aus einer virtualisierten Infrastruktur, die eine mittelgroße Organisation repräsentierte. Die Plattform umfasste ungefähr 12.000 Identitäten, mehrere Authentifizierungsdomänen und mehr als drei Millionen während des Bewertungszeitraums erfasste Logereignisse.

Metrik	Vorher	Nachher
MTTD	14.2 h	5.3 h
Falsch positiv	—	2.3%
Erkennung T1078	—	96.8%
Übermäßige Privilegien	—	Reduktion um 41%

Die Ergebnisse zeigen, dass die Integration von Verhaltensanalyse und struktureller Modellierung von Privilegien erheblich zur Verringerung der mittleren Zeit bis zur Erkennung von Kontomissbrauch beiträgt.

7. Fallstudie

Es wurde eine Angriffssimulation durchgeführt, die auf in realen Vorfällen beobachteten Techniken basierte.

Das Szenario begann mit der Kompromittierung von Zugangsdaten durch gezieltes Phishing. Der Angreifer erlangte initialen Zugriff auf ein gewöhnliches Benutzerkonto und nutzte Techniken der lateralen Bewegung, um interne Systeme zu erreichen. Anschließend wurden Rollen-Delegationsbeziehungen ausgenutzt, um indirekte administrative Berechtigungen zu erlangen.

Während der Simulation identifizierte das System gleichzeitig zwei Anomalieindikatoren: eine Authentifizierung aus einem ASN, der geografisch nicht mit der Benutzerhistorie vereinbar war, sowie einen plötzlichen Zugriff auf administrative Ressourcen. Die Kombination dieser Faktoren führte zur Erzeugung eines Warnhinweises hoher Schwere und zur automatischen Sperrung der Sitzung.

Diese Fallstudie zeigt die Nützlichkeit der Korrelation zwischen Verhaltenskontext und Privilegiensstruktur.

8. Diskussion

Die experimentellen Ergebnisse deuten darauf hin, dass die formale Modellierung der Privilegienfläche erhebliche Vorteile für die Analyse des identitätsbezogenen Risikos bietet. Insbesondere erleichtert die Graphdarstellung die Identifikation von Eskalationspfaden und komplexen Vertrauensbeziehungen.

Der vorgeschlagene Ansatz verdeutlicht zudem die Bedeutung von Observability in IAM-Systemen. Ohne konsistente Erfassung von Authentifizierungs- und Autorisierungsereignissen werden verhaltensbasierte Detektionsmechanismen deutlich weniger wirksam.

Eine weitere relevante Implikation betrifft die Identitätsgovernance in Multi-Cloud-Umgebungen. Die Heterogenität der von verschiedenen Anbietern verwendeten Richtlinienmodelle erschwert die manuelle Auditierung und erhöht die Wahrscheinlichkeit übermäßiger Berechtigungen. Automatisierungs- und strukturierte Analysewerkzeuge werden wesentlich, um Konformität aufrechtzuerhalten und das operationale Risiko zu reduzieren.

9. Schlussfolgerung

Diese Arbeit präsentierte eine bedrohungsorientierte Identity-and-Access-Management-Architektur, die formale Modellierung, Verhaltensdetektion und operative Automatisierung integriert. Wir zeigten, dass die Quantifizierung der Privilegienfläche mittels Graphen eine systematische Bewertung des identitätsbezogenen Risikos ermöglicht, während statistische Techniken auf Authentifizierungsereignisse angewendet werden können, um den Missbrauch legitimer Konten mit hoher Präzision zu erkennen.

Die experimentelle Bewertung zeigte relevante Reduktionen der Erkennungszeit von Vorfällen und der Anzahl übermäßiger Berechtigungen in der Umgebung. Diese Ergebnisse legen nahe, dass die Kombination aus mathematischer Formalisierung, Verhaltensanalyse und operativer Automatisierung einen vielversprechenden Ansatz zur Stärkung der Identitätssicherheit in hybriden und Zero-Trust-Architekturen darstellt.

Literaturverzeichnis

BEHL, Abhishek; BEHL, Kiran. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://global.oup.com. Accessed on: 13 Apr. 2026.

CANDOLLA, Varun; BANERJEE, Arindam; KUMAR, Vipin. Anomaly detection: A survey. ACM Computing Surveys, v. 41, n. 3, 2009. Available at: https://doi.org/10.1145/1541880.1541882. Accessed on: 13 Apr. 2026.

CISA. Alert AA20-352A: Advanced Persistent Threat Compromise of Government Agencies. 2021. Available at: https://www.cisa.gov. Accessed on: 13 Apr. 2026.

FERRAIOLLO, David; KUHN, Richard; CHANDRAMOULI, Ramaswamy. Role‑Based Access Control. 2. ed. Boston: Artech House, 2003. Available at: https://csrc.nist.gov/projects/role-based-access-control. Accessed on: 13 Apr. 2026.

GARCIA, Sebastian et al. Anomaly‑based network intrusion detection: Techniques and challenges. IEEE Security & Privacy, 2014. Available at: https://doi.org/10.1109/MSP.2014.36. Accessed on: 13 Apr. 2026.

GUPTA, Brij; ZHANG, Jie. Handbook of Cloud Security. Cham: Springer, 2022. Available at: https://doi.org/10.1007/978-3-030-78448-9. Accessed on: 13 Apr. 2026.

HUMBLE, Jez; FARLEY, David. Continuous Delivery. Boston: Addison‑Wesley, 2011.

HU, Vincent; KUHN, Richard; FERNADEZ, Eduardo. Guide to Attribute Based Access Control (ABAC). NIST SP 800‑162, 2015. Available at: https://doi.org/10.6028/NIST.SP.800-162. Accessed on: 13 Apr. 2026.

HUTCHINS, Eric; CLOWERS, Michael; AMIN, Ryan. Intelligence‑Driven Computer Network Defense Informed by Analysis of Adversary Campaigns. MITRE, 2011. Available at: https://www.mitre.org. Accessed on: 13 Apr. 2026.

KENT, Karen; SOUPPAYA, Murugiah. Guide to Computer Security Log Management. NIST SP 800‑92. Available at: https://doi.org/10.6028/NIST.SP.800-92. Accessed on: 13 Apr. 2026.

MICROSOFT. Security Update Guide for CVE‑2021‑42278 and CVE‑2021‑42287. 2021. Available at: https://msrc.microsoft.com. Accessed on: 13 Apr. 2026.

MITRE. MITRE ATT&CK Framework. 2023. Available at: https://attack.mitre.org. Accessed on: 13 Apr. 2026.

NIST. Digital Identity Guidelines. NIST SP 800‑63‑3. 2017. Available at: https://doi.org/10.6028/NIST.SP.800-63-3. Accessed on: 13 Apr. 2026.

NIST. Zero Trust Architecture. NIST SP 800‑207. 2020. Available at: https://doi.org/10.6028/NIST.SP.800-207. Accessed on: 13 Apr. 2026.

PAXSON, Vern; SOMMER, Robin. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. IEEE Symposium on Security and Privacy, 2010. Available at: https://doi.org/10.1109/SP.2010.25. Accessed on: 13 Apr. 2026.

SANDHU, Ravi et al. Role‑Based Access Control Models. IEEE Computer, v. 29, n. 2, 1996. Available at: https://doi.org/10.1109/2.485845. Accessed on: 13 Apr. 2026.

SCARFONE, Karen; SOUPPAYA, Murugiah. Guide to Intrusion Detection and Prevention Systems. NIST SP 800‑94. Available at: https://doi.org/10.6028/NIST.SP.800-94. Accessed on: 13 Apr. 2026.

SHOSTACK, Adam. Threat Modeling: Designing for Security. Indianapolis: Wiley, 2014. Available at: https://www.wiley.com. Accessed on: 13 Apr. 2026.

STALLINGS, William. Effective Cybersecurity. Boston: Addison‑Wesley, 2018.

VERIZON. Data Breach Investigations Report 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/. Accessed on: 13 Apr. 2026.

ZHOU, Jianying; LOPEZ, Javier. Security and Privacy in Cloud Computing. Springer, 2019. Available at: https://doi.org/10.1007/978-3-030-25947-5. Accessed on: 13 Apr. 2026.

BEHRENDT, Marc. Identity Security for the Cloud Enterprise. O’Reilly Media, 2021. Available at: https://www.oreilly.com. Accessed on: 13 Apr. 2026.

MATHER, Tim; KUMARASWAMY, Subra; LATIF, Shahed. Cloud Security and Privacy. O’Reilly Media, 2009. Available at: https://www.oreilly.com. Accessed on: 13 Apr. 2026.

ENISA. Threat Landscape 2023. European Union Agency for Cybersecurity. Available at: https://www.enisa.europa.eu. Accessed on: 13 Apr. 2026.

GARTNER. Identity and Access Management Primer. 2022. Available at: https://www.gartner.com. Accessed on: 13 Apr. 2026.