Begriffserklärung
Ein Orphaned Account ist ein Benutzerkonto in einem System, das nicht mehr einer aktiven Person zugeordnet werden kann, zum Beispiel, weil ein Mitarbeitender das Unternehmen verlassen hat und der Zugang nie deaktiviert wurde. Solche „verwaisten" Konten sind oft über Jahre hinweg unbemerkt aktiv, mit teils weitreichenden Zugriffsrechten.
Warum sind Orphaned Accounts ein Risiko?
- Sicherheitslücke für Angriffe: Verwaiste Konten bleiben oft mit aktiven Rechten bestehen und sind für Angreifer ein einfacher Einstiegspunkt.
- Keine Kontrolle, keine Transparenz: Niemand merkt, wenn über ein solches Konto auf Daten oder Systeme zugegriffen wird.
- Compliance-Verstoß: Verletzung von Prinzipien wie „Least Privilege" und regulatorischen Richtlinien.
- Kostenfaktor: Verwaiste Konten verbrauchen ggf. Lizenzen und Ressourcen, ohne Nutzen zu bieten.
Wie entstehen verwaiste Konten?
- Fehlendes Offboarding beim Ausscheiden von Mitarbeitenden
- Manuelle Prozesse ohne automatische Deaktivierung
- M&A-Phasen (z. B. beim Zusammenlegen von Verzeichnissen)
- Historisch gewachsene Systeme ohne zentrale Account-Übersicht
- Technische Service- oder API-Konten, die nie zurückgebaut wurden
Was lässt sich dagegen tun?
Automatisierung ist der Schlüssel. Mit modernen IGA- oder PAM-Systemen lassen sich Orphaned Accounts schnell erkennen und eliminieren. Wichtig ist dabei:
- Regelmäßige Zugriffsreviews: Wer hat noch welche Rechte, und braucht sie wirklich?
- Automatisiertes Provisioning & Deprovisioning: Der gesamte Lifecycle eines Kontos sollte nachvollziehbar und gesteuert sein, vom Eintritt bis zur Deaktivierung.
- Rollenbasierte Rechtevergabe: Wer die richtigen Rollen und Zugriffe definiert, verhindert von Anfang an unnötige Konten.
Fazit
Orphaned Accounts sind ein potenzieller Risiko- und Angriffsvektor. Unternehmen sollten ihre Account-Strukturen regelmäßig prüfen und automatisierte Prozesse aufbauen, um dauerhaft Kontrolle über ihre Identitäten zu behalten.
Back to the glossary