Auf den Punkt: Service Principals in Cloud-Umgebungen sind ein wachsendes Angriffsziel, weil sie seltener überwacht werden und spezialisierte Secret-Scanning-Tools wie TruffleHog exponierte Zugangsdaten automatisiert finden und validieren können.
Während Unternehmen Benutzerkonten besser absichern, rücken nicht-menschliche Cloud-Identitäten (Service Principals) in den Fokus von Angreifern. Diese Konten verfügen oft über schwaches Monitoring und werden mit großzügigen Berechtigungen ausgestattet.
Service Principals sind maschinelle Identitäten, mit denen sich Anwendungen, Skripte und Automatisierungsprozesse gegenüber Cloud-Diensten wie Microsoft Entra ID (ehemals Azure Active Directory) authentifizieren. Anders als klassische Benutzerkonten existiert für diese Konten häufig weder durchgängiges Monitoring noch konsequente Rechteverwaltung. Laut Sicherheitsdienstleister Ontinue nutzen Angreifer genau diese Governance-Lücke aus.
Hacker setzen auf spezialisierte Secret-Scanning-Tools wie TruffleHog, die systematisch Quellcode, Git-Repositories, Konfigurationsdateien und CI/CD-Artefakte nach offengelegten Zugangsdaten durchsuchen. Diese Tools validieren gefundene Secrets aktiv gegen die Zielsysteme – etwa gegen OAuth-Authentifizierungsendpunkte von Microsoft Entra ID. Werden Client IDs und Client Secrets in öffentlichen GitHub-Repositories oder schlecht gesicherten CI/CD-Pipelines entdeckt, testen die Tools sie unmittelbar. Bei erfolgreicher Validierung erhalten Angreifer legitime Access Tokens und damit Zugriff auf Cloud-Ressourcen und die damit verbundenen Berechtigungen. Die Zeitspanne zwischen Leck und Ausnutzung schrumpft durch diese Automatisierung drastisch.
Ontinue empfiehlt fünf konkrete Schutzmaßnahmen: Erstens sollten Client IDs und Secrets nicht im Klartext in Konfigurationsdateien oder Skripten hinterlegt sein, sondern über Secret Vaults oder Cloud-seitige Managed Identities bereitgestellt werden. Zweitens ist gezieltes Monitoring auf ungewöhnliche Anmeldemuster erforderlich, verbunden mit einer deutlichen Reduzierung oft zu großzügig vergebener Berechtigungen. Drittens sollten OAuth- und Microsoft-Graph-Aktivitäten auditiert werden, da Angreifer nach erfolgreicher Authentifizierung über gültige Access Tokens auf APIs und Daten in SharePoint, Exchange oder OneDrive zugreifen. Viertens fehlt vielen Unternehmen der Überblick über bestehende Service Principals und maschinelle Identitäten, was auch die Governance erschwert. Fünftens müssen CI/CD-Pipelines und Entwicklungsumgebungen absichert werden, da sie zu den häufigsten Fundorten für offengelegte Zugangsdaten zählen.
Theus Hossmann, CTO bei Ontinue, fasst die Situation zusammen: „Maschinelle Identitäten sind längst Teil des Angriffsvektors geworden.“ Während sich Sicherheitskonzepte typischerweise auf Benutzerkonten und Endpunkte konzentrieren, geraten Service Principals oft aus dem Blick – ein blinder Fleck, den Angreifer gezielt ausnutzen.
Quelle: www.it-daily.net · Erschienen 24. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.