Identität ist der neue Perimeter: Warum Angreifer sich heute einloggen, statt einzubrechen

Jahrzehntelang drehte sich IT-Sicherheit um Mauern: Firewall außen, vertrautes Netz innen. Dieses Bild stimmt nicht mehr. Moderne Angreifer brechen nicht durch die Wand – sie melden sich mit gültigen Zugangsdaten an der Vordertür an. Die wichtigste Verteidigungslinie ist heute nicht das Netzwerk, sondern die Identität.

Der Paradigmenwechsel

Statt Schwachstellen auszunutzen, setzen Angreifer zunehmend auf gestohlene Anmeldedaten, gekaperte Session-Tokens und missbrauchte API-Keys. Wer sich als legitimer Benutzer ausgibt, löst keinen Alarm aus – die klassische Perimeter-Firewall sieht nur einen erfolgreichen Login. Der Effekt: Eine kompromittierte Identität ist leiser, schneller und oft folgenreicher als jeder technische Exploit. Genau deshalb verschiebt sich der Fokus 2026 von der Netzwerksicherheit zur Identitätssicherheit.

„Die Firewall bewacht weiter den Zaun – während der Angreifer mit gültigem Schlüssel durch die Haustür geht.“

Zwei aktuelle Beispiele aus der Praxis

Wie real diese Bedrohung ist, zeigen zwei Vorfälle rund um Microsoft Entra ID, die hybride Umgebungen direkt betreffen:

SyncJacking ist besonders brisant, weil es den Dreh- und Angelpunkt jeder hybriden Umgebung trifft: den Synchronisierungsserver. Gelingt es einem Angreifer, über laterale Bewegung die Kontrolle über diesen Server zu erlangen, lassen sich Kontenzuordnungen manipulieren und Cloud-Identitäten übernehmen. Microsoft hat das Risiko anerkannt, Schutzmaßnahmen in Entra Connect implementiert und beginnt mit deren vollständiger Durchsetzung – abhängig von Tenant-Konfiguration und Entra-Connect-Version.

Die Actor-Token-Lücke (CVE-2025-55241) war ein Weckruf: Über interne, eigentlich nur für die dienstübergreifende Kommunikation gedachte Tokens und eine veraltete API ließ sich potenziell jeder Mandant vollständig übernehmen – ohne dass im Zielmandanten selbst eine Schwachstelle vorhanden sein musste. Microsoft hat die Lücke kurz nach der Meldung geschlossen, doch das zugrundeliegende Muster bleibt: Wer Tokens kontrolliert, kontrolliert die Identität.

Warum hybride Umgebungen besonders gefährdet sind

In hybriden Setups verschmelzen zwei Welten mit unterschiedlichen Sicherheitsmodellen. Der Sync-Server ist dabei faktisch ein Tier-0-System – mit demselben Schutzbedarf wie ein Domänencontroller. In der Praxis wird er aber oft wie ein gewöhnlicher Server behandelt: gemeinsam administriert, unzureichend überwacht, selten gehärtet. Genau diese Lücke nutzen Angreifer aus.

Die dreistufige Antwort

Die Maßnahmen-Checkliste