Was ist ITDR? Identity Threat Detection einfach erklärt

Ein Mitarbeiter loggt sich morgens mit seinem normalen Passwort ein. Die Firewall lässt ihn durch, der Virenscanner schlägt nicht an, alles sieht aus wie immer. Nur dass es nicht der Mitarbeiter ist, sondern jemand, der sein Passwort vor drei Wochen im Darknet gekauft hat. Genau für diesen Fall gibt es ITDR.

ITDR steht für Identity Threat Detection and Response. Übersetzt: Erkennen und Reagieren auf Angriffe über Benutzeridentitäten. Klingt erstmal sperrig, ist aber eines der wichtigsten Sicherheitsthemen der letzten Jahre, weil sich die Art verändert hat, wie Angreifer überhaupt in Unternehmen eindringen.

Warum Identität zum größten Sicherheitsrisiko geworden ist

Früher haben Angreifer gezielt nach Schwachstellen in Software gesucht. Heute ist es oft leichter, sich einfach die Zugangsdaten zu beschaffen. Beispielsweise durch Phishing, den Kauf gestohlener Passwörter oder schlicht weil ein Mitarbeiter dasselbe Passwort mehrfach verwendet.

Die Zahlen dahinter sind eindeutig. 90 Prozent der Unternehmen hatten im letzten Jahr mindestens einen identitätsbezogenen Sicherheitsvorfall. 79 Prozent aller Datenschutzverletzungen lassen sich auf kompromittierte Identitäten zurückführen. Und die Zahl gestohlener Zugangsdaten, die auf Darknet-Marktplätzen zum Kauf stehen, hat sich innerhalb eines Jahres mehr als verdoppelt.

Das Problem dabei: Klassische Sicherheitswerkzeuge wie Firewalls oder Virenscanner sind für diese Art von Angriff blind. Sie prüfen, ob ein Programm schädlich ist oder ob eine Verbindung verdächtig aussieht. Sie prüfen nicht, ob die Person, die sich gerade mit echten Zugangsdaten anmeldet, wirklich die ist, für die sie sich ausgibt.

Was ITDR konkret macht

ITDR ist keine einzelne Funktion, sondern eine Kombination aus mehreren Bausteinen, die zusammen die Identitätsebene überwachen.

Identitätskatalog: Eine zentrale Übersicht aller Benutzerkonten in der Umgebung. Wer hat Zugriff worauf, welche Konten sind aktiv, welche längst verwaist. Diese Transparenz fehlt in vielen mittelständischen Unternehmen schlicht, weil über Jahre Konten angelegt wurden, ohne dass jemand sie wieder aufgeräumt hat.

Kontinuierliches Sicherheits-Assessment: Die Identitätsumgebung, meist Microsoft Entra ID, wird laufend auf Fehlkonfigurationen geprüft. Das ist relevanter, als es klingt: 95 Prozent aller Entra ID-Umgebungen haben mindestens eine kritische Fehlkonfiguration, über die sich Berechtigungen ausweiten lassen. Verwaiste Admin-Konten, zu großzügige Rechte, Lücken in Zugriffsrichtlinien.

Darknet-Überwachung: Bekannte Darknet-Marktplätze und Datenbanken mit geleakten Zugangsdaten werden kontinuierlich nach den Domains und Mitarbeitenden des eigenen Unternehmens durchsucht. Taucht ein Treffer auf, kommt sofort eine Meldung, bevor jemand diese Daten für einen Angriff nutzen kann.

Verhaltensanalyse: Ungewöhnliche Anmeldemuster werden erkannt. Ein Login aus einem Land, in dem das Unternehmen keine Niederlassung hat. Eine Anmeldung um drei Uhr nachts von einem Mitarbeitenden, der sonst nie außerhalb der Bürozeiten arbeitet. Solche Auffälligkeiten sind oft das erste Zeichen, dass ein Konto kompromittiert wurde.

Reaktionsmaßnahmen: Wird ein Risiko erkannt, folgen konkrete Schritte. Passwort zurücksetzen, Konto sperren, aktive Sitzungen beenden. Je schneller das passiert, desto kleiner der Schaden.

ITDR im Vergleich: Wie es sich von IAM, PAM, XDR und MDR unterscheidet

Diese vier Begriffe tauchen in der IT-Sicherheit ständig gemeinsam auf und werden trotzdem häufig verwechselt, weil sie sich inhaltlich überlappen, aber unterschiedliche Aufgaben haben.

Der entscheidende Unterschied liegt zwischen Verwalten und Erkennen. IAM und PAM verwalten Zugriffsrechte, sie legen die Regeln fest. ITDR prüft, ob diese Regeln gerade missbraucht werden. Ein Unternehmen kann ein technisch einwandfreies IAM-System haben und trotzdem Opfer eines identitätsbasierten Angriffs werden, wenn niemand überwacht, ob die vergebenen Zugänge gerade von der richtigen Person genutzt werden.

XDR und MDR sind die nächste Ebene darüber. XDR bündelt Sicherheitssignale aus verschiedenen Quellen, ITDR ist dabei die Quelle für alles, was die Identität betrifft. MDR ist der Service, der diese Signale auswertet und im Ernstfall handelt. In der Praxis wird ITDR deshalb selten isoliert betrieben, sondern als Baustein innerhalb von XDR oder MDR.

Wer ITDR braucht, und wer eher nicht

ITDR lohnt sich besonders für Unternehmen, die Microsoft Entra ID oder eine vergleichbare Cloud-Identitätslösung nutzen, mehrere Drittanbieter-Anwendungen im Einsatz haben und keine eigene Security-Abteilung, die Identitätsrisiken Vollzeit überwacht.

Das betrifft praktisch jeden Mittelständler ab etwa 25 Mitarbeitenden. Kleinere Unternehmen mit einer Handvoll Mitarbeitenden und überschaubarer IT-Landschaft haben oft ein geringeres Risiko, einfach weil weniger Konten, Anwendungen und Berechtigungen existieren, die aus dem Blick geraten können. Sinnvoll wird ITDR meist genau dann, wenn die Komplexität der eigenen IT-Umgebung schneller wächst, als die interne IT sie noch manuell überblicken kann.

ITDR in der eigenen Umgebung einschätzen lassen

Ob und wie ITDR für Ihr Unternehmen sinnvoll ist, hängt von Ihrer aktuellen IT-Umgebung ab. In unserem Managed ITDR-Service übernehmen wir die Überwachung Ihrer Identitäten vollständig, inklusive Darknet-Monitoring und automatisierter Reaktion auf Vorfälle.