Dienstkonto

Was ist ein Dienstkonto?

Ein Dienstkonto ist ein Konto, das für eine Anwendung, ein Skript oder einen automatisierten Prozess angelegt wurde und nicht für eine Person. Es hält Zugangsdaten, trägt Berechtigungen und authentifiziert sich gegenüber Systemen genau wie ein Benutzer, und genau darin liegen sein Nutzen und seine Gefahr. Es ist die verbreitetste Form nicht-menschlicher Identität in einem Unternehmen.

Was ein Dienstkonto auszeichnet

• Es hat keine menschliche Nutzerin, lebt aber meist im selben Verzeichnis oder derselben Benutzertabelle wie die Angestellten.
• Seine Zugangsdaten sind langlebig, oft ein statisches Passwort, ein API-Schlüssel oder ein nie erneuertes Token.
• Seine Berechtigungen sind tendenziell weit gefasst, weil ein präziser Zuschnitt bei der Einrichtung Aufwand bedeutet.
• Es hat selten MFA, denn es ist keine Person anwesend, die einen zweiten Faktor bestätigen könnte.
• Es hat häufig keine dokumentierte verantwortliche Person, und das ist die Wurzel jedes weiteren Problems.

Ohne Verantwortliche wird ein Konto faktisch unentziehbar

Fragen Sie, wer ein Dienstkonto verantwortet, und die ehrliche Antwort lautet oft niemand. Es wurde vor drei Jahren für eine Integration angelegt, von jemandem, der das Unternehmen inzwischen verlassen hat. Niemand wird es deaktivieren, weil niemand sagen kann, was dabei kaputtgeht. Diese eine Mechanik erklärt, warum Dienstkonten sich dauerhaft ansammeln, in jeder Zugriffsüberprüfung als ungelöste Zeile auftauchen und eine dauerhafte Feststellung nach ISO 27001 und NIS2 bleiben.

Beispiele und Anwendungsfälle

Eine Zugriffsüberprüfung an einem Finanzsystem liefert 34 Konten, davon sechs Dienstkonten. Zwei sind dokumentiert. Die vier übrigen tragen generische Namen, Administrationsrechte und keine verantwortliche Person. Die prüfende Person kann sie weder bestätigen noch entziehen, die Zeilen werden also vertagt und dieselben vier tauchen im nächsten Quartal wieder auf. Jeder nicht-menschlichen Identität eine menschliche verantwortliche Person zuzuweisen löst die Blockade, und Corma klassifiziert und verfolgt diese Konten, damit sie aufhören, der ungelöste Rest jeder Kampagne zu sein.

Verwandte Begriffe

• Automatisierte Identity Governance und Administration
• Automatisierte und konforme Access Reviews
• IAM-Lösung für IT-Teams

FAQ

Worin unterscheiden sich ein Dienstkonto und ein Benutzerkonto?

Ein Benutzerkonto gehört einer Person, die sich interaktiv authentifiziert. Ein Dienstkonto gehört einer Anwendung oder einem Prozess und authentifiziert sich meist mit statischen Zugangsdaten, ohne anwesenden Menschen.

Ist ein Dienstkonto eine nicht-menschliche Identität?

Ja. Die nicht-menschliche Identität ist der Oberbegriff und umfasst auch Maschinenidentitäten, Workload-Identitäten, API-Schlüssel und Bots. Das Dienstkonto ist ihre vertrauteste Form.

Sollten Dienstkonten MFA nutzen?

Interaktive Multi-Faktor-Authentifizierung passt nicht zu ihnen. Die gleichwertigen Massnahmen sind kurzlebige Zugangsdaten, eine IP-Beschränkung und idealerweise die Ablösung durch eine Workload-Identität.

Wie steuert man Dienstkonten?

Jedem eine benannte menschliche verantwortliche Person zuweisen, seinen Zweck dokumentieren, seine Berechtigungen auf die Aufgabe zuschneiden, seine Zugangsdaten in festem Rhythmus erneuern, und es in jede Zugriffsüberprüfung aufnehmen.

Demo anfragen