Die Mehrheit der in den letzten Jahren dokumentierten Sicherheitsverletzungen nutzt keine unbekannten technischen Schwachstellen aus. Sie missbraucht legitime Identitäten: gestohlene Anmeldedaten, schlecht verwaltete privilegierte Konten, missbrauchte Authentifizierungssitzungen. In einer hybriden Infrastruktur – mit Active Directory on-premise, Cloud-Identity-Providern, SaaS-Anwendungen und Multicloud-Umgebungen – hat sich der Angriffsperimeter verlagert. Es ist nicht mehr das Netzwerk: Es sind die Identitäten.
Diese Veränderung hat eine strukturelle Lücke sichtbar gemacht. Herkömmliche Lösungen für Identity and Access Management (IAM) und Privileged Access Management (PAM) decken die Prävention ab und legen fest, wer auf was zugreifen darf. Doch sobald eine legitime Identität kompromittiert und genutzt wird, um sich innerhalb der Infrastruktur zu bewegen, sind diese Tools nicht darauf ausgelegt, dies in Echtzeit zu erkennen. Genau hier entsteht der Bedarf an ITDR.
Identitäten als neuer Perimeter: die Detection-Lücke
Hybride Arbeitsmodelle, die massive Einführung von SaaS und die Migration in Cloud-first-Umgebungen haben die Zahl der zu verwaltenden Identitäten vervielfältigt: menschliche Nutzer, Service-Accounts, API-Keys, Maschinenidentitäten. Jeder Authentifizierungspunkt ist ein potenzieller Angriffsvektor – und Angreifer wissen das genau.
Angriffstechniken wie Credential Stuffing, Pass-the-Hash (dazu unser Artikel zum NTLM-Hash-Diebstahl durch Phishing), Kerberoasting und Golden-Ticket-Angriffe zielen direkt auf die Identitätsinfrastruktur ab und umgehen Zugriffskontrollen, ohne je eine Systemschwachstelle ausnutzen zu müssen. Das Ergebnis: ein Angriff, der aus Sicht herkömmlicher Monitoring-Tools wie normale authentifizierte Aktivität aussieht.
Das ist die Detection-Lücke: IAM und PAM schützen die Zugangskontrolle, haben aber keinen Einblick in das Verhalten von Identitäten nach der Authentifizierung. EDR und XDR beobachten Endpoints und Datenverkehr, weisen jedoch oft nicht die nötige Tiefe im Bereich der Identity-Management-Infrastruktur auf. SIEMs empfangen Authentifizierungslogs, können aber ohne den spezifischen Kontext der Identity-Systeme scheinbar normale Ereignisse nur schwer zu einer Angriffskette korrelieren.
Was ist ITDR? Die Definition nach Gartner und die Markteinordnung
Identity Threat Detection and Response (ITDR) ist eine Disziplin und ein Set von Fähigkeiten, die darauf ausgelegt sind, Bedrohungen zu erkennen, zu untersuchen und darauf zu reagieren, die auf Identitäten, Konten und Identity-Management-Infrastrukturen abzielen (Identity Management). Der Begriff wurde von Gartner geprägt. Gartner stufte ITDR im Jahr 2022 als eine der wichtigsten Sicherheitsprioritäten ein und erkannte es als eigenständige Kategorie gegenüber IAM, PAM und EDR/XDR an.
Laut Gartner entstand ITDR aus der Erkenntnis, dass Identity-Governance-Systeme selbst zu kritischer Infrastruktur geworden sind, die geschützt werden muss – und dass bestehende Lösungen dafür nicht ausreichten. ITDR integriert Threat Intelligence, Verhaltensanalyse und domänenspezifische Response-Mechanismen für den Identitätsbereich, mit dem Ziel, die Erkennungs- und Eindämmungszeit bei identitätsbasierten Angriffen zu verkürzen.
Der entscheidende Unterschied zu präventiven Kontrollen liegt im Fokus auf die Laufzeit: ITDR überwacht, was nach der Authentifizierung geschieht – nicht nur, was ihr vorausgeht. Das bedeutet, kontinuierlich zu beobachten, wie Identitäten genutzt werden, das tatsächliche Verhalten mit einem Referenzprofil zu vergleichen und anomale Signale zu korrelieren, um laufende Kompromittierungen zu erkennen.
ITDR vs. IAM, PAM, EDR, XDR, MDR/MXDR: Positionierung und Ergänzung
IAM und PAM: Prävention, keine Detection
IAM legt Zugriffsrichtlinien fest, verwaltet den Identitätslebenszyklus und ermöglicht starke Authentifizierung (MFA, SSO). PAM ergänzt den Schutz privilegierter Konten: Credential-Vault, Session-Recording, Just-in-Time-Access. Beide sind unverzichtbare präventive Kontrollen, beantworten aber nicht die Frage: „Verhält sich dieses privilegierte Konto gerade anomal?“
EDR und XDR: domänenübergreifende Sichtbarkeit ohne Tiefe auf dem Identity-Layer
EDR überwacht Endpoints; XDR erweitert die Sichtbarkeit auf Netzwerk, Cloud und Anwendungen und korreliert Signale aus verschiedenen Domänen. Das sind leistungsstarke Werkzeuge zur Erkennung von Kompromittierungsindikatoren (IOC) und Angriffstechniken (TTP) im großen Maßstab. Die Identitätsinfrastruktur – Active Directory, Microsoft Entra ID, Cloud-Identity-Provider, LDAP-Verzeichnisse – erfordert jedoch spezifische Analysefähigkeiten, die EDR und XDR allein nicht in ausreichender Tiefe liefern.
MDR/MXDR und SOC: der natürliche Integrationspunkt für ITDR
Managed Detection and Response (MDR) und Managed Extended Detection and Response (MXDR) bilden die operative Ebene, auf der ITDR seine größte Wirksamkeit entfaltet. Ein SOC 24/7, das ITDR-Signale in seine Detection-und-Response-Prozesse integriert, kann Identitätsereignisse mit anderen Indikatoren korrelieren – auf einem Endpoint erkannte Lateral-Movement-Aktivitäten, anomaler Datenverkehr zu Domain-Controllern, Privilege-Escalation auf einem Cloud-IdP – und kontextualisierte Response-Playbooks auslösen. ITDR ohne eine operative Ebene, die es verwaltet, riskiert unkontrollierte Alerts zu erzeugen; in einem strukturierten SOC integriert, wird es zu einem Wirksamkeitsmultiplikator.
Kernkomponenten einer ITDR-Fähigkeit
Eine ausgereifte ITDR-Lösung gliedert sich in fünf funktionale Hauptbereiche.
1. Discovery und Risk-Scoring der Identitäten
Bevor Bedrohungen erkannt werden können, müssen alle im Umfeld vorhandenen Identitäten vollständig erfasst sein: nicht inventarisierte privilegierte Konten, Service-Accounts mit veralteten Richtlinien, nicht deaktivierte verwaiste Identitäten, riskante Konfigurationen in Active Directory oder Entra ID. Diese Discovery-Phase erzeugt einen Risk-Score für jede Identität, priorisiert Remediation-Maßnahmen und definiert eine Verhaltens-Baseline.
2. Kontinuierliches Monitoring von Authentifizierungs- und Autorisierungsaktivitäten
ITDR nimmt in Echtzeit Authentifizierungslogs, Autorisierungsereignisse, privilegierte Zugriffe und Konfigurationsänderungen im Identity-Management auf und analysiert sie – sowohl on-premise (Active Directory, RADIUS, LDAP) als auch cloud-seitig (Entra ID, Okta, PingIdentity, Google Workspace). Das Ziel ist eine kontinuierliche Sichtbarkeit darüber, wer worauf, von wo und mit welchen Rechten zugreift.
3. Behavioral Analytics und Anomalieerkennung
Das technologische Herzstück von ITDR ist die Fähigkeit, anomales Verhalten gegenüber der Baseline jeder Identität zu erkennen: ein Konto, das sich von einem ungewohnten Standort authentifiziert, ein Service-Account, der für interaktive Nutzer typische Operationen ausführt, mehrfache Credential-Änderungen in kurzer Zeit, Privilege-Escalation-Versuche auf einem Domain-Controller. Der Einsatz von KI und ML reduziert False Positives und verbessert die Fähigkeit, legitime Aktivitäten von potenziell bösartigem Verhalten zu unterscheiden.
4. Integration von Threat Intelligence
ITDR reichert die Detection mit externem Kontext an: IOCs zu bekannten Angriffskampagnen, im MITRE-ATT&CK-Framework dokumentierte TTPs (insbesondere die Taktiken Initial Access, Credential Access, Lateral Movement) sowie spezifische Indikatoren für Active-Directory-Angriffswerkzeuge wie Mimikatz, BloodHound und Impacket. Die Korrelation interner Signale mit externer Intelligence verkürzt die Zeit, die benötigt wird, um einen Alert zu qualifizieren und in einem realen Angriffsszenario einzuordnen.
5. Automatisierte Response und SOC-Playbooks
Auf die Detection muss eine verhältnismäßige und schnelle Reaktion folgen. Typische Response-Fähigkeiten einer ITDR-Lösung umfassen: sofortige Sperrung eines kompromittierten Kontos, Widerruf aktiver Sitzungen, erzwungene Step-up-Authentifizierung, vorübergehende Isolierung eines Endpoints, der verdächtige Operationen auf Identity-Systemen ausführt, sowie Start von Incident-Response-Playbooks im Security Operations Center (SOC). Die Schnelligkeit der Eindämmung ist entscheidend: Bei der Kompromittierung von Active Directory zählt jede Minute.
Typische Anwendungsfälle in hybriden Enterprise-Umgebungen
Die Relevanz von ITDR erschließt sich am besten anhand konkreter Szenarien, die für hybride Enterprise-Infrastrukturen mit AD on-premise, Cloud-IdP und SaaS-Anwendungen typisch sind.
Kompromittierung eines privilegierten Kontos
Ein Angreifer, der die Zugangsdaten eines Kontos mit administrativen Rechten auf Active Directory erlangt hat, versucht, ein neues Konto mit denselben Berechtigungen zu erstellen. Der Vorgang erfolgt mit legitimen Anmeldedaten: IAM-Kontrollen greifen nicht. ITDR erkennt die Verhaltensanomalie, die Faktoren wie die Erstellung privilegierter Konten außerhalb der Standard-IT-Kanäle, ungewöhnliche Uhrzeit, fehlende ähnliche Vorgänge im historischen Profil umfasst, und löst einen Hochprioritäts-Alert im SOC aus.
Lateral Movement auf Basis gestohlener Zugangsdaten
Ein Mitarbeiter wird Opfer eines Phishing-Angriffs; die Zugangsdaten werden genutzt, um auf ein Anwendungssystem zuzugreifen, dann auf einen gemeinsam genutzten Server, dann auf einen Cloud-IdP. Das Zugriffsmuster – Bewegungsgeschwindigkeit, Vielfalt der Zielsysteme und Uhrzeit – ist unvereinbar mit dem historischen Nutzerverhalten. ITDR korreliert die Ereignisse und führt sie auf ein einzelnes laufendes Lateral-Movement-Szenario zurück.
Missbrauch von Maschinenidentitäten
Ein für einen automatisierten Batch-Prozess konfigurierter Service-Account wird genutzt, um Reconnaissance-Abfragen auf der AD-Infrastruktur auszuführen. Kein IAM-System meldet die Anomalie, weil das Konto autorisiert ist. ITDR erkennt die Abweichung vom erwarteten Verhalten – anhand von Faktoren wie Query-Typ, Volumen und Uhrzeit – und meldet eine potenzielle Kompromittierung des Service-Accounts.
Ransomware-Angriffe über Identitäten
Viele fortgeschrittene Ransomware-Kampagnen nutzen Identitäten, um sich schnell zu verbreiten, bevor der Payload ausgeführt wird. ITDR, integriert mit EDR und XDR im SOC, kann die Vorbereitungsphase erkennen – Lateral Movement, AD-Erkundung, Deaktivierung von Backups über privilegierte Zugangsdaten – und das Containment aktivieren, bevor sich die Ransomware ausbreitet.
ITDR in eine Identity-Security-Strategie integrieren
Die Einführung von ITDR ist kein eigenständiges Projekt, sondern eine natürliche Erweiterung einer bestehenden Identity-Security-Strategie. Ein schrittweiser Ansatz sieht drei Hauptphasen vor.
Die erste Phase ist das Assessment der Identitätspostur. Bevor Detection-Fähigkeiten aktiviert werden, muss der Zustand der Infrastruktur bekannt sein: riskante AD-Konfigurationen, nicht erfasste privilegierte Konten, Shadow Identities, veraltete Authentifizierungsrichtlinien. Ein strukturiertes Identity Assessment liefert die Ausgangsbasis, auf der ITDR-Anwendungsfälle aufgebaut und Anomalieschwellenwerte definiert werden.
Die zweite Phase ist die Definition der priorisierten Anwendungsfälle. Nicht alle ITDR-Fähigkeiten haben für jedes Unternehmen den gleichen Wert. Die Priorisierung muss mit dem unternehmensweiten Risikoregister verknüpft sein: ein Unternehmen mit umfangreichem Active Directory und zahlreichen privilegierten Konten sollte sich auf die Erkennung von Escalation und Lateral Movement auf AD konzentrieren; ein Unternehmen mit großem SaaS-Footprint sollte dem Monitoring der Cloud-IdPs Priorität einräumen.
Die dritte Phase ist die operative Integration. SIEM, EDR, XDR und bestehende Incident-Response-Playbooks müssen mit den ITDR-Signalen abgestimmt werden. Die Integration in ein SOC 24/7 ist der entscheidende Faktor, um Detection in eine wirksame Response zu verwandeln. Im Rahmen des NIST Cybersecurity Framework 2.0 deckt ITDR spezifisch die Funktionen Detect, Respond und Recover ab und ergänzt die Kontrollen Govern, Identify und Protect, die bereits durch IAM, PAM und Security-Governance abgedeckt sind.
Die Rolle eines Competence Centers mit eigenem SOC 24/7
Die effektive Implementierung von ITDR erfordert Kompetenzen an der Schnittstelle von Identity Management und Security Operations: fundiertes Wissen über AD-Infrastruktur und Cloud-IdPs, Erfahrung in Incident-Response-Prozessen sowie die Fähigkeit, Detection-Regeln zu optimieren, um Rauschen zu reduzieren, ohne die Sensitivität zu verringern.
Ein Competence Center mit eigenem SOC 24/7 ist in der natürlichen Position, ITDR-Fähigkeiten in die operativen Detection-und-Response-Prozesse zu integrieren. Das bedeutet: den Reifegrad der Identitätsinfrastruktur bewerten, ITDR-Signale mit der domänenübergreifenden Sichtbarkeit eines MXDR-Dienstes korrelieren und die Remediation auf IAM-, PAM- und IdP-Plattformen unterstützen, sobald eine Kompromittierung bestätigt ist.
ITDR in der Praxis: Wie Cyberlys den Identitätsschutz in MDR und MXDR integriert
Bei Cyberlys ist die ITDR-Integration operativ in den Diensten MDR und MXDR aktiv: Der SOC 24/7 von Cyberlys analysiert kontinuierlich den Sicherheitsstatus von Active Directory und Entra ID, erkennt Verhaltensanomalien und verdächtige Aktivitäten wie Credential-Kompromittierung, Privilege Escalation und Lateral Movement und greift mit gezielten Mitigationsmaßnahmen ein, bevor sich die Kompromittierung ausweitet.
Zur bereits breiten horizontalen Abdeckung von Endpoints, Netzwerk und Cloud-Umgebung kommt so eine vertikale Sichtbarkeit und Analyse auf den Identitätslebenszyklus: ITDR ist kein separater Layer, sondern eine in den operativen Detection-und-Response-Prozess integrierte Fähigkeit.
Häufig gestellte Fragen zu ITDR
Ersetzt ITDR IAM und PAM?
Nein. IAM und PAM bleiben für die Prävention unverzichtbar: Verwaltung des Identitätslebenszyklus, Kontrolle privilegierter Zugriffe, starke Authentifizierung. ITDR ergänzt sie durch Echtzeit-Detection und -Response bei Identitätsmissbrauch, der präventiven Kontrollen entgeht. Die drei Disziplinen sind komplementär und tragen gemeinsam zu einer vollständigen Identity-Security-Strategie bei.
Was ist der Unterschied zwischen ITDR und XDR?
XDR erweitert die Detection-Sichtbarkeit auf Endpoints, Netzwerk, Cloud und Anwendungen und korreliert Signale aus verschiedenen Domänen. ITDR ist identitätszentriert: Es bietet spezifische Tiefe für die Identitätsinfrastruktur, mit Playbooks und Response-Fähigkeiten, die für Kompromittierungsszenarien von Identity-Systemen konzipiert sind. In der Praxis ergänzen sich beide Ansätze und funktionieren am besten, wenn sie in einer operativen SOC/MXDR-Ebene integriert sind.
Wie führt man ITDR in einem größeren Unternehmen ein?
Der Ausgangspunkt ist ein Identity Assessment: Die Kenntnis des Sicherheitsstatus der Identitätsinfrastruktur ist eine Voraussetzung für jede Detection-Fähigkeit. Danach folgen die Definition der priorisierten Anwendungsfälle, verknüpft mit dem unternehmensweiten Risikoregister, und die Integration in bestehende SOC/MDR-Prozesse.
Kann ein Managed SOC ITDR verwalten, oder ist eine eigene Lösung erforderlich?
Eine separate Lösung ist nicht notwendig: Der effektivste Ansatz ist die direkte Integration der ITDR-Fähigkeiten in die operativen Prozesse eines Managed SOC. Ein MDR- oder MXDR-Dienst, der die Identitäts-Detection einschließt, ermöglicht Analysten, Endpoint-, Netzwerk- und Identity-Layer-Signale in einem einzigen Investigation-Prozess zu korrelieren.
