{"id":33061,"date":"2026-01-12T14:00:02","date_gmt":"2026-01-12T12:00:02","guid":{"rendered":"https:\/\/www.kaspersky.de\/blog\/?p=33061"},"modified":"2026-01-12T14:00:02","modified_gmt":"2026-01-12T12:00:02","slug":"forsaken-servers-apis-apps-accounts-find-and-protect","status":"publish","type":"post","link":"https:\/\/www.kaspersky.de\/blog\/forsaken-servers-apis-apps-accounts-find-and-protect\/33061\/","title":{"rendered":"Vergessene IT-Infrastruktur: noch schlimmer als Schatten-IT"},"content":{"rendered":"

Angreifer sind immer auf der Suche nach veralteten und ungenutzten Testkonte<\/a>n. Und leider sto\u00dfen sie allzu oft auf \u00f6ffentlich zug\u00e4ngliche Cloud-Container, die verstaubte, aber nach wie vor kritische Daten enthalten<\/a>. Manchmal nutzen Angreifer sogar Schwachstellen in App-Komponenten aus, obwohl diese schon vor zwei Jahren gepatcht wurden<\/a>. Solche Sicherheitsverletzungen haben etwas gemeinsam: Die Angreifer nutzen immer etwas Veraltetes aus, beispielsweise einen Dienst, einen Server oder ein Benutzerkonto. Manchmal verliert das IT- und Sicherheitsteam Teile der IT-Unternehmensinfrastruktur aus dem Blick. Ger\u00e4te werden von niemandem mehr verwaltet, sind eigentlich nutzlos, geraten einfach in Vergessenheit. Solche IT-Zombies gef\u00e4hrden nicht nur die Informationssicherheit und k\u00f6nnen gesetzliche Vorschriften verletzen, sie verursachen auch unn\u00f6tige Betriebskosten. Eigentlich sind sie typische Elemente einer Schatten-IT, nur mit einem wesentlichen Unterschied: Niemand ben\u00f6tigt sie und keiner wei\u00df oder profitiert von ihnen.<\/p>\n

Wir wollen herausfinden, welche Ger\u00e4te sofortige Aufmerksamkeit erfordern, wie man sie identifizieren kann und wie eine Reaktion aussehen sollte.<\/p>\n

Physische und virtuelle Server<\/h2>\n

Priorit\u00e4t: hoch.<\/strong> Verwundbare Server sind Einstiegspunkte f\u00fcr Cyberangriffe, verbrauchen weiterhin Ressourcen und gef\u00e4hrden die Einhaltung gesetzlicher Bestimmungen.<\/p>\n

H\u00e4ufigkeit: hoch<\/strong>. Nach Migrationsvorg\u00e4ngen, Fusionen und \u00dcbernahmen bleiben physische und virtuelle Server in gro\u00dfen Infrastrukturen h\u00e4ufig unbeaufsichtigt zur\u00fcck. Auch Testserver verschwinden nach dem echten Start von IT-Projekten h\u00e4ufig in der Versenkung. Das gleiche Schicksal droht dom\u00e4nenlosen Webservern f\u00fcr \u00e4ltere Projekte. Das Ausma\u00df dieses Problems wird durch eine Statistik von Lets Encrypt<\/a> deutlich: 2024 stammte die H\u00e4lfte der Anfragen zur Dom\u00e4nenverl\u00e4ngerung von Ger\u00e4ten, die nicht mehr mit der angeforderten Dom\u00e4ne verbunden waren. Weltweit gibt es ungef\u00e4hr eine Million solcher Ger\u00e4te.<\/p>\n

Erkennung: <\/strong>Die IT-Abteilung muss einen automatischen Ermittlungs- und Abgleichsprozess (AD&R) implementieren. Dieser kombiniert die Ergebnisse der Netzwerkuntersuchung und der Cloud-Inventarisierung mit Daten aus der Datenbank f\u00fcr Konfigurationsmanagement (CMDB). Dadurch werden veraltete oder widerspr\u00fcchliche Informationen \u00fcber IT-Assets rechtzeitig identifiziert und vergessene Ger\u00e4te werden gefunden.<\/p>\n

Zudem sollten alle \u00f6ffentlichen IP-Adressen des Unternehmens auf Schwachstellen gescannt werden. Daraus ergeben sich zus\u00e4tzliche Informationen.<\/p>\n

Reaktion:<\/strong> Lege per Richtlinie offiziell fest, wie Server au\u00dfer Betrieb genommen und stillgelegt werden. Dazu geh\u00f6ren auch die \u00dcberpr\u00fcfung der vollst\u00e4ndigen Datenmigration sowie die anschlie\u00dfende Vernichtung von Serverdaten. Danach kann der Server heruntergefahren, entsorgt oder f\u00fcr andere Zwecke eingesetzt werden. Der Server muss in ein vollst\u00e4ndig isoliertes Subnetz verschoben werden, bis das Verfahren komplett abgeschlossen wurde.<\/p>\n

F\u00fcr Testumgebungen l\u00e4sst sich dieses Risiko reduzieren, indem Erstellung und Abschaltung automatisiert werden. Die Testumgebung wird bei Projektbeginn angelegt und nach einem bestimmten Zeitraum oder nach einer festgelegten Inaktivit\u00e4tsdauer wieder gel\u00f6scht. Zur erh\u00f6hten Sicherheit m\u00fcssen Testumgebungen streng von der prim\u00e4ren Umgebung (Produktion) isoliert sein und f\u00fcr Tests d\u00fcrfen nur anonymisierte Unternehmensdaten verwendet werden. Echte Daten sind tabu.<\/p>\n

Vergessene Benutzer-, Dienst- und Ger\u00e4tekonten<\/h2>\n

Priorit\u00e4t: kritisch.<\/strong> Inaktive und privilegierte Benutzerkonten sind beliebte Ziele f\u00fcr Angreifer, die sich in einem Netzwerk einnisten oder den Zugriff innerhalb einer Infrastruktur ausweiten wollen.<\/p>\n

H\u00e4ufigkeit: sehr hoch.<\/strong> Benutzerkonten f\u00fcr technische Dienste, Konten f\u00fcr Auftragnehmer und nicht personalisierte Accounts geraten am h\u00e4ufigsten in Vergessenheit.<\/p>\n

Erkennung:<\/strong> Analysiere regelm\u00e4\u00dfig das Benutzerverzeichnis (in den meisten Unternehmen ist dies Active Directory) und identifiziere alle Konten, die \u00fcber einen bestimmten Zeitraum (Monat, Quartal oder Jahr) inaktiv waren. Kontrolliere bei dieser Gelegenheit auch die Berechtigungen, die den einzelnen Benutzerkonten zugewiesen sind. Findest du \u00fcberfl\u00fcssige und unn\u00f6tige Berechtigungen\u00a0\u2013 weg damit.<\/p>\n

Reaktion:<\/strong> Veraltete Benutzerkonten sollten einfach deaktiviert oder gel\u00f6scht werden. Eine vorherige R\u00fccksprache mit dem Inhaber des Dienstes oder dem zust\u00e4ndigen Vorgesetzten kann nicht schaden. F\u00fcr dieses Problem bietet sich als skalierbare L\u00f6sung eine komplexe Identit\u00e4ts- und Zugriffsverwaltung (IAM)<\/a> an. In solchen Systemen sind das Anlegen, L\u00f6schen und Zuweisen von Kontoberechtigungen eng in die Prozesse der Personalverwaltung integriert.<\/p>\n

Wichtig bei Dienstkonten: Die Sicherheit von Passw\u00f6rtern und das Ablaufdatum von Zugriffstoken m\u00fcssen routinem\u00e4\u00dfig \u00fcberpr\u00fcft und bei Bedarf ge\u00e4ndert werden.<\/p>\n

Vergessene Datenspeicher<\/h2>\n

Priorit\u00e4t: kritisch.<\/strong> Die Hauptursache f\u00fcr schwere Sicherheitsverletzungen zwischen 2024 und 2025 war die unzureichende Kontrolle von Daten in extern zug\u00e4nglichen Datenbanken, Cloud-Speichern und Papierk\u00f6rben<\/a> sowie in File-Sharing-Diensten<\/a> (selbst, wenn diese als \u201esicher\u201c galten). Bei solchen Lecks k\u00f6nnen gescannte Dokumente, Patientenakten und pers\u00f6nliche Informationen abflie\u00dfen. Sicherheitsvorf\u00e4lle f\u00fchren m\u00f6glicherweise auch zu Strafen wegen Verst\u00f6\u00dfen gegen HIPAA, DSGVO und andere Datenschutzbestimmungen, die den Umgang mit personenbezogenen und vertraulichen Daten regeln.<\/p>\n

H\u00e4ufigkeit: hoch<\/strong>. Archivierte Daten, Datenkopien, die bei Auftragnehmern liegen, Datenbankversionen aus uralten Systemmigrationen bleiben in vielen Unternehmen oft jahrelang (oder sogar \u00fcber Jahrzehnte) unber\u00fccksichtigt liegen, sind aber weiterhin zug\u00e4nglich.<\/p>\n

Erkennung:<\/strong> Es gibt unz\u00e4hlige Datentypen und Speichermethoden, darum m\u00fcssen verschiedene Erkennungstools kombiniert werden:<\/p>\n