IAM-Software absichern: Was der Keycloak-Vorfall für KMU bedeutet

Ein Fehler in der Passwort-Rücksetzfunktion von Keycloak, einer der verbreitetsten Open-Source-Lösungen für Identity- und Access-Management (IAM), ermöglichte Angreifern kürzlich die Übernahme fremder Konten. Für Unternehmen, die ihre Zugriffsverwaltung selbst betreiben, ist das ein Weckruf: Der Identity Provider ist der zentrale Schlüsselbund der gesamten IT – wird er kompromittiert, sind potenziell alle angebundenen Systeme betroffen. Gerade für KMU, die IAM-Software oft ohne eigenes Sicherheitsteam betreiben, ist das ein Risiko, das selten ausreichend beachtet wird.

Was IAM-Software eigentlich macht

Identity- und Access-Management-Systeme wie Keycloak, Authentik oder kommerzielle Alternativen übernehmen die zentrale Verwaltung von Benutzerkonten, Passwörtern und Berechtigungen. Statt dass jede Anwendung ihre eigene Anmeldung mitbringt, meldet sich der Mitarbeiter einmal am Identity Provider an und erhält darüber Zugriff auf E-Mail, interne Tools, Cloud-Dienste und Fachanwendungen. Das ist praktisch – Single Sign-on spart Zeit und reduziert die Zahl der Passwörter, die sich Mitarbeiter merken müssen.

Der Nachteil dieser Zentralisierung: Wer die IAM-Software kompromittiert, muss nicht mehr jedes System einzeln angreifen. Ein einziger erfolgreicher Angriff auf den Identity Provider kann Zugriff auf das gesamte digitale Firmennetzwerk verschaffen. Genau das macht diese Software-Kategorie zu einem besonders attraktiven Ziel.

Der aktuelle Fall: Passwort-Reset-Lücke bei Keycloak

Bei der aktuellen Schwachstelle konnten Angreifer über eine fehlerhafte Implementierung der Passwort-Rücksetzfunktion Konten übernehmen, ohne die eigentlichen Zugangsdaten zu kennen. Solche Lücken sind besonders gefährlich, weil Passwort-Reset-Flows von Natur aus eine Hintertür in der Authentifizierung darstellen: Sie müssen jemandem ohne aktives Passwort Zugriff verschaffen – und genau an dieser Stelle passieren häufig Logikfehler, die sich ausnutzen lassen.

Für Unternehmen, die Keycloak oder vergleichbare IAM-Lösungen selbst hosten, bedeutet das: Patches für solche Systeme dürfen nicht liegen bleiben. Anders als bei einer einzelnen Fachanwendung wirkt sich eine Schwachstelle im Identity Provider auf alle angebundenen Dienste gleichzeitig aus.

Warum Identity Provider ein Single Point of Failure sind

Ein IAM-System bündelt Risiko an einer Stelle. Das ist architektonisch sinnvoll für Verwaltung und Benutzerfreundlichkeit, aber sicherheitstechnisch ein zweischneidiges Schwert:

• Zentrale Angriffsfläche: Eine Schwachstelle betrifft nicht eine Anwendung, sondern potenziell den kompletten Systemzugriff.
• Attraktives Ziel: Angreifer wissen, dass sich der Aufwand für einen erfolgreichen Angriff auf den Identity Provider besonders lohnt.
• Komplexität: IAM-Software wie Keycloak hat viele Konfigurationsoptionen – Realms, Identity Provider Federation, Custom Flows. Jede zusätzliche Funktion vergrößert die Angriffsfläche.

Self-Hosted vs. Cloud-IAM

Viele KMU stehen vor der Frage, ob sie IAM-Software wie Keycloak selbst betreiben oder auf einen Cloud-Dienst setzen. Self-Hosting bietet Kontrolle über Daten und Konfiguration, verlangt aber auch, dass Patch-Management, Monitoring und Härtung konsequent selbst übernommen werden. Cloud-IAM-Angebote nehmen dem Unternehmen diese Aufgabe teilweise ab, bringen dafür aber Abhängigkeit von einem externen Anbieter und laufende Kosten mit sich. Beide Wege sind legitim – entscheidend ist, dass die Betriebsverantwortung klar geregelt ist und nicht “nebenbei” mitläuft.

Was Unternehmen konkret tun sollten

1. Patch-Management für IAM-Software priorisieren

Sicherheitsupdates für den Identity Provider sollten nicht im normalen Update-Zyklus untergehen, sondern mit höchster Priorität eingespielt werden. Ein automatisiertes Monitoring auf neue CVEs für die eingesetzte IAM-Software gehört zum Minimum.

2. Multi-Faktor-Authentifizierung erzwingen

Selbst wenn ein Passwort oder ein Reset-Flow kompromittiert wird, verhindert ein zweiter Faktor in vielen Fällen die vollständige Kontoübernahme. MFA sollte für alle Konten verpflichtend sein, insbesondere für administrative Zugänge zum Identity Provider selbst.

3. Passwort-Reset-Prozesse besonders prüfen

Reset-Flows sind ein bevorzugtes Angriffsziel, weil sie bewusst eine Ausnahme von der normalen Authentifizierung darstellen. Bei selbst konfigurierten IAM-Systemen lohnt sich ein gezielter Blick auf diese Flows – im Zweifel durch einen externen Sicherheitscheck.

4. Admin-Zugriffe auf den Identity Provider einschränken

Nicht jeder IT-Mitarbeiter braucht administrativen Zugriff auf Keycloak & Co. Ein Rollen- und Rechtekonzept nach dem Prinzip der geringsten Rechte reduziert das Risiko, dass ein kompromittiertes Admin-Konto maximalen Schaden anrichtet.

5. Logging und Monitoring aktivieren

Ungewöhnliche Login-Versuche, gehäufte Passwort-Reset-Anfragen oder Zugriffe aus unerwarteten Regionen sollten auffallen, bevor ein Angreifer sich vollständig eingenistet hat. Zentrales Logging des Identity Providers ist dafür Grundvoraussetzung.

6. Regelmäßige Audits einplanen

Gerade weil IAM-Systeme so viele Konfigurationsmöglichkeiten bieten, empfiehlt sich eine regelmäßige externe Überprüfung der Konfiguration – nicht nur nach bekannten Schwachstellen, sondern auch auf strukturelle Fehlkonfigurationen.

Rexoma unterstützt KMU in Dresden bei der IAM-Sicherheit

Sie setzen Keycloak oder eine andere Identity-Management-Lösung ein und sind sich nicht sicher, ob Ihre Konfiguration aktuellen Sicherheitsstandards entspricht? Rexoma berät KMU in Dresden, Sachsen und im gesamten ostdeutschen Raum bei der Absicherung von IAM-Infrastruktur – von der Patch-Strategie über MFA-Einführung bis zum vollständigen Sicherheitsaudit Ihres Identity Providers.

Häufige Fragen zu IAM-Sicherheit

Was ist der Unterschied zwischen IAM und Single Sign-on? Single Sign-on ist eine Funktion, die IAM-Software bereitstellt: die einmalige Anmeldung für mehrere Systeme. IAM umfasst darüber hinaus die gesamte Verwaltung von Identitäten, Rollen und Berechtigungen – SSO ist also ein Teil eines umfassenderen IAM-Konzepts.

Ist Keycloak für KMU überhaupt geeignet? Ja, Keycloak wird von Unternehmen jeder Größe eingesetzt und ist als Open-Source-Lösung kostenlos nutzbar. Voraussetzung ist, dass Patch-Management und Konfiguration ernst genommen werden – idealerweise mit klaren internen Zuständigkeiten oder externer Unterstützung.

Wie oft sollte IAM-Software aktualisiert werden? Sicherheitsrelevante Updates sollten zeitnah nach Veröffentlichung eingespielt werden, im Idealfall innerhalb weniger Tage. Ein automatisiertes CVE-Monitoring hilft, neue Schwachstellen frühzeitig zu erkennen.

Reicht MFA aus, um Angriffe auf den Identity Provider zu verhindern? MFA reduziert das Risiko erheblich, ist aber kein Allheilmittel. Schwachstellen in der Software selbst – wie bei fehlerhaften Passwort-Reset-Flows – können MFA in bestimmten Fällen umgehen. Deshalb bleibt Patch-Management genauso wichtig.

Lohnt sich für kleine Unternehmen ein eigener Identity Provider? Das hängt von der Anzahl der Systeme und Mitarbeiter ab. Ab einer gewissen Größe lohnt sich die zentrale Verwaltung meist deutlich, weil sie Passwort-Chaos reduziert und Berechtigungen übersichtlicher macht. Kleinere Betriebe sollten den Betriebsaufwand realistisch gegen den Nutzen abwägen.