Non-Human Identities gehören nach Einschätzung von Florian Meile zu den am schnellsten wachsenden und zugleich am wenigsten kontrollierten Berechtigtengruppen im Identity- und Access-Management. Meile ist CEO von SKyPRO, einem IAM-Unternehmen mit Teams in der Schweiz, den USA und der Ukraine, das mit seinem Produkt ACDI Audit- und Compliance-Prozesse für IAM-Teams automatisiert. Im Interview mit der Redaktion von cyberschutzbetrieb.de spricht er über blinde Flecken beim Offboarding, typische Fehler bei manuell verwalteten Zugriffsrechten, den Wandel von SKyPRO vom Dienstleister zum Softwareanbieter, die Auswirkungen von KI-Agenten auf Sicherheits- und Compliance-Arbeit sowie internationale Teamführung. Das Gespräch richtet sich an Geschäftsführer, IT-Verantwortliche und Compliance-Beauftragte im Mittelstand, die ihr IAM nicht nur formal, sondern wirksam aufstellen wollen.
Über den Interviewpartner
Florian Meile ist CEO von SKyPRO, einem Unternehmen für Identity- und Access-Management mit Standorten in der Schweiz, den USA und der Ukraine. Mit ACDI hat das Unternehmen ein Produkt entwickelt, das Audit- und Compliance-Prozesse für IAM-Teams automatisiert und damit genau an der Stelle ansetzt, an der viele mittelständische Unternehmen laut Meile den Überblick verlieren: bei der Nachvollziehbarkeit, wer wann worauf Zugriff hatte.
Meile führt Teams über drei sehr unterschiedliche Standorte hinweg und bringt damit sowohl operative IAM-Erfahrung aus der klassischen Dienstleistung als auch die Perspektive eines wachsenden Softwareanbieters mit. Diese doppelte Perspektive, Beratungspraxis auf der einen und Produktentwicklung auf der anderen Seite, prägt auch seine Antworten im folgenden Interview.
Das Interview
Identity & Access Management gilt für viele Mittelständler noch als reines IT-Thema. Wo siehst du die größten blinden Flecken, wenn Unternehmen das Thema unterschätzen?
Florian Meile: Der größte blinde Fleck ist banal und menschlich zugleich: Offboarding. Wenn jemand das Unternehmen verlässt und sein Zugang weiterläuft, beschwert sich niemand. Dem Ex-Mitarbeiter würde ich hier gar keine Absichten unterstellen, aber der sagt auch nichts. Wieso auch. Das Konto liegt einfach da, bis es irgendwann jemand findet, der es nicht finden sollte.
Aber das ist nur der Klassiker. Genauso real ist der Admin-Account, den seit Jahren das ganze Team nutzt. Oder der Kollege, der von Einkauf in den Vertrieb wechselt und Zugriff auf Freigabeprozesse behält, die er nie mehr braucht. Niemand hat das Recht aktiv entzogen, es wurde nur nicht mehr gebraucht. Oder der externe Dienstleister, dessen Projektzugang nach Projektende einfach offen bleibt. All das sind Offboarding-Themen.
Und jetzt explodiert gerade eine neue, noch viel heiklere Berechtigtengruppe, nämlich die KI-Agenten. Die bekommen munter Zugriff auf Postfächer, Kalender, CRM-Systeme, Dateiablagen. Oft großzügiger als jeder menschliche Mitarbeiter, weil „ist ja nur ein Tool“. Nur läuft dieses Tool 24/7 ohne menschliche Vorsicht, hat keinen Vorgesetzten, der es kündigt, und meistens keinen Prozess, der es je wieder offboarded. Wir bauen gerade in Rekordtempo eine neue Kategorie von Identitäten auf, für die die meisten Unternehmen noch nicht mal wissen, dass sie sie verwalten müssen.
Mit ACDI habt ihr Audit- und Compliance-Prozesse für IAM-Teams automatisiert. Welche typischen Fehler siehst du in der Praxis, wenn Unternehmen ihre Zugriffsrechte und Nachweispflichten manuell verwalten?
Florian Meile: Ohne so ein Reporting- und Auditing-Tool wird das IAM-System selbst zur dunklen Kiste. Man weiß schlicht nicht mehr, wer wann worauf Zugriff hatte, wer das geändert hat und ob das noch der Realität entspricht. Und das hat sehr reale Konsequenzen, für Sicherheit genauso wie für Effizienz.
Nur: Beweis mir mal, dass ich gerade ineffizient bin. Da kann man sich lange Zeit verstecken. Und Sicherheit ist sowieso erst dann ein Thema, wenn es zu spät ist. Auf der Baustelle ist das anders: Ein Gerüst ohne Absturzsicherung sieht man sofort. Und selbst da, wo das Risiko mit bloßem Auge erkennbar ist, gibt es immer wieder eklatante Verstöße. Bei IAM sieht das keiner. Viele kommen erst dann zu einem echten Need, wenn sie mit dem Rücken zur Wand stehen oder bildlich gesprochen schon der eine oder andere Mitarbeiter vom digitalen Gerüst gefallen ist. Dann kommt auf einmal ein Auditor von außen und schaut nach, wie es um die Baustelle eigentlich bestellt ist. Das ist der Moment, in dem die Hände schwitzig werden.
SKyPRO ergänzt sich aktuell vom klassischen IAM-Dienstleister zum internationalen Softwareanbieter. Was sind die größten Herausforderungen, die ihr auf diesem Weg bisher gemeistert habt, und was steht noch an?
Florian Meile: Man unterschätzt total, wie unterschiedlich Dienstleistung und Software sind, selbst wenn beides im gleichen Themenfeld spielt. Wie man ROI misst, wie Projekte geplant werden, wie Zyklen laufen. Es ist im Grunde eine neue Firma, die im selben Gebäude sitzt wie die alte.
Nicht verrechenbare Entwicklungsleistungen zum Beispiel. Bei B2B-Software sind solche Leistungen oft eine Investition, etwa im Presales, wenn man einem Kunden zeigt, was möglich wäre. In der Dienstleistung ist dieser Gedanke fremd, dort wird fast alles verrechnet oder gar nicht gemacht. Diese Denke unreflektiert mitzunehmen, ist gefährlich, weil sie das Wachstum als Softwareanbieter ausbremst. Gleichzeitig kann man auch nicht alles kostenlos machen. Aber der Denkhorizont muss deutlich weiter werden, als man das aus der Dienstleistung gewohnt ist.
Wie verändert der Einsatz von KI aus deiner Sicht konkret die Sicherheits- und Compliance-Arbeit in Unternehmen, gerade auch im Hinblick auf neue Risiken?
Florian Meile: KI-Agenten sind selbst Identitäten, die Zugriff brauchen, Aktionen ausführen und Spuren hinterlassen. Aber in den allermeisten Unternehmen laufen sie außerhalb von allem, was man bisher unter IAM oder Compliance verstand. Wer heute noch glaubt, „Non-Human Identities“ seien primär Service-Accounts und technische Nutzer und KI sei einfach ein potenter Chat-Bot, hat die letzten zwölf Monate verschlafen.
Auf der Compliance-Seite kann KI genau den Teil automatisieren, der bisher am meisten Zeit gefressen hat, nämlich das Zusammensuchen und Aufbereiten von Nachweisen für Audits. Aber das eine rechtfertigt nicht, das andere zu ignorieren. Wer KI-gestützte Automatisierung einführt, ohne sich gleichzeitig zu fragen, welche neuen Identitäten und Zugriffsrechte dabei entstehen, verschiebt das Problem nur nach hinten und vergrößert es dabei.
Du führst Teams in der Schweiz und international. Was braucht es aus deiner Erfahrung, damit Zusammenarbeit über Standorte hinweg wirklich funktioniert?
Florian Meile: Wir haben Teams in der Schweiz, der Ukraine und den USA. Und das Erste, was es braucht, ist Verständnis für Kultur. Das dauert Jahre, wenn man die andere Seite nicht kennt. Aus der Vogelperspektive denkt man schnell: „Ach, so weit auseinander kann das ja nicht sein.“ Aber der Hund liegt im Detail, und wer dem keine Beachtung schenkt, erlebt böse Überraschungen.
Ein Freund von mir, selbst Unternehmer, hat einmal die Frage beantwortet, was für ihn das Wichtigste als Unternehmer sei. Seine Antwort war nicht Management, nicht Finanzkennzahlen, nicht Innovation und schon gar kein modernes Führungskonzept. Sondern: „Du musst Menschen gern haben.“ Das hat mich geprägt, denn es gilt eigentlich immer, aber international vielleicht noch mehr.
Was würdest du einem mittelständischen Unternehmer raten, der gerade merkt, dass sein Identity- und Access-Management aus dem Ruder läuft?
Florian Meile: Nicht mit einem großen Projekt anfangen. Sondern mit einer einzigen Frage: Wer hat aktuell Zugriff auf was und warum? Wenn einem bei der Antwort schon schwindelig wird, weiß man, wo die 5 Prozent liegen, die 65 Prozent des Risikos ausmachen. Sauberes Offboarding, verwaiste Konten killen, unnötige Software abschaffen. Erst wenn diese Basis steht, lohnt sich der nächste Schritt, der in die Automatisierung zeigt. Alles andere ist im Mittelstand Pareto-Verschwendung: viel Aufwand für Wirkung, die man mit einer sauberen Grundlage längst hätte haben können.
Zentrale Erkenntnisse aus dem Interview
Aus dem Gespräch lassen sich vier Kernaussagen herausarbeiten, die für die IAM-Praxis im Mittelstand unmittelbar handlungsleitend sind.
- Offboarding ist der größte unterschätzte Risikofaktor: Verwaiste Konten, geteilte Admin-Zugänge und liegen gebliebene Dienstleisterzugriffe entstehen nicht durch Missbrauch, sondern durch schlicht fehlende Prozesse.
- Non-Human Identities sind eine neue, kaum verwaltete Kategorie: KI-Agenten erhalten häufig großzügigere Rechte als Menschen, laufen rund um die Uhr und werden selten in bestehende IAM-Prozesse einbezogen.
- Ohne Auditing bleibt IAM eine dunkle Kiste: Erst ein externer Prüfbefund macht das reale Risiko sichtbar, oft zu einem Zeitpunkt, an dem bereits Schaden entstanden ist.
- Software- und Dienstleistungslogik unterscheiden sich fundamental: Wer als IAM-Anbieter vom Dienstleister zum Softwarehaus wächst, muss ROI-Denken, Projektplanung und Investitionslogik grundlegend neu aufsetzen.
„Wenn einem bei der Antwort schon schwindelig wird, weiß man, wo die 5 Prozent liegen, die 65 Prozent des Risikos ausmachen.“ (Florian Meile)
Kontext: Warum Non-Human Identities jetzt an Fahrt aufnehmen
Die von Meile beschriebene Entwicklung deckt sich mit einem Trend, der in der IAM-Fachdiskussion zunehmend Beachtung findet: Neben klassischen Service-Accounts und technischen Nutzern etabliert sich mit KI-Agenten eine dritte, deutlich dynamischere Kategorie von Non-Human Identities. Anders als ein Service-Account, der meist für eine klar definierte Systemintegration angelegt wird, greifen KI-Agenten oft breit auf mehrere Anwendungen gleichzeitig zu, etwa Postfächer, Kalender, CRM-Systeme und Dateiablagen, und werden dabei häufig mit weitreichenderen Rechten ausgestattet als vorsichtig eingerichtete menschliche Konten.
Für mittelständische Unternehmen bedeutet das: Governance-Fragen, die bislang primär auf menschliche Mitarbeitende bezogen waren, Rollenkonzepte, Berechtigungsvergabe nach dem Prinzip der minimalen Rechte, regelmäßige Rezertifizierung, müssen künftig auch für KI-Agenten gelten. Wer diese Erweiterung des IAM-Scopes verpasst, baut nach Meiles Einschätzung genau die Art von Schattenberechtigungen auf, die klassisches Offboarding heute schon so schwer macht, nur eben in einer Kategorie, die noch weniger Unternehmen aktiv im Blick haben.
Praxisbox: Sauberes IAM in fünf Schritten aufbauen
- Bestandsaufnahme: Wer hat aktuell Zugriff auf was und warum? Diese eine Frage aus dem Interview ist der ehrlichste Startpunkt für jede Priorisierung.
- Offboarding-Prozess fixieren: Klare Verantwortlichkeit und feste Fristen definieren, wann Zugänge von ausgeschiedenen Mitarbeitenden, Abteilungswechslern und externen Dienstleistern entzogen werden.
- Verwaiste und geteilte Konten bereinigen: Admin-Accounts, die von ganzen Teams genutzt werden, auf personenbezogene Zugänge umstellen und ungenutzte Konten konsequent deaktivieren.
- Non-Human Identities erfassen: Service-Accounts, technische Nutzer und KI-Agenten in ein einheitliches Berechtigungsinventar aufnehmen, statt sie außerhalb des IAM-Prozesses laufen zu lassen.
- Auditing und Reporting etablieren: Erst mit einer nachvollziehbaren Dokumentation, wer wann worauf Zugriff hatte, lässt sich der nächste Schritt in Richtung Automatisierung sinnvoll gehen.
Was Geschäftsführer aus dem Interview mitnehmen sollten
Für die Steuerung eines mittelständischen Unternehmens lassen sich aus den Aussagen von Florian Meile drei strategische Linien ableiten. Erstens: IAM gehört auf die Agenda der Geschäftsführung, nicht nur in die IT-Abteilung, da Offboarding-Lücken letztlich ein organisatorisches und kein rein technisches Problem sind. Zweitens: Mit dem Einzug von KI-Agenten wächst der Kreis der zu verwaltenden Identitäten schneller, als viele Unternehmen ihre Governance-Prozesse anpassen, sodass eine bewusste Erweiterung des IAM-Scopes auf Non-Human Identities frühzeitig eingeplant werden sollte. Drittens: Der pragmatische Einstieg liegt nicht in einem großen Transformationsprojekt, sondern in einer ehrlichen Bestandsaufnahme, aus der sich die wenigen Maßnahmen mit dem größten Risikoabbau ableiten lassen.
Wer diese drei Linien konsequent verfolgt, verschiebt IAM von einem reaktiven Prüfungsthema, das erst beim Auditbesuch auffällt, in eine planbare, kontinuierlich gepflegte Unternehmensfunktion.
Über SKyPRO
SKyPRO ist ein Unternehmen für Identity- und Access-Management mit Teams in der Schweiz, den USA und der Ukraine, das sich vom klassischen IAM-Dienstleister zu einem internationalen Softwareanbieter weiterentwickelt. Mit dem Produkt ACDI automatisiert SKyPRO Audit- und Compliance-Prozesse für IAM-Teams.
FAQ
Was versteht man unter Non-Human Identities im IAM-Kontext?
Non-Human Identities sind digitale Identitäten, die nicht an eine natürliche Person gebunden sind, etwa Service-Accounts, technische Nutzer und zunehmend auch KI-Agenten, die eigenständig auf Systeme zugreifen und Aktionen ausführen.
Warum gilt Offboarding als größter blinder Fleck im IAM?
Weil niemand aktiv auf ein vergessenes Konto hinweist: Weder der ausgeschiedene Mitarbeiter noch das System melden sich, sodass Zugriffsrechte oft unbemerkt über Jahre bestehen bleiben.
Welches Risiko birgt der Einsatz von KI-Agenten für IAM und Compliance?
KI-Agenten erhalten häufig großzügigere Zugriffsrechte als menschliche Mitarbeiter, laufen dabei rund um die Uhr ohne Vorgesetzten und werden oft nicht in bestehende IAM- oder Offboarding-Prozesse einbezogen.
Wo sollten mittelständische Unternehmen beim IAM ansetzen?
Mit einer einzigen Frage: Wer hat aktuell Zugriff auf was und warum? Erst nach Bereinigung verwaister Konten und sauberem Offboarding lohnt sich der nächste Schritt in Richtung Automatisierung.
Was unterscheidet den Wandel vom IAM-Dienstleister zum Softwareanbieter?
Nach Einschätzung von Florian Meile unterscheiden sich vor allem ROI-Messung, Projektplanung und der Umgang mit nicht verrechenbaren Entwicklungsleistungen grundlegend zwischen Dienstleistungs- und Softwaregeschäft.
Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von cyberschutzbetrieb.de sowie die Aussagen des Interviewpartners wieder. Er stellt keine Rechts- oder Compliance-Beratung dar und ersetzt nicht die Einzelfallprüfung durch eine qualifizierte Fachperson.
