Ein Gastbeitrag vom 30.10.2026 beschreibt, wie eine Identitätssicherheitsstrategie aufgebaut sein sollte. Sie besteht aus Discovery (Erfassung aller Identitäten), einheitlichen Kontrollen, automatisierter Reaktion und kontinuierlicher Überprüfung. Das gilt für menschliche und nicht-menschliche Identitäten, also Servicekonten, Workloads, KI-Agenten und Maschinenidentitäten. Nach Angabe des Autors übertreffen nicht-menschliche Identitäten die menschlichen inzwischen um ein Vielfaches. Für die Praxis in Banken und Versicherern lassen sich die vier Bausteine als Reihenfolge lesen. Erstens erfasst die Discovery alle Rollen und Berechtigungen und prüft sie auf ausnutzbare Eskalationspfade. Sie läuft laut Quelle fortlaufend, denn eine Momentaufnahme veraltet in dynamischen Umgebungen innerhalb von Tagen. Zweitens werden privilegierte Zugangsdaten zentral verwaltet, Secrets-Management durchgängig geregelt und aufgabenbezogene Rechte zeitlich begrenzt. Least Privilege gilt ausdrücklich auch für Cloud-Berechtigungen und KI-Agenten. Drittens greifen bei Auffälligkeiten automatisierte Maßnahmen wie der Widerruf von Tokens, die Rotation von Secrets oder das Beenden von Sitzungen. Viertens messen Kennzahlen zu übermäßigen Nutzerrechten, veralteten Zugangsdaten und Schattenadministratoren den Fortschritt und liefern Material für Audit-Vorbereitungen. Die Quelle benennt drei typische Lücken: fehlende Sicht auf Sitzungen, Secrets und Cloud-Rollen, uneinheitliche Richtlinien in hybriden Umgebungen und fehlende Reaktion nach einer erkannten Kompromittierung. Ein Beispiel dafür ist die Rotation von Passwörtern ohne Widerruf aktiver Sitzungen. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank beginnt der Einstieg mit einem vollständigen Bestand der Servicekonten und der Frage, wer für jedes Konto fachlich verantwortlich ist. Das ist eine Einordnung von Qvestcon.