Was ist Identity Threat Detection and Response (ITDR)?Identity Threat Detection and Response (ITDR), auch Identitätsschutz-System genannt, ist eine Sicherheitsdisziplin, die Angriffe auf digitale Identitäten und auf die Identitäts-Infrastruktur selbst erkennt, untersucht und aktiv stoppt. Ein IT-Marktforschungsunternehmen prägte den Begriff 2022 als Sammelbegriff für Werkzeuge und Best Practices zum Schutz von Identitätssystemen. ITDR ergänzt präventive Verfahren wie das Identity and Access Management (IAM), das Zugriffe im Vorfeld regelt. Nach der Anmeldung überwacht ITDR, ob legitime Zugänge missbraucht werden, und stoppt erkannte Angriffe. Rund um ITDR haben sich mehrere verwandte Begriffe etabliert, die teils synonym verwendet werden und teils eigene Schwerpunkte setzen: Identity Threat Protection: Wird weitgehend synonym zu ITDR verwendet und stammt aus der Produktsprache der Hersteller. Identity Security: Der Oberbegriff für alle Schutzmaßnahmen rund um digitale Identitäten, von der präventiven Zugriffssteuerung bis zur Abwehr laufender Angriffe. ITDR bildet darin den erkennenden und reagierenden Teil. Identity Infrastructure Security: Bezeichnet den Schutz der Identitäts-Infrastruktur selbst, also von Verzeichnisdiensten, Identity Providern und Token-Systemen. Der Begriff rückt das Angriffsziel in den Fokus, also die Systeme, zu deren Schutz ITDR entstanden ist. Die Kernaufgaben von ITDR im Überblick: - Authentifizierungen und Kontoaktivitäten kontinuierlich überwachen (Identitäts-Telemetrie aus Active Directory, Microsoft Entra ID)
- Anomalien erkennen, etwa den Missbrauch gestohlener Zugangsdaten, Privilegien-Eskalation oder seitliche Bewegungen im Netz (Lateral Movement)
- Die Identitäts-Infrastruktur als bevorzugtes Angriffsziel eigenständig schützen
- Automatisch reagieren, etwa ein Konto sperren, eine Sitzung beenden oder eine zusätzliche Multifaktor-Authentifizierung (MFA) erzwingen
Der Arbeitszyklus einer ITDR-LösungIm Gegensatz zu klassischen Sicherheitslösungen, die sich oft nur auf Endgeräte oder den Netzwerkverkehr konzentrieren, überwacht ITDR kontinuierlich die Identitätsebene. Um Identitätsangriffe in Echtzeit zu erkennen und abzuwehren, durchläuft eine ITDR-Lösung fünf Schritte: Telemetrie sammeln:
ITDR-Lösungen werten Authentifizierungsereignisse, Verzeichnisdienst-Protokolle und Zugriffsmuster aus. Das gilt für das lokale Active Directory ebenso wie für Cloud-Identitätsdienste wie Microsoft Entra ID. Verhalten analysieren:
Die Lösung lernt das normale Verhalten jedes Kontos als Baseline, etwa typische Anmeldezeiten, Geräte und Zielsysteme. Abweichungen wie plötzliche Admin-Aktionen oder unmögliche Ortswechsel erzeugen Alarme. Zusätzlich erkennen regelbasierte Analysen bekannte Angriffstechniken. Untersuchen und priorisieren:
ITDR reichert Alarme mit Kontext an, korreliert sie über mehrere Identitätssysteme hinweg und priorisiert nach Risiko. Analysten erkennen echte Angriffe dadurch schneller. Reagieren:
Im Ernstfall handelt die Lösung automatisch oder nach manueller Freigabe. Sie sperrt das kompromittierte Konto, beendet aktive Sitzungen, entzieht Zugriffsrechte oder erzwingt eine zusätzliche Authentifizierung (Step-up-Authentifizierung). Aufarbeiten:
Nach dem Vorfall zeigt die gesammelte Telemetrie, wie der Angriff ablief. Die Erkenntnisse fließen in die Härtung der Identitäts-Infrastruktur und in neue Erkennungsregeln zurück.
Warum ist Identität die neue Angriffsfläche?Angreifer brechen heute seltener technisch ein, sondern melden sich mit gestohlenen Zugangsdaten an. Phishing, Infostealer und Datenlecks liefern Benutzernamen und Passwörter in großen Mengen. Zusätzlich greifen professionelle Täter gezielt die Identitäts-Infrastruktur an, also Active Directory und andere Identity Provider. Deren Kompromittierung bedeutet die Kontrolle über die gesamte IT-Umgebung. Klassische Sicherheitswerkzeuge erkennen solche Angriffe schlecht. Eine Anmeldung mit gültigen Zugangsdaten sieht zunächst legitim aus und löst auf dem Endgerät keinen Alarm aus. Genau diese Lücke schließt ITDR.
Typische Angriffe, die Identity Threat Detection and Response erkenntDiebstahl von Zugangsdaten (Credential Theft): Angreifer stehlen Zugangsdaten und verwenden sie anschließend regulär. ITDR erkennt verdächtige Anmeldemuster wie ungewöhnliche Orte, Zeiten oder Geräte. Entschlüsseln von Diensttickets (Kerberoasting): Angreifer fordern Kerberos-Diensttickets an und knacken deren Verschlüsselung offline, um an die Passwörter von Service-Konten zu gelangen. ITDR bemerkt die auffällige Häufung solcher Ticket-Anforderungen. Anmeldung mit gestohlenen Hashes oder Tickets (Pass-the-Hash und Pass-the-Ticket): Gestohlene Passwort-Hashes oder Tickets dienen dem Lateral Movement durch das Netz. ITDR erkennt die ungewöhnliche Verwendung der Anmeldeinformationen. Gefälschte Tickets und kopierte Verzeichnisdaten (Golden Ticket und DCSync): Angreifer stellen gefälschte Kerberos-Tickets aus oder kopieren die Passwortdaten aller Konten aus der Verzeichnisdatenbank. ITDR schlägt bei solchen Angriffen auf die Identitäts-Infrastruktur selbst Alarm. Ermüdungsangriffe auf die MFA (MFA-Fatigue): Angreifer überfluten Nutzer so lange mit Push-Anfragen, bis eine davon bestätigt wird. ITDR erkennt die ungewöhnliche Häufung von MFA-Anfragen und stoppt den Missbrauch.
Vorteile von Identity Threat Detection and Response, Risiken & Herausforderungen
Vorteile von Identity Threat Detection and Response
Sichtbarkeit auf der Identitätsebene: ITDR überwacht kontinuierlich Anmeldungen, Kontoaktivitäten und Berechtigungsänderungen. Angriffe mit gültigen Zugangsdaten sehen für Endpunkt- und Netzwerk-Sicherheit legitim aus. ITDR schließt genau die Lücke, die Angreifer heute am häufigsten ausnutzen. Schutz der Identitäts-Infrastruktur: Verzeichnisdienste wie Active Directory und Microsoft Entra ID werden als zentrale Angriffsziele eigenständig überwacht. Deren Übernahme hätte Folgen für sämtliche verbundenen IT-Systeme. ITDR schlägt deshalb schon bei Angriffen auf dieses Fundament Alarm. Hohe Reaktionsgeschwindigkeit durch Automatisierung: Automatisierte Gegenmaßnahmen greifen in Sekunden statt Stunden und stoppen Angreifer, bevor sie sich im Netz ausbreiten. Das verkürzt die Mean Time to Respond (MTTR) deutlich. Je früher die Reaktion erfolgt, desto kleiner bleibt der Schaden. Zero-Trust-Baustein: Die kontinuierliche Verifikation von Identitäten setzt das Zero-Trust-Prinzip operativ um. Vertrauen entsteht erst durch ständig geprüftes Verhalten.
Risiken von Identity Threat Detection and Response
Fehlalarme und Alarmmüdigkeit (Alert Fatigue): Verhaltensbasierte Erkennung erzeugt zwangsläufig Falschmeldungen (False Positives). Eine Flut solcher Alarme stumpft Analysten ab. Echte Angriffe können im Grundrauschen untergehen. Betriebsstörungen durch zu aggressive Automatik: Automatische Kontosperrungen treffen bei falsch-positiven Erkennungen auch legitime Nutzer. Sperrt die Lösung ein zentrales Service-Konto, stehen im Zweifel geschäftskritische Prozesse still. Die Reaktionsregeln brauchen deshalb abgestufte Schwellenwerte und Ausnahmen für kritische Konten. Datenschutz und Mitbestimmung: Die Verhaltensanalyse von Nutzerkonten verarbeitet personenbezogene Daten und erzeugt Profile des Arbeitsverhaltens. Datenschutzbeauftragte und Betriebsrat gehören deshalb früh in die Einführung eingebunden.
Herausforderungen von Identity Threat Detection and Response
Blinde Flecken in hybriden Identitätslandschaften: Lokales Active Directory, Cloud-Identitätsdienste und SaaS-Konten (Software as a Service) müssen gemeinsam überwacht werden. Deckt die Lösung eine dieser Welten nur eingeschränkt ab, entstehen blinde Flecken. Genau dort setzen Angreifer an. Unscharfe Marktabgrenzung der Anbieter: Hersteller legen ITDR unterschiedlich aus, vom reinen Active-Directory-Schutz bis zur breiten Überwachung von SaaS-Konten. Der Funktionsumfang sollte deshalb vor der Auswahl genau geprüft werden. Betrieb und Integration in bestehende Prozesse: Alarme brauchen ein Team, das ihnen nachgeht und die Erkennungsregeln laufend pflegt. Zudem muss ITDR in die vorhandenen Sicherheitswerkzeuge und Incident-Response-Prozesse eingebunden werden. Fehlt eigenes Personal, helfen Dienste wie Managed Detection and Response (MDR).
Identity Threat Detection and Response: Fragen und Antworten
Häufige Fragen (FAQ)Wofür steht ITDR?ITDR steht für Identity Threat Detection and Response. Gemeint ist die Erkennung, Untersuchung und aktive Abwehr von Angriffen auf digitale Identitäten und Identitätssysteme. Wer hat den Begriff ITDR geprägt?Das Analystenhaus Gartner hat ITDR 2022 als Kategorie eingeführt. Gibt es eine offizielle Definition von ITDR?Nein. BSI, NIST, ISO und ENISA führen keine normative ITDR-Definition. Der Begriff ist eine von Gartner geprägte Marktkategorie. Was ist der Unterschied zwischen ITDR und Identity Security?Identity Security ist der Oberbegriff für alle Schutzmaßnahmen rund um digitale Identitäten. ITDR ist der Teil davon, der laufende Angriffe erkennt und stoppt. Worin unterscheidet sich ITDR von IAM?IAM regelt präventiv, wer worauf zugreifen darf. ITDR überwacht, ob diese legitimen Zugänge missbraucht werden, und reagiert darauf. Worin unterscheidet sich ITDR von EDR?Endpoint Detection and Response (EDR) überwacht Endgeräte auf Schadcode und verdächtige Prozesse. ITDR überwacht Identitäten und Authentifizierungen, also die Ebene, auf der Angriffe mit gültigen Zugangsdaten stattfinden. Was ist der Unterschied zwischen ITDR und ISPM?Identity Security Posture Management (ISPM) härtet die Identitäts-Infrastruktur präventiv gegen Fehlkonfigurationen und überflüssige Privilegien. ITDR erkennt und stoppt laufende Angriffe in Echtzeit. Welche Angriffe erkennt ITDR typischerweise?Missbrauch gestohlener Zugangsdaten, Kerberoasting, Pass-the-Hash, Pass-the-Ticket, Golden-Ticket- und DCSync-Angriffe, Privilegien-Eskalation, Lateral Movement und MFA-Fatigue. Wie reagiert eine ITDR-Lösung auf einen Angriff?Sie sperrt das betroffene Konto, beendet aktive Sitzungen, entzieht Rechte oder erzwingt eine zusätzliche Multifaktor-Authentifizierung automatisch oder schlägt dies vor. Warum reicht MFA allein nicht aus?Angreifer umgehen MFA durch Techniken wie MFA-Fatigue oder Session-Diebstahl. ITDR erkennt genau diesen Missbrauch. Welche IT-Systeme überwacht ITDR?Vor allem Verzeichnis- und Identitätsdienste wie Active Directory, Microsoft Entra ID Identity Provider sowie die darüber laufenden Authentifizierungen, zunehmend auch SaaS-Konten. Ersetzt ITDR ein IAM- oder PAM-System?Nein. ITDR ergänzt IAM und Privileged Access Management (PAM) um die Erkennungs- und Reaktionsebene. Die präventive Zugriffssteuerung bleibt unverzichtbar. Quellenangabe:
Gartner (Gartner Identifies Top Security and Risk Management Trends for 2022) CrowdStrike (Identity Threat Detection and Response (ITDR) Explained) Silverfort (ITDR and ISPM: The Best of Both Worlds) SentinelOne (What is ITDR?) Proofpoint (What Is Identity Threat Detection & Response?) Verwandte Einträge: Identity and Access Management (IAM) Enterprise Identity und Access Management Identity Provider Multifaktor-Authentifizierung Zero Trust Endpoint Detection and Response (EDR) Extended Detection and Response (XDR) Security Operations Center (SOC) Zukünftige Verlinkung: Managed Detection and Response (MDR) Privileged Access Management (PAM) Privilege Escalation Lateral Movement Zugangsdatendiebstahl Infostealer Datenleaks Datenschutz Verhaltensanalyse Autor:
Prof. Dr. Norbert Pohlmann
Informatikprofessor für Cyber-Sicherheit und Leiter des Instituts für Internet-Sicherheit an der Westfälischen Hochschule. Stand: 16. September 2026
Weitere Informationen zum Begriff “Identity Threat Detection and Response”:
„Die Lage der Cybersicherheit in Deutschland im internationalen Vergleich"
„Digitale Verantwortung ist (IT)-Sicherheit ein Wert oder benötigen wir Werte für die IT-Sicherheit?" „Spielend lernen für mehr Resilienz (2) Serious Games als Lernmotor der Informations-Sicherheit –Teil 2: Vom Handeln zur gelebten Kultur"
„Lehrbuch-Cyber-Sicherheit"
„Übungsaufgaben und Ergebnisse zum Lehrbuch-Cybersicherheit“ „Bücher im Bereich Cyber Security und IT-Sicherheit zum kostenlosen Download"
„Vorlesungen zum Lehrbuch-Cyber-Sicherheit“
„Forschungsinstitut für Internet-Sicherheit (IT-Sicherheit, Cybersicherheit)“
„Master-Studiengang Internet-Sicherheit (IT-Sicherheit, Cybersicherheit)“ „Marktplatz IT-Sicherheit“ „IT-Notfall- Marktplatz IT-Sicherheit“ „IT-Sicherheitstools - Marktplatz IT-Sicherheit“ „Selbstlernangebot - Marktplatz IT-Sicherheit“ „Köpfe der IT-Sicherheit - Marktplatz IT-Sicherheit “ „Vertrauenswürdigkeits-Plattform"
Summary Article NameIdentity Threat Detection and Response DescriptionIdentity Threat Detection and Response (ITDR) erkennt Angriffe auf digitale Identitäten und Identitätssysteme und reagiert automatisch, etwa durch Kontosperrung oder MFA. Author Prof. Norbert Pohlmann Publisher Name Institut für Internet-Sicherheit – if(is) Publisher Logo | 
