Der parallele Betrieb mehrerer Identitätsdomänen bremst den Einsatz von KI-Agenten, APIs und Microservices. Ein standardisierter Token-Austausch soll Autorisierung über Sicherheitsgrenzen hinweg ermöglichen, ohne bestehende Anwendungen tiefgreifend anzupassen.
Der zunehmende Einsatz von KI-Agenten und unternehmensinternen Chatbots erhöht den Bedarf an sicheren Zugriffen auf verteilte Daten und Anwendungen. In der Praxis stoßen solche Szenarien häufig an die Grenzen einzelner Identitätsdomänen – etwa wenn Identitäten aus Microsoft-365-Umgebungen mit Entra ID auf Anwendungen in anderen Sicherheitswelten zugreifen sollen. Der Sicherheitsanbieter Airlock beobachtet in diesem Kontext eine steigende Nachfrage nach Lösungen, die Identitäten domänenübergreifend autorisieren können.
Token Exchange für KI-Agenten: Ein bestehender Token wird geprüft und in ein anwendungsspezifisches Zugriffstoken umgewandelt. (Quelle: Ergon Informatik AG)
Mit der seit 2024 im Airlock-Portfolio integrierten Token-Exchange-Funktionalität auf Basis der OAuth-2.0-Spezifikation RFC 8693 können bestehende Zugriffstoken in neue Token umgewandelt werden, die für andere Ressourcen oder Sicherheitsdomänen gültig sind. Entscheidend ist dabei, dass einzelne Identitätsverwaltungssysteme nicht individuell angepasst werden müssen. Laut Airlock lassen sich so unterschiedliche Identity Provider, Authentifizierungsverfahren und Sicherheitsvorgaben zentral steuern.
Foto: Ergon Informatik AG
Stefan Braun, Senior Security Consultant bei Airlock
Der Ansatz ist nicht auf Non-Human-Identities beschränkt, sondern eignet sich auch für komplexe, heterogene IT-Landschaften.
„Token Exchange hilft Unternehmen, unterschiedliche Identity Provider und Tokenformate sicher zusammenzubringen, ohne tief in bestehende Anwendungen eingreifen zu müssen. Das reduziert Aufwand sowie Kosten und erhöht gleichzeitig die Flexibilität“,
sagt Stefan Braun, Senior Security Consultant bei Airlock.
Beim IdP-übergreifenden Handling übernimmt Token Exchange die Rolle einer Vermittlungsinstanz. Eingehende Token werden geprüft und in neue Berechtigungstoken mit angepassten Claims wie Subject, Audience oder Scopes übersetzt. Dadurch lassen sich Zugriffe granular und dynamisch steuern und auf einzelne Anfragen beschränken. Inkonsistenzen durch unterschiedliche Protokolle sowie mangelnde Nachvollziehbarkeit sollen so vermieden werden. Auch in containerisierten Umgebungen mit Microservices gewinnt dieser Ansatz an Bedeutung, da hier eine sichere, domänenübergreifende Kommunikation erforderlich ist.
Schematische Darstellung des Token Exchange als Vermittlungsinstanz: Ein bestehender Zugriffstoken wird domänenübergreifend geprüft und in einen neuen, an die Zielanwendung und Sicherheitszone angepassten Token umgewandelt, ohne dass der ursprüngliche Token direkt weitergereicht wird. (Quelle: Ergon Informatik AG)
Ein praktisches Beispiel liefert die Schweizerische Bundesbahnen AG. Dort wird Token Exchange seit 2024 eingesetzt, um mehrere hundert Service-Anbieter segmentiert in eine Plattform zu integrieren. Frontend- und Backend-Systeme arbeiten in unterschiedlichen Sicherheitszonen mit eigenen Zugriffstoken. Anstatt bestehende Token weiterzuleiten, werden diese beim Autorisierungsserver in neue Token umgetauscht. Ziel ist es, seitliche Bewegungen von Angreifern bei kompromittierten Systemen zu verhindern. Der Token Exchange ist dabei vollständig in die vorgelagerte IAM-Lösung von Airlock integriert und wird auch in Multi-Cloud-Umgebungen genutzt.
