Credential Blast Radius (Schadensradius von Zugangsdaten)

Credential Blast Radius beschreibt den maximalen Schaden, der entsteht, wenn ein einzelner API-Key, Token, SSH-Key oder sonstiger Credential gestohlen wird. Entscheidend ist nicht nur, ob der Credential geheim war, sondern was damit erreichbar ist: welche Systeme, welche Daten, welche Aktionen, welche Laufzeit, welche Seitwärtsbewegung. In Umgebungen mit KI-Agenten wird dieser Schadensradius schnell größer, weil Agents Credentials nutzen können, um Tools aufzurufen, Repositories zu verändern, Cloud-Ressourcen zu starten oder externe Workflows auszulösen. Ein breit gültiger CI-Key mit langer Laufzeit hat deshalb einen anderen Risikowert als ein kurzlebiger Token mit engem Scope. Die Analyse fragt: Wenn genau dieser Credential heute öffentlich wird, wie weit kommt ein Angreifer ohne weitere Schwachstelle? Gute Architektur reduziert den Blast Radius durch Least Privilege, kurze Gültigkeit, getrennte Identitäten pro Agent oder Workflow, Netzwerkgrenzen, Approval Gates und schnelle Sperrpfade. Der Begriff macht Credential-Sicherheit messbar, statt nur allgemein von „Secrets schützen“ zu sprechen. Damit wird sichtbar, welche Credentials echte Geschäftsrisiken tragen und welche nur lokal begrenzte Schäden verursachen.