Privileged Access Management (PAM)

Privilegierte Konten können Systeme verändern, Daten löschen, Sicherheitsfunktionen abschalten und neue Benutzer anlegen. Genau deshalb sind sie ein bevorzugtes Ziel bei Angriffen: Wer etwa ein Domänenadministrator-Konto übernimmt, kontrolliert in der Regel das gesamte Netzwerk. Privileged Access Management setzt das Prinzip Least Privilege für diese besonders kritischen Zugänge konsequent um.

Zu den privilegierten Zugängen zählen nicht nur persönliche Administratorkonten, sondern auch Dienstkonten, Notfallkonten, Zugänge zu Netzwerkgeräten und Cloud-Konsolen sowie technische Schlüssel für Schnittstellen.

Wie funktioniert Privileged Access Management?

PAM-Lösungen kombinieren meist mehrere Funktionen:

• Tresor für Zugangsdaten: Passwörter privilegierter Konten werden zentral verwahrt, regelmäßig automatisch geändert und nicht mehr an Personen weitergegeben.
• Just-in-Time-Zugriff: Administratorrechte werden nur auf Antrag und für einen begrenzten Zeitraum aktiviert, teils mit Genehmigung durch eine zweite Person.
• Sitzungskontrolle: Administrative Sitzungen laufen über einen kontrollierten Zugangspunkt und können protokolliert oder aufgezeichnet werden.
• Starke Anmeldung: Zugriff nur mit Multi-Faktor-Authentifizierung, idealerweise phishing-resistent.
• Nachvollziehbarkeit: Es ist jederzeit belegbar, wer wann mit welchem Recht was getan hat.

Im Microsoft-Umfeld gibt es dafür etwa Privileged Identity Management in Microsoft Entra ID, mit dem sich Administratorrollen zeitlich begrenzt freischalten lassen.

Typische Beispiele

• Ein externer Dienstleister erhält für ein Wartungsfenster einen protokollierten Zugang zu einem Server, der danach automatisch endet.
• Die globale Administratorrolle in Microsoft 365 wird nur bei Bedarf aktiviert und muss begründet werden.
• Das Kennwort des lokalen Administratorkontos ist auf jedem Gerät verschieden und wird automatisch gewechselt.
• Notfallkonten sind sicher hinterlegt und lösen bei jeder Verwendung eine Alarmierung aus.

Worauf Unternehmen achten sollten

• Zunächst alle privilegierten Konten erfassen, auch vergessene Dienst- und Altkonten.
• Administrative Tätigkeiten von alltäglicher Arbeit trennen, mit eigenen Konten und möglichst eigenen, abgesicherten Arbeitsplätzen.
• Dauerhafte Administratorrechte so weit wie möglich abbauen.
• Zugriffe von Dienstleistern besonders kontrollieren und zeitlich begrenzen.
• Protokolle auswerten, zum Beispiel in einem SIEM.

Abgrenzung

Ein Passwort-Manager verwaltet Zugangsdaten vieler Mitarbeitender für den Arbeitsalltag. PAM konzentriert sich auf wenige, aber besonders mächtige Zugänge und ergänzt die sichere Aufbewahrung um Freigabeprozesse, zeitliche Begrenzung und Sitzungskontrolle.