Privileged Access Management schützt die sensibelsten Zugangsdaten eines Unternehmens — von Domain-Admin-Konten über Service-Accounts bis hin zu API-Schlüsseln und Infrastruktur-Secrets.
Grundlagen des Privileged Access Management
Privileged Access Management (PAM) umfasst alle Maßnahmen zur Absicherung, Überwachung und Verwaltung von Konten mit erhöhten Berechtigungen. Privilegierte Konten existieren in jeder IT-Umgebung: Domain-Admins in Active Directory, Root-Konten auf Linux-Servern, Service-Accounts für Anwendungen und Datenbanken, API-Schlüssel für Cloud-Dienste sowie Infrastruktur-Secrets wie SSH-Schlüssel und Zertifikate. Was diese Konten eint: Sie gewähren weitreichenden Zugriff auf Systeme, Daten und Konfigurationen — und sind damit das primäre Ziel von Angreifern. Studien zeigen, dass Angreifer nach der initialen Kompromittierung eines Endgeräts durchschnittlich innerhalb von 48 Stunden nach privilegierten Zugangsdaten suchen, um sich lateral im Netzwerk zu bewegen.
Das zentrale Prinzip hinter PAM ist das Least-Privilege-Prinzip: Jeder Benutzer und jeder Prozess erhält nur die minimal notwendigen Berechtigungen, die für die aktuelle Aufgabe erforderlich sind — und diese Berechtigungen werden zeitlich begrenzt. In der Praxis bedeutet das: Ein Administrator erhält keine dauerhaften Domain-Admin-Rechte, sondern fordert diese über einen Genehmigungsworkflow an, nutzt sie für eine definierte Aufgabe und verliert sie automatisch nach Ablauf der genehmigten Zeitspanne. Dieses Vorgehen reduziert die Angriffsfläche dramatisch, denn selbst wenn ein Konto kompromittiert wird, besitzt es nur für kurze Zeit erhöhte Rechte.
Die regulatorischen Anforderungen an den Schutz privilegierter Konten sind in den letzten Jahren erheblich gestiegen. Die NIS2-Richtlinie fordert in Artikel 21 ausdrücklich Maßnahmen zur Zugriffskontrolle und zum Umgang mit Zugangsdaten — privilegierte Konten stehen dabei im Fokus, weil ihre Kompromittierung die größten Auswirkungen hat. Gleichzeitig verlangen Cyber-Versicherungen zunehmend den Nachweis von PAM-Kontrollen als Voraussetzung für den Versicherungsschutz: Fehlende MFA für Admin-Konten, geteilte Passwörter oder unkontrollierte Service-Accounts führen regelmäßig zu Deckungsablehnungen oder erhöhten Prämien. Für Unternehmen, die bereits ein ISMS nach BSI IT-Grundschutz betreiben, ist PAM ein zentraler Baustein im Modul ORP.4 „Identitäts- und Berechtigungsmanagement“.
- Domain-Admin-Konten: Die mächtigsten Konten in einer Windows-Umgebung. Ein kompromittiertes Domain-Admin-Konto ermöglicht die vollständige Übernahme des Active Directory, die Installation von Backdoors auf allen angeschlossenen Systemen und den Zugriff auf sämtliche Unternehmensdaten. PAM schützt diese Konten durch Passwort-Rotation, MFA-Pflicht und Just-in-Time-Zuweisung.
- Service-Accounts und Anwendungskonten: Automatisierte Konten, die für die Kommunikation zwischen Systemen und Anwendungen genutzt werden. Sie sind besonders gefährdet, weil ihre Passwörter oft seit Jahren unverändert sind, keine MFA unterstützen und in Konfigurationsdateien oder Skripten im Klartext hinterlegt werden. PAM automatisiert die Rotation dieser Zugangsdaten, ohne den Betrieb zu unterbrechen.
- Root- und lokale Administrator-Konten: Lokale Admin-Konten auf Servern und Endgeräten sind ein beliebtes Ziel für Pass-the-Hash- und Credential-Stuffing-Angriffe. Wenn alle Systeme dasselbe lokale Admin-Passwort verwenden — was in vielen KMU noch Praxis ist — genügt die Kompromittierung eines einzigen Geräts für die laterale Ausbreitung. Lösungen wie Microsoft LAPS (Local Administrator Password Solution) randomisieren diese Passwörter automatisch.
- API-Schlüssel und Cloud-Zugangsdaten: In modernen Cloud- und Hybrid-Umgebungen ersetzen API-Schlüssel, OAuth-Tokens und Zugriffsschlüssel zunehmend klassische Benutzername-Passwort-Kombinationen. Ein geleakter AWS-Zugriffsschlüssel kann innerhalb von Minuten zur Provisionierung von Hunderten Cloud-Ressourcen für Cryptomining missbraucht werden. PAM-Lösungen integrieren Secrets Management, um diese Zugangsdaten zentral zu verwalten und automatisch zu rotieren.
- Least Privilege und Zero Trust: Das Least-Privilege-Prinzip ist sowohl Kernbestandteil von PAM als auch Grundpfeiler einer Zero-Trust-Architektur. Während PAM den Zugang zu privilegierten Konten kontrolliert, erweitert Zero Trust dieses Konzept auf alle Zugriffe: Kein Benutzer, kein Gerät und kein Netzwerksegment wird per se als vertrauenswürdig eingestuft — jeder Zugriff wird kontinuierlich verifiziert. PAM liefert damit die operative Grundlage für die Zero-Trust-Implementierung.
Komponenten & Technologien
Eine vollständige PAM-Lösung besteht aus mehreren ineinandergreifenden Komponenten, die zusammen den gesamten Lebenszyklus privilegierter Zugangsdaten abdecken. Im Zentrum steht der Passwort-Vault (auch Credential Vault oder Secret Store): ein verschlüsselter, zentraler Tresor, in dem alle privilegierten Zugangsdaten gespeichert werden. Administratoren greifen nicht direkt auf Passwörter zu, sondern authentifizieren sich am Vault, der die Zugangsdaten automatisch und transparent an das Zielsystem übermittelt. Nach jeder Nutzung — oder in konfigurierbaren Intervallen — rotiert der Vault das Passwort automatisch. Dieser Ansatz eliminiert das Risiko geteilter oder statischer Passwörter und erzeugt lückenlose Audit-Trails darüber, wer wann auf welches Konto zugegriffen hat.
Session Recording und Monitoring bilden die zweite zentrale Säule. Jede privilegierte Sitzung — ob RDP-Verbindung zum Server, SSH-Session oder Web-Admin-Konsole — wird vollständig aufgezeichnet, einschließlich aller Tastatureingaben, Bildschirminhalte und ausgeführten Befehle. Diese Aufzeichnungen dienen nicht nur der forensischen Analyse nach einem Sicherheitsvorfall, sondern ermöglichen auch die Echtzeit-Überwachung: Verdächtige Aktivitäten wie das Anlegen neuer Admin-Konten, das Deaktivieren von Sicherheitssoftware oder ungewöhnliche Datenbank-Abfragen lösen sofortige Alarme aus und können die Sitzung automatisch beenden.
Just-in-Time (JIT) Access und Privilege Elevation and Delegation Management (PEDM) repräsentieren die fortschrittlichsten PAM-Konzepte. JIT eliminiert dauerhafte privilegierte Konten vollständig: Statt einem Administrator rund um die Uhr Domain-Admin-Rechte zuzuweisen, werden erhöhte Berechtigungen erst auf Anforderung, nach Genehmigung und für einen definierten Zeitraum aktiviert. PEDM geht noch einen Schritt weiter und ermöglicht die gezielte Erhebung einzelner Berechtigungen auf Anwendungsebene — ein Benutzer kann beispielsweise einen bestimmten Windows-Dienst neustarten, ohne volle Administrator-Rechte auf dem gesamten System zu erhalten. Dieser granulare Ansatz minimiert die Angriffsfläche maximal.
- Passwort-Vault mit automatischer Rotation: Der Vault speichert alle privilegierten Zugangsdaten AES-256-verschlüsselt und rotiert Passwörter nach konfigurierbaren Regeln — nach jeder Nutzung, nach Zeitablauf oder bei Verdacht auf Kompromittierung. Die Integration erfolgt über Konnektoren für Active Directory, LDAP, Datenbanken, Cloud-Plattformen und Netzwerkgeräte. Für KMU bieten Lösungen wie Delinea Secret Server oder BeyondTrust Password Safe einen schnellen Einstieg mit überschaubarem Konfigurationsaufwand.
- Session Recording und Live-Monitoring: Vollständige Aufzeichnung aller privilegierten Sitzungen als durchsuchbare Video- und Textprotokolle. Moderne Lösungen nutzen KI-basierte Verhaltensanalyse, um Anomalien in Echtzeit zu erkennen: ungewöhnliche Befehlsmuster, Zugriffe außerhalb der üblichen Arbeitszeiten oder Abweichungen vom normalen Nutzungsverhalten lösen automatische Eskalationen aus. Die Aufzeichnungen erfüllen gleichzeitig Compliance-Anforderungen für Audits und forensische Untersuchungen.
- Just-in-Time (JIT) Access: Eliminiert dauerhafte Berechtigungen (Standing Privileges) durch bedarfsgesteuerte Zuweisung. Der typische JIT-Workflow umfasst: Anforderung über Self-Service-Portal, automatische oder manuelle Genehmigung, zeitlich begrenzte Aktivierung der Berechtigung und automatische Entfernung nach Ablauf. Microsoft Entra Privileged Identity Management (PIM) bietet JIT für Azure- und Microsoft-365-Rollen; On-Premises-Lösungen wie CyberArk Alero ermöglichen JIT auch für klassische Infrastruktur.
- Privilege Elevation and Delegation Management (PEDM): Statt einem Benutzer volle Admin-Rechte zu geben, erlaubt PEDM die gezielte Erhebung einzelner Aktionen: eine bestimmte Anwendung installieren, einen Dienst neustarten oder eine Firewall-Regel ändern — ohne dass der Benutzer ein privilegiertes Konto benötigt. Dies wird über Agenten auf den Endpunkten umgesetzt, die Anwendungs-Whitelisting und kontextabhängige Policies durchsetzen. PEDM ist besonders wertvoll für Helpdesk-Teams und Entwickler, die punktuell erhöhte Rechte benötigen.
- Service-Account-Management: Automatisierte Erkennung, Inventarisierung und Verwaltung aller Service-Accounts in der Infrastruktur. Viele Unternehmen wissen nicht, wie viele Service-Accounts existieren, welche Berechtigungen sie haben und wo ihre Zugangsdaten hinterlegt sind. PAM-Lösungen scannen Active Directory und Systemkonfigurationen, identifizieren überprivilegierte oder verwaiste Service-Accounts und automatisieren deren Passwort-Rotation unter Berücksichtigung aller abhängigen Systeme und Dienste.
- Secrets Management für DevOps und Cloud: Verwaltung von API-Schlüsseln, Datenbank-Zugangsdaten, Zertifikaten und Tokens in CI/CD-Pipelines und Container-Umgebungen. Tools wie HashiCorp Vault, CyberArk Conjur oder Azure Key Vault integrieren sich in Kubernetes, Terraform, Ansible und Jenkins, um Secrets zur Laufzeit bereitzustellen, ohne sie in Code-Repositories oder Konfigurationsdateien hartcodieren zu müssen. Automatische Rotation und Audit-Logging sind dabei Standardfunktionen.
Implementierung im Mittelstand
Die Einführung von PAM muss nicht mit einem Großprojekt beginnen. Für KMU empfiehlt sich ein phasenweiser Ansatz, der mit schnell umsetzbaren Quick Wins startet und das Schutzniveau schrittweise erhöht. Der wichtigste erste Schritt ist die Absicherung der lokalen Administrator-Konten mit Microsoft LAPS (Local Administrator Password Solution) — ein kostenloses Tool, das lokale Admin-Passwörter auf allen Domänen-Computern automatisch randomisiert und im Active Directory sicher speichert. Parallel dazu sollte MFA für alle Admin-Konten aktiviert werden: Domain-Admins, Exchange-Admins, Azure-Admins und Datenbank-Admins. Diese beiden Maßnahmen allein eliminieren einen Großteil der Angriffsvektoren, die Cyber-Versicherer und NIS2-Prüfer als kritisch einstufen.
In der zweiten Phase erfolgt die eigentliche PAM-Plattform-Einführung. Für Unternehmen mit Microsoft-365-Infrastruktur bietet Microsoft Entra Privileged Identity Management (PIM) einen nativen Einstieg: PIM ermöglicht JIT-Zugriff für alle Azure-AD- und Microsoft-365-Rollen, erzwingt Genehmigungsworkflows und erstellt lückenlose Audit-Protokolle — ohne zusätzliche Lizenzkosten für Kunden mit Microsoft 365 E5 oder Azure AD P2. Für hybride Umgebungen mit On-Premises-Servern, Netzwerkgeräten und Datenbanken kommen spezialisierte PAM-Lösungen zum Einsatz. Die Auswahl richtet sich nach Unternehmensgröße und Budget: Während CyberArk den Enterprise-Markt dominiert, bieten BeyondTrust und Delinea skalierbare Lösungen für den Mittelstand mit kürzeren Implementierungszeiten und niedrigeren Einstiegskosten.
Die dritte Phase umfasst die Integration in die bestehende Sicherheitsarchitektur. PAM entfaltet seinen vollen Wert erst in Kombination mit anderen Sicherheitssystemen: Die Anbindung an das SIEM (Security Information and Event Management) ermöglicht die Korrelation privilegierter Zugriffe mit anderen Sicherheitsereignissen — wenn ein Admin-Konto zeitgleich aus zwei Ländern genutzt wird, schlägt das SIEM sofort Alarm. Die Integration mit dem Ticketing-System verknüpft privilegierte Zugriffe mit Change-Requests und Service-Tickets, wodurch jede Aktion nachvollziehbar wird. Für die langfristige Strategie sollte PAM als Kernbaustein der Zero-Trust-Architektur positioniert werden: Kein Zugriff ohne Verifizierung, keine dauerhaften Berechtigungen, kontinuierliche Überwachung aller privilegierten Aktivitäten.
- Quick Win — LAPS und MFA: Microsoft LAPS ist in wenigen Stunden über Gruppenrichtlinien ausgerollt und randomisiert sofort alle lokalen Admin-Passwörter. Parallel MFA für alle administrativen Konten aktivieren — Azure AD Conditional Access erzwingt dies für Cloud-Zugriffe, On-Premises-Lösungen wie Duo Security oder RSA SecurID decken RDP- und VPN-Zugriffe ab. Diese beiden Maßnahmen haben das beste Aufwand-Nutzen-Verhältnis und sind oft die Minimalanforderung von Cyber-Versicherern.
- Phasenweiser PAM-Rollout: Phase 1: Inventarisierung aller privilegierten Konten (Discovery Scan). Phase 2: Onboarding der kritischsten Konten in den Passwort-Vault (Domain-Admins, Root-Konten, Datenbank-Admins). Phase 3: Aktivierung von Session Recording für externe Dienstleister und kritische Systeme. Phase 4: Einführung von JIT-Access für interne Administratoren. Jede Phase sollte 4 bis 8 Wochen umfassen, mit einer Stabilisierungsphase dazwischen.
- Microsoft Entra PIM für Cloud-Rollen: Entra PIM bietet JIT-Zugriff für über 80 Azure-AD- und Microsoft-365-Rollen. Konfigurieren Sie Genehmigungsworkflows, maximale Aktivierungsdauern und Benachrichtigungen. Besonders wichtig: Aktivieren Sie PIM-Alerts für die Rollen „Global Administrator“, „Exchange Administrator“ und „SharePoint Administrator“. Für Azure-Ressourcen ermöglicht PIM auch die zeitlich begrenzte Zuweisung von RBAC-Rollen auf Subscription- und Ressourcengruppen-Ebene.
- SIEM-Integration und Monitoring: Leiten Sie alle PAM-Ereignisse — Anmeldungen, Passwort-Checkouts, Session-Starts, fehlgeschlagene Zugriffe und Policy-Verletzungen — an Ihr SIEM weiter. Erstellen Sie Korrelationsregeln für typische Angriffsmuster: gleichzeitige Nutzung eines Kontos aus verschiedenen Standorten, Zugriffe außerhalb der Geschäftszeiten, Massenabruf von Zugangsdaten oder Deaktivierung von Audit-Logging. Die SIEM-Integration macht PAM vom passiven Tresor zum aktiven Verteidigungswerkzeug.
- PAM-Lösung für das KMU-Budget: Für Unternehmen mit 20 bis 250 Mitarbeitern sind Delinea Secret Server (ab ca. 10.000 €/Jahr) und BeyondTrust Password Safe wirtschaftlich attraktive Optionen. Beide bieten Cloud- und On-Premises-Varianten, Discovery-Funktionen für die Inventarisierung, automatische Passwort-Rotation und Session Recording. Achten Sie bei der Auswahl auf: Integrations-Konnektoren für Ihre Bestandssysteme, Skalierbarkeit, Reporting-Fähigkeiten für NIS2-Audits und den Implementierungsaufwand — viele Anbieter bieten KMU-Pakete mit geführtem Onboarding an.
Sie benötigen Unterstützung?
Die Absicherung privilegierter Zugangsdaten ist eine der wirksamsten Maßnahmen gegen Cyberangriffe — und eine häufige Anforderung von NIS2 und Cyber-Versicherungen. Unsere Experten unterstützen Sie bei der Bestandsaufnahme Ihrer privilegierten Konten, der Auswahl der passenden PAM-Lösung und der phasenweisen Implementierung — praxisnah, budgetgerecht und auf Ihre Infrastruktur zugeschnitten.
Security & Firewall ansehen →
