Mehr Kontrolle über privilegierte Zugriffe
Was Unternehmen über Privileged Access Management (PAM) wissen sollten
Worum geht es in diesem Artikel? Wer darf privilegierte Zugriffe nutzen, wie lange bleiben sie bestehen und lassen sich Änderungen später nachvollziehen? Damit beschäftigt sich Privileged Access Management. Wir erläutern, wie Unternehmen administrative Zugänge besser schützen, externe Dienstleister kontrolliert einbinden und Sicherheits- sowie Compliance-Anforderungen umsetzen können.
Typisches Szenario aus dem Alltag: Ein externer IT-Dienstleister muss kurzfristig eine Störung auf einem kritischen Server beheben. Dafür benötigt er administrative Rechte. Doch wer entscheidet über den Zugriff? Wie lange ist dieser gültig? Kennt der Dienstleister das administrative Passwort? Kann er neben dem betroffenen Server auch weitere Systeme erreichen? Und lässt sich später nachvollziehen, welche Änderungen vorgenommen wurden?
Solche Situationen gehören in vielen Unternehmen zum Alltag. Externe Dienstleister warten Fachanwendungen, Hersteller greifen auf Produktionsanlagen zu und interne Administratoren betreuen Server, Datenbanken oder Netzwerkkomponenten. Die dafür erforderlichen Berechtigungen sind notwendig, ermöglichen aber zugleich besonders weitreichende Eingriffe.
Genau hier setzt Privileged Access Management (PAM) an: Privilegierte Zugriffe werden nicht nur erlaubt oder verweigert, sondern gezielt vermittelt, begrenzt, überwacht und dokumentiert.
Was sind privilegierte Zugänge?
Ein reguläres Benutzerkonto ermöglicht meist nur den Zugriff auf ausgewählte Anwendungen und Informationen. Privilegierte Konten verfügen dagegen über erweiterte Rechte. Mit ihnen lassen sich beispielsweise Benutzer anlegen, Sicherheitsrichtlinien verändern, Programme installieren, Datenbanken administrieren oder Schutzmechanismen deaktivieren.
Zu privilegierten Identitäten und Zugangsdaten gehören unter anderem:
Domänen-, System- und Cloud-Administratoren
Root-Konten auf Linux-Systemen
Datenbank- und Anwendungsadministratoren
API- & SSH-Schlüssel, Tokens und viele weitere
Privilegierte Zugänge sind also vergleichbar mit den Generalschlüsseln eines Gebäudes. Sie werden für den Betrieb benötigt, sollten aber weder unkontrolliert weitergegeben noch dauerhaft ohne Aufsicht verwendet werden.
Warum Passwortschutz und VPN allein nicht ausreichen
Unternehmen betreiben heute zunehmend vernetzte und hybride IT-Umgebungen. Administrative Zugriffe betreffen längst nicht mehr nur Server im eigenen Rechenzentrum, sondern auch Cloud-Plattformen, SaaS-Anwendungen, Produktionsanlagen und Systeme externer Anbieter. Gleichzeitig wächst die Zahl der Personen, die solche Zugriffe benötigen. Neben der eigenen IT-Abteilung können dies Systemhäuser, Softwarehersteller oder kommunale IT-Dienstleister sein.
Problematisch wird es unter anderem, wenn:
mehrere Personen dasselbe Administratorkonto verwenden
administrative Passwörter bekannt sind und selten geändert werden
externe Zugänge dauerhaft aktiv bleiben
nachträglich nicht erkennbar ist, wer eine Änderung vorgenommen hat
Berechtigungen nach einem Dienstleisterwechsel bestehen bleiben
Was ist Privileged Access Management?
Privileged Access Management umfasst organisatorische Prozesse und technische Maßnahmen, mit denen besonders mächtige Identitäten, Konten, Zugangsdaten und Sitzungen verwaltet und geschützt werden.
Der Ansatz beruht auf dem Least-Privilege-Prinzip: Benutzer erhalten nur die Rechte, die sie tatsächlich benötigen. Moderne PAM-Konzepte ergänzen dieses Prinzip häufig um zwei weitere Grundsätze:
Just Enough Privilege: Eine Person erhält nur die Berechtigungen, die für die konkrete Tätigkeit erforderlich sind.
Just-in-Time Access: Der privilegierte Zugriff wird nur für einen festgelegten Zeitraum freigegeben und anschließend wieder entzogen.
Der entscheidende Unterschied: Administrative Rechte werden nicht dauerhaft vergeben, sondern möglichst nur dann bereitgestellt, wenn es einen konkreten und nachvollziehbaren Anlass gibt.
Wie unterscheidet sich PAM von IAM?
Identity and Access Management (IAM) und Privileged Access Management (PAM) verfolgen ähnliche Ziele, setzen aber unterschiedliche Schwerpunkte. Während IAM den gesamten Lebenszyklus digitaler Identitäten und regulärer Zugriffsrechte verwaltet, konzentriert sich PAM auf besonders privilegierte Konten und Zugriffe. Bildlich gesprochen organisiert IAM alle Unternehmensausweise. PAM schützt zusätzlich die Generalschlüssel, kontrolliert ihre Ausgabe und dokumentiert ihre Verwendung.
PAM ersetzt daher kein IAM. Es ergänzt das Identitäts- und Berechtigungsmanagement um spezielle Kontrollen für privilegierte Zugriffe.
Aufbau und Funktionsweise von PAM
Ein PAM-System bildet einen kontrollierten Zugangspunkt zwischen privilegierten Benutzern und geschützten Zielsystemen. Administratoren und externe Dienstleister melden sich mit einer persönlichen Identität an der PAM-Plattform an. Dort werden Identität, Berechtigungen und die freigegebenen Zielsysteme geprüft. Je nach Sicherheitsrichtlinie können zusätzlich eine Mehrfaktorauthentifizierung, eine Begründung oder eine vorherige Genehmigung erforderlich sein.
Nach erfolgreicher Prüfung vermittelt die PAM-Plattform die Verbindung zum Zielsystem. Die erforderlichen administrativen Zugangsdaten bleiben geschützt und werden automatisch eingesetzt, sodass die zugreifende Person das Kennwort nicht kennen muss. Während der Sitzung können Aktivitäten protokolliert und Verbindungen überwacht oder aufgezeichnet werden. Darüber hinaus können bestimmte Befehle oder Aktionen eingeschränkt werden. Bei auffälligem Verhalten kann außerdem in eine laufende Sitzung eingegriffen werden.
Nach Abschluss der Tätigkeit endet eine zeitlich begrenzte Zugriffsberechtigung automatisch. Verwendete Passwörter oder Schlüssel werden abhängig von der Konfiguration anschließend durch das PAM-System automatisiert geändert.
Eine PAM-Lösung beseitigt keine Schwachstellen auf dem Zielsystem.
Sie reduziert aber die direkte Erreichbarkeit und sorgt dafür, dass administrative Verbindungen nur nach definierten Regeln aufgebaut werden.
Funktionen von Privileged Access Management
PAM verbindet mehrere Funktionen, um privilegierte Konten, Zugangsdaten und administrative Sitzungen zu schützen:
Erkennen: Privilegierte Konten/Identitäten, Schlüssel und andere Secrets erfassen und inventarisieren.
Schützen: Administrative Zugangsdaten zentral verwahren und abhängig vom Zielsystem regelmäßig oder nach ihrer Verwendung automatisiert ändern.
Begrenzen: Zugriffe auf definierte Zielsysteme, Aufgaben und Zeiträume beschränken sowie bei Bedarf an eine Genehmigung binden.
Überwachen: Privilegierte Sitzungen abhängig von Produkt, Protokoll und Konfiguration protokollieren, live überwachen oder aufzeichnen.
Nachweisen: Dokumentieren, wer wann auf welches System zugegriffen hat, wie lange der Zugriff dauerte und welche Freigaben vorlagen.
Welche Vorteile entstehen für das Unternehmen?
Mehr Sicherheit
Weniger dauerhaft bekannte Passwörter, geringere Angriffsfläche und bessere Kontrolle über kritische Zugriffe.
Mehr Transparenz
Eindeutige Zuordnung, wer wann aus welchem Grund auf welches System zugegriffen hat.
Mehr Nachweisbarkeit
Bessere Grundlage für interne Prüfungen, Audits, Versicherungsanforderungen und Compliance.
Mehr Effizienz
Zentrale Freigaben, automatisierte Passwortwechsel und einheitliche Zugriffsprozesse.
PAM als Baustein für Sicherheit und Compliance
Gesetze und Standards schreiben in der Regel keine bestimmte PAM-Lösung vor. Anforderungen an die Kontrolle und Nachvollziehbarkeit privilegierter Zugriffe ergeben sich jedoch unter anderem aus der NIS2-Richtlinie beziehungsweise ihrer Umsetzung im deutschen Recht (insbesondere § 30 BSIG), dem BSI IT-Grundschutz-Baustein ORP.4, den Normen ISO/IEC 27001 und 27002 sowie Artikel 32 DSGVO.
Für Krankenhäuser sind zusätzlich § 391 SGB V und der B3S Krankenhaus relevant. Eine PAM-Lösung kann dabei helfen, privilegierte Berechtigungen nach dem Least-Privilege-Prinzip zu verwalten, externe und administrative Zugriffe zu kontrollieren sowie administrative Tätigkeiten revisionssicher und nachvollziehbar zu dokumentieren.
PAM mit Fudo Security
Eine mögliche technische Umsetzung der beschriebenen PAM-Prinzipien bietet die Plattform von Fudo Security. Sie vermittelt privilegierte Verbindungen zwischen Benutzern und angebundenen Zielsystemen und ermöglicht es, administrative Zugriffe zentral zu steuern, zeitlich zu begrenzen und nachvollziehbar zu dokumentieren.
Zu den zentralen Funktionen gehören die Überwachung und Aufzeichnung privilegierter Sitzungen, Just-in-Time-Zugriffe sowie die geschützte Verwaltung von Passwörtern, SSH-Schlüsseln, API-Schlüsseln und Zertifikaten. Laufende Sitzungen können in Echtzeit kontrolliert und bei Auffälligkeiten pausiert oder beendet werden. Darüber hinaus unterstützt Fudo unter anderem RDP-, SSH- und Webzugriffe sowie Einsatzszenarien in IT- und OT-Umgebungen.
Für die kontrollierte Einbindung externer Dienstleister steht mit Fudo ShareAccess zusätzlich eine cloudbasierte und browsergestützte Zugriffsmöglichkeit zur Verfügung. Externe Zugriffe können damit zeitlich begrenzt und überwacht werden, ohne jedem Dienstleister einen klassischen VPN-Zugang bereitstellen zu müssen.
Wir setzen uns seit mehreren Jahren intensiv mit Privileged Access Management auseinander und sind seit 2021 Certified Partner von Fudo Security. Unsere Leistungen reichen von der Analyse bestehender Berechtigungs- und Zugriffskonzepte über Architekturplanung und Implementierung bis hin zur Integration in vorhandene AD-, LDAP-, MFA- und SIEM-Umgebungen.
Welche Architektur und welcher Funktionsumfang geeignet sind, hängt von der vorhandenen Infrastruktur, den anzubindenden Systemen und den jeweiligen Sicherheitsanforderungen ab. Deshalb sollte der Einführung immer eine strukturierte Betrachtung der privilegierten Konten, Zugänge und relevanten Zielsysteme vorausgehen.
Checkliste zur Selbsteinschätzung
Wissen Sie, welche privilegierten Konten und Zugangsdaten in Ihrer Umgebung existieren?
Besitzen Administratoren eigene, eindeutig zuordenbare Konten?
Können Sie jederzeit feststellen, wer auf ein kritisches System zugegriffen hat?
Sind die Zugänge externer Dienstleister auf bestimmte Systeme und Zeiträume begrenzt?
Werden administrative Passwörter regelmäßig geändert?
Können Dienstleister auf Ihre Systeme zugreifen, ohne das Passwort zu erfahren?
Müssen besonders kritische Zugriffe zuvor genehmigt werden?
Können Sie auffällige Sitzungen überwachen und gegebenenfalls beenden?
Werden privilegierte Zugänge beim Ausscheiden von Mitarbeitern oder beim Wechsel eines Dienstleisters zuverlässig entzogen?
Existiert ein geregeltes Verfahren für administrative Notfallzugriffe?
Privilegierte Zugriffe brauchen klare Kontrolle
Privilegierte Zugänge sind für den Betrieb moderner IT-Infrastrukturen unverzichtbar. Gleichzeitig gehören sie zu den sensibelsten Informationen eines Unternehmens.
PAM schafft eine zentrale Grundlage, um diese Zugriffe kontrolliert zu vergeben, zeitlich zu begrenzen, Zugangsdaten zu schützen und administrative Tätigkeiten nachvollziehbar zu dokumentieren. Besonders für mittelständische Unternehmen, Einrichtungen des Gesundheitswesens und kommunale Organisationen kann dies einen wichtigen Beitrag leisten, um zentrale Systeme trotz begrenzter personeller Ressourcen wirksam abzusichern. Erfolgreiches Privileged Access Management beginnt mit klaren Verantwortlichkeiten, bekannten privilegierten Identitäten und nachvollziehbaren Freigabeprozessen. Eine geeignete PAM-Plattform hilft anschließend dabei, diese Regeln konsistent und überprüfbar umzusetzen.
Wenn Sie Ihre privilegierten Zugriffe strukturiert bewerten oder einen geeigneten Einstieg in PAM finden möchten, lohnt sich ein unverbindliches Gespräch zu bestehenden Risiken, externen Dienstleisterzugängen und möglichen Umsetzungsoptionen. Sprechen Sie uns an!
Autor: Philip Noack
Bildquellen: SHD, Shutterstock, Icons by Font Awesome, licensed under CC BY 4.0.