01Was privilegierte Zugaenge sind - und warum sie zum Ziel werden
NIST beschreibt ein privilegiertes Konto als Systemkonto mit den Berechtigungen eines privilegierten Nutzers; dazu zaehlen lokale und Domaenen-Administratoren, Notfall-(Break-Glass-)Konten sowie Application- und Service-Accounts. Genau diese Konten eroeffnen sicherheitsrelevante Funktionen, die gewoehnlichen Nutzern verwehrt sind - und werden deshalb gezielt angegriffen. Laut Verizon DBIR 2025 ist Credential Abuse mit 22 Prozent der haeufigste Einstiegsvektor, 88 Prozent der Angriffe auf Web-Anwendungen nutzten gestohlene Zugangsdaten.
02Kernbausteine: Vaulting, Rotation, Session-Kontrolle, JIT und ZSP
Zentrale Bausteine sind das verschluesselte Vaulting von Zugangsdaten, SSH-Keys und API-Tokens, deren regelmaessige Rotation sowie das Proxying und die manipulationssichere Aufzeichnung privilegierter Sitzungen. Just-in-Time-Zugriff vergibt Rechte nur temporaer und nach Aktivierung - Microsoft definiert JIT als Modell, in dem Berechtigungen ausschliesslich bei Bedarf gewaehrt werden und danach ablaufen. Zielbild ist Zero Standing Privilege: keine dauerhaft ruhenden Berechtigungen, kombiniert mit Least Privilege und Freigabe-Workflows vor jeder Ausgabe.
03Tiering, Enterprise Access Model und Privileged Access Workstations
Das Microsoft Enterprise Access Model baut auf dem Tier-Modell auf: Tier 0 bildet die Control Plane fuer alle Zugriffskontrollen, Tier 1 trennt Management- von Workload-Ebene, Tier 2 unterscheidet Nutzer- und App-Zugriff. Kernregel ist die durchgesetzte Hierarchie - eine hoehere Ebene darf nie aus einer niedrigeren heraus kontrollierbar sein. Ergaenzt wird das Modell durch Privileged Access Workstations: dedizierte, gehaertete Geraete ausschliesslich fuer privilegierte Aufgaben, isoliert von E-Mail und allgemeinem Web-Browsing.
04PAM in Microsoft-Umgebungen: Entra PIM und Conditional Access
Microsoft Entra Privileged Identity Management (PIM) verwaltet, steuert und ueberwacht privilegierte Rollen und unterscheidet 'eligible' von 'active': Berechtigte muessen die Rolle erst aktivieren - mit MFA-Pruefung, Begruendung und optionaler Freigabe, zeitlich befristet. PIM setzt eine Lizenzierung ueber Entra ID P2 bzw. Entra ID Governance voraus. Ueber Conditional Access laesst sich fuer Rollen wie Global Administrator phishing-resistente MFA erzwingen; 'Protected Actions' koppeln besonders sensible Aktionen zusaetzlich an solche Bedingungen.
05Regulatorik: ISO 27001 A.8.2, NIS2, DORA und BSI IT-Grundschutz
ISO/IEC 27001:2022 adressiert privilegierte Zugriffe explizit in Control A.8.2, ergaenzt um A.5.15, A.5.18 und A.8.5. NIS2 verlangt in Artikel 21(2) Zugriffskontroll-Richtlinien und den Einsatz von Multi-Faktor-Authentifizierung; DORA regelt privilegierten, Notfall- und Administrator-Zugriff in Artikel 21 der Delegierten Verordnung (EU) 2024/1774 nach dem Need-to-use-Prinzip. Der BSI-Baustein ORP.4 fordert Least Privilege (A2), MFA fuer weitreichende Berechtigungen (A10) und das Vier-Augen-Prinzip fuer administrative Taetigkeiten (A24).
06Einfuehrung als Projekt: vom Anforderungskatalog bis zum Betrieb
VamiSec begleitet PAM-Vorhaben herstellerneutral: Wir erstellen den Anforderungskatalog und ein Assessment des Ist-Zustands, entwickeln das Tiering- und Zonenkonzept und unterstuetzen bei der herstellerneutralen Werkzeugauswahl. Anschliessend begleiten wir Rollout, Betriebsuebergabe und laufenden Betrieb inklusive Rezertifizierung, Exception-Management und Audit-Vorbereitung. Das Vorgehen verzahnt sich mit unseren Leistungen zu ISO 27001, NIS2 und IT-Security-Audits.
