Privileged Access Management (PAM)
Privilegierte Konten – Administrator, root, Domain Admin, Service Accounts – sind das attraktivste Angriffsziel in jedem Netzwerk. Wer einen Domain-Admin-Account kompromittiert, hat im schlimmsten Fall die gesamte Active-Directory-Infrastruktur unter Kontrolle. Laut Untersuchungen von Sicherheitsdienstleistern sind privilegierte Zugänge an mehr als 80 % aller schwerwiegenden Datenpannen beteiligt.
Privileged Access Management (PAM) ist das Konzept und die Technologie, die privilegierte Zugänge kontrolliert, überwacht und auf das notwendige Minimum beschränkt. Der Kerngedanke: Kein Mensch soll dauerhaft Admin-Rechte haben – diese werden nur für den konkreten Bedarf, für eine begrenzte Zeit, mit vollständiger Protokollierung erteilt. Das nennt sich JIT – Just-in-Time Access.
1) Das Risiko dauerhafter Admin-Rechte
Dauerhaft vergebene Admin-Rechte sind ein systemisches Risiko. Ein einziger erfolgreicher Phishing-Angriff auf einen Administrator reicht aus, um weitreichenden Schaden anzurichten. Die folgende Risikokette zeigt, wie ein einfacher Angriff eskalieren kann, wenn privilegierte Zugänge nicht kontrolliert werden.
2) JIT-Zugriff: Just-in-Time Access
Just-in-Time Access ist das Herzstück von PAM: Admin-Rechte werden nicht dauerhaft vergeben, sondern auf Anfrage für einen definierten Zeitraum (z.B. 2 Stunden) erteilt, nach Ablauf automatisch entzogen und vollständig protokolliert. Die Animation zeigt den typischen JIT-Ablauf.
3) PAM-Komponenten
Ein vollständiges PAM-System besteht aus mehreren integrierten Komponenten. Klicke auf eine Komponente für Details.
4) PAM-Produkte und Implementierung
| Produkt | Hersteller | Besonderheit |
|---|---|---|
| CyberArk | CyberArk Software | Marktführer Enterprise-PAM, umfangreichstes Feature-Set |
| BeyondTrust | BeyondTrust | Stärken: Endpoint-Privilege-Management, Remote-Support |
| Delinea (Thycotic) | Delinea | Secret Server, cloud-nativ, einfachere Einführung |
| Entra PIM | Microsoft | Azure AD-integriert, JIT für Cloud-Rollen |
| HashiCorp Vault | HashiCorp | Open-Source-nah, ideal für DevOps und Cloud-Secrets |
Zusammenfassung
PAM schützt privilegierte Zugänge durch drei Kernmaßnahmen: Password Vault (kein Mensch kennt Admin-Passwörter dauerhaft), JIT Access (Admin-Rechte nur zeitlich begrenzt auf Antrag), Session Recording (vollständige Protokollierung). Kerngrundsatz: Kein dauerhafter Admin-Account für den Alltag. Eng verbunden mit RBAC (Rollen definieren Basis-Rechte), MFA (Pflicht für privilegierte Zugänge) und Zero Trust.