Ein Domänen-Administrator kann Benutzer anlegen, Gruppenrichtlinien ändern und Datensicherungen löschen. Ein globaler Administrator in Microsoft 365 kann jedes Postfach freigeben. Ein Wartungszugang eines Dienstleisters reicht oft bis auf die Server. Solche Konten nennt man privilegiert. Wer sie übernimmt, kann mit gültigen Zugangsdaten handeln, statt Sicherheitslücken ausnutzen zu müssen. Privileged Access Management, kurz PAM, ist der Sammelbegriff für Regeln und Werkzeuge, mit denen Sie diese Konten erfassen, begrenzen und überwachen. Dieser Beitrag erklärt, was PAM umfasst, was das BSI für solche Konten verlangt und welche Werkzeuge Microsoft dafür bereitstellt.
Was ist Privileged Access Management?
Privilegiert sind alle Konten, die mehr dürfen als eine normale Benutzerin oder ein normaler Benutzer. Typische Beispiele:
- Domänen-Administratoren und andere Administratoren im Active Directory,
- Administratorrollen in Microsoft 365 und Microsoft Entra ID, etwa der globale Administrator,
- lokale Administratorkonten auf Arbeitsplätzen und Servern,
- Dienstkonten, unter denen Anwendungen oder Datensicherungen laufen,
- Zugänge externer Dienstleister für Wartung und Fernwartung.
PAM setzt bei diesen Konten an. Es beantwortet nicht nur die Frage, wer überhaupt Administratorrechte hat. Es regelt auch, wann, wofür und wie lange diese Rechte genutzt werden und wie sich das später nachvollziehen lässt. PAM ist dabei kein einzelnes Produkt, sondern ein Teil des Identitäts- und Berechtigungsmanagements.
Warum privilegierte Konten besonders geschützt werden sollten
Das BSI beschreibt im IT-Grundschutz-Baustein ORP.4 Identitäts- und Berechtigungsmanagement typische Schwachstellen. Dazu gehört, dass Konten ausgeschiedener Mitarbeitender nicht gelöscht werden und weiter Zugriff haben. Ebenso können Mitarbeitende nach einem Wechsel in eine andere Abteilung ihre alten Berechtigungen behalten und so mit der Zeit umfangreiche Rechte ansammeln. Bei Administratorkonten wiegen solche Fehler besonders schwer.
Ein weiteres Beispiel nennt Microsoft: Lokale Administratorkonten haben oft auf vielen Geräten dasselbe Kennwort. Angreifer können das ausnutzen, um sich von Gerät zu Gerät weiterzubewegen.
Ein typischer Verlauf, wie er in vielen Unternehmen denkbar ist: Eine Administratorin gibt ihr Kennwort auf einer gefälschten Anmeldeseite ein. Ihr Konto hat dauerhaft weitreichende Rechte und ist nur mit einem Kennwort geschützt. Wer das Kennwort kennt, kann sich damit anmelden und Einstellungen ändern, Konten anlegen oder Datensicherungen löschen. Eine Mehr-Faktor-Authentisierung, zeitlich begrenzte Rechte und eine Protokollierung der Anmeldungen hätten diesen Weg erschwert und Spuren hinterlassen.
Was das BSI für privilegierte Konten verlangt
Der Baustein ORP.4 im IT-Grundschutz-Kompendium (Edition 2023) enthält mehrere Anforderungen, die direkt auf privilegierte Konten zielen:
- Geringste Rechte: Kennungen und Berechtigungen dürfen nur nach tatsächlichem Bedarf vergeben werden. Rechte über den Standard hinaus gibt es nur nach zusätzlicher Begründung und Prüfung (ORP.4.A2).
- Eindeutige Zuordnung: Jede Kennung muss einer Person zugeordnet werden können. Nicht benötigte Standard-Administratorkennungen müssen deaktiviert oder gelöscht werden (ORP.4.A1).
- Dokumentation und Überprüfung: Kennungen, Gruppen und Rechteprofile müssen dokumentiert und regelmäßig darauf geprüft werden, ob sie noch den Aufgaben entsprechen (ORP.4.A3).
- Mehr-Faktor-Authentisierung: Kennungen mit weitreichenden Berechtigungen sollen mit mehreren Faktoren geschützt werden, etwa mit Zertifikaten, Chipkarten oder Token (ORP.4.A10).
- Standardpasswörter: Voreingestellte Kennwörter müssen durch starke Kennwörter ersetzt werden. Bei Dienstkonten soll ein Kennwortwechsel sorgfältig geplant werden (ORP.4.A23).
- Vier-Augen-Prinzip: Bei erhöhtem Schutzbedarf schlägt das BSI vor, administrative Tätigkeiten nur durch zwei Personen gemeinsam zu ermöglichen (ORP.4.A24).
Das BSI verwendet den Begriff „Privileged Access Management“ in ORP.4 nicht. Die Anforderungen beschreiben aber genau das, was PAM im Alltag umsetzen soll.
Die Bausteine von PAM
In der Praxis besteht PAM aus wenigen, gut kombinierbaren Bausteinen (Empfehlung):
- Inventar: Eine vollständige Liste aller privilegierten Konten mit verantwortlicher Person, Zweck und Zielsystem.
- Getrennte Administratorkonten: Administrative Arbeiten laufen über ein eigenes Konto, nicht über das Konto, mit dem E-Mails gelesen und im Internet gesurft wird.
- Zeitlich begrenzte Rechte: Rechte werden nur für eine Aufgabe und einen festen Zeitraum freigeschaltet (Just-in-Time-Zugriff), statt dauerhaft zu bestehen.
- Mehr-Faktor-Authentisierung: Jede Anmeldung mit Administratorrechten verlangt einen zweiten Faktor. Mehr dazu in unserem Ratgeber zur Multi-Faktor-Authentifizierung.
- Kennwortverwaltung: Kennwörter für gemeinsam genutzte und lokale Administratorkonten liegen geschützt und werden regelmäßig gewechselt.
- Protokollierung: Anmeldungen und Rechteänderungen werden aufgezeichnet und ausgewertet.
- Regelmäßige Überprüfung: Die Verantwortlichen bestätigen in festen Abständen, wer welche Rechte noch braucht.
Spezialisierte PAM-Produkte bieten darüber hinaus Passworttresore oder die Aufzeichnung von Administratorsitzungen. Ob sich das lohnt, hängt von Größe, Schutzbedarf und Zahl der Systeme ab.
PAM mit Microsoft-Bordmitteln
Microsoft Entra Privileged Identity Management
Für Administratorrollen in Microsoft Entra ID, Azure und Microsoft 365 bietet Microsoft den Dienst Privileged Identity Management (PIM). Laut Microsoft gehören dazu unter anderem:
- Just-in-Time-Zugriff: Eine Rolle wird erst aktiviert, wenn sie gebraucht wird, und läuft nach einer festgelegten Zeit ab,
- zeitgebundene Zuweisungen mit Start- und Enddatum,
- Genehmigung vor der Aktivierung einer Rolle,
- Mehr-Faktor-Authentifizierung bei der Aktivierung,
- Pflicht zur Begründung und Benachrichtigungen bei Aktivierung,
- Zugriffsüberprüfungen, ob Benutzer ihre Rollen noch benötigen,
- ein Überwachungsverlauf zum Herunterladen.
Der Kern ist die Unterscheidung zwischen „berechtigt“ und „aktiv“: Eine berechtigte Person besitzt die Rolle nicht dauerhaft, sondern muss sie bei Bedarf aktivieren. PIM setzt nach den Lizenzangaben von Microsoft (Stand 29.10.2026) Lizenzen für Microsoft Entra ID P2 oder Microsoft Entra ID Governance voraus. Entra ID P2 ist zum Beispiel in Microsoft 365 E5 enthalten. Microsoft 365 Business Premium enthält Entra ID P1; für PIM ist dort eine zusätzliche Lizenz nötig.
Windows LAPS für lokale Administratoren
Für lokale Administratorkonten auf Windows-Geräten gibt es die Windows Local Administrator Password Solution (Windows LAPS). Sie wechselt das Kennwort des lokalen Administratorkontos auf jedem Gerät regelmäßig, speichert es geschützt in Microsoft Entra ID oder im Active Directory und gibt es nur an berechtigte Administratoren heraus. Laut Microsoft ist Windows LAPS in unterstützten Windows-Versionen enthalten, zum Beispiel in Windows 11 ab Version 23H2 sowie in Windows Server 2019 und 2022 ab dem Update vom 11. April 2023. Die Funktion selbst ist kostenlos.
PAM und NIS2
Mit dem NIS-2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 das neue BSI-Gesetz. Nach Angaben des BSI fallen rund 29.500 Einrichtungen darunter; Unternehmen müssen selbst prüfen, ob sie betroffen sind. Betroffene Einrichtungen müssen nach § 30 BSIG Risikomanagementmaßnahmen umsetzen und dokumentieren. Zu den Mindestmaßnahmen gehören unter anderem Konzepte für die Zugriffskontrolle sowie die Verwendung von Mehr-Faktor-Authentifizierung oder kontinuierlicher Authentifizierung.
Das Gesetz schreibt kein bestimmtes PAM-Produkt vor. Ein nachvollziehbarer Umgang mit privilegierten Konten ist aber ein naheliegender Baustein, um diese Anforderungen zu erfüllen. Was NIS2 für Ihr Unternehmen bedeutet, lesen Sie auf unserer Seite zu NIS2 und Risikomanagement.
Schritt für Schritt zu mehr Kontrolle
Für kleine und mittlere Unternehmen hat sich ein schrittweises Vorgehen bewährt (Empfehlung):
- Bestand erheben: Erfassen Sie alle privilegierten Konten in Active Directory, Microsoft 365, auf Servern, in Fachanwendungen und bei Dienstleistern.
- Aufräumen: Entfernen Sie nicht mehr benötigte Konten und Rechte. Prüfen Sie, wie viele globale Administratoren und Domänen-Administratoren wirklich nötig sind.
- Trennen: Richten Sie getrennte Administratorkonten ein und ordnen Sie jedes Konto einer Person zu. Gemeinsam genutzte Konten bleiben die Ausnahme und werden dokumentiert.
- Absichern: Schalten Sie für alle Administratorkonten eine Mehr-Faktor-Authentisierung ein und verwalten Sie lokale Administratorkennwörter mit Windows LAPS.
- Begrenzen: Setzen Sie, wo die Lizenz es erlaubt, zeitlich begrenzte Rechte ein, zum Beispiel mit Privileged Identity Management. Zugänge von Dienstleistern erhalten ein Ablaufdatum.
- Überprüfen: Legen Sie feste Termine fest, an denen Verantwortliche die Rechte bestätigen. Wie das abläuft, beschreibt unser Ratgeber zur Rezertifizierung von Zugriffsrechten.
Für Systeme, die sich technisch nicht einbinden lassen, halten Sie die Lücke und den Ausgleich, etwa eine engere Protokollierung, schriftlich fest.
Wie GSL Sie unterstützen kann
Wie weit Sie mit Bordmitteln kommen und wo ein eigenes PAM-Werkzeug sinnvoll ist, hängt von Ihrer Umgebung ab. Wir betreuen Unternehmen bei der IT-Sicherheit, bei Microsoft 365 und weiteren Cloud-Lösungen und im laufenden Betrieb mit Managed Services.
Sprechen Sie mit uns
Sie möchten wissen, wie viele Administratorkonten in Ihrer Umgebung bestehen und wie Sie sie besser absichern? Die GSL Groß GmbH ist von Idar-Oberstein aus für Sie da; im Raum Darmstadt arbeitet sie mit einem Partnersystemhaus zusammen. Nehmen Sie Kontakt mit uns auf, und wir besprechen Ihre Ausgangslage.