MICROSOFT 365 · EVERGREEN
Administratorkonten sind die Kronjuwelen jeder IT-Umgebung – wer sie
übernimmt, kontrolliert alles. Genau deshalb sind sie das bevorzugte
Ziel von Angreifern. Ein wirksamer Schutzansatz dreht die übliche Logik
um: Statt Admin-Rechte dauerhaft zu vergeben, gibt es sie nur dann, wenn
sie wirklich gebraucht werden. Dieses Prinzip setzt Privileged Identity
Management um.
Kurzantwort
Privileged Identity Management (PIM) ist eine Funktion in Entra ID,
mit der privilegierte Berechtigungen (Administratorrollen) nicht mehr
dauerhaft, sondern nur bei Bedarf und auf Zeit vergeben werden
(“Just-in-Time”). Statt dass ein Konto rund um die Uhr
Administratorrechte trägt, aktiviert der Nutzer die Rolle erst, wenn er
sie braucht – oft mit zusätzlicher Bestätigung (MFA, Begründung, ggf.
Freigabe) –, und die Rechte laufen nach einer festgelegten Zeit
automatisch wieder ab. Der Sicherheitsgewinn ist erheblich: Ein
kompromittiertes Konto hat die meiste Zeit keine erhöhten Rechte, das
Angriffsfenster für privilegierte Zugriffe schrumpft dramatisch, und
jede Aktivierung wird protokolliert. PIM setzt damit das Prinzip der
minimalen Rechte (Least Privilege) konsequent auf der zeitlichen Ebene
um.
Das Problem mit
dauerhaften Admin-Rechten
In vielen Umgebungen tragen mehrere Konten dauerhaft hohe
Administratorrechte – oft mehr Konten und mehr Rechte, als tatsächlich
nötig. Das schafft eine große, dauerhaft offene Angriffsfläche:
Jedes dieser Konten ist rund um die Uhr ein
Generalschlüssel – wird es übernommen (Phishing, gestohlenes
Passwort), hat der Angreifer sofort volle Kontrolle. Die Rechte
werden meist selten gebraucht, sind aber ständig aktiv – ein
Widerspruch zum Bedarf. Rechteanhäufung – Admins
sammeln über die Zeit Rollen an, die längst nicht mehr nötig sind, ohne
dass sie je entzogen werden. Das Ergebnis ist eine unnötig große Zahl
mächtiger, dauerhaft aktiver Konten – genau das Gegenteil dessen, was
Sicherheit verlangt. PIM adressiert dieses Kernproblem: Rechte sind
standardmäßig inaktiv und werden nur bei tatsächlichem Bedarf temporär
aktiviert.
Wie PIM konkret funktioniert
- Berechtigung statt Zuweisung: Ein Nutzer ist für
eine Administratorrolle berechtigt, trägt sie aber nicht
dauerhaft aktiv. Die Rolle ist “schlafend”. - Aktivierung bei Bedarf: Braucht der Nutzer die
Rechte, aktiviert er die Rolle – typischerweise mit MFA-Bestätigung und
Angabe einer Begründung, teils mit erforderlicher Freigabe durch eine
zweite Person. - Zeitliche Begrenzung: Die aktivierten Rechte gelten
nur für einen festgelegten Zeitraum und laufen danach automatisch ab –
kein manuelles Zurücknehmen nötig, das ohnehin oft vergessen wird. - Protokollierung & Überblick: Jede Aktivierung
wird aufgezeichnet – wer hat wann welche Rolle wofür aktiviert? Das
schafft Nachvollziehbarkeit und deckt Missbrauch auf. - Regelmäßige Überprüfung: PIM unterstützt Access
Reviews – die periodische Prüfung, wer überhaupt für welche
privilegierten Rollen berechtigt sein sollte.
Warum PIM den
Angriff ins Leere laufen lässt
Der Sicherheitsgewinn liegt in der Zeit: Ein Angreifer, der ein
Admin-berechtigtes Konto übernimmt, findet die Administratorrechte
standardmäßig inaktiv vor. Um sie zu nutzen, müsste er die
Aktivierung durchlaufen – inklusive MFA und ggf. Freigabe –, was
zusätzliche Hürden aufwirft und Alarm auslösen kann. Und selbst wenn:
Die Rechte laufen nach kurzer Zeit ab. Statt eines dauerhaft offenen
Generalschlüssels findet der Angreifer ein Schloss, das die meiste Zeit
zu ist. In Kombination mit MFA und Conditional
Access für privilegierte Konten entsteht so ein mehrschichtiger
Schutz genau dort, wo er am wichtigsten ist – bei den mächtigsten
Konten. PIM ist damit ein Kernbaustein der Absicherung privilegierter
Zugriffe und eng verwandt mit dem Least-Privilege-Gedanken, der sich
durch die gesamte Entra-ID-Sicherheit
zieht.
Häufige Fragen (FAQ)
Ist PIM nicht umständlich für unsere Admins? Die
Aktivierung dauert nur Sekunden und wird schnell Routine – ein kleiner
Aufwand für einen großen Sicherheitsgewinn. Und sie diszipliniert:
Rechte werden bewusst genutzt statt dauerhaft mitgeschleppt. Die meisten
Admins gewöhnen sich rasch daran.
Brauchen wir dafür eine bestimmte Lizenz? Ja – PIM
ist eine erweiterte Entra-ID-Funktion, die an bestimmte Lizenzstufen
gebunden ist. Ob sie in Ihrer Umgebung verfügbar ist, klärt die
Lizenzberatung; für Umgebungen mit erhöhtem Schutzbedarf ist sie ein
starkes Argument für die entsprechende Stufe.
Für welche Konten lohnt sich PIM besonders? Für alle
hoch privilegierten Rollen, allen voran die globalen Administratoren –
die mächtigsten und gefährdetsten Konten überhaupt. Dort ist der Schutz
durch Just-in-Time am wertvollsten.
Fazit
Privileged Identity Management dreht die riskante Logik dauerhafter
Admin-Rechte um: Statt Generalschlüssel, die rund um die Uhr aktiv sind,
gibt es privilegierte Rechte nur bei Bedarf, auf Zeit, mit Bestätigung
und Protokoll. Damit schrumpft die Angriffsfläche der wertvollsten
Konten dramatisch – ein übernommenes Admin-Konto findet die Rechte meist
schlafend vor. Für Umgebungen mit erhöhtem Schutzbedarf ist PIM einer
der stärksten Hebel zur Absicherung privilegierter Zugriffe. Bei der
Einführung von PIM und der Absicherung Ihrer Administratorkonten
unterstützen wir als Teil unserer Microsoft-365-Absicherung.
Wie viele dauerhaften Admin-Konten haben Sie – und braucht es die
wirklich? Kostenloses
Erstgespräch – wir bringen Ihre Admin-Rechte auf
Just-in-Time.