Security & Compliance

Microsoft Entra Privileged Identity Management (PIM)

Overview

Microsoft Entra Privileged Identity Management (PIM) ist ein Dienst in Microsoft Entra ID (früher Azure Active Directory), der den Zugriff auf wichtige Ressourcen in Entra ID, Azure und weiteren Microsoft-Onlinediensten wie Microsoft 365 oder Intune steuert und überwacht. Statt Admin-Rollen dauerhaft zu vergeben, weist PIM sie als „berechtigt“ zu. Der Admin aktiviert die Rolle nur bei Bedarf und für begrenzte Zeit (Just-in-Time).

PIM verwaltet drei Bereiche: Microsoft-Entra-Rollen (etwa Globaler Administrator oder Exchange-Administrator), Azure-Ressourcenrollen (etwa Owner auf einem Abonnement) und PIM for Groups für Mitgliedschaft und Besitz von Gruppen.

Abgrenzung: Privileged Access Management (PAM) ist das übergreifende Konzept zum Schutz privilegierter Konten, inklusive Tiering im lokalen Active Directory, Passwort-Tresoren, gehärteten Admin-Arbeitsplätzen und Sitzungsaufzeichnung. PIM ist das Microsoft-Werkzeug für den Cloud-Teil davon. Azure RBAC definiert, welche Rolle welche Rechte hat, PIM steuert, wann eine Zuweisung aktiv ist. Identity Governance ergänzt Zugriffsüberprüfungen und Zugriffspakete.

Aktuelle Änderungen: Benutzerdefinierte Erweiterungen bei der Rollenaktivierung und Zugriffsüberprüfungen für PIM for Groups sind in Preview und nur mit Entra ID Governance nutzbar. Verlängerung und Erneuerung von Zuweisungen laufen über einen überarbeiteten Genehmigungsprozess.

How it works

Der Lebenszyklus einer Rolle in PIM:

  1. Zuweisen: Ein Privileged Role Administrator weist Benutzern, Gruppen, Dienstprinzipalen oder verwalteten Identitäten eine Rolle als berechtigt oder aktiv zu, dauerhaft oder befristet mit Start- und Enddatum.
  2. Aktivieren: Der berechtigte Benutzer wählt eine Dauer innerhalb des erlaubten Maximums, gibt eine Begründung an und bestätigt per MFA. Je nach Einstellung kommen Ticketnummer, Authentifizierungskontext aus Conditional Access oder eine Genehmigung hinzu.
  3. Genehmigen: Delegierte Genehmiger erhalten eine E-Mail und entscheiden im PIM-Portal, einzeln oder gesammelt, jeweils mit Begründung.
  4. Verlängern oder erneuern: Läuft eine Zuweisung ab, beantragt der Benutzer eine Verlängerung, nach Ablauf eine Erneuerung. Beides genehmigt ein Globaler Administrator oder Privileged Role Administrator.

Jede Aktivierung löst Benachrichtigungen aus und landet im Überwachungsverlauf, der sich für Audits herunterladen lässt. Zugriffsüberprüfungen fragen regelmäßig ab, ob Rollen noch gebraucht werden. PIM verhindert, dass die letzte aktive Zuweisung als Globaler Administrator oder Privileged Role Administrator entfernt wird. Über Microsoft Graph gibt es APIs für PIM für Entra-Rollen und PIM for Groups. Entra-Rollen verwalten nur Globale Administratoren und Privileged Role Administrators, Azure-Ressourcenrollen nur Abonnement-Administratoren, Owner und User Access Administrators.

Benefits

  • Admin-Rechte sind die meiste Zeit inaktiv, ein gestohlenes Konto bringt dem Angreifer dadurch zunächst keine Rolle
  • Begründung, Genehmigung und Verlauf machen nachvollziehbar, wer wann warum welche Rechte hatte
  • Befristete Zuweisungen für Dienstleister laufen automatisch aus, statt vergessen zu werden
  • Der exportierbare Verlauf liefert Nachweise zur Zugriffssteuerung für NIS2, ISO 27001 und TISAX

Practical example

Ein Großhändler mit 350 Beschäftigten betreibt seine Warenwirtschaft in Azure, drei Mitarbeitende des Dienstleisters sind dauerhaft Owner der Abonnements. Die IT stellt diese Zuweisungen in PIM auf berechtigt um, begrenzt die Aktivierung auf acht Stunden und lässt jede Owner-Aktivierung vom internen IT-Leiter genehmigen. Die Exchange- und Intune-Administratoren laufen künftig über eine Gruppe mit PIM for Groups, deren Mitgliedschaft befristet aktiviert wird. Beim nächsten Audit exportiert die IT den Aktivierungsverlauf als Nachweis, statt Berechtigungen per Hand zusammenzutragen.

Things to keep in mind

  • Zwei Notfallkonten mit dauerhaft aktiver Rolle außerhalb von PIM einplanen und ihre Anmeldungen überwachen
  • Lizenzen für alle berechtigten Benutzer, Genehmiger und Prüfer bereitstellen, denn bei Ablauf der Lizenz werden berechtigte Zuweisungen entfernt und PIM-Einstellungen gelöscht
  • Aktivierungsdauer kurz halten und für Globaler Administrator und Privileged Role Administrator eine Genehmigung verlangen
  • Auch Azure-Ressourcenrollen einbeziehen, weil dauerhafte Owner-Rechte auf Abonnements dieselbe Wirkung haben wie Admin-Rollen im Tenant
  • PIM ersetzt kein Konzept für lokale AD-Admins, dafür braucht es Tiering und eigene Werkzeuge

Licensing & availability

PIM, PIM for Groups und die Conditional-Access-Steuerung in PIM erfordern Microsoft Entra ID P2, Microsoft Entra ID Governance, die Microsoft Entra Suite oder Microsoft 365 E7. Entra ID P2 ist in Microsoft 365 E5 und E7 sowie in EMS E5 enthalten. Microsoft 365 E3 enthält nur Entra ID P1, PIM ist dort über ein Entra-ID-Governance-Produkt nutzbar, das P1 als Voraussetzung hat. Business Premium enthält ebenfalls nur P1. Benutzerdefinierte Erweiterungen bei der Rollenaktivierung und Zugriffsüberprüfungen für PIM for Groups (beide Preview) gibt es nur mit Entra ID Governance, Entra Suite oder Microsoft 365 E7. Lizenziert werden müssen berechtigte und befristet zugewiesene Benutzer, Genehmiger sowie Personen, die Zugriffsüberprüfungen durchführen oder ihnen zugewiesen sind. Stand: Oktober 2026.

Conclusion

PIM ist der schnellste Weg, dauerhafte Admin-Rechte in Entra ID und Azure abzubauen. Es deckt den Cloud-Teil von PAM ab, für lokale Systeme brauchst Du ergänzende Maßnahmen.

Further reading

Related articles