Security & Compliance

Privileged Access Management (PAM)

Overview

Privileged Access Management (PAM) konzentriert sich auf die Konten mit der größten Wirkung: Domänenadministratoren, Globale Administratoren, Azure-Owner, Root-Konten und Dienstkonten mit weitreichenden Rechten. Ihre Kompromittierung führt meist zur Übernahme der gesamten Umgebung.

PAM umfasst technische und organisatorische Maßnahmen: getrennte Admin-Konten, Just-in-Time-Rechte, Genehmigungen, gehärtete Admin-Arbeitsplätze (Privileged Access Workstations), Passwort-Tresore für gemeinsam genutzte Konten und Sitzungsaufzeichnung. NIS2 und ISO/IEC 27001:2022 verlangen eine Zugriffssteuerung nach dem Prinzip der minimalen Rechte, PAM ist der praktische Weg dorthin.

Microsoft Entra Privileged Identity Management (PIM) ist das Microsoft-Werkzeug für Entra-Rollen, Azure-Rollen und Gruppen (PIM for Groups). Es ist ein Teil von PAM, nicht das Gesamtkonzept: Lokale Active-Directory-Admins, Server-Konten und Netzwerkgeräte brauchen eigene Lösungen.

How it works

Mit Entra PIM läuft eine Rollenvergabe so:

  1. Rollen werden als „berechtigt“ statt dauerhaft „aktiv“ zugewiesen, optional zeitlich befristet.
  2. Bei Bedarf aktiviert der Admin die Rolle für eine begrenzte Dauer, mit Begründung, optional Ticketnummer, MFA oder Authentifizierungskontext und Genehmigung.
  3. Jede Aktivierung wird protokolliert und löst Benachrichtigungen aus.
  4. Zugriffsüberprüfungen fragen regelmäßig ab, ob Rollen noch benötigt werden.
  5. Der Verlauf lässt sich für interne und externe Audits exportieren.

Ergänzend gehören getrennte Cloud-Admin-Konten ohne Postfach, zwei Notfallkonten und gehärtete Arbeitsplätze zum Konzept. Für lokales Active Directory kommen ein Tiering-Modell und Windows LAPS für lokale Administratorkennwörter hinzu.

Benefits

  • Deutlich kleineres Zeitfenster für den Missbrauch privilegierter Konten
  • Nachvollziehbarkeit, wer wann welche Rechte mit welcher Begründung aktiviert hat
  • Weniger dauerhaft vergebene Admin-Rollen durch regelmäßige Überprüfung
  • Nachweise für NIS2, ISO 27001 und TISAX zur Zugriffssteuerung

Practical example

Ein Dienstleister mit 90 Mitarbeitenden hat sechs Personen dauerhaft als Globale Administratoren eingetragen. Er führt PIM ein, macht alle Rollen berechtigt statt aktiv und verlangt MFA und Begründung bei der Aktivierung, für den Globalen Administrator zusätzlich eine Genehmigung. Zwei Notfallkonten bleiben außerhalb von PIM. Die Aktivierungen laufen nach vier Stunden aus, quartalsweise prüft eine Zugriffsüberprüfung die Berechtigungen.

Things to keep in mind

  • Zwei Notfallkonten außerhalb von PIM und Conditional Access einplanen und ihre Anmeldungen überwachen
  • Admin-Aufgaben mit getrennten Konten ohne E-Mail und Internetnutzung erledigen
  • Lizenzen für alle berechtigten Benutzer, Genehmiger und Prüfer einplanen, denn ohne Lizenz werden berechtigte Zuweisungen entfernt
  • Genehmigungsketten so einfach halten, dass Admins sie im Störungsfall nicht umgehen
  • PIM schützt Entra- und Azure-Rollen, lokale AD-Admins brauchen Tiering und eigene Werkzeuge

Licensing & availability

Microsoft Entra PIM erfordert Microsoft Entra ID P2 (enthalten in Microsoft 365 E5, E7 und der Microsoft Defender Suite), Microsoft Entra ID Governance oder die Microsoft Entra Suite. Mit Entra ID P1 allein, also auch mit Business Premium ohne Zusatz, ist PIM nicht nutzbar. Benutzerdefinierte Erweiterungen bei der Rollenaktivierung und Zugriffsüberprüfungen für PIM for Groups (beide Preview) gibt es nur mit Entra ID Governance oder Entra Suite. Lizenziert werden müssen berechtigte Benutzer, Genehmiger und Prüfer. Drittanbieter-PAM-Lösungen werden separat lizenziert. Stand: Oktober 2026.

Conclusion

PAM gehört zu den wirksamsten Maßnahmen gegen die vollständige Übernahme einer Umgebung. Beginne mit getrennten Admin-Konten, PIM und Notfallkonten, bevor Du weitere Werkzeuge einführst.

Further reading

Related articles