Hohe Rechte vollständig identifizieren

Nicht nur offensichtliche Administratorkonten sind relevant. Auch Backup-Verwalter, Cloud-Rollen, Deployment-Zugänge und Dienstkonten können weitreichende Möglichkeiten besitzen. Die Bestandsaufnahme betrachtet deshalb tatsächliche Berechtigungen und erreichbare Ressourcen, einschliesslich indirekter Rechte über Gruppen, Anwendungen oder gespeicherte Zugangsdaten.

Für jede privilegierte Rolle wird festgelegt, welche Aufgaben sie benötigt und wer sie verantwortet. Normale Büroarbeit sollte nicht dauerhaft mit administrativen Konten erfolgen. Eine getrennte Nutzung reduziert Gelegenheiten, bei denen ein unkritisch wirkender Vorgang gleichzeitig hochwirksame Rechte mitführt.

Freigaben zeitlich und sachlich begrenzen

Wo die Plattform es unterstützt, können administrative Rechte für konkrete Aufgaben und Zeiträume aktiviert werden. Ein Antrag oder eine Freigabe sollte genügend Kontext enthalten, um die Tätigkeit später zu verstehen. Dauerhafte Vollrechte bleiben begründete Ausnahmen statt der bequeme Standard.

Auch technische Konten benötigen einen eigenen Lebenszyklus. Ihre Geheimnisse werden geschützt, Verantwortliche benannt und nicht mehr benötigte Berechtigungen entzogen. Vor Änderungen müssen abhängige Jobs und Dienste bekannt sein, damit eine Sicherheitsmassnahme nicht unbemerkt nächtliche Verarbeitung oder Datensicherung unterbricht.

Notzugang und Nachvollziehbarkeit prüfen

Ein administrativer Notfallzugang muss auch dann funktionieren, wenn der normale Identitätsdienst gestört ist. Gleichzeitig darf er nicht zum alltäglichen Umweg werden. Schutz, Zuständigkeit, Verwendung und nachgelagerte Kontrolle dieses Zugangs werden deshalb ausdrücklich dokumentiert und im vereinbarten Rahmen getestet.

Die Abnahme betrachtet ausgewählte Aufgaben: Rechte anfordern, Tätigkeit durchführen, Rechte verlieren und relevante Protokolle wiederfinden. Für ein Erstgespräch nennen Sie Verzeichnisdienste, Cloud-Plattformen und die Zahl administrierender Personen. Daraus lässt sich ein angemessenes Modell statt einer unnötig komplexen Produktlandschaft ableiten.

Ihre Checkliste für den nächsten Schritt

  • Cloud-, Backup- und Deployment-Rechte in die Administratorinventur aufnehmen.
  • Dauerhafte Vollrechte durch begründete Rollen und mögliche Befristungen ersetzen.
  • Notfallzugänge sicher verwahren und ihre tatsächliche Nutzbarkeit regelmässig prüfen.

Häufige Fragen

Braucht ein kleines Unternehmen sofort ein grosses PAM-System?

Nicht zwingend. Klare Kontentrennung, starke Anmeldung und dokumentierte Freigaben können ein sinnvoller Einstieg sein; der Werkzeugbedarf folgt dem Umfang.

Sind Dienstkonten von der Prüfung ausgenommen?

Nein. Gerade unbeaufsichtigte Konten können erhebliche Rechte besitzen. Ihre Abhängigkeiten und Änderungsprozesse müssen allerdings gesondert behandelt werden.

Quellen & weiterführende Informationen

Microsoft: Privilegierte Zugriffe absichern ↗

Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.