Privileged-Access-Management

Privileged-Access-Management (PAM) bezeichnet die Gesamtheit organisatorischer und technischer Maßnahmen, mit denen privilegierte Konten und erhöhte Zugriffsrechte abgesichert, kontrolliert und nachvollziehbar gemacht werden. Privilegierte Zugriffe betreffen Administrator-, Root-, Dienst- und Notfallkonten sowie technische Konten von Applikationen, die weitreichende Änderungen an Systemen, Konfigurationen, Identitäten oder Daten vornehmen können. Weil ein einziges kompromittiertes Admin-Konto den Schutz ganzer Infrastrukturen aushebeln kann, gelten privilegierte Zugänge als bevorzugtes Angriffsziel und als zentrales Risiko der Informationssicherheit.

Ein wirksames PAM stützt sich auf mehrere ineinandergreifende Bausteine: die Inventarisierung und zentrale Verwaltung aller privilegierten Konten, die Ablage von Zugangsdaten in einem gehärteten Passwort-Tresor (Credential Vaulting) mit automatischer Rotation, die Vergabe von Rechten nach den Prinzipien Least Privilege und Need-to-know, die zeitlich befristete Rechtevergabe (Just-in-Time-Access) statt dauerhafter Adminrechte sowie eine starke Authentisierung, in der Regel mit Multi-Faktor-Authentifizierung. Sitzungen privilegierter Nutzer werden über Session-Management isoliert, aufgezeichnet und in Echtzeit überwacht, sodass missbräuchliche Aktivitäten erkannt und unterbunden werden können.

In Deutschland und der EU ist die Absicherung privilegierter Zugriffe nicht nur Stand der Technik, sondern zunehmend rechtlich gefordert. Die NIS2-Richtlinie und das deutsche Umsetzungsgesetz verlangen von betroffenen Einrichtungen Maßnahmen zur Zugriffskontrolle, Authentisierung und Protokollierung; der BSI IT-Grundschutz adressiert privilegierte Zugänge in eigenen Bausteinen, und die ISO/IEC 27001 fordert in ihrem Anhang A die Kontrolle privilegierter Zugriffsrechte. Auch DORA verpflichtet Finanzunternehmen zu strengen Identitäts- und Zugriffskontrollen. PAM ist damit ein zentraler Baustein eines normkonformen Informationssicherheits-Managementsystems (ISMS) und ein wirksamer Hebel zur Begrenzung von Innentäter- und Lieferkettenrisiken.