Definition Privileged Access Management | PAM Was ist Privileged Access Management?

Privileged Access Management ist ein Sicherheitskonzept, das Zugriffe privilegierter Konten mit erweiterten Berechtigungen kontrolliert, überwacht und absichert. PAM ist eine Disziplin des Identity und Access Managements und trägt dazu bei, Sicherheitsrisiken im Zusammenhang mit privilegierten Zugriffen einzudämmen.

Der Begriff Privileged Access Management, manchmal auch Privileged Account Management genannt und abgekürzt PAM, lässt sich mit Zugriffsmanagement für privilegierte Zugriffe ins Deutsche übersetzen. Bei PAM handelt es sich um ein Sicherheitskonzept beziehungsweise eine Sicherheitslösung, die darauf abzielt, Zugriffe mit erweiterten Berechtigungen zu kontrollieren, zu überwachen, zu verwalten und abzusichern. Dadurch sollen der Missbrauch von Privilegien und nicht autorisierte Zugriffe auf kritische Ressourcen oder Daten eines Unternehmens verhindert werden. Ziel des Privileged Access Managements ist es, die Risiken für IT-Systeme, Anwendungen, Daten oder Netzwerke eines Unternehmens, die von den privilegierten Konten und Zugriffen von Menschen, aber auch von Maschinen oder Anwendungen ausgehen, einzudämmen. Die Implementierung eines Zugriffsmanagements für privilegierte Zugriffe trägt dazu bei, Compliance-Richtlinien zu erfüllen und gesetzliche Vorgaben im Zusammenhang mit der Datensicherheit und dem Datenschutz zu erfüllen.

Das Privileged Access Management lässt sich als eine Disziplin beziehungsweise ein Unterbereich des Identity und Access Managements (IAM) und der Cybersicherheit einordnen. PAM umfasst sowohl technische als auch organisatorische Maßnahmen. Zur Implementierung eines effektiven Privileged Access Managements kommen in der Regel unterstützende Tools und Softwarelösungen zum Einsatz.

Evolution des Identity Managements

Vom Passwortmanager zum PAM

Abgrenzung der beiden Begriffe Privileged Access Management und Identity und Access Management

Zwischen dem Privileged Access Management und dem Identity und Access Management, abgekürzt IAM, besteht eine enge Beziehung. Das Privileged Access Management kann als ein Unterbereich oder eine Disziplin des Identity und Access Managements aufgefasst werden. IAM ist weiter gefasst als PAM und umfasst das Identititäts- und Zugriffsmanagement für sämtliche Identitäten und Zugriffe einer Organisation.

Der Fokus beim PAM hingegen liegt auf der Absicherung von privilegierten Benutzern und ihren Zugriffen. Sowohl IAM als auch PAM basieren auf der Bereitstellung und Verwaltung digitaler Identitäten, der Verwendung von Authentifizierungs- und Autorisierungssystemen und der Implementierung und Durchsetzung entsprechender Richtlinien für die Zugriffskontrolle. Das IAM sorgt für die Bereitstellung und Implementierung von technischen Konzepten und Lösungen, beispielsweise der Multi-Faktor-Authentifizierung (MFA) oder von Single Sign-on (SSO), die auch das Privileged Access Management nutzt. Die Sicherheits- und Kontrollmaßnahmen des Privileged Access Management sind aufgrund der größeren Bedrohungen, die von Zugriffen mit erweiterten Berechtigungen ausgehen, wesentlich stringenter.

Best Practice versus Realität

Identitätsrisiko Shadow-Admins

Die Bedeutung von PAM für ein Unternehmen

Für die Arbeit mit IT-Systemen und Netzwerken und das Funktionieren von Anwendungen oder Services sind Zugriffe mit erweiterten Berechtigungen unerlässlich. Gleichzeitig stellen Benutzer oder Konten mit solchen privilegierten Berechtigungen ein erhebliches Sicherheitsrisiko für ein Unternehmen dar. Gerät ein privilegiertes Konto in die falschen Hände oder wird es kompromittiert oder missbraucht, kann damit deutlich mehr Schaden angerichtet werden als mit einem Standardkonto. Teilweise ist mit bestimmten Administratorkonten ein umfassender Zugriff auf zahlreiche Komponenten einer IT-Umgebung wie Server, Arbeitsplatzrechner, Netzwerkkomponenten, Betriebssysteme, Anwendungen oder sogar industrielle Steuerungssysteme möglich.

Aus diesem Grund zielen viele Angriffsversuche und Angriffstechniken von Cyberkriminellen auf die Kompromittierung oder die Übernahme der für sie wertvollen privilegierten Konten ab. Gelingt einem Angreifer ein solcher Angriff, kann er mit einem privilegierten Konto uneingeschränkt und oft unbemerkt Systeme manipulieren, Daten stehlen oder weiteren Schaden anrichten. Das Privileged Access Management nimmt sich konkret dieser Problematik an und sorgt zum einen für die Absicherung privilegierter Konten und Zugriffe und ermöglicht zum anderen den privilegierten Benutzern ein effektives Arbeiten.

Was ist ein privilegierter Zugriff?

Ein privilegierter Zugriff ist ein Zugriff auf IT-Ressourcen, Daten oder Anwendungen mit erweiterten Berechtigungen. Die dem privilegierten Benutzer erteilten Zugriffsberechtigungen unterscheiden sich von denen eines Standardbenutzers oder Standardkontos. Während beispielsweise ein Standardbenutzer nur bestimmte Daten anzeigen kann, hat ein privilegierter Nutzer das Recht, Daten zu verändern oder zu löschen beziehungsweise zugrundeliegende Systeme wie Datenbanken oder Server zu konfigurieren oder zu verändern. Privilegierte Zugriffe können sowohl von menschlichen Nutzern als auch von Maschinenidentitäten, Anwendungen, Prozessen oder Services ausgehen.

Typische Beispiele für privilegierte Konten mit erweiterten Berechtigungen sind:

• lokale Administratorkonten oder Root-Benutzer in den verschiedenen Betriebssystemumgebungen

• Domänenadministratorkonten

• Administratorkonten für Datenbanken, Anwendungen oder Services

• Geschäftsbenutzerkonten für nicht IT-spezifische Zwecke mit Zugriffsrechten beispielsweise für die Ausführung oder das Bearbeiten von Finanztransaktionen

Privileged Access Management aus Windows Server 2022 richtig nutzen

Admin auf Zeit in Active Directory

Welche Beziehung besteht zwischen PAM und VPAM?

Geht es um die Absicherung privilegierter Zugriffe von Lieferanten oder Drittanbietern, spricht man vom sogenannten Vendor Privileged Access Management (VPAM). VPAM ist ein Unterbereich oder eine Disziplin des Privileged Access Management und kümmert sich konkret um die Verwaltung, Kontrolle, Überwachung und Absicherung von externen privilegierten Zugriffen auf innerbetriebliche Ressourcen. Für Lieferantenkonten werden vergleichbar strenge oder noch strengere Zugriffskontroll- und Überwachungsmaßnahmen eingerichtet wie für interne Konten. Das VPAM hat auch dafür zu sorgen, dass sichere Fernzugriffe auf die betrieblichen Ressourcen möglich sind. Es kommen hierfür Konzepte wie Zero Trust Network Access (ZTNA) zum Einsatz.

Prinzipielle Funktionsweise des Privileged Access Managements und bereitgestellte Funktionen

Die prinzipielle Funktionsweise des Privileged Access Managements lässt sich in wenigen Worten folgendermaßen zusammenfassen: PAM identifiziert privilegierte Benutzerkonten oder Zugriffe, grenzt diese von Standardkonten oder -zugriffen ab, implementiert Authentifizierungsmechanismen und legt entsprechende Richtlinien für privilegierte Zugriffe fest und setze diese auch durch. Die Richtlinien sorgen dafür, dass autorisierte Benutzer beziehungsweise Konten privilegierten Zugriff auf die angeforderten Ressourcen erhalten, und verhindern gleichzeitig den Missbrauch privilegierter Zugriffe. Für die konkrete Umsetzung ist ein rollenbasiertes, zentrales Account- und Berechtigungsmanagement notwendig.

Zu den elementaren Funktionen des PAM gehört die kontinuierliche Überwachung und Nachverfolgung privilegierter Sitzungen. Darüber lassen sich Anomalien erkennen und Richtlinienverletzungen oder eventueller Missbrauch von privilegiertem Zugriff aufdecken.

Eines der Grundprinzipien für die Umsetzung des Privileged Access Managements ist die Einhaltung beziehungsweise das Erzwingen des Least-Privilege-Prinzips (Prinzips der geringsten Privilegien). Es stellt sicher, dass Benutzer, Maschinenidentitäten, Anwendungen, Services oder Prozesse nur das jeweilige Mindestmaß an Berechtigungen erhalten, das zur Erfüllung ihrer Aufgaben erforderlich ist.

Um potenziellen Missbrauch zu verhindern, setzt PAM auf starke Authentifizierungsmechanismen wie die Multi-Faktor-Authentifizierung. Zusätzlich lassen sich Mechanismen nutzen, die die Ausweitung von Berechtigungen für privilegierte Zugriffe zeitlich beschränken und nach Ablauf einer bestimmten Zeit die erteilten Berechtigungen automatisch wieder entziehen. Im Fall von externen privilegierten Zugriffen, beispielsweise von Lieferanten oder Drittanbietern, ist ein sicherer Fernzugriff beispielsweise per Zero-Trust Network Access (ZTNA) zu realisieren.

Video-Tipp #55: Mehr Sicherheit mit und trotz PowerShell

PowerShell Security Best Practices

Vorteile durch die Implementierung eines Privileged Access Managements

Die Implementierung eines effektiven Privileged Access Managements bietet Unternehmen unter anderem diese Vorteile:

• Minimierung der von privilegierten Benutzern oder Konten ausgehenden Sicherheitsrisiken

• Verhinderung von Datenschutz- oder Datensicherheitsverletzungen

• Unterstützung bei der Einhaltung von Compliance-Richtlinien oder gesetzlichen Vorgaben

• verbesserter Schutz privilegierter Anmeldeinformationen

• Reduzierung der Angriffsfläche für Identitätsangriffe und andere Cyberbedrohungen

• einfacheres Erkennen verdächtiger Aktivitäten privilegierter Nutzer

• Reduzierung des Risikos lateraler Bewegungen von Angreifern

• Vereinfachung der Verwaltung von privilegierten Identitäten und ihren Berechtigungen

• höhere Benutzerfreundlichkeit für privilegierte User und zuverlässige Gewährung der für ihre Arbeit benötigten Berechtigungen

(ID:50224545)