Das Risiko „Dauerhafte Admin-Rechte“

Warum dauerhafte Admin-Rechte ein unterschätztes Risiko für Ihr Unternehmen sind und wie Microsoft 365 das elegant löst

Hand aufs Herz:
Wie viele Personen in Ihrem Unternehmen könnten jetzt sofort, ohne Rückfrage oder Genehmigung, auf die kritischsten Einstellungen Ihrer IT zugreifen?

In vielen mittelständischen Unternehmen liegt diese Zahl deutlich höher, als man vermuten würde.

Das ist kein Fehler Ihrer IT, sondern ganz normal gewachsen:
Ein Mitarbeiter brauchte für ein Projekt einmal mehr Rechte.
Ein externer Dienstleister wurde „kurzzeitig“ zum Administrator.
Eine Führungskraft hat nach Umstrukturierungen einfach ihre alten Berechtigungen behalten.

Im Alltag geht das oft unter. Doch genau hier liegt das Problem:

Jede dauerhaft vergebene Administratorberechtigung ist eine offene Tür zu Ihren wichtigsten Unternehmensdaten und Systemen.
Und niemand prüft im Tagesgeschäft kontinuierlich, ob diese Tür noch gebraucht wird oder längst geschlossen sein sollte.

Es ist das fast immer dasselbe Muster: Die Anzahl der Global Administrators wächst über Jahre an, niemand entzieht aktiv Rechte, und ein jährliches Access Review existiert, wenn überhaupt, nur auf dem Papier. Das Ergebnis ist eine massiv vergrößerte Angriffsfläche, die mit der eigentlichen betrieblichen Notwendigkeit nicht notwendig ist. 

Genau hier setzt Privileged Identity Management an, nicht als zusätzliches Tool, sondern als Prinzipwechsel: weg von „darf für immer“, hin zu „darf genau dann, wenn es nötig ist“. 

Privileged Identity Management (PIM) ist ein Dienst innerhalb von Microsoft Entra ID, der dauerhafte privilegierte Rollen durch zeitlich begrenzten, bedarfsgerechten („just-in-time“) Zugriff ersetzt. Statt eine Person fest als Global Administrator einzurichten, wird sie als eligible, berechtigt, aber nicht aktiv, hinterlegt. Erst im Moment des tatsächlichen Bedarfs aktiviert die Person ihre Rolle für ein klar definiertes Zeitfenster.

Nach Ablauf dieser Zeit fällt die Berechtigung automatisch wieder auf den Normalzustand zurück. Kein manuelles Entziehen, kein Vergessen, keine Karteileiche in der Berechtigungsstruktur.

Für welche Bereiche gilt das?

• Microsoft-Entra-Rollen wie Global Administrator, Exchange Administrator oder Security Administrator

• Azure-Ressourcenrollen, etwa auf Abonnement- oder Ressourcengruppenebene

• PIM für Gruppen, wenn Zugriff über Gruppenmitgliedschaften gesteuert wird – praktisch, wenn mehrere Berechtigungen gemeinsam aktiviert werden sollen

Privileged Identity Management ist eines der wenigen Sicherheitsprojekte, bei denen der Return on Investment nicht abstrakt bleibt, sondern sich unmittelbar in einer reduzierten Angriffsfläche, saubereren Audit-Ergebnissen und einem ruhigeren Gefühl in der nächsten Vorstandssitzung niederschlägt. Die Technologie ist in Microsoft 365 bereits vorhanden, entscheidend ist die saubere Konzeption: Welche Rollen werden eligible statt permanent? Welche Genehmigungs- und Aktivierungsregeln passen zu Ihrer Organisation? Wie sieht der Notfallzugang (Break-Glass-Accounts) aus, der von PIM bewusst ausgenommen bleibt? 

Genau an dieser Stelle unterstützen wir: von der Analyse Ihrer aktuellen Rollenlandschaft über die Konzeption der Aktivierungsrichtlinien bis zur technischen Umsetzung und Schulung.