Das Risiko „Dauerhafte Admin-Rechte“

Warum dauerhafte Admin-Rechte Ihr größtes ungesehenes Risiko sind – und wie Privileged Identity Management in Microsoft 365 das löst 

Stellen Sie sich folgende Frage: Wie viele Personen in Ihrem Unternehmen könnten in diesem Moment – ohne weiteren Klick, ohne Rückfrage, ohne Genehmigung – globale Administratorrechte in Microsoft 365 nutzen? Die ehrliche Antwort liegt in den meisten Organisationen, die wir betreuen, deutlich höher, als es der CISO auf einer Folie zugeben möchte. 

Das ist kein Vorwurf an IT-Teams. Es ist die logische Folge von Jahren gewachsener Strukturen: Ein neuer Mitarbeiter brauchte einmalig erweiterten Zugriff für ein Projekt, ein Dienstleister wurde „nur für die Migration“ zum Administrator gemacht, ein Teamlead behielt nach einer Reorganisation einfach seine alten Rechte. Niemand hat böse Absichten – aber jede dieser dauerhaften Berechtigungen ist eine offene Tür, die niemand mehr aktiv bewacht. 

Aus Sicht eines Solution Architects ist das fast immer dasselbe Muster: Die Anzahl der Global Administrators wächst über Jahre an, niemand entzieht aktiv Rechte, und ein jährliches Access Review existiert – wenn überhaupt – nur auf dem Papier. Das Ergebnis ist eine massiv vergrößerte Angriffsfläche, die mit der eigentlichen betrieblichen Notwendigkeit nichts mehr zu tun hat. 

Genau hier setzt Privileged Identity Management an – nicht als zusätzliches Tool, sondern als Prinzipwechsel: weg von „darf für immer“, hin zu „darf genau dann, wenn es nötig ist“. 

Privileged Identity Management (PIM) ist ein Dienst innerhalb von Microsoft Entra ID, der dauerhafte privilegierte Rollen durch zeitlich begrenzten, bedarfsgerechten („just-in-time“) Zugriff ersetzt. Statt eine Person fest als Global Administrator einzurichten, wird sie als eligible – berechtigt, aber nicht aktiv – hinterlegt. Erst im Moment des tatsächlichen Bedarfs aktiviert die Person ihre Rolle für ein klar definiertes Zeitfenster.

Nach Ablauf dieser Zeit fällt die Berechtigung automatisch wieder auf den Normalzustand zurück. Kein manuelles Entziehen, kein Vergessen, keine Karteileiche in der Berechtigungsstruktur.

Für welche Bereiche gilt das?

• Microsoft Entra Rollen wie Global Administrator, Exchange Administrator oder Security Administrator

• Azure Ressourcenrollen, etwa auf Abonnement- oder Ressourcengruppenebene

• PIM für Gruppen, wenn Zugriff über Gruppenmitgliedschaften gesteuert wird – praktisch, wenn mehrere Berechtigungen gemeinsam aktiviert werden sollen

Privileged Identity Management ist eines der wenigen Sicherheitsprojekte, bei denen der Return on Investment nicht abstrakt bleibt, sondern sich unmittelbar in einer reduzierten Angriffsfläche, saubereren Audit-Ergebnissen und einem ruhigeren Gefühl in der nächsten Vorstandssitzung niederschlägt. Die Technologie ist in Microsoft 365 bereits vorhanden – entscheidend ist die saubere Konzeption: Welche Rollen werden eligible statt permanent? Welche Genehmigungs- und Aktivierungsregeln passen zu Ihrer Organisation? Wie sieht der Notfallzugang (Break-Glass-Accounts) aus, der von PIM bewusst ausgenommen bleibt? 

Genau an dieser Stelle unterstützen wir als Solution Architects: von der Analyse Ihrer aktuellen Rollenlandschaft über die Konzeption der Aktivierungsrichtlinien bis zur technischen Umsetzung und Schulung Ihrer Administratoren.