PAM

Ein privilegiertes Konto wird nicht zwingend als Erstes kompromittiert. Angreifer verschaffen sich häufig zunächst über ein normales Benutzerkonto, eine Sicherheitslücke oder ein unzureichend geschütztes System Zugang zu einer Umgebung und versuchen anschliessend, ihre Berechtigungen auszuweiten. 

Viele Unternehmen verwalten administrative Zugänge dabei nach wie vor über einfache Passwortlisten oder gemeinsam genutzte Administrationskonten. Im direkten Vergleich zeigt sich, wo die Schwachstellen liegen: 

Greift ein IT-Dienstleister mit administrativen Rechten auf Kundenumgebungen zu, wird dieser Zugang selbst zum Angriffsziel, ein bekanntes Lieferketten- oder Supply-Chain-Risiko. Auch die US-Behörde CISA warnt gemeinsam mit internationalen Partnerbehörden, dass Managed-Service-Provider zunehmend als Einstiegspunkt genutzt werden, um mehrere Kundenumgebungen gleichzeitig zu kompromittieren.

Ein Beispiel: Erbeuten Angreifer per Phishing-Mail die Zugangsdaten einer einzelnen administrierenden Person, genügt dieser eine Zugang oft, um sich Zugriff auf mehrere Kundensysteme zu verschaffen. Ohne Einschränkungen bei Zeitraum, Umfang und Nachvollziehbarkeit bleibt ein solcher Missbrauch mitunter 
wochenlang unentdeckt, mit entsprechenden Folgen für Datensicherheit und Betrieb. 

Privileged Access Management setzt genau an diesen Schwachstellen an. Statt Passwörter dezentral zu verwalten oder Zugänge dauerhaft offen zu halten, laufen privilegierte Zugriffe über eine zentrale, geschützte Schicht. Plattformen wie Idira gehören zu den führenden Lösungen in diesem Bereich. Ein wirksames PAM
Konzept beruht auf mehreren Prinzipien: 

1. Geschützte Zugangsdaten (digitaler Tresor)
   Passwörter und Schlüssel werden verschlüsselt in einem zentralen, digitalen Tresor gespeichert, dem sogenannten Vault. Sie werden automatisch regelmässig ausgetauscht und nie im Klartext weitergegeben. Damit verlieren gestohlene oder abgefangene Zugangsdaten ihren Wert, bevor sie missbraucht werden können.
   
   
2. Eindeutig zugeordneter Zugriff mit Mehrfaktor-Authentifizierung
   Jeder privilegierte Zugriff ist einer konkreten Person zugeordnet, autorisiert und jederzeit nachvollziehbar. Der Zugang zur Plattform selbst wird zusätzlich durch Mehrfaktor-Authentifizierung (MFA) abgesichert. Anonyme oder geteilte Administrationskonten sind aus Sicherheitssicht ein Risiko, das sich damit vermeiden lässt.
   
   
3. Freigabeprozesse für sensible Zugriffe
   Bei besonders sensiblen Zugriffen kann eine zusätzliche Freigabe durch eine berechtigte Person verlangt werden, bevor der Zugriff überhaupt gewährt wird. So bleibt auch bei kritischen Systemen ein Vier-Augen Prinzip gewahrt.  
   
   
4. Isolierte Sitzungen 
   Die Verbindung zur Zielumgebung läuft über eine zwischengeschaltete, geschützte Schicht statt direkt vom Rechner des Administrators zum Zielsystem. Die eigentlichen Zugangsdaten verlassen den digitalen Tresor zu keinem Zeitpunkt, selbst die administrierende Person sieht das Passwort nie im Klartext. Das ist vergleichbar mit einem Concierge, der eine Tür öffnet, ohne den Generalschlüssel auszuhändigen.
   
   
5. Lückenlose Nachvollziehbarkeit Sämtliche privilegierten Zugriffe werden protokolliert, bei Bedarf inklusive vollständiger Sitzungsaufzeichnung. Das schafft Transparenz und unterstützt Compliance-Anforderungen wie ISO 27001.
   
   
6. Least Privilege & Just-in-Time Zugriff wird gezielt auf das Nötige beschränkt und nur für die tatsächlich benötigte Dauer vergeben, ein Prinzip, das auch das US-amerikanische NIST als Beschränkung von Zugriffsrechten auf das notwendige Minimum definiert. Dauerhafte, breit angelegte Administrationsrechte gehören damit der Vergangenheit an.
   
   
7. Zentrale Steuerung 
   Alle Zugänge lassen sich zentral verwalten und im Bedarfsfall, etwa bei einem Sicherheitsvorfall oder Personalwechsel, unmittelbar anpassen oder entziehen.  

Netrics setzt dieses Prinzip bei der eigenen Administration von Kundenumgebungen konsequent um: 
Mitarbeitende authentifizieren sich an der Idira-Plattform, von dort läuft eine isolierte, protokollierte Sitzung zur Kundenumgebung. Die Zugangsdaten verlassen den digitalen Tresor nie, auch nicht während der Sitzung. Je nach Umgebung erfolgt die Anbindung über eine gesicherte Netzwerkverbindung oder eine dedizierte, minimal berechtigte Cloud-Schnittstelle, ohne zusätzliche Software-Installation auf Kundenseite. 

Wichtig: Dieses Vorgehen sichert nur die Zugriffe von Netrics ab, nicht automatisch die Konten des Kunden oder Zugänge weiterer Drittanbieter, diese gehören in ein eigenes PAM-Konzept.

Für Sie als Kunde heisst das: weniger Risiko durch die gezielte Absicherung des Dienstleister-Zugangs, nachvollziehbare Administration statt anonymer Zugriffe, Unterstützung bei Audits wie ISO 27001 sowie die Möglichkeit, Zugriffe im Bedarfsfall sofort zu entziehen. 

Nicht jede PAM-Lösung passt gleich gut zu jedem Unternehmen. Ob Sie selbst evaluieren oder die Fragen direkt an Ihren IT-Dienstleister richten, diese Kriterien sollten Sie prüfen: 

• Werden administrative Zugriffe persönlichen Identitäten zugeordnet, statt geteilter Konten?
  
  
• Deckt der Schutz auch Service- und Automationskonten ab, nicht nur menschliche Zugriffe? 
  
  
• Sind Mehrfaktor-Authentifizierung und zeitlich begrenzte, Just-in-Time-Berechtigungen vorgeschrieben? 
  
  
• Werden Zugangsdaten zentral geschützt, automatisch geändert und Sitzungen protokolliert?
  
  
•  Wie werden Notfallzugriffe, Drittanbieter-Zugänge und der Entzug von Berechtigungen geregelt? 
  
  
•  Lässt sich die Lösung in Ihre IT-Umgebung integrieren (On-Premises, Cloud oder hybrid) und unterstützt sie Standards wie NIST SP 800-53 oder ISO 27001? 
  
  

Für viele kleinere und mittlere Unternehmen lohnt sich der Aufbau einer eigenen PAM-Infrastruktur wirtschaftlich kaum. Häufig ist es sinnvoller, einen Managed-Service-Provider zu beauftragen, der PAM bereits als Teil der eigenen Sicherheitsarchitektur einsetzt, wie im vorherigen Abschnitt beschrieben.

• Protecting Against Cyber Threats to Managed Service Providers and their Customers | CISA 
• SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations | CSRC
• ISO/IEC 27001:2022 - Information security management systems