Definition Was ist Privileged Access Management (PAM)?

Anbieter zum Thema

Aagon GmbH

Vitel GmbH

Privileged Access Management verwaltet, überwacht und schützt Zugriffe auf sensible IT-Ressourcen über Konten mit erweiterten Berechtigungen, zum Beispiel über Administratorkonten. Die damit verbundenen Sicherheitsrisiken werden dadurch deutlich reduziert. PAM ist eine Teildisziplin des Identity and Access Managements (IAM) und ein wichtiger Baustein für die Sicherheit der Unternehmens-IT.

Der englische Begriff Privileged Access Management, abgekürzt PAM, lässt sich mit "Verwaltung privilegierter Zugriffe" ins Deutsche übersetzen. Manchmal wird für PAM auch der Begriff Privileged Access Security (PAS) verwendet. Es handelt sich um ein Sicherheitskonzept beziehungsweise eine Sicherheitslösung, die den Zugriff auf sensible oder kritische Systeme, Daten oder IT-Ressourcen über Konten mit erweiterten Berechtigungen, zum Beispiel Administratorkonten, kontrolliert, überwacht, verwaltet und absichert. Dadurch soll der Missbrauch von privilegierten Konten verhindert werden.

Privileged Access Management ist ein wichtiger Baustein für die Cybersicherheit der Unternehmens-IT und ein unverzichtbarer Bestandteil eines effektiven IT-Sicherheitskonzepts. Zu einem wirksamen Privileged Access Management gehören neben technischen auch organisatorische Maßnahmen. Softwarelösungen und Tools unterstützen bei der Implementierung und Durchsetzung eines umfassenden Privileged Access Managements.

Was zählt zu den privilegierten Zugriffen?

Unter Privileged Access versteht man Zugriffe auf IT-Systeme, Daten oder andere IT-Ressourcen mit Berechtigungen, die höher sind als die von Standardnutzern. Standardnutzer haben oft nur lesende Rechte, während privilegierte Nutzer Systeme oder Ressourcen steuern oder konfigurieren und Daten verändern oder löschen können. Die privilegierten Zugriffe können sowohl von menschlichen als auch von nichtmenschlichen Benutzern ausgehen.

Beispiele für privilegierte Konten, die menschliche Zugriffe mit erweiterten Berechtigungen zulassen, sind:

• Administratorkonten und Root-Benutzer von Betriebssystemen

• Administratorkonten zur Verwaltung von Domänen

• Administratorkonten für Anwendungen, Netzwerkgeräte, Cloud-Services oder Datenbanken

• privilegierte Geschäftsbenutzerkonten mit erweiterten Zugriffsberechtigungen für ERP-, CRM-, Personalverwaltungs- oder Finanzsysteme

• Service- und Notfallkonten für IT-Systeme

Beispiele für privilegierte Konten für nichtmenschliche Zugriffe mit erweiterten Berechtigungen sind:

• Konten für den Zugriff von Software, Anwendungen oder Services auf andere Anwendungen oder Services wie auf Datenbanken, Webserver oder Netzwerkservices

• API-Zugänge mit erweiterten Berechtigungen für die Kommunikation und den Datenaustausch zwischen Softwareanwendungen

• Systemkonten für Hintergrunddienste in Betriebssystemen

• Konten für KI-Agenten und Bots mit erweiterten Berechtigungen

• Konten für Softwareentwicklungs- und Betriebsprozesse einer automatisierten CI/CD-Pipeline

• Identitäten in Cloud-Umgebungen, zum Beispiel für virtuelle Maschinen (VM) oder Container und den Zugriff auf andere Cloud-Ressourcen

Warum ist Privileged Access Management so wichtig für die IT-Sicherheit?

Um mit IT-Systemen, Netzwerken, Anwendungen, Services und anderen IT-Ressourcen sinnvoll und effektiv zu arbeiten, sie zu konfigurieren und ihr korrektes Funktionieren sicherzustellen, sind privilegierte Zugriffe mit erweiterten Berechtigungen unverzichtbar. Diese Zugriffe sind aber auch mit großen Risiken für die IT-Sicherheit verbunden, da mit ihnen großer Schaden angerichtet werden kann. Gelangen privilegierte Konten in die falschen Hände, zum Beispiel in die eines Cyberkriminellen, ist damit jeglichem Missbrauch Tür und Tor geöffnet.

Kriminelle Akteure können mit diesen Konten und ihren erweiterten Zugriffsrechten deutlich mehr Schaden anrichten, als mit Standardkonten. Sie erhalten beispielsweise umfassenden Zugriff auf sensible oder kritische Daten, Anwendungen oder Systeme, die für den Betrieb der Geschäftsprozesse eines Unternehmens unverzichtbar sind. Oft ist es sogar möglich, sich mit einem einzigen privilegierten Konto durch die komplette Systemlandschaft zu bewegen. Unter Umständen kann sogar auf industrielle Steuerungssysteme zugegriffen werden, um komplette Produktionsanlagen zu sabotieren oder lahmzulegen.

Das ist auch der Grund dafür, weshalb viele Cyberkriminelle es auf die Übernahme oder die Kompromittierung privilegierter Konten abgesehen haben. Solche Konten sind für sie besonders attraktiv und erlauben ihnen umfassende weiterführende Angriffe. Bei schwerwiegenden Sicherheitsvorfällen gehören privilegierte Konten zu den häufigsten Einfallstoren.

Umso wichtiger ist es, diese Konten wirksam vor Missbrauch zu schützen und alle damit verbundenen Zugriffe zu überwachen und zu kontrollieren. Genau diese Aufgaben übernimmt das Privileged Access Management.

Was sind die konkreten Ziele von PAM?

Die konkreten Ziele des Privileged Access Managements sind:

• Verkleinerung der Angriffsfläche durch Reduzierung der von privilegierten Zugriffen ausgehenden Sicherheitsrisiken

• Minimierung des Risikos von Datensicherheits- und Datenschutzverletzungen

• Sicherstellung der Erfüllung von Compliance-Richtlinien und der Einhaltung von gesetzlichen Vorgaben

• effiziente, sichere Verwaltung der privilegierten Identitäten und ihrer Berechtigungen

• Sicherstellung eines hohen Schutzniveaus der Anmelde- und Authentifizierungsinformationen von privilegierten Konten

• Überwachung privilegierter Zugriffe und schnelles Erkennen verdächtiger Aktivitäten

• zuverlässige Gewährung der für die Arbeit privilegierter Benutzer benötigten Berechtigungen

• Sicherstellung der Benutzerfreundlichkeit bei der Arbeit mit privilegierten Konten

Was sind die Unterschiede zwischen PAM, IAM und VPAM?

Privileged Access Management und Identity und Access Management (IAM) stehen in enger Beziehung. PAM ist eine Teildisziplin und ein Unterbereich des IAM. Während sich PAM konkret auf die Verwaltung, Überwachung und Absicherung von privilegierten Konten und den von ihnen ausgehenden Zugriffen konzentriert, umfasst IAM die Verwaltung und Absicherung sämtlicher Identitäten einer Organisation und deren Zugriffe. Sowohl PAM als auch IAM basieren auf digitalen Identitäten, Authentifizierungs- und Autorisierungsverfahren und der Durchsetzung vorgegebener Richtlinien für die Zugriffskontrolle. Entsprechende Konzepte und technische Lösungen, wie die Benutzerlebenszyklusverwaltung, die Multi-Faktor-Authentifizierung (MFA) oder Single Sign-on (SSO), werden im Rahmen von IAM für alle Identitäten implementiert. Auch PAM verwendet diese Konzepte und Lösungen. Allerdings sind die Sicherheitsvorgaben des PAM für privilegierte Identitäten wesentlich strenger.

Vendor Privileged Access Management, abgekürzt VPAM, ist wiederum eine Teildisziplin des PAM. VPAM kümmert sich konkret um die Verwaltung, Kontrolle und Absicherung privilegierter Zugriffe von Lieferanten, Dienstleistern oder Auftragnehmern. Unter anderem ist es Aufgabe des VPAM, für sichere Fernzugriffe für die externen Partner auf die betrieblichen Ressourcen zu sorgen. In der Regel sind die Zugriffskontroll- und Überwachungsmaßnahmen für Drittanbieter und Lieferanten nochmals deutlich stringenter als für interne Konten.

Wie funktioniert PAM und welche Features bietet es?

PAM erfordert das Zusammenspiel von Technologie, Prozessen und Menschen. Im Rahmen des PAM werden privilegierte Benutzerkonten oder Zugriffe identifiziert, von Standardkonten abgegrenzt und inventarisiert sowie die Richtlinien für privilegierte Zugriffe festgelegt und diese mithilfe von Prozessen und technischen Lösungen durchgesetzt und überwacht. Die Umsetzung erfordert ein rollenbasiertes, zentrales Account- und Berechtigungsmanagement mit starken Authentifizierungsmechanismen wie der Multi-Faktor-Authentifizierung. Technische Lösungen für das Privileged Access Management basieren häufig auf diesen drei Säulen:

• Bereitstellung und Verwaltung von privilegierten Konten (inklusive Lebenszyklusmanagement von der Erstellung bis zur Stilllegung)

• Einrichtung und Durchsetzung der mit privilegierten Konten verbundenen erweiterten Berechtigungen

• Echtzeitüberwachung und kontinuierliche Nachverfolgung sämtlicher privilegierter Aktivitäten

Zu den technischen Grundkonzepten des PAM gehört die Implementierung von Least-Privilege- und Zero-Trust-Prinzipien. Diese Prinzipien stellen sicher, dass jeder Entität zunächst grundsätzlich misstraut wird und authentifizierte Identitäten nur jeweils die Mindestberechtigungen erhalten, die sie für ihre Arbeit oder die Erfüllung ihrer Aufgaben benötigen. Häufig werden auch Just-in-Time-Zugriffsmodelle genutzt, die die erweiterten Berechtigungen für privilegierte Konten zeitlich beschränken und danach automatisch wieder entziehen.

Weitere von PAM-Lösungen bereitgestellte Features sind zum Beispiel:

• Bereitstellung sicherer Passwort-Tresore für die zentrale, verschlüsselte Speicherung und Verwaltung der Passwörter privilegierter Konten

• Erstellung detaillierter Protokolle und Aufzeichnungen privilegierter Sitzungen

• sicheres Auflösen von privilegierten Konten

• sicherer, verschlüsselter Remote-Zugriff

• Alarmierung bei verdächtigen Aktivitäten oder Anomalien im Zusammenhang mit privilegierten Zugriffen

(ID:50814687)