Was ist effektives Privileged Identity Management (PIM)?

Privileged Identity Management (PIM) bezeichnet die kontrollierte Verwaltung privilegierter Identitäten und ihrer erhöhten Berechtigungen. Im Mittelpunkt steht das Prinzip, administrative Rechte nicht dauerhaft zu vergeben, sondern sie bei Bedarf, nach definierten Regeln und möglichst zeitlich begrenzt zu aktivieren. Dadurch reduziert PIM dauerhaft bestehende privilegierte Zugriffsrechte und unterstützt die Umsetzung von Least Privilege und Just-in-Time (JIT) Access. Während PIM einer bestehenden Identität bzw. deren Benutzerkonto auf einem System privilegierte Berechtigungen für einen definierten Zeitraum zuweist, kann JIT noch einen Schritt weitergehen: Ein privilegiertes Benutzerkonto wird erst bei Bedarf erstellt und nach der Nutzung wieder entfernt.

In diesem Artikel steht PIM ausschliesslich für Privileged Identity Management im Kontext von Identity & Access Management (IAM). Nicht gemeint ist Product Information Management, das im E-Commerce zur Verwaltung von Produktdaten eingesetzt wird. PIM weist zudem Überschneidungen mit Privileged Access Management (PAM) und Privileged User Management (PUM) auf. Der folgende Beitrag erklärt, wie PIM funktioniert, wie sich die Ansätze unterscheiden und welche Rolle sie bei der Absicherung privilegierter Zugriffe spielen.

Im Fokus von PIM stehen Benutzer mit besonders weitreichenden Berechtigungen, beispielsweise Administratoren, DevOps- und Security-Teams oder externe Dienstleister. Sie benötigen erhöhte Rechte, um kritische Systeme, Daten oder Infrastrukturkomponenten zu konfigurieren und zu verwalten. Welche Identitäten und Berechtigungen als privilegiert gelten, ist dabei nicht allgemeingültig festgelegt und sollte jedes Unternehmen abhängig von seinen Systemen, Risiken und Sicherheitsrichtlinien definieren. Das NIST definiert Least Privilege entsprechend als das Prinzip, Benutzern und Prozessen nur die minimal notwendigen Berechtigungen zur Erfüllung ihrer Aufgaben zu gewähren.

PIM ermöglicht, solche erhöhten Berechtigungen nur bei Bedarf zu aktivieren und zeitlich zu begrenzen. Die Aktivierung kann zusätzlich an Genehmigungen, Begründungen oder eine Multifaktor-Authentifizierung gekoppelt werden. Ein bekanntes Beispiel ist Microsoft Entra Privileged Identity Management, das privilegierte Rollen bedarfsgerecht aktiviert und deren Nutzung kontrolliert.

Ziel ist es, permanente administrative Berechtigungen – sogenannte Standing Privileges – möglichst zu vermeiden. Stattdessen erhalten Benutzer nach dem Just-in-Time-Prinzip nur dann erhöhte Rechte, wenn sie diese tatsächlich benötigen, und nur so lange wie erforderlich. Damit unterstützt PIM zugleich das Sicherheitsprinzip Least Privilege.

Permanente Adminrechte und privilegierte Berechtigungen – sogenannte Standing Privileges – stehen auch dann zur Verfügung, wenn sie aktuell nicht benötigt werden. Werden solche Identitäten kompromittiert, können Angreifer die vorhandenen Adminrechte unmittelbar ausnutzen.

Wie real dieses Risiko ist, zeigten von Microsoft dokumentierte Angriffe auf Azure-AD-Umgebungen: Angreifer kompromittierten Accounts mit Global-Administrator-Rechten und nutzten diese, um hochprivilegierte OAuth-Anwendungen einzurichten. PIM reduziert diese Angriffsfläche, indem privilegierte Rechte möglichst nur bei tatsächlichem Bedarf und zeitlich begrenzt aktiviert werden.

Privileged Access Management (PAM) verfolgt ein ähnliches Ziel wie PIM - den Schutz privilegierter Zugänge. Die Verwendung des Begriffs „Identity“ bei PIM ist etwas verwirrend: PIM geht davon aus, dass bestehende Benutzer für eine gewisse Zeit Berechtigungen erhalten, die sie temporär zu privilegierten Benutzern machen. So werden sie z.B. mit der administrativen Entra-Rolle „Security Administrator“ ausgestattet, die es erlaubt, Sicherheitsrichtlinien zu verwalten, Alerts zu konfigurieren oder Sicherheitsberichte einzusehen. Somit wird in dem Sinne nicht die Identität gemanaged, sondern nur deren zugewiesenen Berechtigungen.

Bei PAM werden üblicherweise bestehende privilegierte und unpersönliche Benutzer für eine gewisse Zeit einer Person übergeben, damit diese sich damit einloggen und administrieren kann. Dies können auch hochprivilegierte Benutzer wie der SYS auf einer Oracle-Datenbank sein. Das „Access“ steht bei PAM stellvertretend für den Zugriff auf Credentials oder eine Session, die teilweise auch aufgezeichnet wird (je nach Lösung und nach Konfiguration). Bekannte Vertreter solcher Lösungen sind die Hersteller Beyondtrust, One Identity oder Wallix.

PIM unterstützt Zero Trust, indem privilegierte Berechtigungen nicht dauerhaft vorausgesetzt, sondern bedarfsgerecht geprüft, aktiviert und wieder entzogen werden. Damit setzt PIM zentrale Prinzipien einer Zero-Trust-Architektur wie Least Privilege und die kontinuierliche Kontrolle privilegierter Zugriffe praktisch um.

Das NIST beschreibt in seiner Zero-Trust-Architektur diesen Ansatz sehr konkret: Benutzer sollen nur die Privilegien erhalten, die sie für eine Aufgabe benötigen, und zwar erst dann, wenn sie benötigt werden. Anschliessend sollen diese Rechte wieder entzogen werden – NIST bezeichnet dies als Just-Enough und Just-in-Time Access.

PIM überträgt dieses Prinzip auf privilegierte Identitäten und Adminrechte. Statt permanent privilegiert zu sein, werden erhöhte Berechtigungen nur für einen definierten Zweck und Zeitraum aktiviert. So reduziert PIM Standing Privileges und unterstützt eine identitätszentrierte Zero-Trust-Strategie.

Privileged User Management (PUM) ist ein älterer Begriff, der sich auf die Verwaltung und Kontrolle von privilegierten Benutzern als Ganzes bezieht – unabhängig von der zeitlichen Beschränkung oder der Art des Zugriffs. 

Typische PUM-Funktionen waren: 

• Verwaltung von Administrator-Konten
• Monitoring privilegierter Aktivitäten
• Compliance-Reporting 

Moderne Architekturen ersetzen PUM häufig durch integrierte Lösungen aus PIM und PAM. Dennoch taucht der Begriff vereinzelt noch auf, vor allem in Legacy-Umgebungen oder bei Compliance-Audits.

PIM unterstützt Compliance-Anforderungen an die kontrollierte Vergabe, zeitliche Begrenzung, Überprüfung und Nachvollziehbarkeit privilegierter Berechtigungen. Dazu zählen insbesondere Least Privilege, die Reduktion permanenter Adminrechte, dokumentierte Freigaben sowie die regelmässige Rezertifizierung privilegierter Zugriffe.

Der Zusammenhang mit ISO 27001 ist gut dokumentiert: Microsoft und Coalfire haben in einem eigenen Compliance-Whitepaper zu Privileged Identity Management und ISO 27001 PIM-Funktionen konkreten Anforderungen aus ISO 27001, PCI und FEDRAMP zugeordnet. Insbesondere Just-in-Time (JIT) und die gezielte Begrenzung administrativer Rechte unterstützen dabei die Umsetzung von Least Privilege.

Auch die NIS2-Durchführungsverordnung verlangt eine restriktive Steuerung privilegierter Zugriffsrechte und sieht für Zugriffe Dritter ausdrücklich eine Begrenzung hinsichtlich Umfang und Dauer vor. PIM kann solche Anforderungen unterstützen, indem Adminrechte bedarfsgerecht, kontrolliert und zeitlich begrenzt aktiviert, protokolliert und überprüft werden.

PIM verbindet die konzeptionelle Definition privilegierter Berechtigungen mit deren technischen Steuerung. Zunächst muss für jedes relevante System festgelegt werden, welche Rollen und Berechtigungen als privilegiert gelten, wer sie erhalten darf, für welchen Zeitraum und unter welchen Bedingungen sie genutzt werden können. Diese Vorgaben können Bestandteil eines digitalen Berechtigungskonzepts sein und schaffen eine nachvollziehbare Grundlage für die spätere technische Umsetzung.

Auf dieser Basis steuert PIM die privilegierten Berechtigungen im laufenden Betrieb. Adminrechte werden nicht permanent vergeben, sondern beispielsweise für eine konkrete Aufgabe beantragt, genehmigt und für einen definierten Zeitraum aktiviert. Nach Ablauf werden die erhöhten Rechte automatisch wieder entzogen. So wird aus dem definierten Soll-Zustand eine technisch durchsetzbare Zugriffskontrolle.

Typische Einsatzbereiche sind privilegierte Rollen in Cloud-Plattformen, Verzeichnisdiensten, Server- und Datenbankumgebungen sowie geschäftskritischen Anwendungen. PIM verbindet damit Berechtigungskonzept, Governance und die operative Vergabe privilegierter Rechte.

Der Einsatz von PIM ist besonders lohnenswert in hybriden oder cloudbasierten IT-Umgebungen mit mehreren Administratorrollen. Je komplexer die Infrastruktur, desto höher das Risiko von Überprivilegierung. Unternehmen mit Compliance-Anforderungen oder erhöhtem Cyberrisiko profitieren besonders stark. PIM eignet sich daher sowohl für mittelständische Organisationen als auch für Konzerne mit verteilten IT-Strukturen.

Eine erfolgreiche PIM-Implementierung beginnt mit einer klaren Rollen- und Risikoanalyse. Privilegierte Konten sollten konsolidiert und nach Kritikalität priorisiert werden. Aktivierungsprozesse müssen praktikabel gestaltet werden, um Umgehungslösungen zu vermeiden. Regelmäßige Reviews und Rezertifizierungen stellen sicher, dass Berechtigungen weiterhin erforderlich sind. Technische Umsetzung und organisatorische Governance müssen dabei Hand in Hand gehen.

In einer hybriden IT-Welt mit Cloud-, SaaS- und On-Prem-Komponenten ist eine feingranulare Steuerung privilegierter Zugriffe unerlässlich. Während PAM eher klassische Systeme absichert, bietet PIM die nötige Agilität für dynamische Cloud-Umgebungen.

Unternehmen, die auf Zero Trust und Identity-First Security setzen, kommen an PIM nicht vorbei. Wer PIM und PAM sinnvoll kombiniert, stellt sicher, dass privilegierte Zugriffe nicht nur sicher, sondern auch nachvollziehbar und effizient gemanagt werden.

IPG hilft konkret bei Herausforderungen im Bereich PIM, PAM und temporäre Zugriffskontrolle. Der Fokus liegt dabei auf praxisorientierter Unterstützung, die sich gut in Beratung, Projektumsetzung und Betrieb einfügt. IPG bringt als Multi-Vendor zudem Produktexpertise für jede der obengenannten Variante ein.

_{Dieser Bericht beruht auf Expertenwissen, für die Ausformulierung wurde Hilfe von KI in Anspruch genommen.}