PAM – Privileged Access Management
Abkürzung: PAM
Privileged Access Management (PAM) regelt den Zugang über Konten mit erhöhten Rechten — Administratoren, Root, Domänen-Admins, Dienstkonten, Notfallkonten. Wer ein solches Konto übernimmt, kann Sicherheitsmaßnahmen abschalten, Daten abziehen und Spuren löschen. Angreifer suchen deshalb gezielt nach diesen Konten, und Innentäter brauchen sie für größeren Schaden.
PAM ist zugleich ein Konzept und eine Produktkategorie. Als Konzept steht es in jeder Sicherheitsnorm; als Produkt bündelt es Passwort-Tresor, Zugangsvermittlung und Aufzeichnung in einem System.
Was als privilegiert gilt
| Kontoart | Beispiel | Besonderes Risiko |
|---|---|---|
| Persönliches Admin-Konto | zweites Konto eines Administrators für Verwaltungsaufgaben | wird oft für Alltagsarbeit mitbenutzt |
| Systemkonto | root unter Linux, lokaler Administrator unter Windows | geteilt, nicht einer Person zuzuordnen |
| Domänen- und Verzeichnis-Admin | Verwaltung des Verzeichnisdienstes | Zugriff auf alle angebundenen Systeme |
| Dienstkonto | Konto, unter dem eine Anwendung oder ein Backup läuft | Passwort ändert sich jahrelang nicht, steht in Skripten |
| Netz- und Infrastrukturzugang | Router, Switches, Firewalls, Hypervisor, Speichersysteme | eigene Benutzerverwaltung, oft lokale Konten |
| Notfallkonto (Break Glass) | Zugang, wenn die zentrale Anmeldung ausfällt | selten benutzt, deshalb selten geprüft |
| Cloud-Konsole | Root-Konto eines Cloud-Abonnements | aus dem Internet erreichbar |
Bausteine
Passwort-Tresor. Zugangsdaten privilegierter Konten liegen verschlüsselt an einer Stelle. Administratoren kennen das Passwort nicht, sie bekommen es für eine Sitzung zugeteilt. Danach wechselt das System es automatisch.
Zugangsvermittlung. Administratoren melden sich nicht direkt am Zielsystem an, sondern an einem Zwischensystem, das die Verbindung per SSH oder Remote Desktop aufbaut. Das Zielsystem akzeptiert nur noch Verbindungen von dort. Das Prinzip ist älter als der Begriff PAM und als Jump Host oder Bastion Host bekannt.
Sitzungsaufzeichnung. Jede privilegierte Sitzung wird mitgeschrieben, bei Kommandozeilen als Text, bei grafischen Oberflächen als Video. Die Aufzeichnung dient der Aufklärung nach einem Vorfall und schreckt vorher ab.
Zeitlich begrenzte Rechte. Statt dauerhafter Admin-Rechte erhält jemand die Rechte für eine Aufgabe und eine Zeitspanne, oft nach Freigabe durch eine zweite Person. Dafür stehen die Begriffe Just-in-Time Access und Zero Standing Privileges.
Starke Anmeldung. Privilegierte Zugänge verlangen eine Multi-Faktor-Authentifizierung, auch im internen Netz.
Least Privilege
Grundprinzip hinter allen Bausteinen: Jedes Konto erhält nur die Rechte, die es für seine Aufgabe braucht, und nur so lange, wie es sie braucht. Ein Datenbankadministrator braucht keine Domänen-Admin-Rechte, ein Backup-Dienst keine interaktive Anmeldung.
Anforderungen aus Normen und Recht
| Quelle | Anforderung |
|---|---|
| ISO/IEC 27001:2022, Anhang A 8.2 | Vergabe und Nutzung privilegierter Zugriffsrechte beschränken und steuern |
| BSI IT-Grundschutz, OPS.1.1.2 Ordnungsgemäße IT-Administration | eigener Baustein für die Administration von IT-Systemen |
| NIS2, Art. 21 Abs. 2 Buchst. i und j | Konzepte für Zugriffskontrolle, Multi-Faktor-Authentifizierung |
| Durchführungsverordnung (EU) 2024/2690, Anhang Nr. 11.3 und 11.4 | eigene Konten nur für Administration, starke Authentifizierung, Admin-Konten nur an Administrationssystemen; diese logisch getrennt von übrigen Anwendungen |
Die Durchführungsverordnung gilt für bestimmte digitale Dienste, darunter Rechenzentrums- und Cloud-Anbieter sowie Managed Service Provider. Für sie ist ein PAM-Konzept damit keine Empfehlung mehr, sondern Pflicht.
PAM und Identitätsverwaltung
Identity and Access Management (IAM) verwaltet alle Benutzer: Anlage, Rollen, Berechtigungen, Abmeldung beim Ausscheiden. PAM ist der Teil, der die wenigen Konten mit weitreichenden Rechten zusätzlich absichert. IAM beantwortet, wer welche Rechte haben soll; PAM kontrolliert, wie die gefährlichsten davon benutzt werden.
Im Rechenzentrum
Rechenzentren und Managed-Service-Anbieter haben ein doppeltes PAM-Problem: eigene Administratoren mit Zugang zu Infrastruktur, auf der Kundensysteme laufen, und Kunden, die wissen wollen, wer wann auf ihre Systeme zugegriffen hat. Typische Anforderungen in Verträgen und Prüfberichten:
- Nachweis, welche Mitarbeiter des Anbieters Zugang zu Kundensystemen haben
- Freigabe durch den Kunden vor jedem Zugriff (Vier-Augen-Prinzip über Organisationsgrenzen)
- Aufzeichnungen, die der Kunde einsehen kann
Ein Sonderfall ist der Zugang über das Managementnetz zu Konsolen und Baseboard Management Controllern: Wer dort Zugang hat, kann Server neu installieren oder abschalten, unabhängig vom Betriebssystem. Dieser Weg gehört in das PAM-Konzept, auch wenn er technisch außerhalb des normalen Netzes liegt (siehe Out-of-Band-Management).
Abgrenzung
PAM unter Linux. Dieselbe Abkürzung steht für Pluggable Authentication Modules, die Schnittstelle, über die Linux- und Unix-Systeme Anmeldeverfahren einbinden. Das ist ein Baustein des Betriebssystems, kein Konzept für privilegierte Konten.
PAM5. In der Übertragungstechnik steht PAM für Pulsamplitudenmodulation; PAM5 ist der Leitungscode von Gigabit-Ethernet über Kupfer (siehe PAM5).
Normen
- ISO/IEC 27001:2022, Anhang A 8.2
- Durchführungsverordnung (EU) 2024/2690