Was ist Privileged Access Management (PAM)?
Privileged Access Management (PAM) umfasst die Werkzeuge und Verfahren zur Kontrolle von Konten mit erweiterten Rechten, etwa Domänenadministratoren, Root-Konten und die Administratoren von Backup- und Speichersystemen. Das Ziel: Privilegierter Zugriff soll selten, kurzlebig, einer Person zuordenbar und protokolliert sein.
Was leistet PAM?
PAM-Produkte und PAM-Prozesse haben einige Kernfunktionen gemeinsam.
| Funktion | Wirkung |
|---|---|
| Credential Vaulting | Speichert privilegierte Passwörter und Schlüssel zentral und rotiert sie |
| Check-out und Freigabe | Gibt Zugangsdaten auf Anfrage heraus, teils mit einem zweiten Freigeber |
| Just-in-Time-Zugriff | Gewährt Rechte für eine begrenzte Zeit und entzieht sie danach |
| Session Brokering und Aufzeichnung | Verbindet den Administrator, ohne das Passwort offenzulegen, und zeichnet die Sitzung auf |
| Discovery | Findet privilegierte Konten, die noch nicht verwaltet werden |
| Reporting | Zeigt, wer welches Privileg wann genutzt hat |
Wie gilt PAM für Backup-Systeme?
Backup-Administratoren halten einige der folgenreichsten Rechte im Unternehmen, weil sie die Kopien löschen können, von denen alles andere abhängt. Stehen die Backup-Konsole, die Repository-Server und die Management-Schnittstelle des Speichers unter PAM, kennt keine Einzelperson die administrativen Passwörter, jede Nutzung ist einer namentlich bekannten Person zugeordnet, und ungewöhnliche Sitzungen fallen auf. Die Dienstkonten und Zugriffsschlüssel der Backup-Jobs lassen sich auf dieselbe Weise nach Zeitplan rotieren.
Sollte das PAM-System von der Produktion abhängen?
Das ist die wichtigste Designfrage. Läuft der PAM-Vault auf der Produktionsinfrastruktur und authentifiziert er gegen das Produktionsverzeichnis, blockiert ein Vorfall, der beide lahmlegt, auch den Zugriff auf die Zugangsdaten für die Wiederherstellung. Und ein Angreifer, der den Vault kontrolliert, kontrolliert jedes Konto darin. Backup- und Recovery-Systeme brauchen deshalb einen Weg, der nicht von der Verfügbarkeit der PAM-Plattform abhängt: ein offline verwahrtes Break-Glass-Konto und möglichst Backups des Vaults selbst, die sich als Erstes wiederherstellen lassen.
Was deckt PAM nicht ab?
PAM kontrolliert, wie Personen privilegierten Zugriff erhalten. Es begrenzt nicht, was eine legitim erlangte Sitzung tun kann, und es schützt keine Zugangsdaten, die Software außerhalb des Vaults verwendet. Bei Backups schließen drei Kontrollen die verbleibende Lücke: die rollenbasierte Zugriffskontrolle, die die Rechte jedes Kontos einengt, das Vier-Augen-Prinzip für destruktive Aktionen und Unveränderlichkeit auf Speicherebene, die auch dann hält, wenn eine privilegierte Sitzung gekapert wird. Der Beitrag Wo MFA bei Backups hilft zieht dieselben Grenzen für die Authentifizierung.
Häufig gestellte Fragen
Ist PAM dasselbe wie ein Passwortmanager?
Ein Passwortmanager speichert Geheimnisse. PAM ergänzt Freigabe, Zeitlimits, Sitzungskontrolle, Rotation und Audit, und zwar gezielt für privilegierte Konten.
Brauchen kleine Unternehmen PAM?
Die Verfahren gelten in jeder Größe: wenige privilegierte Konten, namentlich bekannte Benutzer, rotierte Passwörter und protokollierte Nutzung. Ein eigenes Produkt lohnt sich, wenn die Zahl der Systeme wächst.
Kann PAM verhindern, dass Ransomware Backups löscht?
PAM erschwert es, privilegierte Konten zu stehlen und zu missbrauchen. Es ersetzt keinen unveränderlichen Speicher, der Backups auch dann schützt, wenn ein Konto übernommen wird.