Identity Security & Privileged Access Management (PAM)
Nicht „Wer hat ein Konto?“, sondern „Wer darf warum was tun – und gilt das morgen noch?“ ist die entscheidende Frage.
Ein Kollege wechselt die Aufgabe – seine alten Rechte bleiben
Ein Mitarbeiter wechselt aus einer operativen Funktion in eine andere Abteilung. Für die neue Aufgabe erhält er zusätzliche Berechtigungen. Die bisherigen Rechte werden nicht vollständig entfernt. Monate später besitzt das Konto Zugriff auf Bereiche, die für die aktuelle Tätigkeit nicht mehr benötigt werden.
Identitäten über ihren gesamten Nutzungsweg steuern
Personen, technische Konten und privilegierte Identitäten müssen einem nachvollziehbaren Zweck und Verantwortlichen zugeordnet sein.
Rechte entstehen aus einer konkreten Funktion oder Aufgabe – nicht daraus, dass sie „schon immer vorhanden“ waren.
Je höher Wirkung und Privileg, desto stärker müssen Zugang und Nutzung geschützt werden.
Administrative Rechte werden begrenzt, nachvollziehbar genutzt und soweit erforderlich über PAM kontrolliert.
Rollenwechsel, Austritt und regelmäßige Reviews müssen unnötige Rechte tatsächlich entfernen.
Multi-Factor Authentication (MFA) oder PAM lösen nicht das Berechtigungsproblem
Starke Authentisierung kann ein Konto besser schützen. PAM kann privilegierte Nutzung kontrollieren. Beides beantwortet aber nicht automatisch, ob eine Person diese Berechtigung überhaupt noch benötigt.
Woran sich funktionierende Identity Governance erkennen lässt
„Im internen Netz“ ist kein Berechtigungsgrund
NIST SP 800-207 beschreibt Zero Trust als Architekturprinzip ohne implizites Vertrauen allein aufgrund von Netzwerkstandort oder Eigentum. Der praktische Lernpunkt für Identity Security: Zugriff wird für eine konkrete Ressource, mit aktuellem Kontext und überprüfter Identität entschieden.
Was soll konkret genutzt werden?
Welche Person, Rolle, Anwendung oder welches Gerät fordert Zugriff an?
Welche Identität, Gerätezustand und weitere Merkmale sind aktuell bekannt?
Ist dieser Zugriff jetzt, für diese Ressource, in diesem Umfang zulässig?
Beispiel: Der Kollege arbeitet heute aus dem Homeoffice
Sein Konto ist dasselbe wie gestern im Büro. Trotzdem darf die Netzwerkposition allein nicht entscheiden. Identität, Gerät, angeforderte Ressource und Richtlinie werden erneut betrachtet. Ein zuvor erlaubter Zugriff auf Anwendung A bedeutet nicht automatisch Zugriff auf Anwendung B.
Vertiefung: NIST SP 800-207 – Zero Trust Architecture.