Was ist Privileged Access
Management (PAM)?

Privileged Access Management (PAM) bezeichnet Strategien, Prozesse und Technologien zur Absicherung, Steuerung und Überwachung privilegierter Zugriffe auf kritische IT-Systeme und Daten. Im Mittelpunkt stehen Konten und Identitäten mit erweiterten Berechtigungen, beispielsweise Administratoren, Root-Accounts, Service Accounts oder externe Dienstleister mit Zugriff auf sensible Systeme. Werden solche Zugänge kompromittiert oder missbräuchlich eingesetzt, können Angreifer besonders weitreichende Aktionen innerhalb einer IT-Umgebung durchführen. PAM reduziert dieses Risiko, indem privilegierte Berechtigungen kontrolliert vergeben, Zugangsdaten geschützt und Aktivitäten nachvollziehbar dokumentiert werden. Damit bildet Privileged Access Management einen zentralen Bestandteil moderner Identity-Security- und Cybersecurity-Architekturen.

Privilegierte Konten unterscheiden sich von gewöhnlichen Benutzerkonten vor allem durch die Reichweite ihrer Berechtigungen. Administratoren können Konfigurationen verändern, Benutzer anlegen, Sicherheitsmechanismen beeinflussen oder auf geschäftskritische Informationen zugreifen. Gelangen Angreifer an solche Berechtigungen, können sie diese Position nutzen, um sich innerhalb der Infrastruktur weiterzubewegen und zusätzliche Systeme zu kompromittieren. Gleichzeitig entsteht das Risiko nicht ausschliesslich durch externe Angriffe: Auch Fehlkonfigurationen, gemeinsam verwendete Accounts, unkontrollierte externe Zugriffe oder unbeabsichtigte Handlungen interner Personen können sicherheitskritisch sein.

PAM setzt deshalb unmittelbar bei den besonders mächtigen Zugriffsrechten eines Unternehmens an. Privilegierte Berechtigungen werden nicht dauerhaft und unkontrolliert bereitgestellt, sondern nach definierten Regeln geschützt, überwacht und möglichst auf den notwendigen Zeitraum beschränkt. Unternehmen erhalten dadurch Transparenz darüber, wer wann auf welche kritischen Ressourcen zugreifen darf und welche Aktivitäten während eines privilegierten Zugriffs stattfinden. Diese Nachvollziehbarkeit ist neben der eigentlichen Angriffsvorsorge auch für Audit-, Governance- und Compliance-Anforderungen relevant.

Wie privilegierte Zugänge gezielt für Cyberangriffe missbraucht werden können, vertieft der IPG-Fachbericht „Cyberkriminalität – Schützen Sie Ihre Assets mit PAM“.

Privilegiert ist ein Zugriff immer dann, wenn damit besonders weitreichende Aktionen auf Systemen, Anwendungen, Daten oder Sicherheitsmechanismen ausgeführt werden können. Dazu zählen klassische Administrator- und Root-Konten ebenso wie technische Service Accounts, Datenbankadministratoren, Cloud-Administratoren und privilegierte Zugänge externer Dienstleister. Zunehmend relevant werden zudem nicht-menschliche Identitäten, automatisierte Prozesse und andere Workloads mit weitreichenden Berechtigungen. Entscheidend ist deshalb nicht allein der Name eines Accounts, sondern das tatsächliche Risiko der mit ihm verbundenen Rechte.

Ein PAM-System schafft eine kontrollierte Ebene zwischen einem Benutzer oder einer Identität und dem privilegierten Zugriff auf ein Zielsystem. Anstatt beispielsweise Administrator-Passwörter dauerhaft offenzulegen, können Zugangsdaten geschützt in einem zentralen Passwort-Tresor beziehungsweise Vault gespeichert und automatisiert verwaltet werden. Ein berechtigter Administrator erhält den Zugriff nach definierten Richtlinien, ohne das zugrunde liegende Passwort zwingend selbst kennen zu müssen. Nach einer Nutzung kann das Passwort automatisiert geändert werden, wodurch sich das Risiko durch bekannte oder weitergegebene Zugangsdaten reduziert.

Moderne PAM-Systeme können privilegierte Sitzungen zusätzlich über einen kontrollierten Zugang vermitteln. Dadurch lassen sich Sessions überwachen, protokollieren und abhängig von der eingesetzten Lösung aufzeichnen. Freigabeverfahren ermöglichen ausserdem, besonders kritische Berechtigungen erst nach einer Genehmigung bereitzustellen. Mit Just-in-Time-Ansätzen können privilegierte Rechte zeitlich begrenzt und nur dann vergeben werden, wenn sie tatsächlich benötigt werden. PAM verbindet damit technische Zugriffskontrolle mit Governance, Nachvollziehbarkeit und einer konsequenten Umsetzung des Least-Privilege-Prinzips.

Ein vollständiger PAM-Ansatz besteht aus mehreren technischen und organisatorischen Funktionen, die unterschiedliche Risiken privilegierter Zugriffe adressieren. Nicht jedes Unternehmen benötigt dabei dieselbe Kombination oder Ausprägung. Typische PAM-Funktionen umfassen:

• Privileged Password Management: privilegierte Zugangsdaten werden zentral geschützt, verwaltet und automatisiert geändert.
• Session Management: privilegierte Sitzungen werden kontrolliert vermittelt, überwacht und für Audit- oder Forensikzwecke nachvollziehbar gemacht.
• Just-in-Time Access: erhöhte Berechtigungen werden nur für einen definierten Zeitraum und einen konkreten Zweck bereitgestellt.
• Privileged Remote Access (PRA): externe Dienstleister oder interne Spezialisten erhalten kontrollierten Remote-Zugriff, ohne unkontrollierte privilegierte Credentials zu erhalten.
• Endpoint Privilege Management (EPM): administrative Rechte auf Endgeräten werden reduziert und bei Bedarf gezielt für einzelne Anwendungen oder Aktionen freigegeben.
• Discovery und Onboarding: privilegierte Accounts und Systeme können erkannt und kontrolliert in die PAM-Verwaltung aufgenommen werden.

Gemeinsam verfolgen diese Funktionen das Ziel, dauerhafte Privilegien zu reduzieren und kritische Zugriffe kontrollierbar zu machen.

Der Lebenszyklus eines privilegierten Zugriffs beginnt mit der Anforderung durch einen Benutzer oder eine technische Identität. Nach Prüfung und gegebenenfalls Genehmigung stellt das PAM-System den erforderlichen Zugriff gemäss den definierten Richtlinien bereit. Dabei können unterschiedliche Arten von Credentials zum Einsatz kommen, beispielsweise Passwörter, SSH-Schlüssel, digitale Zertifikate, API-Schlüssel oder Tokens. Während der Nutzung können privilegierte Aktivitäten und Sessions überwacht und nachvollziehbar protokolliert werden. Nach Abschluss der Aufgabe wird der Zugriff wieder beendet und nicht mehr benötigte Privilegien werden entzogen. Die aufgezeichneten Aktivitäten bleiben für Audit, Compliance und forensische Analysen nachvollziehbar.

Das Principle of Least Privilege bedeutet, dass Benutzer und technische Identitäten nur die Berechtigungen erhalten, die sie für ihre jeweilige Aufgabe tatsächlich benötigen. PAM setzt dieses Prinzip bei besonders kritischen Zugriffen um und reduziert dauerhaft vorhandene administrative Rechte.

Just-in-Time (JIT) geht einen Schritt weiter: Privilegierte Zugriffe werden erst bei Bedarf und nur für einen begrenzten Zeitraum bereitgestellt. Dabei können entweder temporäre privilegierte Konten angelegt und anschliessend wieder entfernt oder bestehenden Identitäten vorübergehend erhöhte Berechtigungen zugewiesen und danach automatisch entzogen werden. So existieren privilegierte Zugänge und Rechte möglichst nur dann, wenn sie tatsächlich benötigt werden. In Verbindung mit Freigabeprozessen und Multifaktor-Authentifizierung unterstützt dieser Ansatz moderne Zero-Trust-Architekturen und reduziert die Angriffsfläche.

Identity & Access Management (IAM) verwaltet digitale Identitäten und deren Zugriffsrechte über den gesamten Lebenszyklus, während PAM besonders kritische und privilegierte Zugriffe zusätzlich absichert. IAM beantwortet damit grundsätzlich, wer auf welche Ressourcen zugreifen darf, während PAM bei besonders mächtigen Berechtigungen zusätzliche Kontrollen für deren tatsächliche Nutzung etabliert. Beide Disziplinen ergänzen sich und sollten in einer ganzheitlichen Identity-Security-Architektur nicht isoliert betrachtet werden. Ein IAM-System kann beispielsweise die Rolle eines Administrators verwalten, während PAM dessen konkreten privilegierten Zugriff auf ein Produktivsystem kontrolliert und dokumentiert.

Das Zusammenspiel der Disziplinen erläutert der IPG-Fachbericht „IAM ohne PAM? – Wie Handball ohne Trainer am Spielfeldrand" ausführlicher.

Traditionelles PAM konzentrierte sich stark auf Administrator-Konten, Passwort-Tresore und klar definierte privilegierte Zugänge innerhalb vergleichsweise stabiler IT-Infrastrukturen. Moderne Unternehmensarchitekturen sind jedoch wesentlich dynamischer geworden. Cloud-Plattformen, SaaS-Anwendungen, DevOps-Prozesse, Remote-Arbeit und automatisierte Workloads erzeugen kontinuierlich neue Identitäten und Berechtigungen. Dadurch wächst nicht nur die Anzahl privilegierter Zugriffe, sondern auch die Geschwindigkeit, mit der diese entstehen und wieder verschwinden.

Ein moderner PAM-Ansatz muss deshalb stärker auf Kontext, Automatisierung und zeitlich begrenzte Berechtigungen reagieren können. Neben menschlichen Administratoren müssen technische Identitäten, Service Accounts und weitere Non-Human Identities berücksichtigt werden. Gleichzeitig gewinnt die kontinuierliche Analyse tatsächlicher Berechtigungen gegenüber statischen Rollenmodellen an Bedeutung. PAM entwickelt sich damit von einem isolierten Passwort-Safe zu einem Bestandteil einer umfassenderen Identity-Security-Architektur. Das Ziel bleibt unverändert: privilegierte Zugriffe sollen nachvollziehbar, minimal und nur im notwendigen Kontext verfügbar sein. Die technische Umsetzung dieses Ziels verändert sich jedoch mit den IT-Architekturen.

Mehr zu dieser Entwicklung erläutert „Warum klassisches PAM an seine Grenzen stößt“.

Cloud- und hybride Architekturen erweitern den Anwendungsbereich von PAM, weil privilegierte Zugriffe nicht mehr ausschliesslich innerhalb eines klassischen Unternehmensnetzwerks stattfinden. Administratoren, technische Workloads und externe Spezialisten greifen heute auf Cloud-Plattformen, SaaS-Dienste, lokale Systeme und verteilte Infrastrukturen zu. PAM muss diese unterschiedlichen Zugriffswege möglichst konsistent absichern und zugleich dynamische Berechtigungsmodelle berücksichtigen. Besonders wichtig werden dabei zeitlich begrenzte Rechte, zentrale Richtlinien und die Integration mit bestehenden IAM- und Security-Systemen. Privileged Access Management wird dadurch zu einer verbindenden Kontrollschicht für privilegierte Zugriffe über unterschiedliche Infrastrukturmodelle hinweg.

In Operational-Technology-Umgebungen (OT) treffen hohe Sicherheitsanforderungen auf Systeme, deren Verfügbarkeit für Produktion und kritische Prozesse entscheidend sein kann. Privilegierte Zugriffe entstehen dort beispielsweise durch interne Techniker, externe Hersteller, Integratoren, Wartungsprozesse oder automatisierte Geräteidentitäten. Betroffen sind unter anderem Industrial Control Systems (ICS), SCADA-Systeme, speicherprogrammierbare Steuerungen (PLC) und weitere industrielle Komponenten. Ein unkontrollierter privilegierter Zugriff kann deshalb nicht nur Informationen gefährden, sondern potenziell auch operative Prozesse beeinflussen.

PAM ermöglicht, solche Zugriffe zentral zu autorisieren, zeitlich zu begrenzen und nachvollziehbar zu dokumentieren. Besonders relevant ist Privileged Remote Access, wenn Hersteller oder externe Spezialisten Wartungsarbeiten aus der Ferne durchführen müssen. Dabei kann der Zugriff auf genau die benötigten Zielsysteme beschränkt werden, ohne privilegierte Zugangsdaten dauerhaft an externe Personen weiterzugeben. Gleichzeitig unterscheiden sich OT-Umgebungen in Lebenszyklen, Verfügbarkeitsanforderungen und technischen Protokollen teilweise erheblich von klassischer IT. Eine PAM-Architektur für OT muss diese Besonderheiten berücksichtigen, anstatt bestehende IT-Konzepte unverändert zu übertragen. Damit wird PAM zu einem wichtigen Bindeglied zwischen Identity Security und der Absicherung industrieller Infrastrukturen.

Die Besonderheiten industrieller Umgebungen behandelt der vertiefende Bericht „PAM in OT: Warum Privileged Access Management für industrielle Systeme unverzichtbar wird“.

Mit autonomen KI-Agenten entsteht eine neue Klasse nicht-menschlicher Identitäten, die eigenständig auf Anwendungen, APIs, Daten und andere Unternehmensressourcen zugreifen kann. Für PAM ist diese Entwicklung relevant, sobald solche Systeme privilegierte Aktionen ausführen oder auf besonders sensible Ressourcen zugreifen dürfen. Klassische Sicherheitsmodelle, die primär zwischen menschlichen Benutzern und Service Accounts unterscheiden, reichen dafür langfristig möglicherweise nicht mehr aus. Unternehmen müssen deshalb klären, welche Identität einem KI-Agenten zugeordnet wird, welche Berechtigungen er benötigt und in welchem Kontext diese gelten dürfen.

Besonders anspruchsvoll wird die Frage der Verantwortlichkeit. Ein KI-Agent kann innerhalb eines automatisierten Prozesses Entscheidungen treffen und Aktionen ausführen, ohne dass ein Mensch jede einzelne Handlung unmittelbar bestätigt. Damit steigen die Anforderungen an Runtime Authorization, Protokollierung und die zeitliche Begrenzung privilegierter Rechte. Gleichzeitig sollte auch für KI-Agenten das Least-Privilege-Prinzip gelten. Nicht-menschliche Identitäten dürfen nicht allein aufgrund technischer Bequemlichkeit dauerhafte weitreichende Berechtigungen erhalten. Die Grenzen zwischen PAM, IAM und der Verwaltung von Non-Human Identities werden dadurch zunehmend fliessend. Privileged Access Management entwickelt sich entsprechend weiter, um neben Menschen auch autonome digitale Akteure kontrollieren zu können.

Diese Entwicklung vertieft der IPG-Bericht „Privileged AI: Warum autonome KI-Agenten zur neuen Herausforderung für PAM und Identity Security werden“.

PAM unterstützt Unternehmen dabei, privilegierte Zugriffe nachvollziehbar zu steuern und gegenüber internen sowie externen Prüfern transparent zu dokumentieren. Freigaben, Zugriffszeiten, Änderungen privilegierter Zugangsdaten und aufgezeichnete Sessions können nachvollziehbar machen, welche Identität wann auf ein kritisches System zugegriffen hat. Damit unterstützt PAM die technische Umsetzung von Anforderungen an privilegierte Zugriffsrechte, Nachvollziehbarkeit und Least Privilege. Relevant ist dies beispielsweise im Kontext von ISO/IEC 27001 sowie regulatorischen Anforderungen wie NIS2 oder DORA. PAM ersetzt dabei keine übergreifende Governance, liefert aber wichtige technische Kontrollen und Nachweise für deren Umsetzung.

Der zentrale Nutzen von PAM besteht darin, besonders risikoreiche Berechtigungen kontrollierbar zu machen und unnötige privilegierte Zugriffe zu reduzieren. Daraus ergeben sich mehrere miteinander verbundene Vorteile:

• Geringere Angriffsfläche: dauerhafte und unkontrollierte privilegierte Berechtigungen werden reduziert.
• Schutz von Credentials: administrative Passwörter und andere Secrets können zentral verwaltet und automatisiert geändert werden.
• Mehr Transparenz: privilegierte Zugriffe und Aktivitäten lassen sich nachvollziehen und für Audits dokumentieren.
• Kontrollierter Drittzugriff: externe Dienstleister können gezielt und zeitlich begrenzt auf benötigte Systeme zugreifen.
• Unterstützung von Least Privilege und Zero Trust: Berechtigungen werden stärker nach Bedarf, Kontext und Zeitraum vergeben.
• Bessere Governance: Freigaben, Verantwortlichkeiten und privilegierte Aktivitäten werden in kontrollierbare Prozesse überführt.

PAM ist damit nicht nur eine technische Sicherheitslösung, sondern eine Kontrollinstanz für besonders kritische digitale Berechtigungen.

Die Auswahl einer PAM-Lösung sollte sich an den tatsächlichen privilegierten Zugriffsszenarien des Unternehmens orientieren und nicht allein an einzelnen Produktfunktionen. Zunächst sollte geklärt werden, welche privilegierten Identitäten, Zielsysteme, Cloud-Dienste, Endpoints und externen Zugriffe abgesichert werden müssen. Darauf aufbauend lassen sich Anforderungen an Password Management, Session Management, Just-in-Time Access, EPM oder Privileged Remote Access ableiten. Ebenso wichtig ist die Integration in bestehende IAM-, Verzeichnis-, SIEM-, ITSM- und Security-Infrastrukturen.

Unternehmen sollten ausserdem berücksichtigen, wie gut eine Lösung hybride und Cloud-basierte Architekturen unterstützt. Bedienbarkeit und Automatisierung beeinflussen wesentlich, ob PAM im operativen Alltag akzeptiert und konsequent genutzt wird. Auch Skalierbarkeit, Betriebsmodell und regulatorische Anforderungen müssen in die Bewertung einfliessen. Ein technisch leistungsfähiges PAM-System kann seinen Nutzen nur entfalten, wenn Prozesse, Verantwortlichkeiten und Zielarchitektur dazu passen. Deshalb sollte der Produktauswahl eine strukturierte Analyse der organisatorischen und technischen Anforderungen vorausgehen. Erst danach ist ein belastbarer Vergleich verschiedener PAM-Plattformen sinnvoll.

Einen direkten Einstieg in diese Auswahl bietet der IPG-Fachbericht „PAM-Systeme: Vergleich, Funktionen und Auswahlkriterien“.

Dieser Bericht beruht auf Expertenwissen, für die Ausformulierung wurde Hilfe von KI in Anspruch genommen.