Glossar · einfach erklärt

PAM (Privileged Access Management)

PAM sichert die mächtigsten Konten: Admin-Zugänge im Tresor, Sitzungen protokolliert, Rechte nur auf Zeit.

Privileged Access Management (PAM) schützt die Zugänge mit den weitreichendsten Rechten: Administrator- und Root-Konten, Service-Accounts, Notfallzugänge, Zugänge zu Netzwerkgeräten und Cloud-Konsolen. Genau diese Konten sind das Endziel fast jedes Angriffs — wer sie kontrolliert, kontrolliert die Umgebung.

PAM ersetzt gelebte Praxis wie geteilte Admin-Passwörter und Dauerrechte durch kontrollierte Abläufe: Zugriff wird beantragt, begründet, zeitlich begrenzt und lückenlos protokolliert.

Die Kernfunktionen von PAM

Der Passwort-Tresor verwahrt privilegierte Zugangsdaten zentral, rotiert sie automatisch und macht geteilte Passwörter überflüssig — Administratoren checken Zugriff aus statt Passwörter zu kennen. Session-Management vermittelt und protokolliert privilegierte Sitzungen, bis hin zur Aufzeichnung; das schafft Nachvollziehbarkeit auch gegenüber Dienstleistern.

Das modernste Prinzip ist Just-in-Time-Zugriff: Dauerhafte Admin-Rechte verschwinden, stattdessen werden Rechte für eine konkrete Aufgabe und Zeitspanne erteilt und automatisch entzogen. Das Ziel heißt Zero Standing Privileges — keine ständig scharfen Superkonten mehr.

Wo PAM sofort Risiko senkt

Geteilte oder nie rotierte Admin-Passwörter verschwinden in den Tresor.
Dienstleister-Zugriffe laufen vermittelt, zeitbegrenzt und aufgezeichnet.
Service-Accounts erhalten Eigentümer, Rotation und Überwachung.
Notfallzugänge (Break-Glass) sind geregelt statt improvisiert.

Häufige Fragen zu PAM (Privileged Access Management)

Worin unterscheidet sich PAM von IAM?

IAM verwaltet alle Identitäten und Rechte in der Breite; PAM ist die Vertiefung für die kritischsten Zugänge: Tresor, Sitzungsvermittlung, Aufzeichnung, Just-in-Time-Rechte. Beides greift ineinander — IAM liefert die Identität, PAM kontrolliert ihre mächtigsten Momente.

Was bedeutet Just-in-Time-Zugriff?

Rechte existieren nicht dauerhaft, sondern werden für eine konkrete Aufgabe beantragt, zeitlich begrenzt erteilt und automatisch entzogen. Das reduziert die Angriffsfläche drastisch: Ein gestohlenes Konto ohne stehende Privilegien ist für Angreifer weitgehend wertlos.

Warum sind Service-Accounts ein PAM-Thema?

Technische Konten haben oft hohe Rechte, ewige Passwörter und keinen Eigentümer — ideale Beute. PAM inventarisiert sie, rotiert Zugangsdaten automatisch und macht ihre Nutzung sichtbar. Gerade in gewachsenen Umgebungen ist das einer der größten Einzelgewinne.

Behindert PAM die Administratoren nicht?

Gut eingeführt kaum: Checkout und Sitzungsstart dauern Sekunden, und Komfortfunktionen wie automatisches Einloggen ohne Passwort-Sicht beschleunigen sogar. Der Widerstand sinkt erfahrungsgemäß schnell, sobald die ersten Audit-Anfragen per Knopfdruck beantwortet sind.

Verlangen Regularien wie NIS-2 ein PAM?

Nicht wörtlich als Produkt — aber die Anforderungen an Zugriffskontrolle, Nachvollziehbarkeit und Risikomanagement laufen praktisch darauf hinaus, privilegierte Zugriffe besonders zu schützen und zu protokollieren. PAM ist der etablierte Weg, genau das nachweisbar zu tun.