Privileged Identity Management (PIM) sauber einrichten

Privileged Identity Management ist nicht „MFA für Admins" und auch kein Häkchen, das du einmal setzt. PIM verwandelt dauerhafte Adminrechte in Rechte auf Antrag und auf Zeit – berechtigt sein und es gerade sein werden zwei verschiedene Dinge. Wer PIM richtig aufsetzt, hat im Normalbetrieb null stehende Privilegien im Tenant. Und genau das ist der Punkt: Ein gestohlenes Admin-Konto, das gerade nur eligible ist, öffnet dem Angreifer exakt gar nichts.

Skizze 1: Der PIM-Aktivierungsfluss – aus „berechtigt" wird zeitlich begrenzt „aktiv", mit MFA, optionaler Genehmigung und automatischem Entzug.

Warum stehende Adminrechte dein größtes Risiko sind

Die unbequeme Wahrheit aus jedem zweiten Tenant-Review: Es gibt viel zu viele dauerhafte Global Admins. Acht, zwölf, manchmal zwanzig – „weil es praktisch war". Jedes dieser Konten ist eine offene Tür rund um die Uhr. Phishing, Token-Diebstahl, ein versehentlich öffentliches Skript mit Klartext-Credential: Ein einziger Treffer reicht, und der Angreifer ist sofort Tenant-Owner.

PIM dreht das Modell um. Im Ruhezustand hat niemand Adminrechte. Wer etwas braucht, aktiviert die Rolle für ein paar Stunden, mit MFA und Begründung, und sie verschwindet danach von selbst. Das reduziert die Angriffsfläche nicht graduell, sondern strukturell.

Skizze 2: Dauerhafte Adminrechte vs. PIM – derselbe Mensch, aber im Normalbetrieb keine offene Tür mehr.

Eligible, Active, Permanent – die Begriffe, an denen alle scheitern

PIM kennt zwei Achsen, und ihre Kombination entscheidet über das Verhalten. Verwechselst du sie, baust du entweder ein Sicherheitsloch oder eine Bürokratie-Hölle.

Die Rolleneinstellungen, die wirklich zählen

Eligible-Zuweisungen sind nur die halbe Miete. Das Verhalten steuerst du pro Rolle über die Aktivierungs-Einstellungen. Diese Defaults solltest du bewusst setzen, nicht übernehmen:

Skizze 3: Was beim Klick auf „Activate" abläuft – MFA, optionale Genehmigung, JIT-Zuweisung und automatischer Entzug nach Ablauf.

Umsetzung mit PowerShell (Microsoft Graph)

Das Portal ist für den Einstieg gut, für die saubere, wiederholbare Einrichtung nimmst du Graph. Eligible-Zuweisung einer Rolle über das Microsoft.Graph-Modul:

Achte auf das Verb im action: adminAssign legt eligible an, selfActivate wäre die Aktivierung durch den Nutzer selbst. Verwechselt man das im Skript, weist man aus Versehen aktive Rollen zu – das genaue Gegenteil des Ziels.

Beispiel aus der Praxis

Die Trendforge Digital GmbH, Cloud-first-Startup, war schnell gewachsen: Aus „wir zwei machen das eben" waren elf dauerhafte Global Admins geworden, weil bei jedem neuen Projekt einfach jemand die Rolle bekam. Ein Phishing-Vorfall – ein Entwickler klickte auf eine gefälschte MFA-Aufforderung – machte schmerzhaft klar, was elf offene Türen bedeuten. Glück im Unglück: Das getroffene Konto war zufällig kein Admin.

Die Aufräumaktion: Zuerst zwei Break-Glass-Konten mit FIDO2-Keys, sauber dokumentiert und im Tresor. Dann alle elf Global Admins auf eligible umgestellt, Aktivierung auf zwei Stunden begrenzt, MFA und Begründung Pflicht, für Global Admin zusätzlich Genehmigung durch die Geschäftsführung. Nach vier Wochen Monitoring zeigte sich: Drei der elf hatten die Rolle in der ganzen Zeit kein einziges Mal aktiviert. Die brauchten sie nie – sie hatten sie nur. Diese drei Zuweisungen flogen ganz raus. Aus elf dauerhaften Tenant-Ownern wurden acht berechtigte Admins mit null stehenden Rechten.

Verwandte Artikel

Häufige Fragen (FAQ)

Frage: Brauche ich für PIM zwingend Entra ID P2?

Antwort: Ja. PIM mit eligible-Zuweisungen, Aktivierung, Genehmigungen und Access-Review-Integration setzt Entra ID P2 oder Entra ID Governance voraus – pro Nutzer, der eligible ist. P1 und Free reichen nicht. Plane die Lizenzkosten von Anfang an ein, sonst scheitert der Rollout genau dann, wenn er produktiv werden soll.

Frage: Was ist der Unterschied zwischen eligible und active?

Antwort: Eligible heißt: darf die Rolle aktivieren, hat sie im Alltag aber nicht. Active heißt: hat die Rolle sofort und permanent scharf. Der ganze Sinn von PIM steckt in eligible – aktive Dauerzuweisungen sind genau das, was du loswerden willst.

Frage: Verliere ich durch PIM den Zugriff, wenn etwas schiefläuft?

Antwort: Das ist das Hauptrisiko – und genau dagegen gibt es Break-Glass-Konten. Lege vor dem Rollout mindestens zwei dauerhaft aktive Notfall-Admins an, die nicht in PIM laufen und mit FIDO2 gesichert sind. Solange die existieren und getestet sind, kommst du immer zurück in den Tenant.

Frage: Wie lange sollte eine Aktivierung maximal gültig sein?

Antwort: Ein bis vier Stunden sind in der Praxis der gute Korridor. Lang genug, um die Arbeit zu erledigen, kurz genug, dass eine vergessene aktive Rolle kein großes Zeitfenster aufreißt. Acht Stunden oder „den ganzen Tag" untergraben den Sinn.

Frage: Kann ich PIM auch für Azure-Ressourcen und Gruppen nutzen, nicht nur für Entra-Rollen?

Antwort: Ja. PIM gibt es für Entra-Rollen, für Azure-Ressourcenrollen (Subscriptions, Resource Groups) und für PIM-fähige Sicherheitsgruppen. Gerade Letzteres ist mächtig: Du machst die Gruppenmitgliedschaft selbst eligible und steuerst damit alles, was an der Gruppe hängt.

Frage: Sollte der Genehmiger die Aktivierung selbst genehmigen dürfen?

Antwort: Nein. Self-Approval hebt das Vier-Augen-Prinzip auf und ist nur Bürokratie ohne Sicherheitsgewinn. Genehmiger müssen eine andere Personengruppe sein als die Antragsteller, und es sollten immer mehrere hinterlegt sein, damit der Prozess Urlaub und Krankheit übersteht.

Wie geht es weiter?