--- id: CP-197 slug: minimale-rechte-just-in-time-zugriff lang: de title: Minimale Rechte und Just-in-Time-Zugriff description: Minimale Rechte beschränken Zugriffe auf das Nötige, Just-in-Time-Zugriff vergibt sie nur befristet. Was Beschäftigte tun. canonical_url: https://startbrain.io/cyberpedia/de/articles/minimale-rechte-just-in-time-zugriff/ markdown_url: https://startbrain.io/cyberpedia/de/articles/minimale-rechte-just-in-time-zugriff.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Minimale Rechte und Just-in-Time-Zugriff“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/minimale-rechte-just-in-time-zugriff/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-029 schema: G3 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/minimale-rechte-just-in-time-zugriff/ fr: https://startbrain.io/cyberpedia/fr/articles/moindre-privilege-acces-jit/ en: https://startbrain.io/cyberpedia/en/articles/least-privilege-just-in-time-access/ es: https://startbrain.io/cyberpedia/es/articles/minimo-privilegio-acceso-jit/ sources: - "n": 1 title: least privilege - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/least_privilege accessed: "2026-11-03" - "n": 2 title: Qu’est-ce que Microsoft Entra Privileged Identity Management ? publisher: Microsoft url: https://learn.microsoft.com/fr-fr/entra/id-governance/privileged-identity-management/pim-configure accessed: "2026-11-03" - "n": 3 title: Meilleures pratiques pour les rôles Microsoft Entra publisher: Microsoft url: https://learn.microsoft.com/fr-fr/entra/identity/role-based-access-control/best-practices accessed: "2026-11-03" - "n": 4 title: Valid Accounts, Technique T1078 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/ accessed: "2026-11-03" - "n": 5 title: Authorization - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Authorization_Cheat_Sheet.html accessed: "2026-11-03" - "n": 6 title: Privileged Account Management, Mitigation M1026 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1026/ accessed: "2026-11-03" - "n": 7 title: Zero trust architecture design principles publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles accessed: "2026-11-03" - "n": 8 title: Zero Trust Maturity Model publisher: CISA url: https://www.cisa.gov/zero-trust-maturity-model accessed: "2026-11-03" - "n": 9 title: User Account Management, Mitigation M1018 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1018/ accessed: "2026-11-03" --- # Minimale Rechte und Just-in-Time-Zugriff Das Prinzip der minimalen Rechte (Least Privilege) ist ein Sicherheitsgrundsatz: Ein System soll die Zugriffsrechte von Benutzern oder von Programmen, die in deren Auftrag handeln, auf das Minimum beschränken, das für die zugewiesenen Aufgaben nötig ist [1]. Wer einen Ordner nur lesen muss, braucht ihn nicht löschen zu können. Der Just-in-Time-Zugriff (JIT, „gerade rechtzeitig“) führt den Gedanken für erhöhte Rechte weiter. Benutzer erhalten temporäre Berechtigungen für privilegierte Aufgaben, und der Zugriff wird erst in dem Moment gewährt, in dem sie ihn brauchen [2]. Nach Ablauf der Frist wird der privilegierte Zugriff automatisch entfernt [3]. ## In 30 Sekunden - Wo es vorkommt: an jedem Arbeitsplatz und in jedem Dienst, in dem es Administratorrechte gibt, zum Beispiel bei der Verwaltung von Microsoft 365 oder eines Unternehmensverzeichnisses [2]. - Was der Angreifer will: ein bestehendes Konto mit seinen Rechten nutzen. Das erspart ihm mitunter Schadsoftware und macht seine Anwesenheit schwerer erkennbar [4]. - Der Reflex: erhöhten Zugriff befristet und mit klarer Begründung beantragen, Administratorrechte niemals weitergeben und Rechte melden, die nicht mehr gebraucht werden. - Wenn es schon passiert ist: die IT-Abteilung informieren. Sie kann bei einer Zugriffsüberprüfung Rechte entfernen, die unnötig geworden sind [3]. ## Direkte Fragen ### Warum die Rechte eines vertrauenswürdigen Beschäftigten beschränken? Organisationen begrenzen die Zahl der Personen mit Zugriff auf sensible Ressourcen, um zwei Risiken zu verringern: dass ein böswilliger Benutzer auf diese Daten zugreift und dass ein berechtigter Benutzer versehentlich eine sensible Ressource beeinträchtigt [2]. Microsoft ergänzt, dass durch die Begrenzung von Rollen und Geltungsbereichen weniger Ressourcen gefährdet sind, wenn das Konto kompromittiert wird [3]. ### Was bedeutet „Just-in-Time“ konkret? Der Beschäftigte hat kein dauerhaftes Administratorrecht. Er ist für eine Rolle „berechtigt“ und aktiviert sie, wenn er eine privilegierte Aufgabe ausführen muss. Die Aktivierung kann eine Multifaktor-Überprüfung, eine fachliche Begründung oder die Genehmigung durch einen benannten Genehmiger verlangen [2]. Ist die Rolle aktiviert, bleibt sie für einen vorgegebenen Zeitraum nutzbar, danach muss der Benutzer sie erneut aktivieren [2]. ### Betrifft das Prinzip der minimalen Rechte nur Administratoren? Nein. OWASP beschreibt es als Regel, die auf allen Ebenen gilt: Eine Buchhalterin und ein Vertriebsmitarbeiter haben denselben Rang in der Hierarchie, brauchen aber nicht dieselben Ressourcen. Die Buchhalterin sollte nicht auf die Kundendatenbank zugreifen, der Vertriebsmitarbeiter nicht auf die Gehaltsdaten [5]. ### Was geschieht, wenn eine Zugriffsanfrage abläuft? Laut der Dokumentation von Microsoft kann der Benutzer eine Verlängerung beantragen, wenn eine Rollenzuweisung kurz vor dem Ablauf steht. Ist sie abgelaufen, kann er eine Erneuerung beantragen. Beide Anträge laufen über die Genehmigung durch einen globalen Administrator oder einen Administrator für privilegierte Rollen [2]. ## So funktioniert es Die Beschreibung folgt dem Werkzeug Privileged Identity Management von Microsoft, einem Beispiel unter mehreren. Ein Administrator weist einem Benutzer, einer Gruppe oder einer Dienstidentität eine Rolle zu. Die Zuweisung legt den Geltungsbereich fest (die Rolle gilt nur für eine bestimmte Menge von Ressourcen), ihren Typ (berechtigt oder aktiv) und ihre Dauer, mit Start- und Enddatum oder ohne Begrenzung [2]. Um eine berechtigte Rolle zu aktivieren, wählt der Benutzer eine Aktivierungsdauer innerhalb der von den Administratoren gesetzten Grenzen und nennt den Grund seiner Anfrage [2]. Das Werkzeug kann eine Genehmigung verlangen, Multifaktor-Authentifizierung erzwingen, bei der Aktivierung Benachrichtigungen senden und einen Prüfverlauf aufbewahren [2]. MITRE nennt außerdem die kurzlebigen Rollen anderer Cloud-Anbieter, um erhöhte Berechtigungen zeitlich begrenzt zu vergeben [6]. Microsoft empfiehlt, mehrere Kontrollen zu kombinieren, da keine einzelne Funktion alle Fälle abdeckt. Das Beispiel: eine benutzerdefinierte Rolle, die auf eine Verwaltungseinheit beschränkt ist, damit ein regionaler Support-Administrator nur die Kennwörter seiner Region zurücksetzen kann. Die Aktivierung läuft dann über PIM mit Genehmigung, und der bedingte Zugriff verlangt anschließend ein konformes Gerät und Multifaktor-Authentifizierung [3]. Das britische NCSC definiert den „Zero-Trust“-Ansatz so: Das dem Netzwerk innewohnende Vertrauen wird entzogen, das Netzwerk gilt als feindlich, und jede Anfrage wird anhand einer Zugriffsrichtlinie geprüft [7]. Die CISA verbindet damit Zugriffsentscheidungen nach dem Prinzip der minimalen Rechte, Anfrage für Anfrage [8]. ## Was Sie tun - Beantragen Sie den Zugriff erst, wenn Sie ihn brauchen, mit einer zur Aufgabe passenden Dauer und einer genauen Begründung. Die bei der Aktivierung angegebene Begründung dient dazu, nachzuvollziehen, warum die Rolle genutzt wurde [2]. - Nutzen Sie die enge Rolle, die zur Aufgabe passt. Microsoft rät davon ab, breitere Rollen oder Rollen mit größerem Geltungsbereich zuzuweisen, auch wenn sie praktischer erscheinen [3]. - Behalten Sie Ihre Administratorrechte für sich. Eine Rollenaktivierung erfolgt durch einen Benutzer, löst eine Benachrichtigung aus und bleibt im Prüfverlauf erhalten [2]. OWASP weist darauf hin, dass sich ein Zugriffsverstoß ohne ordnungsgemäße Protokollierung unter Umständen keiner Person zuordnen lässt [5]. - Wenn Sie das Team oder den Auftrag wechseln, beantragen Sie die Entfernung der Rechte Ihrer früheren Funktion. Microsoft stellt fest, dass Personen, die das Team wechseln, ohne Prüfung unnötige Zugriffe ansammeln [3]. - Beantworten Sie Zugriffsüberprüfungen: Sie dienen dazu festzustellen, ob Benutzer ihre Rollen noch brauchen [2]. - Aktivieren Sie die Multifaktor-Authentifizierung für Administrationskonten. Laut Microsoft ist ein Konto nach dessen Studien damit zu 99,9 % weniger wahrscheinlich kompromittiert [3]. ## Die Fallstricke Sich ansammelnde Rechte. OWASP nennt „Privilege Creep“ den Fall, dass die Rechte von Benutzern über die ursprünglich festgelegten hinausgehen. Es empfiehlt eine regelmäßige Überprüfung und weist darauf hin, dass es leichter ist, Berechtigungen hinzuzufügen als zu entziehen [5]. Dauerhafte Administrationskonten. Dauerhafter privilegierter Zugriff ist das, was PIM für Benutzer in privilegierten Rollen beseitigen will [3]. Microsoft empfiehlt, die Rolle des globalen Administrators weniger als fünf Personen zu geben und die Zuweisungen privilegierter Rollen auf weniger als 10 zu begrenzen, weil diese Rollen eine Rechteausweitung ermöglichen [3]. Es sieht eine Ausnahme vor: zwei Notfallzugriffskonten, die dauerhaft zugewiesen, nicht an Personen gebunden und für „Break-Glass“-Situationen reserviert sind [3]. Vergessene Konten. MITRE weist darauf hin, dass Angreifer inaktive Konten missbrauchen können, etwa die von Personen, die die Organisation verlassen haben, weil der frühere Inhaber nicht mehr da ist, um ungewöhnliche Aktivität zu bemerken [4]. MITRE empfiehlt außerdem, Konten nach einer Inaktivitätsphase zu deaktivieren (30 Tage als Beispiel) und Konten ohne Eigentümer bei Audits zu löschen [9]. Zu mächtige Dienstkonten. Rollenzuweisungen können sich auf Dienstprinzipale oder verwaltete Identitäten beziehen, ebenso wie auf Personen [2]. Für Administratoren unterscheidet Microsoft drei Aspekte einer Rollenzuweisung: einen bestimmten Satz von Berechtigungen, für einen bestimmten Geltungsbereich, für einen bestimmten Zeitraum [3]. Überall dieselben Zugangsdaten. MITRE sieht die Überschneidung von Berechtigungen zwischen lokalen Konten, Domänenkonten und Cloud-Konten kritisch: Ein Angreifer kann von einem Konto zum nächsten wechseln, bis er eine hohe Zugriffsstufe erreicht, etwa als Domänenadministrator [4]. ## Reale Fälle ### 2015: der Angriff auf das ukrainische Stromnetz Laut MITRE nutzte die Gruppe Sandworm Team beim Angriff von 2015 auf das ukrainische Stromnetz gültige Konten im Unternehmensnetzwerk, um ihre Rechte auszuweiten, sich seitlich zu bewegen und sich dort dauerhaft einzurichten [4]. Die Quelle nennt nicht im Einzelnen, welche Rechte diese Konten hatten. ## Quellen 1. NIST, „least privilege - Glossary | CSRC“. https://csrc.nist.gov/glossary/term/least_privilege (abgerufen am 3. November 2026) 2. Microsoft, „Qu’est-ce que Microsoft Entra Privileged Identity Management ?“. https://learn.microsoft.com/fr-fr/entra/id-governance/privileged-identity-management/pim-configure (abgerufen am 3. November 2026) 3. Microsoft, „Meilleures pratiques pour les rôles Microsoft Entra“. https://learn.microsoft.com/fr-fr/entra/identity/role-based-access-control/best-practices (abgerufen am 3. November 2026) 4. MITRE ATT&CK, „Valid Accounts, Technique T1078 - Enterprise“. https://attack.mitre.org/techniques/T1078/ (abgerufen am 3. November 2026) 5. OWASP, „Authorization - OWASP Cheat Sheet Series“. https://cheatsheetseries.owasp.org/cheatsheets/Authorization_Cheat_Sheet.html (abgerufen am 3. November 2026) 6. MITRE ATT&CK, „Privileged Account Management, Mitigation M1026 - Enterprise“. https://attack.mitre.org/mitigations/M1026/ (abgerufen am 3. November 2026) 7. NCSC (Royaume-Uni), „Zero trust architecture design principles“. https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles (abgerufen am 3. November 2026) 8. CISA, „Zero Trust Maturity Model“. https://www.cisa.gov/zero-trust-maturity-model (abgerufen am 3. November 2026) 9. MITRE ATT&CK, „User Account Management, Mitigation M1018 - Enterprise“. https://attack.mitre.org/mitigations/M1018/ (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/minimale-rechte-just-in-time-zugriff/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.