--- id: CP-198 slug: privilegierte-zugriffe-pam-admin-konten lang: de title: Administratorkonten schützen (PAM) description: Ein Administratorkonto öffnet alle Türen. So schützt PAM es, und das tun Beschäftigte und ihre Vorgesetzten im Arbeitsalltag. canonical_url: https://startbrain.io/cyberpedia/de/articles/privilegierte-zugriffe-pam-admin-konten/ markdown_url: https://startbrain.io/cyberpedia/de/articles/privilegierte-zugriffe-pam-admin-konten.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Administratorkonten schützen (PAM)“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/privilegierte-zugriffe-pam-admin-konten/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-030 schema: G3 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/privilegierte-zugriffe-pam-admin-konten/ fr: https://startbrain.io/cyberpedia/fr/articles/gestion-acces-privilegies-pam-comptes-admin/ en: https://startbrain.io/cyberpedia/en/articles/privileged-access-management-pam-admin-accounts/ es: https://startbrain.io/cyberpedia/es/articles/gestion-acceso-privilegiado-pam-cuentas-admin/ sources: - "n": 1 title: privileged account - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/privileged_account accessed: "2026-11-03" - "n": 2 title: privileged user - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/privileged_user accessed: "2026-11-03" - "n": 3 title: Secure system administration publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/secure-system-administration published: "2020-09-15" accessed: "2026-11-03" - "n": 4 title: Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/ accessed: "2026-11-03" - "n": 5 title: Best practices for securing Active Directory publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/plan/security-best-practices/best-practices-for-securing-active-directory accessed: "2026-11-03" - "n": 6 title: What is Privileged Identity Management? - Microsoft Entra ID Governance publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure accessed: "2026-11-03" - "n": 7 title: Privileged Account Management, Mitigation M1026 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1026/ accessed: "2026-11-03" - "n": 8 title: Multi-factor Authentication, Mitigation M1032 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1032/ accessed: "2026-11-03" - "n": 9 title: Deploying a privileged access solution - Privileged access publisher: Microsoft url: https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment accessed: "2026-11-03" - "n": 10 title: "Valid Accounts: Local Accounts, Sub-technique T1078.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/003/ accessed: "2026-11-03" --- # Administratorkonten schützen (PAM) Ein privilegiertes Konto ist ein Systemkonto, das die Berechtigungen eines privilegierten Benutzers besitzt [1]. Ein privilegierter Benutzer ist eine Person, die autorisiert und damit als vertrauenswürdig eingestuft ist, Kontroll-, Überwachungs-, Administrations- oder Sicherheitsfunktionen auszuführen, die gewöhnliche Benutzer nicht ausführen dürfen [2]. Dieses Konto gehört nicht zwingend einer IT-Fachkraft des Unternehmens. Das britische NCSC verwendet das Wort „Administrator“ sowohl für eine Einzelperson, etwa einen Datenbankadministrator, als auch für ein Systemkonto, das eine geplante Aufgabe startet, und weist darauf hin, dass die Administration oft einem externen Dienstleister übertragen wird [3]. Alle haben höhere Berechtigungen als ein normaler Benutzer [3]. Privileged Access Management (PAM), auf Deutsch die Verwaltung privilegierter Zugriffe, umfasst die Regeln und Werkzeuge, die diese Konten absichern. ## In 30 Sekunden - Wo es vorkommt: auf jedem System, auf dem jemand Administrationsrechte hat, im Verzeichnis des Unternehmens, auf einem Arbeitsplatzrechner, einem Server oder einem Onlinedienst. - Was der Angreifer will: die Zugangsdaten eines bestehenden Kontos erbeuten, um zu handeln, ohne Aufmerksamkeit zu erregen [4]. - Der Reflex: Ein Administratorkonto nur zum Administrieren verwenden, nie für E-Mail, Web oder Büroanwendungen, und die Rechte erst anfordern, wenn man sie braucht. - Wenn es schon passiert ist: das Sicherheitsteam benachrichtigen. ## Direkte Fragen ### Was ist ein privilegiertes Konto? Es ist ein Konto, dessen Rechte über die eines gewöhnlichen Benutzers hinausgehen: einen Benutzer in einer Domäne anlegen, sich per SSH mit einem Webserver verbinden, um eine Datei zu ändern, und einen Alarm an einem Industrieventil konfigurieren sind drei Beispiele des NCSC [3]. Alle diese Handlungen können zum Schaden eingesetzt werden, deshalb müssen sie geschützt werden [3]. ### Warum nehmen Angreifer diese Konten zuerst ins Visier? Gestohlene Zugangsdaten erlauben es, Zugriffskontrollen zu umgehen. Sie dienen auch dazu, dauerhaften Zugang zu exponierten Diensten wie VPN, Web-E-Mail oder Remote-Desktop zu behalten [4]. Ein kompromittiertes Konto kann außerdem auf manchen Systemen eine höhere Privilegienstufe oder den Zugang zu abgeschotteten Netzwerkbereichen verschaffen [4]. Mit legitimen Zugangsdaten kann der Angreifer auf Schadsoftware verzichten, wodurch seine Anwesenheit schwerer zu entdecken ist [4]. Microsoft beschreibt denselben Mechanismus für das Verzeichnis Active Directory: Der Angreifer liest Zugangsdaten aus offenen Sitzungen aus und sucht zuerst nach Konten, die bereits erhöhte Rechte haben, die er dann nachahmt [5]. Übliche Ziele sind Konten mit ständigen Privilegien, Konten von Führungskräften, privilegierte Verzeichniskonten und Domänencontroller [5]. ### Darf man mit einem Administratorkonto E-Mails lesen? Nein. Microsoft nennt unter den Verhaltensweisen, die das Risiko eines Diebstahls von Zugangsdaten erhöhen, das Surfen im Internet bei angemeldetem privilegiertem Konto und die Anmeldung von einem ungesicherten Computer aus [5]. Der Hersteller empfiehlt, hochprivilegierte Konten nach Möglichkeit nicht für alltägliche Verwaltungsaufgaben zu verwenden [5]. Gesicherte Administrationsarbeitsplätze führen weder eine E-Mail-Anwendung noch einen Browser noch Büroanwendungen aus [5]. ### Was bedeutet PAM konkret? Das NCSC nennt die Leitlinie: sorgfältig kontrollieren, wer wo, wann, warum und wie administriert, Administratoren die geringsten Privilegien geben und den Zugang entziehen, wenn er nicht mehr nötig ist [3]. Bei Microsoft ermöglicht der Dienst Privileged Identity Management, den Zugriff auf wichtige Ressourcen der Organisation zu verwalten, zu kontrollieren und zu überwachen [6]. MITRE ergänzt die Überwachung der Nutzung privilegierter Konten und die Verantwortlichkeit, die durch Protokollierung und Audit gesichert wird [7]. ## Wie es funktioniert Ein PAM vereint mehrere Bausteine. Erstens ein Passworttresor. MITRE empfiehlt Tresorwerkzeuge zum Speichern und Wechseln von Zugangsdaten und nennt CyberArk, HashiCorp Vault oder KeePass als Beispiele [7]. Für die Passwörter lokaler Administratoren nennt dieselbe Seite Microsoft LAPS [7]. Zweitens die vorübergehende Erhöhung der Rechte. Im Dienst Privileged Identity Management von Microsoft Entra kann ein Beschäftigter für eine Rolle „berechtigt“ sein, ohne sie dauerhaft zu besitzen. Wenn er sie braucht, aktiviert er sie für begrenzte Zeit, innerhalb eines von den Administratoren festgelegten Höchstwerts, und gibt den Grund seiner Anfrage an [6]. Die Aktivierung kann eine Multifaktor-Authentifizierung, eine betriebliche Begründung oder die Zustimmung eines benannten Genehmigers verlangen [6]. Nach Ablauf der Frist erlischt die Rolle: Das ist das Prinzip des Zugriffs „just in time“, bei dem befristete Berechtigungen verhindern, dass ein böswilliger oder nicht autorisierter Benutzer nach deren Ablauf darauf zugreift [6]. Derselbe Dienst sendet eine Benachrichtigung, wenn eine privilegierte Rolle aktiviert wird, und ermöglicht Zugriffsüberprüfungen, um festzustellen, ob jeder seine Rolle noch braucht [6]. Drittens die Nachvollziehbarkeit. Das NCSC verlangt, alle Administrationstätigkeiten zu protokollieren und zu prüfen, um sicherzustellen, dass Administratoren nur legitime und genehmigte Handlungen ausführen [3]. Der Dienst von Microsoft erlaubt es, den Auditverlauf herunterzuladen [6]. Microsoft empfiehlt zudem, das Verzeichnis auf Anzeichen eines Angriffs zu überwachen [5]. Viertens die starke Authentifizierung. Sie verlangt mindestens zwei Identitätsnachweise: was man weiß, was man besitzt, was man ist [8]. MITRE rät, sie für alle privilegierten Konten vorzuschreiben [7] und insbesondere für privilegierte Rollen [8]. Microsoft verlangt sie bei der Nutzung privilegierter Konten oder für Administrationsaufgaben [5]. Schließlich die Trennung der Konten. In seinem Modell richtet Microsoft ein Benutzerkonto für den gesicherten Arbeitsplatz und ein getrenntes Konto für die Geräteadministration ein [9]. Das NCSC empfiehlt eine Administration in Stufen, weil nicht jede Administration dasselbe Risiko birgt [3]. ## Was Sie tun Die Handgriffe der Beschäftigten lassen sich auf vier Punkte bringen. - Zwei Verwendungszwecke trennen. Das Alltagskonto dient für E-Mail, Web und Büroanwendungen. Das Administrationskonto dient nur zum Administrieren, an einem dafür vorgesehenen Arbeitsplatz [5]. - Rechte bei Bedarf anfordern. Wenn Ihre Rolle gelegentlich erhöhten Zugriff verlangt, nutzen Sie das Aktivierungs- oder Genehmigungsverfahren Ihres Unternehmens, statt dauerhafte Rechte zu behalten [6]. Microsoft empfiehlt dasselbe: die ständige Mitgliedschaft in hochprivilegierten Gruppen abschaffen und bei Bedarf eine befristete Mitgliedschaft gewähren [5]. - Starke Authentifizierung akzeptieren. Microsoft verlangt, sie mindestens für Administratoren vorzuschreiben [9]. - Keine lokalen Administratorrechte auf dem eigenen Arbeitsplatzrechner behalten, wenn sie nicht nötig sind. Microsoft sieht vor, diese Rechte den Benutzern seiner privilegierten Arbeitsplätze zu entziehen [9], und MITRE empfiehlt, Benutzer aus der Gruppe der lokalen Administratoren zu entfernen [7]. Für Vorgesetzte besteht die Aufgabe darin, die Zahl der Personen zu begrenzen, die Zugriff auf sensible Informationen haben. Das verringert das Risiko, dass ein böswilliger Akteur darauf zugreift und dass ein autorisierter Benutzer versehentlich eine sensible Ressource berührt [6]. Ein benannter Genehmiger erhält eine E-Mail-Benachrichtigung, wenn eine Rollenanfrage auf seine Genehmigung wartet [6]. ## Die Fallstricke - Das wiederverwendete Administratorpasswort. MITRE erklärt, dass die Wiederverwendung von Passwörtern den Missbrauch lokaler Konten auf einer Gruppe von Rechnern ermöglichen kann, um Privilegien zu erhöhen und sich von einem Arbeitsplatz zum nächsten zu bewegen [10]. Microsoft zählt lokale privilegierte Konten mit denselben Zugangsdaten auf allen Systemen zu den riskanten Konfigurationen [5]. - Das ruhende Konto. Der Angreifer kann inaktive Konten missbrauchen, etwa die von Personen, die die Organisation verlassen haben, weil der ursprüngliche Benutzer nicht mehr da ist, um ungewöhnliche Aktivität zu bemerken [4]. Zugriffsüberprüfungen erlauben es festzustellen, ob Benutzer ihre Rolle noch brauchen [6]. - Zu viele mächtige Konten. Wenn zu viele Benutzer privilegierten Domänengruppen zugeordnet werden, fördert das deren übermäßige Nutzung [5]. - Der Diebstahl von Zugangsdaten. Die Anmeldung mit einem privilegierten Konto an einem ungesicherten Computer setzt diese Zugangsdaten einem Risiko aus [5]. - Die Überschneidung von Rechten zwischen lokalen, Domänen- und Onlinekonten. MITRE sieht darin ein Problem, denn der Angreifer kann von einem Konto und System zum nächsten wechseln, bis er die Stufe eines Domänen- oder Unternehmensadministrators erreicht [4]. ## Reale Fälle ### Angriff auf das ukrainische Stromnetz, 2015 Bei diesem Angriff nutzte die Gruppe Sandworm Team gültige Konten im Unternehmensnetz, um ihre Privilegien zu erhöhen, sich seitlich zu bewegen und sich dauerhaft in diesem Netz festzusetzen [4]. ## Quellen 1. NIST, „privileged account - Glossary | CSRC“. https://csrc.nist.gov/glossary/term/privileged_account (abgerufen am 3. November 2026) 2. NIST, „privileged user - Glossary | CSRC“. https://csrc.nist.gov/glossary/term/privileged_user (abgerufen am 3. November 2026) 3. NCSC (Royaume-Uni), „Secure system administration“, 15. September 2020. https://www.ncsc.gov.uk/collection/secure-system-administration (abgerufen am 3. November 2026) 4. MITRE ATT&CK, „Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1078/ (abgerufen am 3. November 2026) 5. Microsoft, „Best practices for securing Active Directory“. https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/plan/security-best-practices/best-practices-for-securing-active-directory (abgerufen am 3. November 2026) 6. Microsoft, „What is Privileged Identity Management? - Microsoft Entra ID Governance“. https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure (abgerufen am 3. November 2026) 7. MITRE ATT&CK, „Privileged Account Management, Mitigation M1026 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/mitigations/M1026/ (abgerufen am 3. November 2026) 8. MITRE ATT&CK, „Multi-factor Authentication, Mitigation M1032 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/mitigations/M1032/ (abgerufen am 3. November 2026) 9. Microsoft, „Deploying a privileged access solution - Privileged access“. https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment (abgerufen am 3. November 2026) 10. MITRE ATT&CK, „Valid Accounts: Local Accounts, Sub-technique T1078.003 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1078/003/ (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/privilegierte-zugriffe-pam-admin-konten/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.