Cyberpediavon Brain
DEENFR

Administratorkonten schützen (PAM)

Ein Administratorkonto öffnet alle Türen. So schützt PAM es, und das tun Beschäftigte und ihre Vorgesetzten im Arbeitsalltag.

In 30 Sekunden

Wo es vorkommt
Auf jedem System, auf dem jemand Administrationsrechte hat, im Verzeichnis des Unternehmens, auf einem Arbeitsplatzrechner, einem Server oder einem Onlinedienst.
Was der Angreifer will
Die Zugangsdaten eines bestehenden Kontos erbeuten, um zu handeln, ohne Aufmerksamkeit zu erregen4.
Der Reflex
Ein Administratorkonto nur zum Administrieren verwenden, nie für E-Mail, Web oder Büroanwendungen, und die Rechte erst anfordern, wenn man sie braucht.
Wenn es schon passiert ist
Das Sicherheitsteam benachrichtigen.

Worum es geht

Ein privilegiertes Konto ist ein Systemkonto, das die Berechtigungen eines privilegierten Benutzers besitzt1. Ein privilegierter Benutzer ist eine Person, die autorisiert und damit als vertrauenswürdig eingestuft ist, Kontroll-, Überwachungs-, Administrations- oder Sicherheitsfunktionen auszuführen, die gewöhnliche Benutzer nicht ausführen dürfen2.

Dieses Konto gehört nicht zwingend einer IT-Fachkraft des Unternehmens. Das britische NCSC verwendet das Wort „Administrator“ sowohl für eine Einzelperson, etwa einen Datenbankadministrator, als auch für ein Systemkonto, das eine geplante Aufgabe startet, und weist darauf hin, dass die Administration oft einem externen Dienstleister übertragen wird3. Alle haben höhere Berechtigungen als ein normaler Benutzer3. Privileged Access Management (PAM), auf Deutsch die Verwaltung privilegierter Zugriffe, umfasst die Regeln und Werkzeuge, die diese Konten absichern.

Direkte Fragen

Was ist ein privilegiertes Konto?

Es ist ein Konto, dessen Rechte über die eines gewöhnlichen Benutzers hinausgehen: einen Benutzer in einer Domäne anlegen, sich per SSH mit einem Webserver verbinden, um eine Datei zu ändern, und einen Alarm an einem Industrieventil konfigurieren sind drei Beispiele des NCSC3. Alle diese Handlungen können zum Schaden eingesetzt werden, deshalb müssen sie geschützt werden3.

Warum nehmen Angreifer diese Konten zuerst ins Visier?

Gestohlene Zugangsdaten erlauben es, Zugriffskontrollen zu umgehen. Sie dienen auch dazu, dauerhaften Zugang zu exponierten Diensten wie VPN, Web-E-Mail oder Remote-Desktop zu behalten4. Ein kompromittiertes Konto kann außerdem auf manchen Systemen eine höhere Privilegienstufe oder den Zugang zu abgeschotteten Netzwerkbereichen verschaffen4. Mit legitimen Zugangsdaten kann der Angreifer auf Schadsoftware verzichten, wodurch seine Anwesenheit schwerer zu entdecken ist4.

Microsoft beschreibt denselben Mechanismus für das Verzeichnis Active Directory: Der Angreifer liest Zugangsdaten aus offenen Sitzungen aus und sucht zuerst nach Konten, die bereits erhöhte Rechte haben, die er dann nachahmt5. Übliche Ziele sind Konten mit ständigen Privilegien, Konten von Führungskräften, privilegierte Verzeichniskonten und Domänencontroller5.

Darf man mit einem Administratorkonto E-Mails lesen?

Nein. Microsoft nennt unter den Verhaltensweisen, die das Risiko eines Diebstahls von Zugangsdaten erhöhen, das Surfen im Internet bei angemeldetem privilegiertem Konto und die Anmeldung von einem ungesicherten Computer aus5. Der Hersteller empfiehlt, hochprivilegierte Konten nach Möglichkeit nicht für alltägliche Verwaltungsaufgaben zu verwenden5. Gesicherte Administrationsarbeitsplätze führen weder eine E-Mail-Anwendung noch einen Browser noch Büroanwendungen aus5.

Was bedeutet PAM konkret?

Das NCSC nennt die Leitlinie: sorgfältig kontrollieren, wer wo, wann, warum und wie administriert, Administratoren die geringsten Privilegien geben und den Zugang entziehen, wenn er nicht mehr nötig ist3. Bei Microsoft ermöglicht der Dienst Privileged Identity Management, den Zugriff auf wichtige Ressourcen der Organisation zu verwalten, zu kontrollieren und zu überwachen6. MITRE ergänzt die Überwachung der Nutzung privilegierter Konten und die Verantwortlichkeit, die durch Protokollierung und Audit gesichert wird7.

1Wie es funktioniert2 min

Ein PAM vereint mehrere Bausteine.

Erstens ein Passworttresor. MITRE empfiehlt Tresorwerkzeuge zum Speichern und Wechseln von Zugangsdaten und nennt CyberArk, HashiCorp Vault oder KeePass als Beispiele7. Für die Passwörter lokaler Administratoren nennt dieselbe Seite Microsoft LAPS7.

Zweitens die vorübergehende Erhöhung der Rechte. Im Dienst Privileged Identity Management von Microsoft Entra kann ein Beschäftigter für eine Rolle „berechtigt“ sein, ohne sie dauerhaft zu besitzen. Wenn er sie braucht, aktiviert er sie für begrenzte Zeit, innerhalb eines von den Administratoren festgelegten Höchstwerts, und gibt den Grund seiner Anfrage an6. Die Aktivierung kann eine Multifaktor-Authentifizierung, eine betriebliche Begründung oder die Zustimmung eines benannten Genehmigers verlangen6. Nach Ablauf der Frist erlischt die Rolle: Das ist das Prinzip des Zugriffs „just in time“, bei dem befristete Berechtigungen verhindern, dass ein böswilliger oder nicht autorisierter Benutzer nach deren Ablauf darauf zugreift6. Derselbe Dienst sendet eine Benachrichtigung, wenn eine privilegierte Rolle aktiviert wird, und ermöglicht Zugriffsüberprüfungen, um festzustellen, ob jeder seine Rolle noch braucht6.

Drittens die Nachvollziehbarkeit. Das NCSC verlangt, alle Administrationstätigkeiten zu protokollieren und zu prüfen, um sicherzustellen, dass Administratoren nur legitime und genehmigte Handlungen ausführen3. Der Dienst von Microsoft erlaubt es, den Auditverlauf herunterzuladen6. Microsoft empfiehlt zudem, das Verzeichnis auf Anzeichen eines Angriffs zu überwachen5.

Viertens die starke Authentifizierung. Sie verlangt mindestens zwei Identitätsnachweise: was man weiß, was man besitzt, was man ist8. MITRE rät, sie für alle privilegierten Konten vorzuschreiben7 und insbesondere für privilegierte Rollen8. Microsoft verlangt sie bei der Nutzung privilegierter Konten oder für Administrationsaufgaben5.

Schließlich die Trennung der Konten. In seinem Modell richtet Microsoft ein Benutzerkonto für den gesicherten Arbeitsplatz und ein getrenntes Konto für die Geräteadministration ein9. Das NCSC empfiehlt eine Administration in Stufen, weil nicht jede Administration dasselbe Risiko birgt3.

2Was Sie tun1 min

Die Handgriffe der Beschäftigten lassen sich auf vier Punkte bringen.

  • Zwei Verwendungszwecke trennen. Das Alltagskonto dient für E-Mail, Web und Büroanwendungen. Das Administrationskonto dient nur zum Administrieren, an einem dafür vorgesehenen Arbeitsplatz5.
  • Rechte bei Bedarf anfordern. Wenn Ihre Rolle gelegentlich erhöhten Zugriff verlangt, nutzen Sie das Aktivierungs- oder Genehmigungsverfahren Ihres Unternehmens, statt dauerhafte Rechte zu behalten6. Microsoft empfiehlt dasselbe: die ständige Mitgliedschaft in hochprivilegierten Gruppen abschaffen und bei Bedarf eine befristete Mitgliedschaft gewähren5.
  • Starke Authentifizierung akzeptieren. Microsoft verlangt, sie mindestens für Administratoren vorzuschreiben9.
  • Keine lokalen Administratorrechte auf dem eigenen Arbeitsplatzrechner behalten, wenn sie nicht nötig sind. Microsoft sieht vor, diese Rechte den Benutzern seiner privilegierten Arbeitsplätze zu entziehen9, und MITRE empfiehlt, Benutzer aus der Gruppe der lokalen Administratoren zu entfernen7.

Für Vorgesetzte besteht die Aufgabe darin, die Zahl der Personen zu begrenzen, die Zugriff auf sensible Informationen haben. Das verringert das Risiko, dass ein böswilliger Akteur darauf zugreift und dass ein autorisierter Benutzer versehentlich eine sensible Ressource berührt6. Ein benannter Genehmiger erhält eine E-Mail-Benachrichtigung, wenn eine Rollenanfrage auf seine Genehmigung wartet6.

3Die Fallstricke1 min
  • Das wiederverwendete Administratorpasswort. MITRE erklärt, dass die Wiederverwendung von Passwörtern den Missbrauch lokaler Konten auf einer Gruppe von Rechnern ermöglichen kann, um Privilegien zu erhöhen und sich von einem Arbeitsplatz zum nächsten zu bewegen10. Microsoft zählt lokale privilegierte Konten mit denselben Zugangsdaten auf allen Systemen zu den riskanten Konfigurationen5.
  • Das ruhende Konto. Der Angreifer kann inaktive Konten missbrauchen, etwa die von Personen, die die Organisation verlassen haben, weil der ursprüngliche Benutzer nicht mehr da ist, um ungewöhnliche Aktivität zu bemerken4. Zugriffsüberprüfungen erlauben es festzustellen, ob Benutzer ihre Rolle noch brauchen6.
  • Zu viele mächtige Konten. Wenn zu viele Benutzer privilegierten Domänengruppen zugeordnet werden, fördert das deren übermäßige Nutzung5.
  • Der Diebstahl von Zugangsdaten. Die Anmeldung mit einem privilegierten Konto an einem ungesicherten Computer setzt diese Zugangsdaten einem Risiko aus5.
  • Die Überschneidung von Rechten zwischen lokalen, Domänen- und Onlinekonten. MITRE sieht darin ein Problem, denn der Angreifer kann von einem Konto und System zum nächsten wechseln, bis er die Stufe eines Domänen- oder Unternehmensadministrators erreicht4.
4Reale Fälle1 min

Angriff auf das ukrainische Stromnetz, 2015

Bei diesem Angriff nutzte die Gruppe Sandworm Team gültige Konten im Unternehmensnetz, um ihre Privilegien zu erhöhen, sich seitlich zu bewegen und sich dauerhaft in diesem Netz festzusetzen4.

Merkblatt

Kennung
CP-198
Flügel
3. Protokolle und Abwehr
Brain-Kompetenz
Zugriffe kontrollieren (control_access)
Brain-Reflex
cr-030
Schema
G3 · Anatomischer Schnitt
Sprachen
de, en, fr
Quellen
10 Quellen geprüft am 3. November 2026
Quellen10 Quellen
  1. NIST, „privileged account - Glossary | CSRC“. https://csrc.nist.gov/glossary/term/privileged_account (abgerufen am 3. November 2026)
  2. NIST, „privileged user - Glossary | CSRC“. https://csrc.nist.gov/glossary/term/privileged_user (abgerufen am 3. November 2026)
  3. NCSC (Royaume-Uni), „Secure system administration“, 15. September 2020. https://www.ncsc.gov.uk/collection/secure-system-administration (abgerufen am 3. November 2026)
  4. MITRE ATT&CK, „Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1078/ (abgerufen am 3. November 2026)
  5. Microsoft, „Best practices for securing Active Directory“. https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/plan/security-best-practices/best-practices-for-securing-active-directory (abgerufen am 3. November 2026)
  6. Microsoft, „What is Privileged Identity Management? - Microsoft Entra ID Governance“. https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure (abgerufen am 3. November 2026)
  7. MITRE ATT&CK, „Privileged Account Management, Mitigation M1026 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/mitigations/M1026/ (abgerufen am 3. November 2026)
  8. MITRE ATT&CK, „Multi-factor Authentication, Mitigation M1032 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/mitigations/M1032/ (abgerufen am 3. November 2026)
  9. Microsoft, „Deploying a privileged access solution - Privileged access“. https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment (abgerufen am 3. November 2026)
  10. MITRE ATT&CK, „Valid Accounts: Local Accounts, Sub-technique T1078.003 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1078/003/ (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „Administratorkonten schützen (PAM)“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/privilegierte-zugriffe-pam-admin-konten/

BibTeX 
@misc{brain_cp198_de_2026,
  author = {Brain},
  title = {Administratorkonten schützen (PAM)},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/privilegierte-zugriffe-pam-admin-konten/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0