Modern PAM: Wie Entitlement
Management und Security Insights
das IAM revolutionieren

Modern Privileged Access Management (Modern PAM) geht weit über die sichere Verwaltung privilegierter Passwörter hinaus. Es erweitert klassisches PAM um die Kontrolle effektiver Berechtigungen, Identitätsrisiken und bedarfsgerechter Zugriffe. Statt nur privilegierte Zugangsdaten und Sitzungen zu schützen, betrachtet Modern PAM, auf welche Ressourcen eine Identität tatsächlich zugreifen kann und wie sich diese Rechte nach dem Least-Privilege- und Just-in-Time-Prinzip begrenzen lassen.

Dieser erweiterte Ansatz wird besonders in hybriden IT-Landschaften mit Cloud-Plattformen, SaaS-Anwendungen und automatisierten Workloads relevant. Dort entstehen privilegierte Zugriffsmöglichkeiten nicht nur über einzelne Konten, sondern auch durch Cloud-Rollen, Gruppenmitgliedschaften, technische Identitäten und dynamisch vergebene Berechtigungen.

Modern PAM verbindet deshalb klassische PAM-Kontrollen mit Transparenz über effektive Privilegien, risikobasierter Bewertung und bedarfsgerechter Berechtigungssteuerung. Beyond Trust Total PASM schafft dafür eine technische Grundlage, die sich mit Identity Security Insights und Entitle um zusätzliche Risiko- und Entitlement-Funktionen erweitern lässt. Aus der IPG-Beratungsperspektive zeigt dieser Beitrag, wie Unternehmen Modern PAM strategisch weiterentwickeln und Sicherheit, Governance sowie praxistaugliche Zugriffsprozesse miteinander verbinden können.

Der klassische Passwort-Tresor bleibt ein wichtiger Baustein für den Schutz privilegierter Zugangsdaten. In hybriden Cloud-Umgebungen entstehen Zugriffsrechte jedoch auch durch verschachtelte Gruppen, dynamische Cloud-Rollen, API-Berechtigungen und technische Identitäten. Ein vorwiegend auf das Verwahren und Rotieren von Passwörtern ausgerichteter PAM-Ansatz erfasst diese Zusammenhänge nur teilweise: Denn ein sicher verwaltetes Konto kann weiterhin über weitreichende oder indirekte Berechtigungen verfügen.

Genau deshalb muss sich der Ansatz ändern. Entscheidend ist, welche Ressourcen eine Identität tatsächlich erreichen kann – einschliesslich möglicher Wege zur Rechteausweitung. Mit True Privilege richtet BeyondTrust den Blick auf dieses Privilegienpotenzial und die Verbindungen zwischen Identitäten, Berechtigungen und Fehlkonfigurationen. Modern PAM erweitert damit die Absicherung einzelner Administratorkonten um eine domänenübergreifende Bewertung privilegierter Zugriffsmöglichkeiten.

Zero Trust verändert in diesem Zusammenhang die Grundlage jeder Zugriffsentscheidung: Auch ein bekanntes Konto oder eine Verbindung aus dem internen Netzwerk rechtfertigt kein pauschales Vertrauen. Privilegierter Zugriff muss explizit geprüft, auf die benötigte Aufgabe begrenzt und zeitlich eingeschränkt werden. Least Privilege und Just-in-Time machen dieses Prinzip praktisch umsetzbar: Die erforderlichen Rechte stehen dann zur Verfügung, wenn sie gebraucht werden, und werden anschliessend wieder entzogen.

Identity-First Security macht die Identität und ihren Kontext zum Ausgangspunkt dieser Kontrolle. Wer greift zu, mit welchen effektiven Berechtigungen, auf welches Ziel und unter welchen Risikobedingungen? Aus meiner Sicht liegt hier der wesentliche Fortschritt von Modern PAM: Zugangsdaten, Berechtigungen und Zugriffsrisiken werden gemeinsam betrachtet, sodass Sicherheitsentscheidungen auch über lokale Systeme, Cloud-Plattformen und SaaS-Anwendungen hinweg nachvollziehbar bleiben.

Total PASM verbindet die Verwaltung privilegierter Zugangsdaten durch Password Safe mit kontrolliertem Fernzugriff und Sitzungsüberwachung durch Privileged Remote Access (PRA). Total PASM+ ergänzt Identity Security Insights für zusätzliche Risikotransparenz; Entitle unterstützt als weitere, nicht in diesen Bundles aufgeführte Komponente die dynamische Steuerung von Cloud- und SaaS-Berechtigungen. So lässt sich der klassische Tresor gezielt zu einem Modern-PAM-Ansatz weiterentwickeln, der tatsächliche Zugriffsrechte sichtbar macht und bedarfsgerecht kontrolliert.

Non-Human Identities (NHI) gehören zu den besonders leicht übersehenen Risiken im PAM: Service Accounts, Workload-Identitäten und KI-Agenten greifen automatisiert auf Anwendungen, Daten und Infrastruktur zu. Während menschliche Benutzer meist geregelte Eintritts-, Rollenwechsel- und Austrittsprozesse durchlaufen, fehlen bei technischen Identitäten häufig klare Verantwortlichkeiten und ein konsequenter Lebenszyklus. So bleiben Machine Identities mit weitreichenden Berechtigungen bestehen, obwohl ihr ursprünglicher Zweck längst entfallen ist.

Besonders kritisch wird diese fehlende Übersicht bei langlebigen API-Keys, gemeinsam genutzten Service Accounts und Zugangsdaten in Skripten oder Code-Repositories. Ein API-Key ist zwar selbst keine Identität, kann aber den Zugriff mit den Rechten der zugehörigen Identität ermöglichen. Wird er kompromittiert, stehen einem Angreifer unter Umständen dieselben Ressourcen offen wie der Anwendung – ohne dass eine interaktive Anmeldung mit zusätzlicher Benutzerprüfung erforderlich ist.

KI-Agenten erweitern diese Herausforderung, weil sie abhängig von ihrer Aufgabe eigenständig Werkzeuge auswählen und Aktionen ausführen können. Erhält ein Agent pauschale Schreib- oder Administrationsrechte, reicht sein Handlungsspielraum möglicherweise weit über den eigentlichen Auftrag hinaus. Im Cloud IAM müssen deshalb auch delegierte Rechte, erreichbare Ressourcen und die verwendeten Zugangsmittel berücksichtigt werden; die Absicherung eines einzelnen Secrets genügt dafür nicht.

Ob NHIs tatsächlich das grösste Risiko darstellen, hängt von der jeweiligen Umgebung ab. Aus unserer Erfahrung macht sie vor allem die Kombination aus geringer Sichtbarkeit, dauerhaften Berechtigungen und betrieblichen Abhängigkeiten gefährlich: Unternehmen können einen verdächtigen Service Account oft nicht einfach sperren, ohne produktive Prozesse zu beeinträchtigen. Genau deshalb müssen technische Identitäten von Anfang an in die PAM-Strategie einbezogen werden.

Der Machine-PAM-Ansatz von BeyondTrust überträgt die PAM-Prinzipien auf diese automatisierten Zugriffe. Unsere Empfehlung: Jede technische Identität erhält einen benannten Verantwortlichen, einen dokumentierten Zweck und eng begrenzte Berechtigungen. Dazu gehören kontrolliert verwaltete Zugangsdaten, möglichst kurze Gültigkeitszeiten sowie getestete Verfahren für Rotation und Entzug – damit der Schutz auch dann wirksam bleibt, wenn Anwendungen und Agenten rund um die Uhr arbeiten.

Ein Entitlement ist eine konkrete Zugriffsberechtigung, beispielsweise das Recht, Daten zu lesen oder eine Ressource zu verändern. Rollen bündeln solche Rechte, doch erst ihr Zusammenspiel mit Vererbung und weiteren Zuweisungen zeigt den tatsächlichen Zugriff. Deshalb ist der gesamte Lebenszyklus entscheidend: von der begründeten Anfrage bis zum nachweisbar wirksamen Entzug.

Least Privilege begrenzt den Umfang, Just-in-Time (JIT) den Zeitraum eines Zugriffs. Entitle unterstützt Self-Service-Anfragen, richtlinienbasierte Genehmigungen, gebündelte Berechtigungsanträge sowie automatisierte Bereitstellung und Rücknahme. Das schafft die Grundlage, dauerhafte Cloud- und SaaS-Rechte durch bedarfsgerechte Freigaben zu ersetzen und zugleich den Aufwand für wiederkehrende Anfragen zu reduzieren.

Ob dieser Ansatz funktioniert, zeigt sich am Ende einer Freigabe: Ist der Zugriff dann wirklich beendet? Eine geschlossene Sitzung und eine entzogene Cloud-Rolle sind unterschiedliche Kontrollen; Tokens oder bestehende Sitzungen können weitergehende Schritte erfordern. Es empfiehlt sich daher, im Pilot ausdrücklich zu testen, welche Zugriffsmöglichkeiten nach Ablauf noch bestehen.

Berechtigungen zu verwalten ist eine wichtige Grundlage. Ob ein Zugriff legitim ist oder auf einen Missbrauch hindeutet, erschliesst sich jedoch erst aus seiner tatsächlichen Nutzung. Auch ein korrekt autorisiertes Konto kann kompromittiert sein und seine Rechte für unerwünschte Aktionen einsetzen. Deshalb muss modernes PAM die Frage «Wer darf was?» um eine entscheidende Perspektive ergänzen: Wer tut gerade was – und passt dieses Verhalten zur Aufgabe und zum erwarteten Nutzungsmuster?

Identity Security Insights führt Identitäts-, Berechtigungs- und Konfigurationsdaten zusammen, um effektive Privilegien, mögliche Eskalationspfade und auffällige Aktivitäten im Zusammenhang zu bewerten. Dashboards schaffen einen Überblick über priorisierte Risiken; angebundene Ereignis- und Protokolldaten liefern Hinweise auf konkrete Vorgänge. Analytics verknüpft diese Informationen, damit Sicherheitsteams beispielsweise eine unerwartete Rechteausweitung oder eine verdächtige Änderung an der Identitätsinfrastruktur gezielt untersuchen können.

Überprivilegierung wird greifbar, wenn zugewiesene und effektiv erreichbare Rechte mit dem tatsächlichen Aufgabenbedarf abgeglichen werden. Besitzt ein Service Account administrative Rechte, obwohl seine Anwendung lediglich Daten lesen muss, entsteht ein konkreter Prüf- und Handlungsbedarf. Nutzungsdaten können diese Bewertung unterstützen; selten verwendete Rechte sind allerdings nicht automatisch überflüssig. Entscheidend bleibt, ob sie für einen dokumentierten Geschäfts- oder Betriebszweck erforderlich sind.

Bei verwaisten Accounts ist der Zusammenhang zwischen Kontostatus, Aktivität und Verantwortlichkeit ausschlaggebend. Fehlen ein gültiger Eigentümer oder eine nachvollziehbare Zuordnung zu einer aktiven Anwendung, sollte das Konto überprüft werden – besonders dann, wenn weiterhin Anmeldungen stattfinden. Dashboards und Berichte helfen, solche Kandidaten sichtbar zu machen; der Abgleich mit Personal-, Inventar- oder Governance-Daten schafft die Grundlage für einen kontrollierten Entzug.

Echtzeit bedeutet dabei vor allem, relevante Veränderungen rechtzeitig handlungsfähig zu machen. Wie schnell ein Ereignis erkannt und bewertet werden kann, hängt von den angebundenen Datenquellen und ihren Erfassungs- und Verarbeitungslatenzen ab. Erkennungs- und Reaktionszeiten für kritische Szenarien sollten daher konkret festgelegt und getestet werden. So wird aus Sichtbarkeit eine wirksame Kontrolle, mit der Sicherheitsteams Risiken priorisieren und begründet eingreifen können.

Sichtbarkeit allein reduziert jedoch noch kein Risiko. Der nächste Schritt besteht darin, verdächtige Identitätsaktivitäten zu erkennen, zu bewerten und mit definierten Reaktionen zu verknüpfen – genau hier setzt Identity Threat Detection and Response (ITDR) an.

Ein Angreifer mit gültigen Zugangsdaten kann sich zunächst wie ein berechtigter Benutzer bewegen. Genau hier verändert ITDR – Identity Threat Detection and Response die Erkennung: Neben einzelnen Sicherheitsereignissen rücken das Verhalten einer Identität, ihre erreichbaren Privilegien und Veränderungen ihres Zugriffskontexts in den Mittelpunkt. Entscheidend ist, verdächtige Zusammenhänge auch dann zu erkennen, wenn eine einzelne Aktion technisch erlaubt ist.

KI-gestützte Analysen erweitern klassische, regelbasierte Erkennungsverfahren um die Möglichkeit, Muster und Abweichungen in umfangreichen Identitätsdaten zu untersuchen. Eine Verhaltensanalyse kann beispielsweise Hinweise liefern, wenn ein Konto plötzlich ungewöhnliche Ressourcen anspricht und gleichzeitig zusätzliche Rechte erhält. Beide Ereignisse können für sich genommen erklärbar sein; zusammen ergeben sie einen Anlass für eine priorisierte Untersuchung. Eine Abweichung ist dabei zunächst ein Risikosignal und muss im jeweiligen Geschäftskontext bewertet werden.

Identity Security Insights unterstützt diesen Ansatz durch KI- und ML-gestützte Erkennungen sowie die Verknüpfung von Identitäts-, Berechtigungs- und Konfigurationsdaten. Integrationen in SIEM-, SOAR- und ITSM-Systeme ermöglichen die weitere Korrelation und Bearbeitung relevanter Befunde. Der praktische Nutzen von KI im IAM liegt damit in einer fundierteren Priorisierung: Sicherheitsteams können ihre Aufmerksamkeit auf Auffälligkeiten richten, bei denen Verhalten, Privilegien und mögliche Auswirkungen ein erhöhtes Risiko erkennen lassen.

Der praktische Wert von ITDR entsteht, wenn auf erkannte Identitätsrisiken eine definierte und abgestufte Reaktion folgt. Dafür muss feststehen, wer einen Befund untersucht und unter welchen Bedingungen beispielsweise eine Sitzung beendet, eine Berechtigung entzogen oder ein Konto gesperrt werden darf. Abgestufte, getestete Reaktionsprozesse verbinden schnelle Eingriffe mit Rücksicht auf betriebliche Abhängigkeiten – besonders bei technischen Identitäten. So entsteht aus KI-gestützter Erkennung ein handlungsfähiger Schutz gegen Identitätsmissbrauch.

Wenn dynamisches Entitlement Management und Security Insights zusammenspielen, können Risikobewertungen direkt in die Steuerung von Berechtigungen einfliessen. Security Insights liefert den Kontext zu auffälligen Aktivitäten, wirksamen Privilegien und möglichen Eskalationspfaden. Entitlement Management stellt die Mechanismen bereit, um Zugriffsrechte gezielt zu vergeben, zeitlich zu begrenzen oder zurückzunehmen. Daraus entsteht ein Regelkreis: Risiken erkennen, Berechtigungen anpassen und anschliessend überprüfen, ob die Massnahme tatsächlich greift.

Diese vorausschauende Ausrichtung bezeichnen wir hier als Predictive Identity Security. Sie beschreibt ein strategisches Zielbild, bei dem Berechtigungen bereits aufgrund erkennbarer Risikomuster überprüft werden, bevor ein bestätigter Sicherheitsvorfall vorliegt. Machine Learning kann dabei Zusammenhänge zwischen Nutzung, Berechtigungsänderungen und Konfigurationen aufzeigen und Hinweise liefern, welche Rechte einer zusätzlichen Prüfung bedürfen. Ob daraus ein automatischer Entzug folgt, bestimmen definierte Richtlinien, die Verlässlichkeit des Signals und die möglichen betrieblichen Auswirkungen.

Ein mögliches Szenario: Ein technisches Konto besitzt weitreichende Schreibrechte, obwohl seine dokumentierte Aufgabe ausschliesslich lesende Zugriffe erfordert. Zusätzlich werden ungewöhnliche Zugriffsversuche auf bisher ungenutzte Ressourcen erkannt. In einer entsprechend integrierten Architektur könnte diese Kombination eine erneute Berechtigungsprüfung auslösen und über einen vorab freigegebenen Workflow zum Entzug der unnötigen Schreibrechte führen. Anschliessend wird im Zielsystem geprüft, ob der Entzug wirksam ist und die Anwendung ihre vorgesehene Aufgabe weiterhin erfüllt.

Die vorausschauende Wirkung liegt darin, ein erkanntes Gefährdungspotenzial frühzeitig zu begrenzen. Ein ML-Modell kann weder einen zukünftigen Angriff sicher vorhersagen noch allein beurteilen, welche Berechtigung geschäftlich unverzichtbar ist. Für klar abgegrenzte Fälle lässt sich die Reaktion automatisieren; bei kritischen Systemen sollte zunächst eine zusätzliche Freigabe oder eine engere Zugriffsbeschränkung vorgesehen werden.

Im BeyondTrust-Kontext bilden Identity Security Insights und Entitle dafür sich ergänzende Bausteine: Risikotransparenz trifft auf dynamische Berechtigungssteuerung. Der beschriebene Regelkreis ist ein Architekturziel, dessen Signale, Schnittstellen und Aktionen für die konkrete Umgebung validiert werden müssen. Wir empfehlen, mit nachvollziehbaren Entscheidungen und reversiblen Massnahmen zu beginnen und den Automatisierungsgrad anhand nachgewiesener Ergebnisse auszubauen.

Der Wechsel von Legacy PAM zu einem modernen, insight-getriebenen Entitlement-Modell gelingt schrittweise: Bewährte Konten- und Sitzungskontrollen werden um Risikotransparenz und bedarfsgerechte Berechtigungen erweitert. Entscheidend ist, dass Erkenntnisse über Identitätsrisiken konkrete Zugriffsentscheidungen verbessern. Als Consultants bei IPG gestalten wir diesen Wandel gemeinsam mit Administration, Entwicklung und Security Operations. Dafür stehen bei uns drei Schritte im Mittelpunkt:

Zunächst erfassen wir menschliche und technische Identitäten, ihre effektiven Berechtigungen, Zugriffswege und Verantwortlichen. Security Insights hilft dabei, kritische Zusammenhänge zu erkennen; gemeinsam mit den Fachverantwortlichen prüfen wir, welche Rechte tatsächlich benötigt werden. Daraus entsteht eine priorisierte Roadmap mit einem klar abgegrenzten Pilot, beispielsweise für produktive Cloud-Administration. Bestehende PAM-Kontrollen bleiben die Grundlage und werden dort ergänzt, wo Sichtbarkeit oder dynamische Berechtigungssteuerung fehlen.

Für den Pilot übersetzen wir Aufgaben in verständliche Zugriffspakete: Welche Ressourcen werden benötigt, mit welchen Rechten, für welchen Zeitraum und unter welchen Genehmigungsbedingungen? Standardanfragen mit geringem Risiko können innerhalb definierter Richtlinien automatisiert bearbeitet werden; kritische Zugriffe erhalten gezielte zusätzliche Prüfungen. Gemeinsam mit Administratoren und Entwicklern testen wir den vollständigen Ablauf – von der Anfrage bis zum nachweisbar wirksamen Entzug, einschliesslich Störungen und Notfallzugriffen.

Vor dem Pilot legen wir Ausgangswerte und Erfolgskriterien fest: Wie viele dauerhafte Privilegien bestehen, wie lange dauert eine Freigabe und wie zuverlässig endet der Zugriff nach Ablauf? Hinzu kommen Fehlalarme, fehlgeschlagene Berechtigungsentzüge und Rückmeldungen aus dem Arbeitsalltag. Diese Ergebnisse nutzen wir, um Richtlinien und Abläufe zu verbessern, bevor weitere Systeme angebunden werden. Automatische Eingriffe auf Basis von Risikosignalen erweitern wir erst, wenn ihre Qualität und ihre betrieblichen Auswirkungen ausreichend geprüft sind.

Praxistauglichkeit ist dabei eine konkrete Anforderung an unsere Beratung. Als IPG können wir Zugriffsanfragen möglichst in vertraute Arbeitsabläufe integrieren und wiederkehrende Aufgaben durch passende Zugriffspakete vereinfachen. Klare Genehmigungszuständigkeiten, sichtbare Bearbeitungsstände und geregelte Ausnahmen verhindern unnötige Wartezeiten. Für Entwickler gehören auch automatisierte Deployment- und Service-Zugriffe in den Pilot; für Administratoren müssen Wartung und Störungsbehebung unter Zeitdruck funktionieren. So wird Modern PAM zu einem verlässlichen Bestandteil des Betriebs, den die Anwender im Alltag mittragen.

Weitere Informationen zu unseren Leistungen im Bereich Privileged Access Management finden Sie unter PAM-Beratung von IPG. Ergänzende Informationen zur cloudbasierten Bereitstellung und Weiterentwicklung von PAM-Lösungen bietet die Seite Cloud Delivered Privileged Access Management.

Für IT-Leiter und CISOs wird entscheidend, nicht nur privilegierte Zugangsdaten zu schützen, sondern den tatsächlichen Zugriff einer Identität zu kontrollieren. Ob Mensch, Service Account oder KI-Agent: Relevant ist, welche Ressourcen erreichbar sind, welche Rechte wirklich benötigt werden und wie schnell sich diese bei verändertem Bedarf oder Risiko begrenzen lassen. Modern PAM verbindet dafür den Schutz privilegierter Konten und Sitzungen mit Transparenz über effektive Berechtigungen, risikobasierter Bewertung und bedarfsgerechter Zugriffssteuerung.

BeyondTrust Total PASM bildet dafür eine technische Grundlage; Identity Security Insights schafft zusätzliche Risikotransparenz und Entitle ermöglicht eine dynamische Berechtigungssteuerung. Entscheidend ist jedoch die konkrete Umsetzung: Unternehmen sollten mit einem kritischen Zugriffsprozess beginnen, dauerhafte Privilegien reduzieren und prüfen, ob Berechtigungen nach Ablauf tatsächlich wirksam entzogen werden.

Das 360° IAM-Assessment von IPG unterstützt dabei, Architektur, Prozesse, Governance und privilegierte Zugriffe gemeinsam zu bewerten und daraus einen priorisierten Massnahmenplan für einen geeigneten Modern-PAM-Pilot abzuleiten.

Für die weitere Orientierung finden Sie Details zur PAM-Beratung und Integration durch IPG, zu Cloud-PAM mit IPG und zum BeyondTrust-Angebot der IPG. So lässt sich der Weg von der Bestandsaufnahme bis zur Einführung und Weiterentwicklung Ihrer PAM-Lösung gezielt planen.

BeyondTrust: Modern PAM Defined: What It Is, and Why It’s Needed. Grundlage für Modern PAM und True Privilege.

BeyondTrust: Total PASM Bundle. Abgrenzung von Total PASM und Total PASM+ sowie Konten- und Sitzungskontrollen.

BeyondTrust: Entitle. Dynamische Berechtigungen, Self-Service und Just-in-Time-Zugriff.

BeyondTrust: Identity Security Insights. Identitätsrisiken, effektive Privilegien, Erkennungen und Integrationen.

BeyondTrust: Machine PAM: What It Is and Why It Matters. Technische Identitäten und Absicherung automatisierter Zugriffe.

Dieser Bericht beruht auf Expertenwissen, für die Ausformulierung wurde Hilfe von KI in Anspruch genommen.