CIEMWerkzeuge.
Cloud Infrastructure Entitlement Management erfasst und bewertet Rollen, Berechtigungen und Vertrauensbeziehungen in Cloud Umgebungen. Es macht überprivilegierte, ungenutzte oder riskant kombinierte Rechte sichtbar, damit sie kontrolliert reduziert werden können.
Marktbild: hohe Priorität für Multi-Cloud und Cloud-first Organisationen. Der Markt ist breit, wird aber überwiegend als Modul einer CNAPP- oder Exposure-Plattform beschafft. Sechs spezialisierte oder integrierte Plattformen sind hier vergleichbar.
Cloud-Rechte begrenzen.
CIEM ist sinnvoll, wenn viele Konten, Rollen, Workloads und externe Zugriffe bestehen und klassische Access Reviews den effektiven Berechtigungsgraphen nicht abbilden.
Cloud APIs, Accounts, Rollen, Policies, Ressourcen und wenn möglich Aktivitätsdaten. Ein Connector ohne ausreichende Leserechte liefert keine vollständige Bewertung.
Wer darf was, und wer braucht es?
In Cloud-Plattformen ist jede Aktion eine Berechtigungsfrage: Ein Benutzer, eine Rolle, ein Service-Account oder eine Funktion darf eine Aktion auf einer Ressource ausführen oder nicht. Welche Rechte am Ende gelten, ergibt sich aus mehreren Richtlinienarten. Bei AWS etwa werden identitäts- und ressourcenbasierte Richtlinien vereinigt, Permissions Boundaries, Service Control Policies und Resource Control Policies schränken das Ergebnis wieder ein, und ein ausdrückliches Verbot überstimmt jede Erlaubnis. Cloud Infrastructure Entitlement Management (CIEM) rechnet diese Ebenen für jede Identität zusammen und zeigt die effektiven Rechte, also das, was tatsächlich möglich ist.[1,2]
Der zweite Schritt ist der Abgleich mit der Nutzung. Aus Audit-Logs und Last-Access-Daten ermittelt das Werkzeug, welche Rechte eine Identität in einem Beobachtungsfenster wirklich gebraucht hat. Daraus entstehen Befunde wie ungenutzte Rollen, alte Zugangsschlüssel, nie verwendete Admin-Rechte oder inaktive Konten mit Zugriff, und daraus wiederum engere Richtlinien, oft direkt als Infrastrukturcode. Einzelne Cloud-Anbieter liefern solche Befunde auch selbst, dann aber nur für die eigene Plattform.[3,4]
Viele Identitäten gehören keiner Person: Service Principals, Managed Identities, Rollen von Workloads, CI/CD-Pipelines und auch KI-Agenten handeln mit eigenen Rechten, und Service-Accounts, Bots und Tokens sind laut Herstellerangaben zahlreicher als menschliche Konten. CIEM bezieht diese Maschinenidentitäten ausdrücklich ein, ebenso föderierte Benutzer aus einem Identity Provider, deren Cloud-Rechte erst über Rollenübernahmen sichtbar werden.[5,6,7]
Für die Korrektur gibt es drei Muster. Erstens Empfehlungen und Richtlinienvorschläge, die das Team selbst ausrollt. Zweitens Durchsetzung über zentrale Kontrollen auf Organisationsebene, die ungenutzte Dienste, Regionen oder Rechte sperren und bei Bedarf über eine Anfrage wieder freigeben. Drittens Just-in-Time-Zugriff: Statt dauerhafter Rechte erhalten Personen und Agenten auf Anfrage befristete Berechtigungen, die automatisch ablaufen. Das Ziel heisst Zero Standing Privileges. Für die Analyse genügen Leserollen auf Richtlinien und Audit-Logs in jedem Konto; wer Korrekturen oder befristeten Zugriff automatisieren will, muss dem Werkzeug Schreibrechte auf Rollen oder Organisationsrichtlinien geben. Damit wird das Werkzeug selbst zu einer privilegierten Identität.[8,9,4]
Alle Identitäten und Richtlinien je Cloud-Konto sind erfasst, auch Maschinenidentitäten und föderierte Benutzer.
Die tatsächlich wirksamen Rechte sind über alle Richtlinienarten hinweg bekannt.
Ungenutzte Rechte, Rollen und Schlüssel sind aus Audit-Logs ermittelt und priorisiert.
Engere Richtlinien sind ausgerollt, zentrale Kontrollen sperren ungenutzte Dienste und Regionen.
Privilegierte Rechte entstehen nur noch auf Anfrage und laufen automatisch ab.
Typische Probleme
| Problem | Wie man es löst |
|---|---|
| Zu kurzes Beobachtungsfenster | Ein Recht, das nur beim Jahresabschluss oder im Notfall gebraucht wird, erscheint als ungenutzt. Lösung: Fenster an Geschäftszyklen anpassen, Notfallrollen als Ausnahme führen und Kürzungen mit einem Rückweg über Anfragen absichern.[8] |
| Maschinenidentitäten ohne Eigentümer | Service-Accounts und Schlüssel überleben das Projekt, für das sie angelegt wurden. Lösung: jede Maschinenidentität einem Team zuordnen, ungenutzte Schlüssel automatisch melden und regelmässig rotieren.[3] |
| Korrekturen in der Konsole statt im Code | Ein von Hand gekürzter Rollenzuschnitt wird beim nächsten Deployment überschrieben. Lösung: engere Richtlinien als Infrastrukturcode übernehmen.[4] |
| JIT ohne Notfallweg | Fällt der Freigabeprozess aus, kommt im Störfall niemand mehr an die Konsole. Lösung: Break-Glass-Konten mit starker Authentisierung, Überwachung und Nachkontrolle vorhalten. |
| Getrennte Sicht auf IdP und Cloud | Gruppen im Identity Provider und Rollen in der Cloud werden von verschiedenen Teams gepflegt. Lösung: Föderation einbeziehen und Rechte über den ganzen Weg von der Person bis zur Ressource auswerten. |
| Wechsel des Werkzeugs | Abgekündigte Produkte zwingen zur Migration, etwa nach der Abkündigung eines CIEM-Dienstes eines grossen Cloud-Anbieters per 01.11.2025. Lösung: Ausstiegsfähigkeit von Regeln, Berichten und Historie vorab klären.[10] |
Auswahlfragen
| Frage | Worauf die Antwort hinweisen sollte |
|---|---|
| Wie berechnet das Produkt effektive Rechte, und welche Richtlinienarten fliessen ein? | Erwartet werden Boundaries, Organisationsrichtlinien, Ressourcenrichtlinien und Föderation je Cloud. |
| Welche Datenbasis nutzt die Nutzungsanalyse, und wie lang ist das Fenster? | Die Antwort sollte Audit-Logs, Fenstergrösse und den Umgang mit seltenen Rechten nennen. |
| Wie werden Maschinenidentitäten und KI-Agenten erfasst? | Gute Antworten zeigen Service-Accounts, Schlüssel und Rollen von Workloads in derselben Sicht wie Personen. |
| Wie gelangt eine Korrektur in die Produktion? | Hinweis auf Export als Infrastrukturcode, zentrale Durchsetzung und einen dokumentierten Rückweg. |
| Bietet das Produkt Just-in-Time-Zugriff, und wie laufen Freigabe und Notfall? | Erwartet werden Freigabekanäle, maximale Dauer, automatischer Entzug und Break-Glass. |
| Welche Lese- und Schreibrechte braucht das Werkzeug selbst? | Die Antwort sollte die Rollen des Werkzeugs offenlegen, denn ein CIEM mit Schreibrechten ist selbst eine privilegierte Identität. |
| Wie sicher ist die Produktzukunft? | Bei übernommenen oder umbenannten Produkten sollte der Hersteller Roadmap, Support und Migrationswege konkret nennen. |
Betrieb und Verantwortung
Das IAM- oder Cloud-Plattform-Team betreibt das Werkzeug und setzt zentrale Kontrollen um, die Konto- und Anwendungsverantwortlichen entscheiden über Kürzungen in ihren Bereichen, Security legt Schwellen und Ausnahmen fest, und eine vom Betrieb unabhängige Stelle prüft Rezertifizierungen und JIT-Protokolle. Sinnvolle Kennzahlen sind der Anteil ungenutzter Rechte je Konto, die Zahl stehender Admin-Rechte, das Alter von Zugangsschlüsseln und der Anteil privilegierter Zugriffe, die per Just-in-Time vergeben werden.
Regulatorischer Bezug
ISO/IEC 27001:2022 adressiert das Thema in Annex A vor allem über 5.15 «Access control», 5.18 «Access rights» und 8.2 «Privileged access rights». NIS2 verlangt in Art. 21 Abs. 2 Bst. i Konzepte für die Zugriffskontrolle, DORA in Art. 9 Abs. 4 Bst. c, den Zugang auf das für genehmigte Funktionen Erforderliche zu begrenzen und Zugriffsrechte solide zu verwalten. Im IT-Grundschutz beschreibt der Baustein ORP.4 «Identitäts- und Berechtigungsmanagement» unter anderem Einrichtung, Änderung und Entzug von Berechtigungen.[11,12,13,14]
Quellen: [1] docs.aws.amazon.com · [2] wiz.io · [3] docs.aws.amazon.com · [4] cortex-docs.paloaltonetworks.com · [5] learn.microsoft.com · [6] cloud.google.com · [7] paloaltonetworks.com · [8] sonraisecurity.com · [9] britive.com · [10] learn.microsoft.com · [11] opensecurityarchitecture.org · [12] nis-2-directive.com · [13] digital-operational-resilience-act.com · [14] bsi.bund.de
Elf Werkzeuge im Vergleich.
CIEM ermittelt, welche menschlichen und maschinellen Identitäten in Cloud-Plattformen welche Rechte tatsächlich haben, vergleicht diese mit der Nutzung und erzeugt engere Richtlinien oder setzt sie durch. Drei Produktformen prägen das Feld: CIEM als Modul von CNAPP-Plattformen und der Sicherheitsdienste der Cloud-Anbieter, Spezialisten für Rechtekorrektur und Anbieter aus dem Umfeld des Privileged Access Management, die stehende Rechte durch zeitlich begrenzten Zugriff ersetzen. Die Produkte unterscheiden sich darin, ob sie Rechte nur analysieren und Richtlinien vorschlagen, ob sie Korrekturen selbst durchsetzen, etwa über Service Control Policies, und ob sie Just-in-Time-Zugriff mit Freigabe anbieten. Microsoft hat Entra Permissions Management am 01.04.2025 aus dem Verkauf genommen und den Support am 01.11.2025 beendet; CIEM für Azure, AWS und GCP bietet Microsoft im Plan Defender CSPM an. Palo Alto Networks hat die Übernahme von CyberArk am 11.02.2026 abgeschlossen und am 12.05.2026 die Identitätsplattform Idira vorgestellt; Wiz gehört seit 11.03.2026 zu Google.
Multi-Cloud: AWS, Azure und GCP · Ungenutzte Rechte: Erkennung ungenutzter Rechte · Just-in-Time: Just-in-Time-Zugriff · Maschinen-IDs: Maschinenidentitäten · IdP: IdP-Anbindung · Korrektur: Rechtekorrektur/Least Privilege · CNAPP: Teil einer CNAPP. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
Wiz CIEM
Wiz (Google)
AWS, Azure, Google Cloud, Oracle Cloud, Snowflake, Kubernetes, GitHub und GitLab; Analyse über IdP, SaaS und Cloud hinweg.
Ermittelt den effektiven Zugriff zwischen menschlichen und nicht-menschlichen Identitäten und Ressourcen unter Berücksichtigung von Boundaries, ACLs, SCPs und RCPs.
Meldet IAM-Fehlkonfigurationen wie ungenutzte Admin-Rechte und Identitäten mit übermässigen Rechten; agentenloser Scan findet offengelegte Secrets und Zugangsdaten.
Deckt Cloud-Berechtigungen von IdP-Benutzern ab, etwa aus Okta; Befunde stehen im Wiz Security Graph neben Konfiguration und Daten.
Erzeugt Least-Privilege-Richtlinien automatisch und führt mit geführten Schritten zum Entzug ungenutzter Rechte.
Organisationen, die Berechtigungsrisiken zusammen mit Exposition und Daten in einem Risikobild priorisieren wollen; ein Dashboard überwacht Service-Accounts und Drittzugriffe.
Berechtigungen werden mit Konfiguration, Exposition und sensiblen Daten im selben Graph verknüpft.
Just-in-Time-Zugriff ist auf der CIEM-Seite nicht genannt, und die Rechtekorrektur läuft über geführte Schritte.
Cortex Cloud Identity Security (CIEM)
Palo Alto Networks
Effektive Berechtigungen in AWS, Azure, Google Cloud und OCI; AWS-Rollen und -Gruppen, Azure-Service-Principals und -Gruppen, GCP-Gruppen und Service-Accounts.
Ungenutzte Rechte werden aus Audit-Logs und Last-Access-Daten ermittelt und je Berechtigung als behalten oder entfernen markiert.
Priorisiert übermässige Rechte und riskante Service-Accounts, Bots und Tokens.
Angepasste Richtlinien lassen sich als JSON, Terraform oder CloudFormation (nur AWS) exportieren und über den eigenen Ablauf ausrollen.
Teil von Cortex Cloud; Identitätsrisiken fliessen in Angriffspfade und Fälle der Plattform.
Organisationen mit Cortex Cloud, die Berechtigungen in Cloud-Konten auf tatsächliche Nutzung zurückschneiden wollen.
Engere Richtlinien entstehen aus der tatsächlichen Nutzung und lassen sich als Infrastrukturcode übernehmen.
Die Korrektur erfolgt über heruntergeladene Richtlinien; IdP-Anbindung und Just-in-Time-Zugriff beschreiben die CIEM-Seiten nicht.
Tenable One Cloud Exposure (CIEM)
Tenable
Integriertes CIEM analysiert Berechtigungen in AWS, Azure und Google Cloud.
Identitätsrisiken und Zugriffspfade werden zusammen mit Fehlkonfigurationen und Schwachstellen bewertet.
Angriffspfad-Visualisierungen zeigen, wie toxische Kombinationen aus Identität, Konfiguration und Exposition ausgenutzt werden können.
Automatisierte Abläufe korrigieren Berechtigungen und setzen Least Privilege durch; IdP-Anbindung an Entra ID, Google Workspace, Okta, OneLogin und Ping Identity.
Just-in-Time-Zugriff ersetzt stehende Rechte durch zeitlich begrenzte Berechtigungen in der hybriden Cloud.
Organisationen mit Tenable-Exposure-Management, die Cloud-Berechtigungen und JIT-Zugriff im selben Produkt steuern wollen.
Analyse, automatisierte Korrektur und Just-in-Time-Zugriff in einem Produkt.
Maschinenidentitäten wie Service-Accounts nennen die Produktseiten nicht ausdrücklich.
Orca CIEM
Orca Security
Cloud-Assets, Rollen und Berechtigungen über mehrere Cloud-Plattformen; die Plattform deckt AWS, Azure, Google Cloud und weitere Anbieter ab.
IAM-Richtlinien werden mit der tatsächlichen Nutzung der letzten 90 Tage verglichen, daraus entstehen Empfehlungen für engere Konfigurationen.
Alarme mit Behebungsaktionen greifen, wenn Least Privilege verletzt wird; nicht verwaltete Identitäten wie SSH-Schlüssel, Passwörter und Zugangsschlüssel werden gefunden.
Just-in-Time Access für AWS mit zweiseitiger Slack-Anbindung; Integration mit Ticket-, SOAR- und Benachrichtigungssystemen.
Agentenlose Plattform, in der CIEM mit CSPM und CWPP zusammenläuft.
Organisationen, die Berechtigungsanalyse und befristeten Zugriff ohne Agenten und ohne separates Produkt einführen wollen.
Nutzungsbasierte Empfehlungen und Just-in-Time-Zugriff in derselben agentenlosen Plattform.
Just-in-Time Access ist für AWS beschrieben, eine IdP-Anbindung nennt die Seite nicht.
Microsoft Defender for Cloud (CIEM in Defender CSPM)
Microsoft
Azure mit Identitäten aus Entra ID (Benutzer, Gruppen, Service Principals), AWS mit IAM-Benutzern, Rollen und Gruppen, GCP mit IAM-Benutzern, Gruppen und Service-Accounts.
Bewertet menschliche und Anwendungsidentitäten einschliesslich Managed Identities; der Cloud Security Explorer findet Identitäten mit Zugriff auf sensible oder exponierte Ressourcen.
Empfehlungen zum Entfernen inaktiver, Gast- oder gesperrter Konten mit Zugriff, zum Begrenzen von Admin-Rechten und zum Zurückschneiden überberechtigter Identitäten.
Identitätsrisiken werden mit der Angriffspfadanalyse verknüpft, etwa ein Service Principal mit übermässigen Rechten auf dem Weg zu einer Datenbank.
Teil des Plans Defender CSPM mit CIEM-Workbook; die Abkündigung von Entra Permissions Management betrifft diese Funktionen nicht.
Organisationen mit Defender for Cloud, die nach dem Ende von Entra Permissions Management CIEM für Azure, AWS und GCP weiterführen wollen.
Identitätsrisiken erscheinen direkt in Angriffspfaden und Empfehlungen des Defender-Portals.
Die Korrektur erfolgt über Empfehlungen; Just-in-Time-Zugriff ist auf der CIEM-Seite nicht beschrieben.
Security Command Center (CIEM)
Kompatibel mit Google Cloud IAM, Entra ID, AWS IAM und Okta; die Stufe Enterprise schützt Google Cloud, AWS und Azure.
Vergibt Benutzern nur die nötigen Rechte; Machine Learning erzeugt Empfehlungen zum Entfernen ungenutzter Berechtigungen.
Identitätsrisiken fliessen in das Virtual Red Teaming, das Angriffspfade und toxische Kombinationen zeigt.
Teil von Security Command Center mit Posture-Management, Bedrohungserkennung und Compliance Manager.
Enterprise ergänzt Fallmanagement und Remediation-Playbooks.
Google-Cloud-Kunden, die Berechtigungen auch für Föderationen über Entra ID und Okta sowie für AWS bewerten wollen.
Empfehlungen zum Entfernen ungenutzter Rechte basieren auf maschinellem Lernen und decken föderierte Identitäten ab.
Multi-Cloud-Abdeckung gibt es nur in der Stufe Enterprise; Just-in-Time-Zugriff nennt die Produktseite nicht.
Sonrai Cloud Permissions Firewall
Sonrai Security
AWS, Azure und Google Cloud, für Menschen, Maschinen, Workloads und KI-Agenten.
Setzt Least Privilege mit den Kontrollen der Cloud selbst durch: SCPs, RCPs, Azure RBAC und GCP-Deny-Richtlinien.
Blockiert ungenutzte Rechte, Dienste und Regionen; genutzte Berechtigungen werden vorab aus Nutzungsdaten ausgenommen und vor der Durchsetzung geprüft.
Zugriffsanfragen laufen über ChatOps wie Slack; Umfang und Dauer werden festgelegt, der Zugriff wird nach Ablauf automatisch entzogen.
Alle Änderungen sind umkehrbar und protokolliert; ein blockierter Zugriff erzeugt eine Anfrage, nach Freigabe wird er automatisch wiederhergestellt.
Organisationen, die Least Privilege durchsetzen wollen, ohne jede Rolle einzeln umzuschreiben.
Durchsetzung über zentrale Cloud-Kontrollen statt über einzelne Rollen, mit automatischem Rückweg über Anfragen.
Die Produktseite nennt keine IdP-Anbindung; die Wirkung hängt von zentralen Kontrollen wie SCPs auf Organisationsebene ab.
Privilege Control for Cloud Entitlements (PCCE)
Delinea
Public Clouds Azure, AWS und Google Cloud sowie IaaS-, SaaS- und IAM-Dienste.
Analysen auf Basis von Machine Learning helfen, riskante oder übermässige Rechte zu entfernen und Fehlkonfigurationen zu beheben.
Ungenutzte Identitäten, überberechtigte aktive Identitäten und ungenutzte Super-Identitäten werden als hohes Risiko markiert.
Unterstützt Identity Provider wie AWS IAM Identity Center, Okta und Google Workspace; befristete Rechte auf Anfrage für menschliche und Workload-Identitäten, dazu das Plattformmodul «Just-in-Time (JIT) and Least Privilege».
Fähigkeit der Delinea Platform, die Risiken menschlicher und maschineller Identitäten einschliesslich Dritter adressiert; Prüfungen laufen automatisch.
Organisationen mit PAM-Programm, die Cloud-Berechtigungen in dieselbe Plattform aufnehmen wollen, etwa als Ersatz für Entra Permissions Management.
Berechtigungsanalyse, IdP-Anbindung und JIT-Modul in einer PAM-Plattform.
Erweiterten Just-in-Time-Zugriff führt Delinea als zusätzliches Modul der Delinea Platform; Alarme und Fälle zu fehlgeschlagenen Prüfungen setzen aktivierte Analytics voraus.
Idira Secure Cloud Access
Palo Alto Networks (Idira)
Sicherer, nativer Zugriff auf AWS, Azure und Google Cloud.
Just-in-Time-Zugriff ersetzt dauerhafte Berechtigungen und führt zu Zero Standing Privileges in hybriden und Multi-Cloud-Umgebungen.
Zugriff ohne stehende Rechte und ohne statische Zugangsdaten verringert die Angriffsfläche für Innen- und Aussentäter.
Teil der Idira Identity Security Platform; ein MCP-Server unterstützt die Verwaltung bei Cloud- und KI-Einführung.
Bestehende CyberArk-SaaS-Kunden erhalten Idira-Funktionen über ihre Lizenzstufe; Zero Standing Privileges ist je nach Paket enthalten oder zusätzlich zu lizenzieren.
Organisationen mit PAM-Programm, die administrative Cloud-Zugriffe ohne dauerhafte Rechte gewähren wollen.
Zero Standing Privileges für Cloud-Zugriffe aus einer PAM-Plattform.
Analyse ungenutzter Rechte und Maschinenidentitäten beschreiben Datenblatt und Übersicht zu Secure Cloud Access nicht.
Britive Platform
Britive
Integrationen für AWS, Google Cloud, Azure und Oracle Cloud Infrastructure sowie SaaS, PaaS und DaaS.
Ephemerer Just-in-Time-Zugriff wird nur befristet vergeben und läuft ab, wenn er nicht mehr gebraucht wird; Zero Standing Privileges ist der Standard.
Account Discovery und Drift Detection zeigen Konten und Abweichungen mit identitätsbezogenem Kontext.
Integration mit bestehenden Identity Providern, IGA, SSO und MFA.
Britive ARC gibt KI-Agenten befristete Befugnisse, ohne dauerhafte Rechte zu hinterlassen; Sicht auf menschliche und nicht-menschliche Identitäten.
Cloud- und DevOps-Teams, die administrative Zugriffe auf mehrere Clouds ohne stehende Rechte organisieren wollen.
Befristeter Zugriff über mehrere Clouds als Standardbetrieb, auch für KI-Agenten.
Eine Analyse ungenutzter Rechte und Least-Privilege-Empfehlungen nennt die Plattformseite nicht.
Apono (JIT-PAM-Plattform)
Apono
Just-in-Time-Zugriff auf AWS, Azure und Google Cloud für Menschen, Maschinen und KI-Agenten.
Berechtigungen entstehen zum Zeitpunkt der Anfrage in der nativen Richtliniensprache der jeweiligen Cloud, vorgefertigte Rollen entfallen.
Die Plattform zeigt, wer privilegierten Zugriff hat, was er damit tut und wann er abläuft; Agent Privilege Guard prüft bei KI-Agenten erklärte Absicht gegen tatsächliche Aktionen.
Anfragen über Slack, Teams, Jira oder CLI; Integrationen unter anderem mit Okta und Entra ID.
Just-Enough-Access wird über Identitäten und Umgebungen hinweg durchgesetzt.
Entwicklungs- und Betriebsteams, die befristete, genau zugeschnittene Cloud-Rechte im gewohnten Chat- oder Ticketwerkzeug anfordern.
Rechte entstehen dynamisch pro Anfrage, sodass keine breiten Standardrollen gepflegt werden müssen.
Wie die Erkennung bestehender oder ungenutzter Rechte funktioniert, erklärt die Produktseite nicht.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- Microsoft Entra Permissions Management: seit 01.04.2025 nicht mehr erhältlich, Support am 01.11.2025 beendet (Delinea nennt den 01.10.2025); Nachfolgefunktionen in Defender CSPM
- CrowdStrike Falcon Cloud Security (CIEM): die CIEM-Seite nennt übermässige Rechte und Multi-Cloud, aber keine einzelnen Clouds, kein JIT und keine IdP-Anbindung
- Fortinet FortiCNAPP (CIEM): CIEM mit automatisierten Hinweisen zur Rechteanpassung belegt
- AWS IAM Access Analyzer: erkennt ungenutzte Rollen, Zugangsschlüssel, Passwörter und Berechtigungen, aber nur für AWS
- BeyondTrust Entitle: Just-in-Time-Zugriff auf Cloud-Infrastruktur und SaaS mit automatischem Entzug; einzelne Clouds auf der Produktseite nicht genannt
- Saviynt, SailPoint, P0 Security: fachlich angrenzende Angebote für Cloud-Berechtigungen und JIT
Rechte
schrittweise reduzieren.
- Alle Cloud-Konten und -Abonnements mit ausreichenden Leserechten anbinden; nicht angebundene Konten ausdrücklich als blinde Flecken ausweisen.
- Ungenutzte und überprivilegierte Rechte anhand von Aktivitätsdaten über einen definierten Zeitraum ermitteln.
- Mit nicht produktiven Umgebungen und Maschinenidentitäten beginnen, danach produktive Rollen anpassen.
- Neue Rechte nur noch über Vorlagen und Pipeline vergeben, damit sich der Bestand nicht wieder aufbaut.
- Anteil Identitäten mit ungenutzten Berechtigungen
- Anzahl Identitäten mit Admin- oder Wildcard-Rechten
- Zeit von Befund bis Rechtereduktion
ISO/IEC 27001:2022 Annex A 5.18 (Zugriffsrechte), 8.2 (privilegierte Zugriffsrechte) und 5.23 (Informationssicherheit bei Cloud-Diensten).
Das Least-Privilege-Prinzip gilt auch für Workloads und Service-Accounts; diese machen in Cloud-Umgebungen oft die Mehrheit der Identitäten aus.
Ein CIEM-Bericht reduziert noch kein Recht. Wirkung entsteht erst, wenn Owner Änderungen freigeben und die Pipeline neue Überberechtigungen verhindert.
Rechte im Kontext lesen.
CSPM prüft Konfigurationen. IGA steuert menschliche Berechtigungen. Attack Path Management ordnet Rechte in erreichbare Wege ein.
- Fehlende Organisationskonten und eingeschränkte APIs lassen blinde Flecken zurück.
- Technische Empfehlungen genehmigen keine fachlichen Sonderrechte.
- Teste eine ungenutzte Adminrolle, einen externen Trust und eine kritische Ressource. Die Korrektur muss reversibel, zugeordnet und nachweisbar sein.
Security Tool Navigator · Gebiet 03
Im Gebiet Identity Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Identity Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.