Endpoint Privilege Managementund Application Control.
Endpoint Privilege Management ersetzt dauerhafte lokale Administratorrechte durch kontrollierte, zeitlich und technisch begrenzte Rechteerhöhungen. Application Control legt fest, welche Programme und Skripte auf dem Endpunkt starten dürfen und auf welche Ressourcen sie zugreifen.
Marktbild: hohe Priorität für Windows-, macOS- und Linux-Flotten mit lokalen Adminrechten. Der Markt ist breit, von PAM-Spezialisten bis zu UEM- und Application-Control-Anbietern. Dieser Vergleich umfasst zehn Plattformen.
Adminrechte abschaffen, Arbeit ermöglichen.
Das Ziel ist nicht, jede Erhöhung zu verhindern. Es ist, Rechte nur für eine definierte Anwendung, einen begründeten Zweck und eine begrenzte Zeit zu geben und die Entscheidung nachweisbar zu machen.
Benötigt werden ein verlässliches Endpoint-Inventar, Benutzer- und Gerätegruppen, eine Liste legitimer Adminfälle, Helpdesk-Abläufe und ein Rückfallweg. Die Regeln wachsen aus realen Arbeitsfällen, nicht aus einem Standardkatalog.
Wer darf was starten, und mit welchen Rechten.
Zwei Fragen stehen im Zentrum: Mit welchen Rechten läuft ein Programm, und darf es überhaupt laufen. Endpoint Privilege Management (EPM) beantwortet die erste. Benutzer arbeiten als Standardbenutzer; braucht eine Installation oder ein Werkzeug Adminrechte, erhöht ein Agent nur diesen einen Prozess, nicht das Konto. Die Regel kann automatisch greifen, eine Begründung oder Authentisierung verlangen oder eine Freigabe durch den Support, und jede Erhöhung wird protokolliert.[1,2]
Application Control beantwortet die zweite Frage. Statt zu erkennen, was schädlich ist, kehrt Allowlisting das Prinzip um: Code läuft nur, wenn eine Regel ihn erlaubt (Default Deny). Regeln stützen sich auf Herausgeberzertifikat, Hash, Pfad, Reputation oder eine verwaltete Installationsquelle. Skripte, Installer und interaktive Shells sind eigene Ausführungswege; Windows App Control erfasst sie ausdrücklich und zwingt PowerShell in den Constrained Language Mode, Santa unter macOS dagegen ignoriert Skripte bewusst.[3,4]
Fast alle Werkzeuge kennen zwei Modi: Beobachten (Audit, Monitor, Permissive) und Durchsetzen (Enforce, Lockdown). Im Beobachtungsmodus entsteht aus den protokollierten Starts das Inventar, aus dem die Regeln abgeleitet werden. Ring-Fencing geht einen Schritt weiter: Auch eine erlaubte Anwendung darf nur auf die Dateien, Registry-Schlüssel, Netzressourcen und Programme zugreifen, die sie braucht.[4,5,6]
Jedes Konto installiert und ändert, was es will; Schadcode erbt volle Rechte.
Standardbenutzer als Regel, einzelne Prozesse werden befristet, begründet und protokolliert erhöht.
Alle Programmstarts werden erfasst, Regeln entstehen aus dem realen Inventar.
Nur freigegebene Programme und Skripte laufen, Unbekanntes wird blockiert.
Auch freigegebene Programme erhalten nur die Zugriffe, die sie brauchen.
Typische Probleme
| Problem | Wie man es löst |
|---|---|
| Umgehung über vertrauenswürdige Programme | Signierte Systemwerkzeuge wie mshta.exe, msbuild.exe oder wscript.exe können Allowlisting-Regeln aushebeln. Lösung: die vom Hersteller gepflegte Sperrliste übernehmen und nach Updates ältere, verwundbare Versionen sperren.[7] |
| Pfadregeln | Eine Regel auf einen Ordner vertraut dem Speicherort, nicht dem Herausgeber; ist der Ordner beschreibbar, ist die Regel wertlos. Lösung: Herausgeber- oder Hash-Regeln bevorzugen, Pfadregeln nur für schreibgeschützte Orte. |
| Ausnahmen ohne Owner und Ablauf | Dauerhafte Erhöhungsregeln stellen die alten Adminrechte durch die Hintertür wieder her. Lösung: jede Regel mit Owner, Begründung und Ablaufdatum, regelmässige Rezertifizierung. |
| Zu früh durchgesetzt | Ohne Lernphase blockiert Default Deny Updates, Fachsoftware und Supportwerkzeuge. Lösung: Audit-Modus über einen vollständigen Update-Zyklus, dann stufenweise Durchsetzung nach Gerätegruppen.[5] |
| Ungleiche Plattformabdeckung | Viele Produkte erhöhen Rechte nur unter Windows oder decken Linux und macOS mit anderem Funktionsumfang ab. Lösung: Abdeckungsmatrix je Betriebssystem vor der Auswahl erstellen.[8] |
| Kein Offline- und Notfallweg | Wenn Freigaben nur online möglich sind, steht der Support bei Netzausfall still. Lösung: Offline-Codes oder lokale Notfallregeln definieren und testen. |
Betrieb und Verantwortung
Der Endpoint-Betrieb pflegt Agenten und Regeln, der Service Desk entscheidet über Erhöhungsanfragen nach festgelegten Kriterien, die Security überprüft Ausnahmen und Protokolle. Sinnvolle Kennzahlen sind der Anteil Geräte ohne dauerhafte lokale Adminrechte, der Anteil Geräte im Durchsetzungsmodus, die Zahl offener Ausnahmen ohne Ablaufdatum und die Bearbeitungszeit von Freigabeanfragen.
Regulatorischer Bezug
ISO/IEC 27001:2022 Annex A 8.2 (Privilegierte Zugangsrechte) und 8.19 (Installation von Software auf Systemen im Betrieb) adressieren direkt die beiden Kernfragen, 8.7 (Schutz gegen Schadsoftware) die Wirkung. NIS2 Art. 21 Abs. 2 lit. i nennt Konzepte für die Zugriffskontrolle, lit. g grundlegende Verfahren der Cyberhygiene; DORA Art. 9 Abs. 4 lit. c verlangt von Finanzunternehmen, den logischen Zugang auf das für genehmigte Funktionen Erforderliche zu beschränken. Die australischen Essential Eight führen Application Control und die Beschränkung administrativer Rechte als eigene Strategien.[9,10,11,12]
Quellen: [1] learn.microsoft.com · [2] airlockdigital.com · [3] learn.microsoft.com · [4] github.com · [5] docs.redhat.com · [6] threatlocker.com · [7] learn.microsoft.com · [8] manageengine.com · [9] iso.org · [10] eur-lex.europa.eu · [11] eur-lex.europa.eu · [12] cyber.gov.au
Fünfzehn Werkzeuge im Vergleich.
Der Markt besteht aus Endpoint-Privilege-Management-Produkten, die dauerhafte lokale Adminrechte durch Erhöhung nach Bedarf ersetzen und meist eine Anwendungssteuerung mitbringen (BeyondTrust, Idira, Delinea, Admin By Request, Heimdal, Microsoft Intune), aus Allowlisting-Spezialisten mit Default-Deny-Ansatz (Airlock Digital, ThreatLocker, Carbon Black App Control, Trellix, Ivanti, ManageEngine) sowie aus Betriebssystemfunktionen und Open-Source-Werkzeugen (Microsoft App Control for Business und AppLocker, Santa für macOS, fapolicyd für Linux). Mehrere Produkte stammen aus Übernahmen: Palo Alto Networks hat die Übernahme von CyberArk am 11.02.2026 abgeschlossen und führt den Endpoint Privilege Manager unter der Marke Idira, Carbon Black gehört seit dem Abschluss der VMware-Übernahme am 22.11.2023 zu Broadcom. Die Betriebssystemabdeckung unterscheidet sich stark: Einige Produkte sind auf Windows beschränkt, andere decken Windows, macOS und Linux ab. Mit Admin By Request und Heimdal (beide Dänemark) sind Anbieter mit EU-Bezug vertreten.
Allowlisting: Allowlisting von Anwendungen · Skripte: Skriptkontrolle · Rechteerhöhung: Rechteerhöhung nach Bedarf · Ring-Fencing: Ring-Fencing oder Anwendungsisolation · macOS: macOS · Linux: Linux · On-Prem: On-Premises möglich. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
Endpoint Privilege Management (Windows, Mac, Linux)
BeyondTrust
Entzug lokaler Adminrechte und Steuerung von Root-Zugriff auf Windows- und Mac-Desktops sowie Linux- und Windows-Servern; Linux-Desktops werden laut Hersteller ebenfalls unterstützt.
Vertrauensbasiertes Anwendungs-Allowlisting mit Richtlinienmodul; Rechte werden nur für bekannte, vertrauenswürdige Anwendungen und nur für die nötige Dauer erhöht.
Application Rules lassen sich mit PowerShell-Skripten (Power Rules) erweitern, etwa für Anbindungen an Ticketsysteme; Verwaltung über Cloud-Policy-Editor oder ePO-Erweiterung.
Neben dem Cloud-Betrieb beschreibt BeyondTrust BeyondInsight mit U-Series-Appliance als On-Premises-Lösung für Windows und Mac.
Deckt Windows, macOS und Linux mit Rechteerhöhung und Anwendungssteuerung in einer Produktfamilie ab.
Ring-Fencing bzw. Anwendungsisolation ist auf der aktuellen Produktseite nicht beschrieben; die Seite nennt zusätzlich «Trusted Application Protection» als Kontrolle gegen Ransomware, erläutert sie aber nicht; Tiefe der Anwendungssteuerung im Vergleich zu Allowlisting-Spezialisten im Pilot prüfen.
Idira Endpoint Privilege Manager (vormals CyberArk EPM)
Palo Alto Networks (vormals CyberArk)
Schutz für Arbeitsplätze und Server unter Windows, Windows Server, macOS und Linux.
Dauerhafte Adminrechte werden durch fein abgestufte Just-in-Time-Erhöhung ersetzt; für Ausnahmen gibt es zeitlich begrenzten, vollständig protokollierten Adminzugang.
Application Control erlaubt, erhöht, blockiert oder beschränkt Anwendungen; unbekannte Anwendungen können im «Restricted Mode» (ring fenced) laufen.
Der Hersteller beschreibt EPM als mikroservicebasierte Cloud-Lösung; eine On-Premises-Variante wird auf der Produktseite nicht genannt.
Verbindet Rechteerhöhung, Anwendungssteuerung und Ring-Fencing unbekannter Anwendungen für vier Betriebssystemfamilien.
Nach der Übernahme durch Palo Alto Networks sind Marke und Paketzuschnitt im Umbau; ein Betrieb ohne Hersteller-Cloud ist auf der Produktseite nicht belegt.
Privilege Manager
Delinea
Endpoint Privilege Management und Application Control für Windows- und Mac-Arbeitsplätze; Linux-Server deckt Delinea mit dem separaten Produkt Privilege Control for Servers ab.
Lokale Adminrechte werden entfernt; dynamische Allow-, Deny- und Restrict-Richtlinien erhöhen vertrauenswürdige Anwendungen und blockieren oder sandboxen andere.
Rechteerhöhung unter Windows und macOS kann mit MFA abgesichert werden; die Funktionsliste nennt Just-in-Time-Zugriff und Kontrolle von Kindprozessen.
Angeboten als Cloud-Dienst und als On-Premises-Installation.
Wahl zwischen Cloud- und On-Premises-Betrieb bei gleichem Funktionsumfang für Windows und macOS.
Der Workstation-Agent deckt laut Produktseite Windows und macOS ab; Linux erfordert ein zusätzliches Delinea-Produkt.
Endpoint Privilege Management
Admin By Request
Windows-, macOS- und Linux-Endpunkte mit plattformübergreifender Lizenzierung; das Produkt wird als in Dänemark entwickelt beschrieben.
Just-in-Time-Rechteerhöhung mit Audit-Trail; Vorabfreigaben (Pre-Approval) nach Speicherort, Herstellerzertifikat oder Prüfsumme wirken als Allowlist, zusätzlich können Anwendungen blockiert werden.
Freigaben und Protokolle werden zentral im Portal verwaltet; die Produktseite nennt Anwendungsblockierung als eigene Funktion.
SaaS-Lösung ohne eigene Server, VM-Appliances oder Datenbanken beim Kunden.
Schlanker SaaS-Betrieb ohne eigene Infrastruktur für Windows, macOS und Linux.
Eine On-Premises-Variante ist auf der Produktseite nicht belegt; Datenstandort vor Vertragsabschluss klären.
Privileged Access Management und Application Control
Heimdal Security
Module der Heimdal-Plattform für Rechteerhöhung und Anwendungssteuerung auf Endpunkten; Hersteller mit Sitz in Kopenhagen.
Benutzer erhalten Rechte nur bei Bedarf und ohne dauerhafte Adminrechte; riskante Anfragen gehen zur Genehmigung an Administratoren.
Application Control erlaubt oder blockiert Anwendungen nach Pfad, Hash oder Zertifikat; AppFencing regelt je Allow-Regel, welche Interaktionen mit anderen Anwendungen (Kindprozesse), Dateien, Daten und welcher Internetzugriff der freigegebenen Anwendung erlaubt sind.
Der Hersteller beschreibt eine cloudnative Einrichtung ohne eigene Tresor-Server.
Rechteerhöhung und Anwendungssteuerung als Module derselben Plattform eines EU-Anbieters.
Die Produktseiten nennen keine unterstützten Betriebssysteme; laut Support-Artikel ist Application Control für Windows-Clients ausgelegt und auf Servern wegen möglicher hoher CPU-Last nicht empfohlen.
Intune Endpoint Privilege Management
Microsoft
Gilt laut Dokumentation für Windows; erhöht werden können .exe-, .msi- und .ps1-Dateien.
Benutzer arbeiten als Standardbenutzer; Regeltypen sind automatische Erhöhung, durch den Benutzer bestätigte Erhöhung (mit Begründung oder Authentifizierung), Erhöhung als aktueller Benutzer (Elevate as Current User, im Konto des angemeldeten Benutzers statt in einem virtuellen Konto) und durch den Support genehmigte Erhöhung, dazu Deny-Regeln.
Verwaltung im Microsoft Intune Admin Center; auf dem Gerät läuft der Microsoft EPM Agent Service.
Setzt eine separate EPM-Lizenz im Tenant voraus (Intune advanced capabilities).
Eng in Intune integriert, wenn Windows-Geräte bereits über Intune verwaltet werden.
Nur Windows und nur Rechteerhöhung; Allowlisting erfordert zusätzlich App Control for Business.
Airlock Digital Application Control
Airlock Digital
Enforcement-Agent für Windows inklusive Server, zahlreiche Linux-Distributionen und macOS ab 10.15; das Unternehmen wurde in Australien gegründet.
Deny by Default: Nur vertrauenswürdige Anwendungen, Skripte und Prozesse dürfen ausgeführt werden; Allowlisting wird als laufender Prozess beschrieben.
Elevation Control erhöht die Aktion statt den Benutzer: freigegebene Anwendungen erhalten adminäquivalente Rechte, gesteuert über Herausgeber, Pfad oder übergeordneten Prozess.
Als On-Premises-Lösung, in US-Behörden-Clouds (federal clouds) oder als verwalteter Cloud-Dienst erhältlich; Betrieb ohne ständige Cloud-Verbindung in segmentierten und Air-Gap-Umgebungen.
Allowlisting-Spezialist mit Unterstützung für Offline- und Air-Gap-Umgebungen über drei Betriebssystemfamilien.
Die Angaben zu Cloud- und On-Premises-Betrieb stammen aus Herstellerangaben (Mitteilung und Branchenseite), eine öffentliche Installationsdokumentation wurde nicht gefunden; Betriebsvariante und Rolloutaufwand für dynamische Anwendungen im Pilot klären.
Allowlisting, Ringfencing und Privileged Access Management
ThreatLocker
Plattform mit Modulen für Allowlisting, Ringfencing, Privileged Access Management, Speicher- und Gerätekontrolle sowie weiteren Endpunkt-Funktionen; der Agent unterstützt laut Hersteller-KB Windows-Clients und -Server, macOS ab 12.6.2 sowie Linux (u. a. RHEL, Rocky, Ubuntu, Debian, SLES; kein ARM-Linux).
Deny-by-Default-Allowlisting: Nicht genehmigte Anwendungen, Skripte und Bibliotheken werden nicht ausgeführt; Anwendungen werden automatisch erfasst und Richtlinien vorgeschlagen.
Ringfencing begrenzt freigegebene Anwendungen auf die Dateien, Registry-Schlüssel, Netzressourcen und Anwendungen, die sie brauchen, und kann Skripte einschränken; Rechte werden zeitlich begrenzt nur für einzelne Anwendungen erhöht.
Bereitstellung über den ThreatLocker-Agenten und die Herstellerkonsole; ein Betrieb ohne Hersteller-Cloud ist auf den abgerufenen Seiten nicht beschrieben.
Kombiniert Allowlisting mit Ring-Fencing des Verhaltens freigegebener Anwendungen.
Die Betriebssystemangaben stammen aus der Hersteller-KB, die nicht nennt, welche Module unter macOS und Linux im vollen Umfang verfügbar sind; Funktionsumfang je Betriebssystem und Hosting-Optionen vor der Auswahl beim Hersteller bestätigen.
Carbon Black App Control
Broadcom
Agent für Server, Desktops, Laptops, virtuelle Maschinen und Fixed-Function-Geräte; Broadcom-Wissensartikel beschreiben Windows-, macOS- und Linux-Agenten mit unterschiedlichem Funktionsumfang.
Der Agent erlaubt oder blockiert die Ausführung von Dateien nach Richtlinie und meldet neue ausführbare Dateien und Skripte an den Server.
Der App Control Server bietet zentrale Dateisicherheitsverwaltung, Ereignisüberwachung und ein Live-Inventar relevanter Dateien.
Der App Control Server wird auf eigenen Systemen mit IIS und vorab installiertem Microsoft SQL Server betrieben.
Ausgelegt auch für Server und Fixed-Function-Geräte mit selbst betriebener Verwaltung.
Funktionen unterscheiden sich je Betriebssystem (z. B. keine Publisher Approvals unter Linux); die Produktseite war beim Abruf nicht lesbar, die Angaben stammen aus der Dokumentation.
Trellix Application Control (Application and Change Control)
Trellix
Für Server, Desktops, Kontrollpunkte und Fixed-Function-Geräte; die Dokumentation führt Installationsleitfäden für Windows (aktuell 8.4.x) und Linux (6.x).
Dynamisches Allowlisting stellt sicher, dass nur vertrauenswürdige Anwendungen laufen.
Change Control überwacht und verhindert Änderungen an Dateisystem, Registry und Benutzerkonten und kann kritische Dateien schreib- und leseschützen.
Zentrale Verwaltung über Trellix ePolicy Orchestrator; die Installationsdokumentation beschreibt die Verteilung über Trellix ePO On-prem.
Verbindet Allowlisting mit Change Control für Dateien, Registry und Konten.
Keine Rechteerhöhung für Standardbenutzer; setzt die ePO-Verwaltungsinfrastruktur voraus.
Ivanti Application Control (User Workspace Manager)
Ivanti
Windows-Clients und Windows-Server; Application Control ist Teil von Ivanti User Workspace Manager.
Trusted Ownership lässt nur Anwendungen laufen, die von vertrauenswürdigen Administratoren eingebracht wurden, ergänzt um dynamische Allow- und Deny-Listen.
Volle Adminrechte werden entfernt und durch gezielte Rechte für benötigte Anwendungen ersetzt; Selbsterhöhung für Ausnahmen und Helpdesk-Anbindung für Notfallanfragen.
Das UWM Management Center besteht aus Konsole, Management Server, Microsoft-SQL-Server-Datenbank und Deployment Agent auf den Endpunkten.
Verbindet Trusted Ownership mit Rechteverwaltung für Windows-Umgebungen.
Auf Windows beschränkt; die benötigten UWM-Komponenten und die eigene Verwaltungsinfrastruktur sind einzuplanen.
Application Control Plus
ManageEngine (Zoho)
Laut OS-Vergleichsmatrix Allowlisting für Windows und macOS, Entzug von Adminrechten nur für Windows, Just-in-Time-Zugriff für Windows und macOS; Linux wird nicht unterstützt.
Regeln erlauben vertrauenswürdige Anwendungen und blockieren riskante oder nicht genehmigte Software.
Zeitlich begrenzte Rechteerhöhung mit automatischem Entzug nach Richtlinie; in Endpoint Central nur mit dem Add-on Application Control und Endpoint Privilege Management verfügbar.
On-Premises oder als Cloud-Variante über die Endpoint Security Platform.
Stufenweiser Weg von Inventar und Audit zu Durchsetzung für Windows und macOS.
Funktionsumfang je Betriebssystem unterschiedlich; Abhängigkeit von Endpoint-Central-Modulen und Add-ons.
App Control for Business (vormals WDAC) und AppLocker
Microsoft
Windows 10 und 11 sowie Windows Server 2016 bis 2025; App Control gilt geräteweit, AppLocker kann Regeln je Benutzer oder Gruppe setzen.
Code läuft nur, wenn die Richtlinie es erlaubt; Regeln stützen sich auf Zertifikat, Hash, Reputation, Managed Installer oder Pfad und erfassen auch Skripte, MSI, Batch-Dateien und interaktive PowerShell (Constrained Language Mode).
Microsoft empfiehlt App Control, wo möglich; AppLocker erhält Sicherheitskorrekturen, aber keine neuen Funktionen, und dient zur Feinjustierung je Benutzer.
Richtlinien lassen sich per Gruppenrichtlinie oder Skript verteilen; für Windows 10 1903 und neuer empfiehlt Microsoft andere Verteilwege als Gruppenrichtlinie.
Im Betriebssystem enthalten und als Sicherheitsfeature nach MSRC-Kriterien eingestuft.
Keine Rechteerhöhung; Microsoft führt eine Liste legitimer Programme, die Allowlisting-Richtlinien umgehen können und gesperrt werden sollten.
Santa (mit Workshop)
North Pole Security
Autorisierungssystem für Binärdateien und Dateizugriffe unter macOS.
Im Modus MONITOR läuft alles ausser blockierten Binärdateien und wird protokolliert; im Modus LOCKDOWN laufen nur gelistete Binärdateien.
Regeln kommen lokal oder von einem Sync-Server; neben dem kommerziellen Workshop nennt das Projekt die Open-Source-Server Moroz, Rudolph und Zentral.
Workshop ergänzt zentrale Richtlinien, Freigabe-Workflows und automatisches Allowlisting für Paketquellen wie Homebrew oder npm.
Quelloffenes macOS-Allowlisting mit schrittweisem Übergang von Beobachtung zu Durchsetzung.
Erfasst laut Projekt nur Binärdateien, keine Skripte, und deckt nur macOS ab.
fapolicyd (File Access Policy Daemon)
Red Hat / Open-Source-Projekt
Daemon für Anwendungs-Allowlisting unter Linux, dokumentiert als Teil der Härtung von Red Hat Enterprise Linux 9.
Steuert die Ausführung nach benutzerdefinierter Richtlinie; die RPM-Datenbank dient als Liste vertrauenswürdiger Binärdateien und Skripte, eigene Regelgruppen gelten für Interpreter und Shells.
Integritätsprüfung optional über Dateigrösse, SHA-256 oder das IMA-Subsystem; SHA-256 ist sicherer, kostet aber Leistung.
Im Permissive-Modus werden Entscheidungen nur protokolliert und können im Audit-Log geprüft werden, bevor durchgesetzt wird.
Im Betriebssystem verfügbares, quelloffenes Allowlisting für Linux-Server.
Ohne Integritätsprüfung (Standard) vertraut fapolicyd Dateien anhand der Paketdatenbank; zentrale Verwaltung über viele Systeme ist nicht Teil des Daemons.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- Faronics Anti-Executable: Allowlisting für Schul-, Kiosk- und gemeinsam genutzte Arbeitsplätze
- Netwrix Endpoint Policy Manager (vormals PolicyPak): Richtlinien- und Rechteverwaltung für Windows
- Matrix42 (EgoSecure): Endpoint-Security-Module eines DACH-Anbieters
- Jamf Protect / Kandji (Iru): macOS-Sicherheitsprodukte mit Blockierregeln; kein Allowlisting- oder Elevation-Produkt im Sinne der Klasse belegt
- SentinelOne Singularity, Omnissa Workspace ONE: EDR- bzw. UEM-Plattformen; eine eigene EPM-Funktion ist nicht belegt (siehe Klassen edr-werkzeuge und uem)
- ManageEngine PAM360: PAM-Suite mit Fokus auf Konten und Sitzungen; Endpunkt-Rechte werden bei ManageEngine über Endpoint Central / Application Control Plus abgedeckt
- Delinea Privilege Control for Servers: Server-Variante von Delinea für Windows und Linux; nicht Gegenstand dieses Eintrags, der den Workstation-Agenten Privilege Manager beschreibt
- Faronics, Kaspersky, ESET, G DATA (Anwendungskontrolle in EPP-Suiten): Anwendungs- bzw. Programmkontrolle als Modul von Endpoint-Protection-Suiten; siehe Klasse antivirus-werkzeuge
Der Endpunkt ist Teil einer Kette.
PAM schützt privilegierte Konten und Sitzungen. UEM liefert Geräte- und Konfigurationskontext. EDR beobachtet missbräuchliche Aktivität. Patch Management und Application Control brauchen denselben kontrollierten Betriebsweg.
- Unvollständige Anwendungsregeln blockieren Updates, Support oder Fachsoftware.
- Ausnahmen ohne Ablaufdatum stellen dauerhafte Privilegien wieder her.
- Teste Installation, temporäre Erhöhung, Supportzugriff, Offline-Fall und Widerruf. Jede Ausnahme braucht Owner, Ablauf und Nachweis.
Security Tool Navigator · Gebiet 04
Im Gebiet Endpoint und Workspace Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Endpoint und Workspace Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.