PAMWerkzeuge.
Privileged Access Management schützt Zugriffe, die Systeme verändern, Daten weitreichend lesen oder Sicherheitsgrenzen umgehen können. Die Plattform steuert Geheimnisse, Sitzungen, zeitlich begrenzte Rechte und die nachträgliche Nachvollziehbarkeit.
Adminrechte sind kein Normalzustand.
PAM reduziert dauerhafte privilegierte Zugänge. Entscheidend ist nicht allein ein Passwort-Tresor: Zugang, Genehmigung, Session, Aufzeichnung, Ablauf und Entzug müssen als eine kontrollierte Kette funktionieren.
IGA steuert, ob ein Recht bestehen darf. PAM kontrolliert, wie besonders wirksame Rechte genutzt werden. Secrets Management betrifft vor allem nicht-menschliche Identitäten und Entwicklungsumgebungen.
Wer schaut zu,
und wann.
Eine Aufzeichnung privilegierter Sitzungen wirkt nur, wenn festgelegt ist, wer sie wann auswertet. Fehlt diese Antwort, ist die Aufzeichnung ein Archiv ohne Kontrolle. In Prüfungen und regulierten Umgebungen wird genau danach gefragt. Niemand schaut sich alle Aufzeichnungen an; tragfähig ist ein Modell mit vier Auslösern.
| Frage | Antwort, die eine Prüfung trägt |
|---|---|
| Wer prüft? | Eine vom Betrieb unabhängige Stelle, zum Beispiel Security Operations oder die zweite Linie. Nie das Admin-Team selbst. Bei externen Dienstleistern prüft der Auftraggeber. |
| Wie wird geprüft? | Zuerst Metadaten und Befehlsprotokoll durchsuchen, das Video gezielt an der Fundstelle ansehen. Das Video dient als Beweis, nicht als Suchwerkzeug. |
| Was wird festgehalten? | Prüfprotokoll mit Sitzung, Prüfer, Datum, Befund und Massnahme. Der Zugriff auf Aufzeichnungen wird selbst protokolliert. |
| Wie lange wird aufbewahrt? | Frist im Reglement festlegen und technisch durchsetzen; länger aufbewahren nur bei laufendem Vorfall. |
| Was wird gemessen? | Anteil gesichteter Alarme innert Frist, Anzahl Stichproben je Periode, offene Befunde. |
Grenzen in der Schweiz
Art. 26 der Verordnung 3 zum Arbeitsgesetz (ArGV 3) verbietet Systeme, die das Verhalten der Mitarbeitenden überwachen sollen. Aufzeichnungen aus anderen Gründen, etwa der Sicherheit, sind zulässig, soweit sie verhältnismässig sind (Art. 328b OR, DSG, Wegleitung des SECO): Auswertung nach Anlass oder stichprobenweise, nicht zur systematischen Leistungskontrolle. Art. 26 ArGV 3 und Art. 328b OR binden den Arbeitgeber. Gegenüber Mitarbeitenden externer Dienstleister ist der Auftraggeber nicht Arbeitgeber; für ihn gilt das DSG, die Anforderungen sind vertraglich zu regeln. Die betroffenen Administratorinnen und Administratoren werden vorgängig im Reglement informiert.
Sechzehn Werkzeuge im Vergleich.
Der PAM-Markt besteht aus breiten PAM-Suiten mit Tresor, Sitzungsvermittlung und Endpunkt-Modul (Idira, BeyondTrust, Delinea, Segura, One Identity, Netwrix, ManageEngine, WALLIX, Fudo, Keeper), cloud-nativen Zugriffsdiensten für Infrastruktur mit kurzlebigen Berechtigungen (StrongDM, Teleport, HashiCorp Boundary), PAM-Modulen von Identity-Plattformen (Okta, Microsoft Entra) und der Open-Source-Plattform JumpServer. Die Konsolidierung setzt sich fort: Palo Alto Networks hat die Übernahme von CyberArk am 11.02.2026 abgeschlossen und führt die Produkte unter der Marke Idira, Delinea hat die Übernahme von StrongDM am 05.03.2026 abgeschlossen, BeyondTrust hat am 16.04.2024 eine Vereinbarung zur Übernahme von Entitle (Just-in-Time-Zugriff) bekanntgegeben, und HashiCorp (Boundary) ist seit 27.02.2025 Teil von IBM. Just-in-Time-Zugriff und Zero Standing Privileges werden von fast allen Anbietern als Ergänzung oder Ersatz des klassischen Tresors beschrieben. Mit WALLIX (Paris) und Fudo Security (Warschau) sind Anbieter mit EU-Sitz vertreten.
Tresor: Passworttresor und Rotation · Sitzung: Sitzungsvermittlung und -aufzeichnung · Just-in-Time: Just-in-Time oder Zero Standing Privileges · Endpunkt: Endpunkt-Rechteverwaltung · DevOps: Secrets für Anwendungen und DevOps · SaaS: als SaaS · On-Prem: On-Premises möglich. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
Idira Privileged Access Manager (vormals CyberArk PAM, mit Endpoint Privilege Manager)
Palo Alto Networks (vormals CyberArk)
Idira fasst Tresor und Rotation, Zero Standing Privileges und Sitzungsisolation für privilegierte Konten, externe Dienstleister und Cloud-Konsolen zusammen.
Privilegierte Sitzungen werden vermittelt, isoliert und aufgezeichnet; riskante Sitzungen können laut Hersteller automatisch beendet werden.
Endpoint Privilege Manager ersetzt dauerhafte lokale Adminrechte durch Just-in-Time-Erhöhung auf Windows, Windows Server, macOS und Linux; Idira Secrets Manager ergänzt den Tresor für Anwendungen.
Angeboten als SaaS und als Self-Hosted-Variante; Palo Alto Networks beschreibt einen Migrationspfad von Self-Hosted zu SaaS.
Breiter Funktionsumfang von Tresor über Sitzungsaufzeichnung bis Endpunkt-Rechte in einer Produktfamilie.
Marke, Produktnamen und Paketzuschnitt sind nach der Übernahme durch Palo Alto Networks im Umbau; Modulumfang und Lizenzierung vor der Auswahl klären.
BeyondTrust Password Safe (mit Endpoint Privilege Management)
BeyondTrust
Password Safe erkennt, übernimmt, speichert und rotiert Zugangsdaten, Schlüssel und Secrets und protokolliert privilegierte Sitzungen für Compliance und Forensik.
Sitzungen können aufgezeichnet und bei verdächtigem Verhalten gesperrt werden; Just-in-Time-Zugriff soll statische Secrets ersetzen.
Secrets für DevOps-Werkzeuge und CI/CD-Prozesse; Endpoint Privilege Management entfernt lokale Adminrechte auf Windows, macOS und Linux.
Betrieb als physische oder virtuelle Appliance (vSphere, Hyper-V), in AWS oder Azure; Password Safe wird seit 2020 auch als SaaS angeboten.
Kombination aus Tresor, Sitzungskontrolle und Endpunkt-Rechteverwaltung mit wählbarer Betriebsform.
Remote-Zugriff, Password Safe und Endpunkt-Modul sind getrennte Produkte; der abgerufene Produkttext unterscheidet SaaS- und Appliance-Funktionsumfang nicht.
Delinea Secret Server und Privilege Manager (Delinea Platform)
Delinea
Secret Server ist ein Tresor für Admin-, Root-, Dienst- und Anwendungskonten mit Erkennung, Passwortrotation und Sitzungsüberwachung.
Check-in/Check-out, rollenbasierter Zugriff und Freigabe-Workflows; jede privilegierte Sitzung wird aufgezeichnet und überwacht.
Privilege Manager entfernt Adminrechte auf Windows- und Mac-Arbeitsplätzen und steuert Anwendungen; die Delinea Platform führt Just-in-Time und Zero Standing Privilege als Fähigkeit.
Die Dokumentation führt Secret Server als On-Premises- und Cloud-Variante.
Tresor und Sitzungsaufzeichnung mit Erkennung, Passwortrotation und Freigabe-Workflows, ergänzt um Endpunkt-Rechte.
Die Plattform wächst durch Zukäufe (zuletzt StrongDM); welche Komponenten in welchem Paket und in welcher Betriebsform enthalten sind, ist vor der Auswahl zu klären.
Segura PAM Core (mit Endpoint Privilege Manager und DevOps Secret Manager)
Segura (vormals senhasegura)
Tresor und automatische Passwortrotation, Privileged Session Management sowie Just-in-Time- und Just-Enough-Access für IT-, OT- und Cloud-Umgebungen.
Privilegierte Sitzungen werden mit Video und Tastatureingaben aufgezeichnet und können wiedergegeben werden.
Endpoint Privilege Manager für Just-in-Time-Erhöhung auf Endpunkten; DevOps Secret Manager für Anwendungen, Datenbanken und CI/CD-Werkzeuge.
Betrieb als SaaS oder auf eigener Infrastruktur; die Software wird als virtuelle oder physische Appliance ausgeliefert.
Breiter Funktionsumfang in einer Appliance ohne zusätzliche Server je Komponente.
Hauptsitz in São Paulo (Brasilien); Supportstruktur und Datenstandort der SaaS-Variante sind für CH/DE-Einsätze zu klären.
WALLIX PAM (Bastion, WALLIX One)
WALLIX
Steuert den Zugriff auf privilegierte Systeme, zeichnet Sitzungen auf, speichert und rotiert Zugangsdaten und erweitert die Kontrolle auf Browser-Anwendungen, agentenlos über IT und OT.
Aufgezeichnete, durchsuchbare Sitzungen; Just-in-Time-PAM und Fernzugriff für Dienstleister ohne VPN.
PEDM entfernt lokale Adminrechte auf Anwendungs- und Prozessebene; Secret Management mit App-to-App-Brokering und CI/CD-Automatisierung.
Betrieb im eigenen Rechenzentrum oder als SaaS-Dienst WALLIX One, bei dem WALLIX den Betrieb übernimmt; Sitz der WALLIX-Gruppe in Paris.
Europäischer Anbieter mit Bastion-Ansatz, der ausdrücklich OT-Umgebungen einschliesst.
Die Produktseite nennt Fähigkeiten in Reifestufen; welcher Umfang in WALLIX One und welcher nur im Eigenbetrieb verfügbar ist, ist zu klären.
One Identity Safeguard (Privileged Passwords, Privileged Sessions, Safeguard On Demand)
One Identity
Safeguard verbindet einen Passworttresor für privilegierte Konten mit der Steuerung, Überwachung und Aufzeichnung privilegierter Sitzungen von Administratoren und Dienstleistern.
Zugangsdaten werden zeit-, nutzungs- oder manuell gesteuert geändert; Anfragen können automatisch oder mit Mehrfachfreigabe genehmigt werden.
Sitzungsaktivitäten werden erfasst, indexiert und manipulationsgeschützt gespeichert; Safeguard On Demand ergänzt privilegierte Analysen.
Safeguard for Privileged Passwords läuft als Hardware- oder virtuelle Appliance; Safeguard On Demand wird als SaaS aus der Cloud betrieben.
Tresor und Sitzungsaufzeichnung wahlweise als Hardware- oder virtuelle Appliance oder als SaaS.
Just-in-Time-Zugriff und Endpunkt-Rechte sind auf den abrufbaren Seiten nicht beschrieben; die Herstellerseiten waren für automatisierte Abrufe teilweise gesperrt.
Netwrix Privilege Secure (mit Endpoint Privilege Manager)
Netwrix
Ersetzt dauerhafte Adminkonten durch temporäre Berechtigungen, die bei Bedarf erstellt und nach der Nutzung entfernt werden (ehemals SBPAM und Remediant).
Zero Standing Privilege mit Freigabe je Sitzung; Sitzungen werden überwacht und für Audit und Forensik aufgezeichnet.
Verwaltete Konten werden gespeichert und nach Richtlinie rotiert; Endpoint Privilege Manager deckt Rechteerhöhung auf Windows und macOS ab.
Der Hersteller führt eine On-Premises-Bereitstellung; ein SaaS-Angebot ist auf den abgerufenen Seiten nicht beschrieben.
Ansatz ohne dauerhafte Adminkonten mit enger Bindung an Active Directory.
Schwerpunkt Windows und Active Directory; Secrets für Anwendungen und ein SaaS-Betrieb sind nicht belegt.
ManageEngine PAM360
ManageEngine (Division der Zoho Corp.)
Erkennt privilegierte Konten im Netz und übernimmt sie in einen AES-256-verschlüsselten Tresor mit rollenbasierten Rechten; SSH-Schlüssel werden erkannt und periodisch rotiert.
Sitzungen können live mitverfolgt und als Video archiviert werden; Domänenkonten erhalten erhöhte Rechte Just-in-Time und werden danach zurückgesetzt.
Endpunkt-Rechteverwaltung mit Entzug lokaler Adminkonten und Anwendungssteuerung; APIs gegen fest codierte Zugangsdaten und Integration in CI/CD-Pipelines.
Die Testversion wird für On-Premises angeboten; eine Cloud-Variante ist auf der Produktseite als Beta gekennzeichnet.
Breiter operativer Funktionsumfang einschliesslich SSH-Schlüsseln und Endpunkt-Rechten in einem Produkt.
SaaS-Betrieb ist nur als Beta ausgewiesen; Skalierung und Integration in bestehende Werkzeuge sind im Pilot zu prüfen.
KeeperPAM
Keeper Security
Verwaltet den Zugriff auf Server, Web-Anwendungen, Datenbanken und Workloads; das Keeper Gateway erkennt Maschinen, Konten und Zugangsdaten und übernimmt sie in den Tresor.
Passwortrotation, Just-in-Time-Zugriff und Zero Standing Privileges; Sitzungen über SSH, RDP, VNC, Datenbanken und Browser werden mit Bildschirm und Tastatur aufgezeichnet.
Endpoint Privilege Manager für Windows, Linux und macOS; Keeper Secrets Manager für CI/CD, Terraform und eigene Software.
Cloud-nativer Dienst mit Zero-Knowledge-Architektur; Aufzeichnungen werden verschlüsselt in der Cloud gespeichert.
Tresor, Sitzungen, Endpunkt-Rechte und Secrets in einem Cloud-Dienst ohne eigene Serverinfrastruktur ausser dem Gateway.
Kein Eigenbetrieb des Gesamtsystems; Speicherort der Sitzungsaufzeichnungen und Datenregion sind für CH/DE-Anforderungen zu prüfen.
Fudo Enterprise (Fudo PAM) und Fudo Connect
Fudo Security
Agentenloses Gateway für RDP-, SSH-, Datenbank- und Web-Sitzungen mit Tresor, Freigaben und Verhaltensanalyse.
Verschlüsselter Tresor mit automatischer Rotation von Passwörtern und SSH-Schlüsseln, die in Sitzungen eingesetzt werden, ohne sie offenzulegen; verdächtige Sitzungen werden pausiert oder beendet.
Betrieb im Bastion-, Proxy- oder Tunnel-Modus ohne Änderung an Zielsystemen; Anbindung an Active Directory, Entra ID und Okta.
Fudo Enterprise läuft on-premises, hybrid oder in Multi-Cloud-Umgebungen; Fudo Connect ist ein cloud-nativer Fernzugriffsdienst mit Sitzungsaufzeichnung. Sitz in Warschau.
Europäischer Anbieter mit Schwerpunkt Sitzungskontrolle für Dienstleisterzugriff ohne Agenten auf Zielsystemen.
Endpunkt-Rechte und Secrets für Anwendungen sind nicht beschrieben; Fudo Connect deckt nur den Fernzugriff ab, nicht den vollen PAM-Umfang.
StrongDM
StrongDM (Delinea)
Zugriff auf Datenbanken, Kubernetes, Server und Cloud-Infrastruktur über ein gemeinsames Gateway, mit Zugangsdaten, die per Proxy eingesetzt und nicht offengelegt werden.
Just-in-Time-Zugriff mit Freigabe in Slack, Teams oder ITSM; Anfragen, Aktionen und Freigaben werden protokolliert und Sitzungen aufgezeichnet.
StrongDM Vault verwaltet und rotiert Zugangsdaten (Enterprise-Plan); Anbindung an Delinea Secret Server, HashiCorp Vault sowie Secrets-Dienste von AWS, Azure und Google Cloud.
Gateways und Relays laufen auf kundeneigenen Linux-Hosts, in Docker oder Kubernetes und verbinden sich mit der StrongDM-Steuerungsebene.
Einheitlicher, kurzlebiger Zugriff auf moderne Infrastruktur und Datenbanken mit Sitzungsaufzeichnung.
Die Einbindung in die Delinea-Plattform ist im Gang (Preisseite leitet auf Delinea-Pakete um); Betriebsmodell der Steuerungsebene ist auf den Seiten nicht ausdrücklich als SaaS beschrieben.
Teleport
Teleport (Gravitational)
Zugriff auf Server, Kubernetes, Datenbanken, Desktops, Web-Anwendungen und Cloud-Konsolen über kurzlebige Identitäten statt gespeicherter Passwörter («Vault-free Privileged Access»).
Just-in-Time-Zugriffsanfragen mit Freigabe über Slack, Jira, ServiceNow und weitere Systeme; Sitzungen für SSH, Kubernetes und Desktops werden aufgezeichnet.
Machine & Workload Identity ersetzt statische Secrets in CI/CD-Pipelines und Infrastructure-as-Code durch kurzlebige Identitäten.
Betrieb als Teleport Enterprise Cloud oder selbst gehostet; Aufzeichnungen und Audit-Logs können in eigener Infrastruktur gespeichert werden.
Zugriff ohne dauerhafte Zugangsdaten für moderne Infrastruktur, mit Open-Source-Kern.
Kein klassischer Passworttresor mit Rotation; Eignung für Altsysteme und klassische Tresoranforderungen ist im Pilot zu prüfen. Community-Edition-Binärdateien stehen unter einer modifizierten Apache-2.0-Lizenz.
HashiCorp Boundary
HashiCorp (IBM)
Vermittelt Verbindungen in private Netze zu Hosts und kritischen Systemen ohne Bastion-Hosts oder VPN und ohne Verteilung von Zugangsdaten.
Just-in-Time- und Least-Privilege-Netzwerkzugriff; Zugangsdaten werden in Sitzungen eingesetzt, kurzlebige dynamische Zugangsdaten über HashiCorp Vault erzeugt.
Aufzeichnung von SSH- und RDP-Sitzungen in einen externen Speicher-Bucket mit Wiedergabe und Export.
HCP Boundary ist ein verwaltetes Angebot mit Steuerungsebene bei HashiCorp und optionalen Workers in der Kundenumgebung; Boundary Enterprise wird selbst betrieben.
Sitzungsvermittlung mit kurzlebigen Zugangsdaten in enger Kopplung an HashiCorp Vault.
Kein eigener Passworttresor; Rotation und Tresorfunktionen setzen HashiCorp Vault oder einen anderen Tresor voraus.
Okta Privileged Access
Okta
Privilegierter Zugriff auf Linux- und Windows-Server, Tresor für lokale Serverkonten, Dienst- und Notfallkonten sowie SaaS-Dienstkonten.
Zeitlich begrenzter Just-in-Time-Zugriff gegen dauerhafte Adminrechte; SSH- und RDP-Sitzungen werden aufgezeichnet.
Tresor und Rotation für API-Schlüssel, AD-, Dienst- und Datenbankkonten, abrufbar durch Menschen und Maschinen ohne fest codierte Zugangsdaten.
Cloud-Dienst von Okta; ein Server-Agent läuft auf den Zielsystemen, ein optionales Gateway dient als Proxy; SSH- und RDP-Sitzungen können aufgezeichnet werden.
PAM eng verknüpft mit SSO und Identity Governance derselben Plattform.
Setzt Okta als Identity-Plattform voraus; Endpunkt-Rechteverwaltung und Eigenbetrieb sind nicht beschrieben.
Microsoft Entra Privileged Identity Management (PIM)
Microsoft
Just-in-Time-Zugriff auf privilegierte Rollen in Microsoft Entra ID, Azure-Ressourcen und Gruppen.
Zeit- und freigabebasierte Rollenaktivierung mit MFA-Prüfung, Begründung und befristeten Zuweisungen.
Freigabeanfragen und Benachrichtigungen an delegierte Genehmigende; Verlängerung und Erneuerung ablaufender Zuweisungen.
Funktion des Cloud-Dienstes Microsoft Entra ID; Nutzung erfordert gesonderte Lizenzen.
Just-in-Time für Microsoft-Cloud-Rollen ohne zusätzliche Infrastruktur.
Deckt nur Rollen in Entra ID und Azure ab; kein Tresor, keine Sitzungsaufzeichnung und keine Abdeckung lokaler Server oder Netzgeräte.
JumpServer
FIT2CLOUD
Bastion-Host für SSH, RDP, VNC, Datenbanken, Websites und Kubernetes mit Tresor für privilegierte Konten auf Linux, Windows, Datenbanken, Netzgeräten und Cloud-Plattformen.
Automatische Passwortrotation mit Richtlinien, vollständige Videoaufzeichnung und Wiedergabe von Sitzungen.
Just-in-Time-Zugriff mit zeitlich begrenzter, mehrstufiger Freigabe; Synchronisation von Cloud-Ressourcen.
Quellcode unter GPL-3.0 auf GitHub; Betrieb mit Docker oder Helm-Charts in eigener Infrastruktur.
Vollständiger Bastion- und Tresoransatz als quelloffene Software in eigener Hand.
Hersteller FIT2CLOUD; Supportverfügbarkeit, Sprachen und Herkunft der Software sind für CH/DE-Einsätze zu prüfen.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- Saviynt Cloud PAM: PAM-Modul der Saviynt-Plattform mit Just-in-Time Access
- Imprivata Privileged Access Management: PAM-Angebot von Imprivata mit Schwerpunkt Gesundheitswesen
- ARCON PAM: PAM-Anbieter aus Indien
- One Identity Privilege Manager for Windows / for Sudo: Endpunkt- und Sudo-Rechteverwaltung von One Identity
- Delinea DevOps Secrets Vault: Secrets für Pipelines; bisherige Produkt-URL leitet auf eine allgemeine Plattformseite um (siehe Klasse secrets-management)
- Microsoft Entra Permissions Management / Azure Bastion: Cloud-Berechtigungs- bzw. Jump-Host-Dienste ohne Tresor und Sitzungsaufzeichnung; eher CIEM bzw. Netzwerkzugang
- Apache Guacamole: clientloses Remote-Desktop-Gateway mit Aufzeichnung, aber ohne Tresor, Rotation oder Just-in-Time-Freigabe; kein PAM-Produkt
- Entitle: Just-in-Time-Zugriffsdienst; seit der Übernahme durch BeyondTrust (Vereinbarung 16.04.2024) Teil des BeyondTrust-Portfolios, nicht separat geführt
Vom Tresor
zur Kontrolle.
- Privilegierte Konten vollständig erheben: Domänen- und lokale Admins, Datenbank-, Hypervisor-, Netzwerk- und Cloud-Root-Konten sowie Dienstkonten mit interaktiver Anmeldung. Jedes Konto erhält Owner, Zweck und Zielsysteme.
- Mit Tier-0 beginnen (Domain Controller, Identity Provider, Backup-Konsole, Hypervisor): Zugriff nur noch über den PAM-Zugangspunkt, direkte Anmeldewege netzseitig sperren.
- Passwörter nach jeder Ausleihe rotieren und dauerhafte Gruppenmitgliedschaften durch zeitlich begrenzte Freigaben (Just-in-Time) ersetzen.
- Sitzungsaufzeichnungen stichprobenweise durch eine vom Betrieb unabhängige Stelle auswerten lassen; sonst bleibt die Aufzeichnung ein Archiv ohne Kontrolle.
- Anteil privilegierter Konten unter PAM-Verwaltung mit Rotation, gemessen am erhobenen Bestand
- Anzahl dauerhafter Mitgliedschaften in hochprivilegierten Gruppen
- Anzahl Tier-0-Anmeldungen, die am PAM-Zugangspunkt vorbei erfolgen
Der IAM- oder Plattform-Owner verantwortet Regeln und Betrieb des PAM; die Systemverantwortlichen bestimmen, wer auf ihre Systeme zugreifen darf. Security oder interne Kontrolle prüft Freigaben und Aufzeichnungen.
ISO/IEC 27001:2022 Annex A 8.2 (privilegierte Zugriffsrechte), 5.17 (Authentisierungsinformationen) und 8.15 (Protokollierung).
NIS2 Art. 21 Abs. 2 lit. i nennt Konzepte für die Zugriffskontrolle; DORA Art. 9 Abs. 4 lit. c verlangt von Finanzunternehmen, den logischen Zugang auf das Erforderliche zu beschränken und Zugriffsrechte gründlich zu verwalten.
Ein Tresor mit allen Admin-Passwörtern senkt das Risiko nicht automatisch, er bündelt es. Ohne Härtung, eigene starke Anmeldung und geprüften Notfallzugang wird das PAM selbst zum wertvollsten Angriffsziel.
Den kritischen Zugang durchspielen.
- Notfallzugang: Der Zugriff muss möglich, zeitlich begrenzt und später prüfbar sein.
- Externe: Dienstleisterzugang braucht Anlass, Termin, Ziel und Session-Spur.
- Rotation: Konten, Schlüssel und Service-Zugänge dürfen nicht in Schattenlisten weiterleben.
- Adminrechte: Privilegien auf Endpunkten und Servern müssen gezielt statt dauerhaft entstehen.
Die angrenzenden Klassen.
PAM erhält Identitäts- und Genehmigungskontext aus IGA. MFA stärkt die Anmeldung vor dem privilegierten Zugang.
Security Tool Navigator · Gebiet 03
Im Gebiet Identity Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Identity Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.