Technische Sicherheit genügt heute längst nicht mehr: Unternehmen sind gefordert, ihre Cyberresilienz und Betriebsstabilität kontinuierlich nachzuweisen. Dabei verlieren viele Verantwortliche den Überblick, was NIS2, DORA, ISO 27001 oder das BSI IT-Grundschutz genau von ihnen verlangen. Die gute Nachricht: Sie lassen sich meist auf ähnliche Grundanforderungen herunterbrechen, die Organisationen mit modernen Identity-Security-Strategien wie Privileged Access Management (PAM) besser adressieren können.

Grundverständnis: Was ist PAM?

Vor dem tieferen Blick auf die regulatorischen Pflichten, möchten Sie zuerst Ihr Wissen zu Privileged Access Management auffrischen? Dann werfen Sie doch einen Blick in unseren Blogbeitrag „Was ist Privileged Access Management? Grundlagen und Best Practices“.

Die Last steigt. In den letzten Jahren hat sich die Gesetzgebung verstärkt dem Thema Cybersicherheit gewidmet – was angesichts der zunehmenden Angriffe richtig und wichtig war. Für Unternehmen bedeutet das aber mehr Pflichten. Wo IT-Fachkräfte ohnehin knappe Ressourcen darstellen und Zeit Mangelware ist, werden diese verständlicherweise als Belastung empfunden. Außerdem gestaltet es sich für Verantwortliche immer schwieriger, den Überblick zu behalten. Was ist konkret von ihnen gefordert? Wo müssen sie jetzt handeln, um nicht Gefahr zu laufen, einen Verstoß zu begehen?

NIS2, DORA, der BSI IT-Grundschutz oder die Norm ISO/IEC 27001, die Anforderungen an Informationssicherheits-Managementsysteme formuliert, machen die Verwirrung komplett. Sie richten sich an verschiedene Branchen, haben unterschiedliche Verbindlichkeiten und setzen eigene Schwerpunkte. Doch es hilft, zuerst die wesentlichen Aspekte auszuarbeiten. Denn dann offenbaren sich Organisationen einige Parallelen.

Unternehmen sollen ihre Informationssicherheit strukturiert steuern, Risiken begrenzen und nachweisen können, dass kritische Systeme angemessen geschützt sind. Genau hier kann das Privileged Access Management ansetzen und einzelne Anforderungen abarbeiten.

Die NIS2-Richtlinie (Network and Information Security) der Europäischen Union legt den Fokus auf Cybersecurity-Risikomanagement, Meldepflichten und Verantwortlichkeiten. Betroffen sind vor allem, aber nicht nur Unternehmen im KRITIS-Bereich.

Das Hauptanliegen der NIS2-Richtlinie: Cybersicherheit ist kein reines IT-Thema, sondern Aufgabe der Unternehmensführung. Organisationen müssen geeignete technische, operative und organisatorische Maßnahmen etablieren.

PAM-Ansatz: Zugriffskontrolle, sichere Prozesse, Multi-Faktor-Authentifizierung und Cyberhygiene gehören zu den zentralen Bausteinen eines wirksamen Risikomanagements. PAM hilft Organisationen also dabei, aus allgemeinen Sicherheitsanforderungen konkrete Zugriffskontrollen abzuleiten.

Der Digital Operational Resilience Act, kurz DORA, richtet sich vor allem an Finanzunternehmen und deren IKT-Dienstleister. Im Mittelpunkt steht die digitale operationale Resilienz: Unternehmen sollen Störungen, Cyberangriffe und technische Ausfälle frühzeitig erkennen, verhindern und daraus lernen.

Dafür sind klare Regeln für den Zugriff auf kritische IKT-Systeme, Anwendungen und Daten notwendig. Identitätsmanagement, Zugriffskontrolle, Protokollierung und Überwachung gelten als zentrale Bestandteile eines wirksamen IKT-Risikomanagements.

PAM-Ansatz: Admin-Konten, Service Accounts, Notfallzugänge oder externe Dienstleisterzugriffe können im Finanzumfeld weitreichende Auswirkungen haben. PAM hilft dabei, solche Zugriffe nach dem Need-to-know-, Need-to-use- und Least-Privilege-Prinzip zu steuern, zu dokumentieren und im Ernstfall nachvollziehbar zu machen.

Informationssicherheits-Managementsysteme, kurz ISMS, unterstützen Unternehmen, Informationssicherheitsrisiken strukturiert zu identifizieren, zu bewerten, zu behandeln und kontinuierlich zu verbessern. ISMS selbst sind also schützenswert, was der international anerkannte Standard, die ISO 27001, anstrebt.

Im Fokus steht nicht nur die Einführung einzelner Sicherheitsmaßnahmen, sondern ein ganzheitliches Managementsystem. Dazu gehören klare Verantwortlichkeiten, dokumentierte Prozesse, Risikobewertungen, regelmäßige Überprüfungen und geeignete Kontrollen.

PAM-Ansatz: Die ISO 27001 verlangt, dass privilegierte Zugriffsrechte kontrolliert, autorisiert, dokumentiert und regelmäßig überprüft werden. PAM übersetzt diese Anforderungen in konkrete Prozesse und technische Kontrollen: Wer darf mit erhöhten Rechten arbeiten, wann wird dieser Zugriff erlaubt, wie lange bleibt er aktiv und wie wird er protokolliert?

Der BSI IT-Grundschutz bietet Organisationen eine praxisnahe Methodik, um Informationssicherheit systematisch aufzubauen und zu verbessern. Der Baustein ORP.4 geht dabei auf das Identitäts- und Berechtigungsmanagement ein.

Das Ziel liegt darin, Zugriffe auf Informationen, Anwendungen und IT-Systeme klar zu regeln. Wofür wiederum eindeutige Verantwortlichkeiten und minimal vergebene Berechtigungen nötig sind.

PAM-Ansatz: Identitäts- und Berechtigungsmanagement ist auch im BSI IT-Grundschutz ein zentraler Aspekt, der sich mit modernem PAM umsetzen lässt. So lassen sich privilegierte Rechte bedarfsgerecht vergeben, kontrollieren und nachvollziehbar dokumentieren.

Ob EU-Richtlinie, Branchenverordnung, Zertifizierungsstandard oder nationaler Sicherheitsstandard: Immer geht es darum, Risiken systematisch zu erkennen, zu steuern und nachweisbar zu reduzieren, unter anderem auch im Kontext privilegierter Zugriffe. Die Relevanz erschließt sich deutlich: Sicherheitsvorfälle eskalieren nicht nur, weil ein Zugang kompromittiert wurde. Viel entscheidender ist, wie weitreichend die Rechte dieses Zugangs sind.

Daher sind Zugriffskontrollen längst kein rein technisches Detail mehr. Sie sind zentrales Risikomanagement-Thema. Unternehmen müssen wissen, welche Identitäten auf welche Systeme, Daten und Anwendungen zugreifen dürfen. Besonders kritisch sind dabei Zugriffe auf zentrale IT-Systeme, Cloud-Umgebungen, Datenbanken, Produktionssysteme, Administrationsoberflächen und Sicherheits- und Monitoringtools.

Was Unternehmen prüfen sollten

Ob als Leitlinie für die aktuelle Situation oder als Checkliste für ein künftiges PAM: Diese Fragen helfen Verantwortlichen, den Stand der Dinge zu überprüfen und Rückschlüsse für nötige Änderungen zu ziehen.

• Gibt es eine vollständige Übersicht über privilegierte Konten?
• Sind Admin-Rechte dauerhaft aktiv oder zeitlich begrenzt?
• Werden privilegierte Zugriffe genehmigt und dokumentiert?
• Gibt es geteilte Konten?
• Werden Service Accounts regelmäßig überprüft?
• Sind externe Dienstleisterzugriffe kontrolliert?
• Werden privilegierte Sitzungen protokolliert?
• Können Zugriffe im Auditfall nachvollzogen werden?
• Gibt es klare Prozesse für Rechtevergabe, Änderung und Entzug?
• Werden Berechtigungen regelmäßig rezertifiziert?
• Gibt es Notfallzugriffe und sind diese kontrolliert?

Erst dann können sie sich mit der Frage beschäftigen, welche Lösung am besten zur eigenen IT-Umgebung und den Bedürfnissen passt. Jedoch sollten einige Funktionen als Mindestanforderung gelten. Welche das sind, finden Sie in unserem Blogbeitrag „Must-haves: Diese sechs Funktionen sollten moderne PAM-Tools bieten“.

Viele Regularien beginnen mit einer organisatorischen Grundvoraussetzung: Nutzer, Anwendungen und Prozesse sollen nur die Berechtigungen erhalten, die sie für ihre Aufgabe tatsächlich benötigen. Eine der größten Überschneidungen der regulatorischen Anforderungen liegt somit in der minimalen Rechtevergabe. Ein Prinzip, das in vielen Firmen aber noch nicht angekommen ist.

Stattdessen setzen sie auf übermäßige Berechtigungen, die das Risiko von Missbrauch, Fehlbedienung und ungewollten Bewegungen im Netzwerk erhöhen. Dauerhafte Admin-Rechte sind in vielen Umgebungen noch verbreitet, obwohl zeitlich begrenzte, anlassbezogene Rechte den heutigen Sicherheitsanforderungen mehr entsprechen. Historisch gewachsene Privilegien erschweren die Handhabung für Administratoren.

Verantwortliche sind also gefragt, aufzuräumen. Welche Privilegien kursieren gerade im Unternehmen, die längst hinfällig sind? Haben Mitarbeiter nur die Rechte, die sie für ihre Aufgaben benötigen? Dabei sollte das Least-Privilege-Prinzip nicht nur auf menschliche Nutzer übertragen werden. Service Accounts, technische Benutzer, Skripte, Schnittstellen, API-Keys und Cloud-Rollen mit privilegierten Zugriffsrechten sind ebenfalls einzubeziehen.

Moderne Compliance endet nicht bei der Einführung von Sicherheitsmaßnahmen. Unternehmen müssen auch zeigen, dass Maßnahmen funktionieren und sie diese konsequent einhalten. Damit wird Nachvollziehbarkeit zu einem zentralen Bestandteil von Cybersecurity.

Auditoren, Aufsichtsbehörden, Kunden und Partner fragen längst nicht mehr nur, ob es Richtlinien gibt. Sie wollen wissen, wer Zugriff auf kritische Systeme hat, wer diesen Zugriff genehmigt hat, wann er genutzt wurde, welche Aktionen durchgeführt wurden und ob Berechtigungen anschließend wieder entzogen wurden. Gerade bei privilegierten Zugriffen reicht Vertrauen allein nicht aus.

Protokolle, Freigaben und Zugriffshistorien werden deshalb zu wichtigen Nachweisen. Sie ersetzen verstreute Excel-Listen, informelle Absprachen oder geteilte Passwörter durch belastbare Dokumentation. Das hilft nicht nur im Auditfall, sondern auch bei Sicherheitsvorfällen: Wenn klar nachvollziehbar ist, welche privilegierten Aktionen wann stattgefunden haben, lassen sich Vorfälle schneller analysieren und gezielter eindämmen.

NIS2, DORA, ISO 27001 und BSI IT-Grundschutz unterscheiden sich in Zielgruppe, Verbindlichkeit und Detailgrad. Sie haben aber mehrere gemeinsame Kernaussagen. Darunter fällt auch, dass Unternehmen Zugriffe kontrollieren, Risiken begrenzen und Maßnahmen dazu nachweisen müssen. PAM kann genau hier ansetzen: als Bindeglied zwischen regulatorischen Anforderungen und praktischer IT-Sicherheit.