Microsoft Entra Privileged Identity Management: Just-in-Time-Administratorzugriff für kleine Unternehmen in Berlin

Was ist Microsoft Entra Privileged Identity Management?

Microsoft Entra Privileged Identity Management (PIM) behebt ein strukturelles Risiko, das in nahezu jedem Microsoft 365- und Azure-Deployment vorhanden ist: Administratorkonten, die kontinuierlich mächtige Rollenzuweisungen halten, unabhängig davon, ob diese Berechtigungen gerade aktiv genutzt werden oder nicht. Ein globales Administratorkonto, das seine Rolle dauerhaft trägt, ist eine Angriffsfläche, die niemals schließt. Werden diese Zugangsdaten kompromittiert — durch Phishing, Passwortsprühans oder Anmeldeinformationsdiebstahl — umfasst der Explosionsradius jeden Benutzer, jedes Postfach, jede Sicherheitsrichtlinie und jede Azure-Ressource im Mandanten.

PIM wandelt dauerhafte privilegierte Rollenzuweisungen in zeitlich begrenzte, bedarfsgesteuerte Zugriffe um. Administratoren halten Rollen als anspruchsberechtigte statt als aktive Zuweisungen. Zugriff wird beantragt, begründet und für ein definiertes Zeitfenster aktiviert, dann läuft er automatisch ab. Die vollständige Aktivierungshistorie wird für Prüfungszwecke aufbewahrt. Für Berliner Kleinunternehmen, die Microsoft 365 Business Premium betreiben, ist PIM der Mechanismus, der das Prinzip der geringsten Rechte von einer Richtlinienempfehlung zu einer technisch erzwungenen Kontrolle macht.

Anspruchsberechtigte vs. aktive Zuweisungen

PIM führt eine Unterscheidung ein, die in Standard-Entra-Rollenzuweisungen oder Azure RBAC nicht existiert. Eine aktive Zuweisung ist das traditionelle Modell: Der Benutzer hält die Rolle dauerhaft und deren Berechtigungen gelten jederzeit ohne zusätzliche Aktion. Eine anspruchsberechtigte Zuweisung bedeutet, dass der Benutzer zur Aktivierung der Rolle berechtigt ist, diese aber derzeit nicht besitzt. Um die Rolle auszuüben, muss der Benutzer sie über PIM explizit aktivieren, eine Begründung angeben, alle erforderlichen MFA-Herausforderungen abschließen und ggf. einen Genehmigungsworkflow durchlaufen. Die Rolle ist dann für eine konfigurierte maximale Dauer aktiv und läuft automatisch ab.

Für ein Berliner Kleinunternehmen mit einem Microsoft 365-Administrator bedeutet dies, dass dieser die globale Administratorrolle als anspruchsberechtigte statt als dauerhaft aktive Zuweisung hält. Die tägliche Arbeit erfolgt vollständig über ein normales Benutzerkonto ohne Administratorberechtigungen. Wenn Konfigurationsaufgaben eine Erhöhung erfordern, dauert die Aktivierung etwa 60 Sekunden und erzeugt einen vollständigen Prüfdatensatz darüber, wer wann, wie lange und warum erhöht wurde.

Just-in-Time-Aktivierung: Der Betriebsworkflow

Die Aktivierung einer anspruchsberechtigten Rolle folgt einer konsistenten, prüfbaren Abfolge. Der Benutzer navigiert zu entra.microsoft.com → Identity Governance → Privileged Identity Management → Meine Rollen. Die anspruchsberechtigte Rolle erscheint in der Registerkarte „Berechtigte Zuweisungen“. Der Benutzer klickt auf „Aktivieren“ und gibt einen Freitext-Begründungstext ein — dieser Text wird Teil des dauerhaften Prüfdatensatzes. Wenn die Rollenrichtlinie MFA bei der Aktivierung erfordert, schließt der Benutzer die MFA-Herausforderung ab, auch wenn er sich bereits mit MFA bei der Anmeldung authentifiziert hat. Wenn eine Genehmigung erforderlich ist, erhält der designierte Genehmiger eine Benachrichtigung und muss die Anfrage autorisieren, bevor die Aktivierung abgeschlossen wird. Die Rolle ist dann für die konfigurierte maximale Dauer aktiv — typischerweise ein bis acht Stunden — und läuft automatisch ab, ohne dass der Administrator daran denken muss, den Zugriff manuell zu deaktivieren. Dieses automatische Ablaufen ist die entscheidende Schutzmaßnahme, die PIM von bloßen guten Absichten bezüglich der Deaktivierung des Administratorzugriffs nach der Nutzung unterscheidet.

Rolleneinstellungen: Richtlinienkonfiguration pro Rolle

Jede unter PIM verwaltete Rolle ist unabhängig konfigurierbar. Die verfügbaren Kontrollen umfassen die maximale Aktivierungsdauer (eine Stunde bis dauerhaft aktiv), die MFA-Anforderung bei der Aktivierung (erzwingt eine zusätzliche Authentifizierung unabhängig vom Sitzungsstatus), die Begründungspflicht (schreibt einen schriftlichen Grund vor, der Teil des Prüfdatensatzes wird), die Genehmigungspflicht (bestimmt spezifische Genehmiger, die jede Aktivierungsanfrage autorisieren müssen) und Benachrichtigungseinstellungen (informieren designierte Empfänger über jede Aktivierung, ohne einen Blockierungsworkflow zu erzeugen).

Eine praktische Konfigurationsgrundlage für die globale Administratorrolle eines Berliner KMU: MFA bei Aktivierung aktiviert, Begründung erforderlich, maximale Aktivierungsdauer von vier Stunden, Genehmigung durch den Geschäftsinhaber oder IT-Verantwortlichen erforderlich, und E-Mail-Benachrichtigung bei jeder Aktivierung.

Zugriffsprüfungen: Regelmäßige Rezertifizierung von privilegiertem Zugriff

PIM umfasst eine Zugriffsprüfungsfunktion, die eine regelmäßige Rezertifizierung aller privilegierten Rollenzuweisungen ermöglicht. Als wiederkehrende Kampagnen konfiguriert — vierteiljährlich ist der Standard — fordern Zugriffsprüfungen designierte Prüfer auf zu bestätigen, dass jede anspruchsberechtigte oder aktive Rollenzuweisung noch betrieblich gerechtfertigt ist. Für Mitarbeiter, die ihre Rolle gewechselt haben, die Organisation verlassen haben oder ein Projekt abgeschlossen haben, das ursprünglich den erhöhten Zugriff begründet hatte, decken Zugriffsprüfungen Zuweisungen auf, die sonst durch administrative Trägheit auf unbestimmte Zeit fortbestehen würden.

Für Berliner Unternehmen mit Compliance-Verpflichtungen gemäß ISO 27001 oder dem Rechenschaftsprinzip der DSGVO (Art. 5 Abs. 2) liefern regelmäßige Zugriffsprüfungen dokumentierte Nachweise, dass der privilegierte Zugriff kontinuierlich gesteuert und nicht vergessen wird.

PIM-Sicherheitswarnungen

PIM überwacht seinen eigenen Betriebszustand und zeigt integrierte Sicherheitswarnungen für Bedingungen an, die auf eine erosion der Governance hinweisen: direkt außerhalb von PIM zugewiesene Rollen, die das berechtigte Modell umgehen; ohne MFA aktivierte Rollen; zu viele Zuweisungen globaler Administratoren; Rollenaktivierungen ohne neuere Nutzungshistorie; und potenzielle veraltete Rollenzuweisungen. Diese Warnungen erscheinen in der PIM-Konsole unter „Warnungen“ und können für das zentrale Sicherheitsvorfall-Management nach Microsoft Sentinel geleitet werden.

Entra-Verzeichnisrollen und Azure-Ressourcenrollen

PIM verwaltet zwei verschiedene Kategorien von privilegiertem Zugriff über dieselbe Verwaltungsschnittstelle. Entra-Verzeichnisrollen — Globaler Administrator, Exchange-Administrator, Sicherheitsadministrator, Benutzeradministrator und etwa 60 weitere — steuern die Microsoft 365-Konfiguration und Entra ID-Einstellungen. Azure-Ressourcenrollen — Besitzer, Mitwirkender, Benutzerzugriffsadministrator und benutzerdefinierte RBAC-Rollen, die auf Abonnement-, Ressourcengruppen- oder einzelner Ressourcenebene zugewiesen werden — steuern den Zugriff auf Azure-Infrastruktur einschließlich virtueller Maschinen, Speicherkonten, Azure Key Vault und Netzwerkressourcen. Ein einheitliches PIM-Governance-Modell über beide Kategorien hinweg bedeutet, dass dieselbe Just-in-Time-Disziplin gilt, unabhängig davon, ob der Administrator eine Conditional-Access-Richtlinie ändert oder ein produktives Azure-Deployment modifiziert.

DSGVO, BSI-IT-Grundschutz und Prüfungsbereitschaft

Das Datensparsamkeitsprinzip gemäß Art. 5 Abs. 1 lit. c DSGVO gilt für Zugriffsrechte ebenso wie für Datenerhebung. Die Aufrechterhaltung eines ständigen Administratorzugriffs auf Systeme, die personenbezogene Daten verarbeiten, ist mit einer Sparsamkeitshaltung unvereinbar. Das Just-in-Time-Modell von PIM adressiert diese Architekturanforderung direkt, und seine vollständige Aktivierungshistorie — exportierbar aus dem Entra Admin Center oder über die Microsoft Graph API abfragbar — liefert vorgefertigte Nachweise für DSGVO-Audits, BSI-IT-Grundschutz-Dokumentation und Aufsichtsbehördenpruefungen. Berliner Unternehmen in Finanzdienstleistungen, freien Berufen oder gesundheitsnahen Branchen, die sich auf Behördenprüfungen vorbereiten, werden die Kombination aus technischer Durchsetzung und automatisierter Prüfspur von PIM als erhebliches Compliance-Asset werten.

Lizenzierung

Entra Privileged Identity Management erfordert Microsoft Entra ID P2, enthalten in Microsoft 365 Business Premium, Microsoft 365 E5 und Enterprise Mobility + Security E5. Business-Premium-Organisationen haben ohne zusätzliche Lizenzkosten Zugriff. Für Berliner Kleinunternehmen, die Business Premium bereits für Defender for Business, Intune und Entra ID P2-Funktionen wie ID Protection nutzen, ist PIM die Governance-Schicht für privilegierten Zugriff, die die bereits getätigte Lizenzinvestition in eine messbar stärkere Sicherheitslage umwandelt.