Privileged Identity Management (PIM)

Was ist Privileged Identity Management?

Privileged Identity Management (PIM) ist eine Kontrolle der Identity Governance, die festlegt, welche Identitäten privilegierte Rollen innehaben dürfen, und diese Rollen aktivierbar statt dauerhaft macht. Ein Administrator aktiviert die Rolle nur bei Bedarf, für begrenzte Zeit, mit Begründung, MFA und bei sensiblen Rollen mit Genehmigung. Regelmässige Überprüfungen bestätigen, wer noch berechtigt ist. In Microsoft Entra ID ist Privileged Identity Management zudem der Name einer Funktion.

Das Wichtigste in Kürze

• Privileged Identity Management macht privilegierte Rollen aktivierbar statt dauerhaft, sodass ein Administrator eine Rolle nur bei Bedarf und befristet aktiviert.
• Privileged Identity Management steuert, wer eine privilegierte Rolle innehaben darf, während Privileged Access Management die dabei genutzten Zugangsdaten und Sitzungen absichert.
• Privileged Identity Management in Microsoft Entra ID erfordert Lizenzen für Microsoft Entra ID Governance oder Microsoft Entra ID P2.
• Privileged Identity Management braucht weiterhin regelmässige Überprüfungen der Berechtigungen, denn eine ungenutzte aktivierbare Rolle bleibt ein Weg zu Adminrechten.

So funktioniert Privileged Identity Management

• Berechtigte Zuweisung: Eine Person wird für eine Rolle berechtigt, statt sie dauerhaft zugewiesen zu bekommen, deshalb ist standardmässig nichts aktiv.
• Aktivierung: Wenn die Arbeit es erfordert, beantragt die Person die Rolle, gibt eine Begründung an (oft eine Ticketnummer) und bestätigt per MFA.
• Genehmigung: Für die sensibelsten Rollen bestätigt eine benannte genehmigende Person die Anfrage, bevor die Rolle aktiv wird.
• Befristung: Die Rolle läuft nach einer festgelegten Dauer automatisch ab, zum Beispiel nach einigen Stunden, ohne dass jemand sie entziehen muss.
• Überprüfung und Protokoll: Berechtigte Zuweisungen werden regelmässig rezertifiziert, und jede Aktivierung wird mit Person, Zeitpunkt und Grund protokolliert.

Im IT-Grundschutz des BSI gehört das Thema zu den Anforderungen an Identitäts- und Berechtigungsmanagement und an eine ordnungsgemässe IT-Administration.

PIM vs. PAM: Wo liegt der Unterschied?

• Privileged Identity Management (PIM): steuert die Identitäten. Es beantwortet, wer Administrator werden darf, unter welchen Bedingungen und wie lange.
• Privileged Access Management (PAM): steuert den Zugriff selbst. Es verwahrt privilegierte Zugangsdaten in einem Tresor, vermittelt Verbindungen zu Servern und Datenbanken und zeichnet privilegierte Sitzungen auf.

Beide ergänzen sich. Ein mittelständisches Unternehmen beginnt oft mit PIM im Identity Provider, weil es dauerhafte Adminrechte schnell beseitigt, und ergänzt PAM dort, wo geteilte Root- oder Datenbankkonten existieren. Zur Abgrenzung: Im E-Commerce steht PIM für Product Information Management, Software zur zentralen Verwaltung von Produktdaten, die mit Identitäten nichts zu tun hat.

Beispiele und Anwendungsfälle

Ein Softwareunternehmen mit 220 Mitarbeitenden findet neun dauerhafte globale Administratoren in Microsoft Entra ID. Mit Privileged Identity Management behält es zwei ausgenommene Notfallkonten, macht alle anderen berechtigt und verlangt Begründung, MFA und Genehmigung, um die Rolle für höchstens vier Stunden zu aktivieren. Die Berechtigungen werden quartalsweise überprüft. Die Entra-ID-Rollen sind damit unter Kontrolle, doch Adminrechte in 40 SaaS-Tools, vom CRM bis zur Lohnabrechnung, liegen weiterhin ausserhalb von PIM.

Corma deckt diese SaaS-Seite ab. Die Plattform inventarisiert die genutzten Anwendungen, automatisiert Zugriffsüberprüfungen mit Auditnachweisen, leitet Zugriffsanfragen über Genehmigungsworkflows und automatisiert die Deprovisionierung beim Austritt, auch in Anwendungen ohne SCIM.

Verwandte Begriffe

• Privileged Access Management (PAM)
• Just-in-Time-Zugriff (JIT)
• Prinzip der geringsten Rechte
• Notfallzugriff (Break-Glass)
• Microsoft Entra ID (ehemals Azure AD)
• Identity-Governance-Plattform von Corma

FAQ

Was ist der Unterschied zwischen PIM und PAM?

PIM legt fest, welche Identitäten privilegierte Rollen innehaben dürfen und wie lange. PAM schützt die privilegierten Zugangsdaten und Sitzungen selbst, mit Tresor und Sitzungsaufzeichnung. Viele Organisationen brauchen beides.

Welche Lizenz braucht Microsoft Entra PIM?

Microsoft Entra Privileged Identity Management erfordert Lizenzen für Microsoft Entra ID Governance oder Microsoft Entra ID P2.

Was ist eine berechtigte Rollenzuweisung?

Eine Rolle, die eine Person aktivieren kann, aber standardmässig nicht innehat. Sie wird erst nach der Aktivierung wirksam, mit Begründung, MFA und gegebenenfalls Genehmigung, und läuft automatisch ab.

Bedeutet PIM auch Product Information Management?

Ja, im E-Commerce und Handel steht PIM für Product Information Management, also Software für Produktdaten. In der Identitätssicherheit bedeutet PIM Privileged Identity Management.

Demo anfragen