Start · Lösungen · Weitere Lösungen

Lösung · Weitere Lösungen

In Teams beantragt, freigegeben, für Stunden erteilt und per Zeitplan entzogen

Adminrechte nur für die Aufgabe und die Stunde

Privilegierter Zugriff wird mit Begründung und Dauer beantragt, vom Systemverantwortlichen freigegeben, per Privileged Identity Management oder Roboter erteilt und nach Ablauf wieder entzogen.

AbteilungslösungMicrosoft TeamsMensch in der EntscheidungDeterministische Automatisierung
240privilegierte Zugriffsbedarfe entstehen jeden Monat in diesem illustrativen Zahlungsdienstleister. Erteilt werden sie von Menschen, entzogen von niemandem.

Kurzfassung für die Geschäftsführung

Herausforderung

Rechte für eine Vier-Stunden-Aufgabe bleiben Jahre, in Systemen, die sie nicht ablaufen lassen können.

Was sich ändert

Der Entwurf teilt den Bestand in das, was Microsoft bereits verwaltet, und den Rest, denn beide Hälften brauchen unterschiedliche Mechanik.

Geschäftlicher Nutzen

Die Zahl ständiger Administratoren schrumpft auf die Rollen, die dauerhaft sein müssen, weil alles Übrige von selbst abläuft.

Beteiligte Systeme

Rollen in Entra und Azure über Privileged Identity Management; SQL-Server-Cluster; Linux-Hosts

Geschäftsproblem

Privilegierter Zugriff

Berechtigungen werden für eine Aufgabe erteilt und ein Berufsleben lang behalten. Ein Ingenieur braucht während einer Störung Lesezugriff auf eine Produktionsdatenbank, schreibt einem Plattform-Ingenieur in Teams und wird einer Gruppe, einer Datenbankrolle oder einem Abonnement hinzugefügt. Die Erteilung dauert vier Minuten, und die Absicht, sie später zu entziehen, ist ernst gemeint. Der Entzug ist jedoch eine Unterbrechung ohne Antragsteller dahinter und konkurriert mit Arbeit, auf die jemand wartet, deshalb kommt dieses Später selten.

Es wächst eine Population heran, die niemand geplant hat. Die Tabelle der ständigen Administratoren wird von Hand gepflegt und einmal im Quartal in einer Sitzung rezertifiziert, die den Status quo bestätigt, weil niemand im Raum Nutzungsdaten hat, um ihn infrage zu stellen. Die Verantwortung ist ebenso verteilt: das Plattformteam erteilt, die Sicherheit sorgt sich, und kein benannter Verantwortlicher steht dafür ein, wer was besitzt.

Außerhalb der Identitätsplattform wird die Lücke größer. Rollen in Entra und Azure lassen sich berechtigungsfähig statt dauerhaft vergeben. Ein lokaler SQL-Server-Cluster, eine Linux-Flotte, ein Netzwerkgerät oder der eigene Benutzerspeicher des ERP können das nicht: jedes System hat seinen eigenen Weg der Erteilung und keines einen Weg des Ablaufs, also muss der Ablauf gebaut statt eingeschaltet werden. Der Notfallzugriff schließt den Kreis. Er läuft über gemeinsam genutzte Zugangsdaten aus einem Tresor, dessen Namen alle kennen, wodurch die sensibelsten Handlungen im gesamten Bestand am schwersten zuzuordnen sind.

Wie es heute läuft

So verläuft ein Antrag auf privilegierten Zugriff heute in den meisten Infrastrukturteams.

  1. MenschEin Ingenieur schreibt einem von vier Plattform-Ingenieuren in Teams: Lesezugriff auf eine Produktionsdatenbank, Störungsnummer, jetzt benötigt
  2. MenschDer Plattform-Ingenieur fügt das Konto der Gruppe, der Datenbankrolle oder dem Abonnement hinzu und kehrt zu seiner eigenen Arbeit zurück
  3. FehlerrisikoEin Endzeitpunkt wird nirgends festgehalten, weil die meisten dieser Systeme kein Feld dafür haben
  4. WartezeitDer Entzug wartet darauf, dass sich jemand erinnert, und wer gefragt hat, hat keinen Grund nachzufragen
  5. SystemDie Tabelle der ständigen Administratoren wird später aus dem Gedächtnis ergänzt, wenn Zeit dafür ist
  6. WartezeitEinmal im Quartal rezertifizieren Führungskräfte diese Tabelle in einer Sitzung ohne jede Angabe dazu, wer was genutzt hat
  7. FehlerrisikoEin Prüfer zieht eine Stichprobe aus den privilegierten Gruppen, findet Personen mit Teamwechsel und beanstandet stehende Berechtigungen erneut
MenschFehlerrisikoWartezeitSystem

Warum der heutige Prozess mehr kostet, als es scheint

Zeit, die verschwindet, bevor sie jemand misst.

  • Ein Recht, das für eine Vier-Stunden-Aufgabe erteilt wurde, ist alle übrigen Stunden des Jahres aktiv, und nichts im Bestand unterscheidet das eine vom anderen.
  • Die Schadensreichweite ist die Summe all dessen, was nie entzogen wurde. Wird ein Ingenieurskonto übernommen, listet der Vorfallbericht Berechtigungen auf, die ihren Zweck um Monate überlebt haben.
  • Die Rezertifizierung bindet jedes Quartal erfahrene Kräfte aus Sicherheit und Technik und ändert wenig, weil das Bestätigen einer Liste schneller geht als ihr Infragestellen ohne Nutzungsdaten.
  • Gemeinsam genutzte Notfallzugangsdaten machen die sensibelsten Handlungen am schwersten zuordenbar, also genau das Gegenteil dessen, was nach einem Ernstfall gebraucht wird.
  • Warten ist ebenso Kosten wie Risiko. Vier Plattform-Ingenieure bestimmen das Tempo, in dem 220 Ingenieure Zugriff erhalten, deshalb steht dringende Arbeit hinter demjenigen an, der gerade frei ist.

Kosten des Nichtstuns

Zwölf Monate manuelles Erteilen und Entziehen von Berechtigungen≈ 102.816 €
Vier Rezertifizierungszyklen, die dieselbe Liste bestätigen≈ 19.680 €
Alles, worauf die nächste Prüfungsfeststellung weiterhin blicken wird, pro Jahr≈ 122.496 €

Rechte verfallen nicht von selbst. Eine Erteilung für eine Vier-Stunden-Aufgabe ist im Dezember um Mitternacht noch aktiv, und die Summe all dessen, was nie entzogen wurde, ist die Reichweite eines einzigen übernommenen Ingenieurskontos. Die Tabelle oben bewertet die Bearbeitung. Jenes bewertet sie nicht, und genau danach fragt ein Vorstand nach einem Vorfall.

Wichtiger als die Summen ist die Richtung. Die Zahl der Ingenieure wächst schneller als die Plattformteams, jedes neue System kommt mit eigenem Weg der Erteilung und ohne Weg des Ablaufs, und die privilegierten Gruppen gewinnen zwischen Aufräumprojekten Mitglieder. Eine wiederholte Feststellung zu stehenden Berechtigungen wiegt schwerer als die erste, und bis dahin kostet das Aufräumen mehr als die Kontrolle gekostet hätte.

Illustratives Szenario

Eine plausible Organisation mit realistischen Größenordnungen. Die Zahlen sind zum Nachrechnen mit Ihren Daten gedacht, kein Kundenergebnis.

Organisation

Ein Zahlungsdienstleister mit 900 Beschäftigten, davon 220 Ingenieure. Microsoft Entra ID und Microsoft Azure verwalten den Unternehmensbestand; lokale SQL-Server-Cluster, eine Linux-Flotte, Netzwerkgeräte und der Benutzerspeicher des ERP liegen vollständig außerhalb der Entra-Rollen.

Volumen

Rund 240 privilegierte Zugriffsbedarfe pro Monat: Lesezugriffe auf Produktionsdatenbanken während Störungen, befristete Eigentümerrechte an einem Abonnement, erhöhter Zugriff auf einem Anwendungsserver, gelegentlich eine Netzwerkänderung.

Heutiger Prozess

Jeder Bedarf erreicht einen von vier Plattform-Ingenieuren als Teams-Nachricht. Antrag, Erteilung, späterer Entzug und der Tabelleneintrag kosten zusammen etwa 45 Minuten, verteilt über mehrere Tage.

Engpass

Der Entzug hat weder Verantwortlichen noch Auslöser. Die quartalsweise Rezertifizierung der ständigen Administratoren kostet rund 60 Stunden Zeit aus Sicherheit und technischer Leitung und bestätigt das meiste, was sie prüft. Die letzte Prüfung hat stehende Berechtigungen beanstandet.

Lösung

Rollen in Entra und Azure werden unter Privileged Identity Management berechtigungsfähig statt dauerhaft. Alles außerhalb von Entra wird über eine Karte in Microsoft Teams beantragt, vom benannten Systemverantwortlichen freigegeben, von einem Roboter erteilt und von einem Zeitplan entzogen, der den Endzeitpunkt aus einem Register liest.

Möglicher Effekt

Sieben von zehn Bedarfen ohne Plattform-Ingenieur erledigt, rund 126 Stunden im Monat, und eine Rezertifizierung, die zur wöchentlichen Ausnahmeliste wird. Genau dieser Anteil gehört hinterfragt; prüfen Sie ihn zuerst an Ihrem eigenen Antragsprotokoll.

Vorgeschlagene Lösung

Der Entwurf teilt den Bestand in das, was Microsoft bereits verwaltet, und den Rest, denn beide Hälften brauchen unterschiedliche Mechanik. Für Rollen in Entra und Azure konfigurieren wir Privileged Identity Management: Ingenieure werden für eine Rolle berechtigungsfähig statt deren Mitglied, die Aktivierung verlangt eine Begründung und Multi-Faktor-Authentifizierung, sensible Rollen zusätzlich eine Freigabe, und jede Rolle trägt eine Höchstdauer. Zugriffspakete in Entra ID Governance decken befristeten Anwendungszugriff ab, Zugriffsüberprüfungen den kleinen Rest, der dauerhaft bleiben muss.

Für alles, was Entra nicht erreicht, bauen wir dieselbe Disziplin. Eine Antragskarte in Microsoft Teams stellt vier Fragen: welches System, welche Rolle, wozu und für wie lange innerhalb der Höchstdauer aus der Richtlinie. Freigegeben wird dort vom Systemverantwortlichen oder von der Bereitschaftsleitung. Ein Roboter erteilt das Recht im SQL-Server-Cluster, auf dem Linux-Host, am Netzwerkgerät oder im Benutzerspeicher des ERP über dessen Verwaltungsoberfläche und schreibt Erteilung, freigebende Person und Endzeitpunkt in ein Register in UiPath Data Fabric. Ein Zeit-Trigger in Orchestrator entzieht jede abgelaufene Berechtigung und bestätigt die Entfernung im Zielsystem, statt sie anzunehmen.

Neben dem Standardweg bestehen zwei weitere. Notfallzugriff wird sofort erteilt, vollständig protokolliert und einer benannten Person aus der Sicherheit zur Prüfung am nächsten Arbeitstag vorgelegt, wodurch Ernstfälle schnell bleiben, ohne anonym zu sein. Ein Wochenbericht listet jede Berechtigung auf, hinter der kein offener Antrag steht, und macht aus der Rezertifizierung statt einer Sitzung eine Ausnahmeliste.

Genutzte native Funktionen

Microsoft Entra Privileged Identity Management mit berechtigungsfähigen Zuweisungen, Aktivierung mit Begründung und Multi-Faktor-Authentifizierung, Freigabe und Höchstdauer; Zugriffspakete und Zugriffsüberprüfungen in Microsoft Entra ID Governance; die Approvals-App in Microsoft Teams; Zeit-Trigger, Anmeldedatenspeicher und Prüfpfad in UiPath Orchestrator; das Prüfprotokoll von Microsoft Purview

Was wir bauen

Die Antragskarte in Teams, die Dauer- und Freigaberichtlinie je System und Rolle, die Roboter, die in den Systemen außerhalb von Entra erteilen und entziehen, das Register der Erteilungen und Endzeitpunkte, den Entzugszeitplan mit seinem Bestätigungsschritt, den Notfallweg und den wöchentlichen Bericht über stehende Berechtigungen

Individuelle Integration

Änderungen an Berechtigungsfähigkeit und Gruppenmitgliedschaft über den Konnektor in UiPath Integration Service, der ehemals und weiterhin „Microsoft Azure Active Directory“ heißt; die Verwaltungsoberflächen der SQL-Server-Cluster, der Linux-Flotte, der Netzwerkgeräte und des ERP-Benutzerspeichers

So läuft der automatisierte Prozess

  1. MenschEin Ingenieur öffnet in Teams die Karte für privilegierten Zugriff und nennt System, Rolle, Grund und eine Dauer innerhalb der Höchstdauer aus der Richtlinie
  2. AutomatisierungRollen in Entra und Azure gehen an Privileged Identity Management, wo der Ingenieur berechtigungsfähig ist und die Aktivierung Begründung und zweiten Faktor verlangt
  3. MenschSensible Rollen und jedes System außerhalb von Entra gehen an den benannten Verantwortlichen, der in Teams mit dem Grund vor Augen entscheidet
  4. AutomatisierungEin Roboter erteilt das Recht im Zielsystem und schreibt Erteilung, freigebende Person und Endzeitpunkt in das Register
  5. AutomatisierungEin Zeit-Trigger in Orchestrator entzieht jede Berechtigung zu ihrem Endzeitpunkt und liest das System zurück, um die Entfernung zu bestätigen
  6. FehlerrisikoEin fehlgeschlagener Entzug erzeugt in derselben Stunde eine Aufgabe für die Sicherheit, statt still wiederholt zu werden
  7. AutomatisierungNotfallanträge werden sofort erteilt, mit Person und Grund protokolliert und zur Prüfung am Folgetag eingereiht
  8. SystemEin Wochenbericht listet jede stehende Berechtigung ohne offenen Antrag auf, nach System und Verantwortlichem
MenschAutomatisierungFehlerrisikoSystem

Zusammenspiel von Mensch und Automatisierung

Die Automatisierung übernimmt

  • Die Vorlage des Antrags mit der Höchstdauer, die die Richtlinie für dieses System und diese Rolle erlaubt
  • Die Erteilung über Privileged Identity Management in Entra und Azure und überall sonst über Roboter
  • Die Aufzeichnung jeder Erteilung mit freigebender Person und Endzeitpunkt im Register
  • Den Entzug bei Ablauf und die Bestätigung der Entfernung im Zielsystem
  • Die Erstellung des Wochenberichts über die Berechtigungen, die stehen bleiben

Menschen entscheiden

  • Die Freigabe von Aktivierungen und Erteilungen für sensible Rollen und für die Systeme außerhalb von Entra
  • Dauern, Freigebende und berechtigungsfähige Gruppen je System, verantwortet vom CISO und nicht vom Plattformteam
  • Die Prüfung jeder Notfallnutzung am nächsten Arbeitstag
  • Was mit den stehenden Berechtigungen geschieht, die der Wochenbericht nicht erklären kann

Vorher und nachher

VorherNachher
Aufwand je privilegiertem Bedarfetwa 45 Min. über mehrere Tage verteiltMinuten, innerhalb des Antrags selbst
Zeit vom Antrag bis zum ZugriffStunden oder Tage, je nachdem, wer frei istMinuten bei einer berechtigungsfähigen Rolle
Endzeitpunkt einer Erteilungnirgends erfasstverpflichtend und im Register hinterlegt
Entzugerinnert oder eben nichtvom Zeitplan ausgeführt und im System bestätigt
Quartalsweise Rezertifizierungrund 60 Stunden Sitzungeneine wöchentliche Ausnahmeliste

Systeme und Integrationen

Der Stack ist bewusst kurz: eine Engine, eine Ausführungsschicht, ein Ort für menschliche Entscheidungen.

Eingänge

  • Anträge auf privilegierten Zugriff in Microsoft Teams
  • Störungsnummern aus dem Service Desk
  • der Katalog der Systeme und Rollen mit ihren benannten Verantwortlichen
  • Notfallanträge

Automatisierungsschicht

  • UiPath Orchestrator
  • UiPath Robots
  • UiPath Integration Service
  • UiPath Data Fabric
  • UiPath Action Center

Zielsysteme

  • Rollen in Entra und Azure über Privileged Identity Management
  • SQL-Server-Cluster
  • Linux-Hosts
  • Netzwerkgeräte
  • der ERP-Benutzerspeicher

Berührungspunkte für Menschen: Microsoft Teams Approvals; Action-Center-Aufgaben in Teams; der wöchentliche Bericht über stehende Berechtigungen

Anträge auf privilegierten Zugriff in Microsoft TeamsUiPath OrchestratorUiPath RobotsRollen in EntraMicrosoft Teams Approvals

Eingesetzte Technologien

Microsoft Entra Privileged Identity Management

macht Rollen in Entra und Azure berechtigungsfähig statt dauerhaft; Aktivierung mit Begründung, Multi-Faktor-Authentifizierung, Freigabe und Höchstdauer

A
Microsoft Entra ID Governance

Zugriffspakete für befristeten Anwendungszugriff und Zugriffsüberprüfungen für alles, was dauerhaft bleibt

A
Microsoft Teams (Approvals-App)

Antragskarte und Entscheidung des Verantwortlichen dort, wo die Ingenieure ohnehin arbeiten

A
UiPath Robots + Orchestrator

Erteilen und Entziehen dort, wo Entra nicht hinreicht; Zeit-Trigger, Warteschlangen, Anmeldedatenspeicher, Prüfpfad

A
UiPath Integration Service

Änderungen an Verzeichnisgruppen und Berechtigungsfähigkeit über den Microsoft-Identitätskonnektor

A
UiPath Data Fabric

das Register der Erteilungen, Freigebenden, Systeme und Endzeitpunkte

A
UiPath Action Center

fehlgeschlagene Entzüge und ungewöhnliche Anträge als Aufgaben, die in Teams erledigt werden

A
Microsoft Purview

Prüfnachweise für Aktivierungen, Freigaben und administrative Handlungen

A
Abestätigte Produktfunktion (Herstellerdokumentation)

Illustratives Wirtschaftlichkeitsmodell

Zahlen, die Sie an Ihren eigenen Daten prüfen können.

Illustratives Modell
168 von 240 monatlichen Bedarfen ohne Plattform-Ingenieur × 45 Min.= 126 h / Monat
126 h × 68 € Vollkosten je Ingenieurstunde= 8.568 € / Monat
× 12 Monate≈ 102.816 € / Jahr
Jährlich freigesetzte Ingenieurkapazität (illustrativ)≈ 102.816 €

Der automatisierbare Anteil steckt bereits im Volumen: von den 240 privilegierten Bedarfen im Monat bewertet der Kalkulator nur die 168, die Privileged Identity Management oder ein Roboter vollständig übernimmt, mit je 45 Minuten für Antrag, Erteilung, Entzug und Tabelle sowie 68 € Vollkosten je Ingenieurstunde in diesem illustrativen Zahlungsdienstleister. Die Rezertifizierung steht im nächsten Abschnitt statt im Kalkulator, Lizenzen und Umsetzung bleiben außen vor, und die Risikominderung, der eigentliche Grund für diesen Schritt, wird überhaupt nicht bewertet.

Rechnen Sie mit Ihren Zahlen

Stunden pro Monat
jährlich freigesetzte Kapazität

Eine illustrative Schätzung aus Ihren Eingaben. Sie modelliert freigesetzte Kapazität und verspricht keine Einsparung.

Geschäftlicher Nutzen

  • Die Zahl ständiger Administratoren schrumpft auf die Rollen, die dauerhaft sein müssen, weil alles Übrige von selbst abläuft
  • Zugriff entsteht in Minuten mit dokumentierter Freigabe, schneller als die Suche nach einem freien Plattform-Ingenieur
  • Der Entzug wird vom Zeitplan ausgeführt und im System bestätigt, deshalb häufen sich Erteilungen nicht mehr zwischen Aufräumprojekten
  • Systeme außerhalb von Entra erhalten dieselbe Ablaufdisziplin wie die darin, was die Lücke schließt, nach der Prüfer zuerst suchen
  • Jede privilegierte Handlung ist einer Person, einem Grund und einem Antrag zuzuordnen, Notfälle eingeschlossen
  • Die quartalsweise Rezertifizierung wird zur kurzen Durchsicht einer Ausnahmeliste statt zu einem 60-Stunden-Ritual

Aus Sicht der Geschäftsführung

  • Stehende Berechtigungen sind keine Meinung mehr, sondern eine Zahl, die sich Woche für Woche bewegt, je System und Verantwortlichem
  • Die Zuständigkeit ist eindeutig: jedes System hat eine benannte Person, die Dauern festlegt und Erteilungen freigibt
  • Nachweise bestehen je Erteilung und je Entzug, deshalb hängt die Prüfstichprobe nicht mehr am Erinnerungsvermögen Einzelner
  • Erfahrene Plattformkräfte werden vom Erteilen und Entziehen frei, und Zugriff steht nicht mehr in der Warteschlange ihrer Kalender

KPIs für die Geschäftsführung

Anzahl verbleibender stehender BerechtigungenMedianzeit vom Antrag bis zum ZugriffAnteil termingerecht entzogener Erteilungeninnerhalb eines Arbeitstages geprüfte NotfallnutzungenRezertifizierungsstunden je Quartal

Sicherheit und Governance

Die Automatisierung hat genau die Rechte, die sie braucht, und kein einziges mehr.

  • Die Rechte des Roboters sind hier das sensibelste Objekt, deshalb erhält jedes Zielsystem ein eigenes Servicekonto, das auf die Rollenzuweisung beschränkt ist, und jede Handlung trägt den Antrag, der sie ausgelöst hat
  • Die Anmeldedaten der Roboter liegen in einem externen Anmeldedatenspeicher, der an Orchestrator angebunden ist, üblicherweise Azure Key Vault, und werden nie an Menschen weitergegeben
  • Antrag und Freigabe sind getrennt: ein Ingenieur kann seine eigene Erteilung nicht freigeben, und das Plattformteam kann eine Höchstdauer nicht ohne dokumentierte Entscheidung der Sicherheit ändern
  • Fehlgeschlagene Entzüge behandeln wir als Sicherheitsereignisse und melden sie in derselben Stunde, denn eine Berechtigung, die ihren Endzeitpunkt still überlebt, ist hier der gefährlichste Fehlerfall
  • Notfallerteilungen sind befristet, protokolliert und werden von einer benannten Person am nächsten Arbeitstag geprüft, die Freigaben bestätigt Microsoft Purview
  • Die Verarbeitung bleibt in den EU-Regionen von UiPath Automation Cloud und Microsoft 365

Warum jetzt

01

Prüfer sind von „zeigen Sie die Richtlinie“ zu „zeigen Sie Erteilung und Entzug“ übergegangen, und Fragebögen von Versicherern fragen direkt nach stehenden Berechtigungen, womit aus Hausarbeit ein Thema für die Geschäftsführung wird

02

Berechtigungsfähige Rollen, Aktivierung mit Freigabe und befristete Zuweisungen sind in Entra ID Governance heute Konfiguration, die Microsoft-Hälfte des Bestands braucht also keine Entwicklung; die Hälfte außerhalb ist das Feld der Roboter

03

Die modellierten 8.568 € Ingenieurkapazität im Monat sind das kleinere Argument, aber sie summieren sich: Technikteams wachsen schneller als Plattformteams, deshalb wird der manuelle Weg jedes Quartal langsamer

Relevante Führungsrollen

CISO

Stehende Berechtigungen werden zur gemessenen Ausnahme mit Verantwortlichem statt zum Normalzustand des Bestands, und die Prüfungsfeststellung bekommt einen Weg zum Abschluss

CTO

Ingenieure erhalten Produktionszugriff in Minuten und mit Nachweis, und erfahrene Plattformkräfte verlieren keine Wochen mehr an Erteilen und Entziehen

CIO

Privilegierter Zugriff wird zu einem geregelten Dienst mit Servicegrad statt zu einem Gefallen, der davon abhängt, wer online ist

Internal Audit

Nachweise bestehen je Erteilung und je Entzug, im Microsoft-Bestand ebenso wie in den Systemen außerhalb davon

Häufige Fragen und Einwände

Die Ingenieure werden diese Hürde hassen.

Eine Karte mit einer Freigabe, die in Minuten eintrifft, ist weniger Hürde als die Suche nach einem Plattform-Ingenieur, und eine berechtigungsfähige Rolle aktiviert sich in Sekunden ganz ohne Freigebenden. Weg fällt das Warten, hinzu kommt das Eintippen eines Grundes.

Privileged Identity Management deckt das bereits ab.

Für Rollen in Entra und Azure tut es das, und wir konfigurieren es, statt es nachzubauen. Stehende Berechtigungen verstecken sich in den Datenbankclustern, Linux-Hosts, Netzwerkgeräten und im ERP-Benutzerspeicher, die keinen eigenen Ablauf kennen; das ist das Feld der Roboter und des Registers.

Und im echten Notfall?

Der Notfallweg erteilt sofort und protokolliert alles, es wird also nichts langsamer, wenn es darauf ankommt. Der Unterschied zu heute: eine benannte Person prüft die Nutzung am nächsten Morgen, und das Konto ist nicht geteilt.

Wann diese Lösung nicht passt

  • Der gesamte Bestand liegt in Entra und Azure: Privileged Identity Management konfigurieren, sauber überprüfen und dabei bleiben
  • Weniger als einige Dutzend privilegierte Bedarfe im Monat und ein zweiköpfiges Plattformteam, das jede eigene Erteilung kennt
  • Eine Plattform für privilegierte Zugriffsverwaltung ist bereits im Einsatz und deckt die Systeme außerhalb von Entra ab
  • Die Organisation benennt je System keinen Verantwortlichen, dann hat der Ablauf niemanden, an den er eine Entscheidung übergibt

Eine Frage für die nächste Sitzung

Stehende Berechtigungen sind eine Entscheidung, an deren Treffen sich in diesem Unternehmen niemand erinnert, wer in diesem Raum kann also das letzte administrative Recht benennen, das entzogen wurde, weil die Aufgabe dahinter beendet war?

Vorgehen bei der Umsetzung

Ein Umfang ohne Unklarheiten, noch vor der Unterschrift.

Wir liefern

  • Eine Bestandsaufnahme stehender Berechtigungen in Entra, Azure und den Systemen außerhalb davon, mit der letzten Nutzung jedes Rechts
  • Die Konfiguration von Privileged Identity Management und Zugriffspaketen mit benanntem Verantwortlichen je Rolle
  • Die Dauer- und Freigaberichtlinie je System und Rolle, mit dem CISO abgestimmt und schriftlich festgehalten
  • Roboter, die in jedem System außerhalb von Entra erteilen und entziehen, samt Behandlung fehlgeschlagener Erteilungen
  • Das Register, den Entzugszeitplan, den Notfallweg und den Wochenbericht
  • Einen Pilot mit einer Entra-Rolle und einem externen System, danach den Rollout nach Risiko mit Hypercare

Wir brauchen von Ihnen

  • Einen benannten Verantwortlichen je System, das Berechtigungen ausgibt, mit Befugnis für Dauern und Freigaben
  • Lizenzen für Entra ID P2 oder Entra ID Governance für die einbezogenen Personen
  • Eigene administrative Konten für die Roboter in jedem Zielsystem, beschränkt auf die Rollenzuweisung
  • Eine Sicherheitsprüfung der Höchstdauern und des Notfallwegs vor dem Start

Etappen

Bestandsaufnahme

Jedes stehende Recht, wo es liegt, wer es hält und wann es zuletzt genutzt wurde

Richtlinie

Höchstdauern, Freigebende und berechtigungsfähige Gruppen je System und Rolle, von der Sicherheit gezeichnet

Aufbau

Antragskarte, Roboter für Erteilung und Entzug, Register, Entzugszeitplan, Berichtswesen

Pilot

Eine Entra-Rolle und ein System außerhalb von Entra, wobei das Plattformteam jede Erteilung freigibt

Rollout

Systeme nach Risiko umgestellt, danach die dauerhafte Mitgliedschaft auf dokumentierte Ausnahmen gekürzt

Abteilungsweit. Den Aufwand bestimmen die Zahl der Systeme außerhalb von Entra, die Art, wie jedes davon Rechte erteilt und entzieht, und wie schnell sich je System ein Verantwortlicher benennen lässt.