Ihr Admin-Account hat keinen Feierabend. Er ist rund um die Uhr berechtigt – und genau das ist sein grösstes Problem. In diesem Beitrag zeigen wir, wie Sie mit Admin-Accounts administrieren, die keine Berechtigungen besitzen.
Kommt Ihnen das bekannt vor?
Sie machen um 17:30 Uhr den Laptop zu. Ihr Admin-Account nicht. Der bleibt online berechtigt – auf jedem Server, den Sie verwalten. Die ganze Nacht. Das ganze Wochenende. In den Ferien, während Sie am Strand liegen.
Und jetzt die unbequeme Frage: Wer arbeitet in dieser Zeit mit Ihren Rechten? Hoffentlich niemand. Aber «hoffentlich» ist keine Security-Strategie.
Die 97-Prozent-Wahrheit
Nehmen wir einen einzigen Server aus Ihrem Bestand. Irgendeinen. Sagen wir: den Applikationsserver, den Sie diese Woche gepatcht haben.
Wie viel Zeit haben Sie diese Woche tatsächlich administrativ auf genau dieser Maschine gearbeitet? Am Dienstag die Updates eingespielt, am Donnerstag kurz einen Dienst neu gestartet, zwischendurch ein Log geprüft. Zusammengezählt: vielleicht 5,5 Stunden.
Die Woche hat aber 168 Stunden. Und Ihr Admin-Account war in jeder einzelnen Stunde davon auf diesem Server berechtigt.
Bleiben also gut 162 Stunden, in denen die Berechtigung existiert, ohne dass sie wirklich benötigt werden. Das sind 97 % der Zeit – und in dieser Zeit hat das Privileg genau eine Zielgruppe: Angreifer.
Und jetzt der unangenehme Teil: Das war ein Server. Multiplizieren Sie das mit jedem Server in Ihrer Umgebung. Aus einer offenen Tür wird die Käsemolkerei von Emmentaler. 😉
Dass Angreifer genau hier ansetzen, belegen die Zahlen: Gemäss Verizon DBIR 2025 sind gestohlene Credentials mit 22 % der häufigste Einstiegspunkt bei Breaches, und laut IBM Cost of a Data Breach Report 2025 vergehen bei solchen Vorfällen im Schnitt 246 Tage, bis sie entdeckt und eingedämmt sind. Acht Monate, in denen jemand mit fremden Rechten unterwegs ist.
Der Gedanke, der alles ändert
Was wäre, wenn Ihr Admin-Account schlicht keine Berechtigungen hätte?
Kein Mitglied in privilegierten Gruppen. Keine Rechte auf den Servern. Nichts. Ein Angreifer, der die Credentials erbeutet – per Phishing, Infostealer oder aus irgendeinem Leak – hält einen Schlüssel in der Hand, der in kein einziges Schloss passt.
Genau das ist Zero Standing Privileges (ZSP): Berechtigungen existieren nur dann, wenn sie wirklich gebraucht werden. Danach sind sie wieder weg. Nicht deaktiviert, nicht versteckt – weg.
Was nicht existiert, kann nicht gestohlen werden.
«Klingt nach Bürokratie-Hölle»
Ich höre den Einwand schon: «Super, und jetzt darf ich vor jedem Serverzugriff ein Ticket eröffnen und auf drei Freigaben warten?»
Nein. Und das ist der Punkt, an dem es richtig gut wird.
Mit BeyondTrust Privileged Remote Access (PRA) und Entitle startet der Admin seine Session wie gewohnt in der PAM-Lösung – mit einem Doppelklick. Im selben Moment wird sein Account auf dem Zielsystem automatisch berechtigt. Beendet er die Session, sind die Berechtigungen innert Sekunden wieder entzogen.
Doppelklick. Arbeiten. Fertig. Sie merken davon: nichts. Kein Ticket, kein Warten, kein Formular. Die Security passiert vollautomatisch – Sie geniessen einfach den Komfort einer modernen PAM-Lösung und sind nebenbei so gut geschützt wie noch nie. ❤️
PAM mit ZSP kehrt die Logik der Berechtigungen damit komplett um: Der Normalzustand eines Admin-Accounts hat null Rechte. Berechtigt wird er ausschliesslich dann, wenn der Zugriff über die PAM-Lösung aufgebaut wird – und auch nur auf genau dem Server oder der Cloud-Ressource, auf die zugegriffen wird. Alles andere bleibt tabu. Und sollte die Umgebung einmal ausfallen? Dafür gibt es den Breakglass Access – der Zugriff auf Ihre Systeme ist also jederzeit gewährleistet.
Kurz zum Aufbau: Die PRA ist der zentrale Entry Point für alle administrativen Sessions – intern wie extern. Unser AVANTEC Plugin verbindet die PRA mit Entitle. Entitle wiederum steuert über einen Worker die Berechtigungsvergabe direkt auf den Zielsystemen – Just-in-Time und nach Least Privileges, on-premise (Windows & Linux) genauso wie in der Cloud.
Fazit
Klassisches PAM verwaltet die administrativen Zugriffe. ZSP geht den entscheidenden Schritt weiter und schafft die permanenten Privilegien gleich ganz ab. Die Angriffsfläche schrumpft damit auf ein Minimum – der Admin spürt in seinem Alltag nichts davon, die Angreifer dafür umso mehr.
Und nun zur Frage vom Anfang – Wer arbeitet nach Ihrem Feierabend mit ihren Accounts?
