Microsoft Entra Privileged Identity Management (PIM) vergibt privilegierte Rechte zeitlich begrenzt statt dauerhaft. Berechtigte Administratoren aktivieren ihre Rolle bei Bedarf; MFA und Genehmigung lassen sich als Bedingungen konfigurieren. Dieser Leitfaden erklärt Lizenzvoraussetzungen, Notfallzugänge und die schrittweise Einführung. PIM unterstützt Zugriffskontrollen, ersetzt aber weder ein Sicherheitskonzept noch den Nachweis vollständiger NIS2-Konformität.
Warum stehende Admin-Rechte Ihr größtes Sicherheitsrisiko sind
Dauerhaft privilegierte Konten vergrößern das Risiko bei kompromittierten Zugangsdaten. Prüfen Sie deshalb, welche Rolle für welche Aufgabe erforderlich ist und wie lange sie benötigt wird. PIM reduziert die Zeit mit erhöhten Rechten. Zusätzlich bleiben sichere Anmeldungen, Überwachung und Verfahren für Notfälle erforderlich.
Ein kompromittiertes Administrationskonto kann weitreichende Änderungen ermöglichen. Auch dauerhaft aktive Rollen können protokolliert werden; Protokollierung verhindert den Missbrauch jedoch nicht allein. Begrenzen Sie deshalb Rechte, Aktivierungsdauer und nutzbare Anmeldeverfahren gemeinsam.
§30 BSIG verlangt risikogerechte technische und organisatorische Maßnahmen, darunter Zugriffskontrollen. Ob zusätzliche sektorbezogene Vorgaben gelten, muss gesondert geprüft werden. Die PIM-Konfiguration ist nur ein Teil dieser Bewertung.
Inventarisieren Sie auch selten genutzte Konten und dokumentieren Sie den Grund jeder privilegierten Zuweisung. Entfernen Sie unnötige Rechte nach einem kontrollierten Prüfprozess. Allgemeine Prozentwerte ersetzen diese Bestandsaufnahme nicht.
Was ist Entra ID Privileged Identity Management (PIM)?
PIM ist ein Dienst innerhalb von Microsoft Entra ID Governance, der privilegierte Rollen und Gruppenberechtigungen nach dem Just-in-Time-Prinzip verwaltet. Statt einem Admin dauerhaft die Rolle „Global Administrator“ zuzuweisen, erhält er den Status „eligible“ – berechtigt, aber nicht aktiv. Erst wenn er die Rolle im Entra Admin Center unter PIM explizit aktiviert, erhält er die Rechte, für eine vorab festgelegte Zeitspanne (typisch: ein bis vier Stunden).
Die vier Kernfunktionen:
- Just-in-Time-Zugriff: Rollenaktivierung auf Anfrage, zeitlich begrenzt, automatisch ablaufend – kein manueller Entzug nötig.
- Genehmigungsworkflow: Für sensible Rollen (z. B. Global Admin) kann eine zweite Person genehmigen müssen, bevor die Aktivierung wirksam wird.
- MFA bei Aktivierung: PIM unterstützt Conditional-Access-Authentifizierungskontext – beim Aktivieren kann phishing-resistente MFA oder Geräte-Compliance erzwungen werden.
- Vollständiges Audit-Log: Jede Aktivierung, Anfrage und Genehmigung wird protokolliert – ein Baustein Ihrer Nachweisdokumentation.
Ergänzend gibt es PIM für Gruppen: Auch Gruppenmitgliedschaften lassen sich zeitlich begrenzt vergeben – sinnvoll, wenn Teams sporadisch auf SharePoint-Administrationsgruppen oder Azure-Ressourcengruppen zugreifen müssen.
PIM einrichten: Schritt für Schritt
Schritt 1: Lizenz prüfen
Für PIM benötigen Sie Microsoft Entra ID P2 oder Microsoft Entra ID Governance. Entra ID P1 allein, etwa in Business Premium, genügt dafür nicht. Berücksichtigen Sie bei der Lizenzprüfung berechtigte und zeitlich begrenzt aktive Zuweisungen, Genehmiger sowie weitere genutzte Governance-Funktionen. Prüfen Sie die aktuelle Microsoft-Lizenzierungsübersicht; eine einzelne P2-Lizenz für den Tenant deckt nicht automatisch alle Beteiligten ab.
Schritt 2: Break-Glass-Konten absichern
Richten Sie mindestens zwei unabhängige, cloudbasierte Notfallkonten mit dauerhaft aktiver Global-Administrator-Rolle ein. Schützen Sie sie mit phishing-resistenten Methoden, etwa FIDO2-Sicherheitsschlüsseln. Vermeiden Sie Abhängigkeiten von denselben Geräten und Verfahren wie bei regulären Admins. Ausnahmen von blockierenden Conditional-Access-Regeln sind keine pauschale MFA-Befreiung. Überwachen und testen Sie die Konten regelmäßig nach Microsofts Notfallkonto-Empfehlungen.
Schritt 3: Permanente Rollenzuweisungen identifizieren
Öffnen Sie im Entra Admin Center Identity Governance → Privileged Identity Management → Microsoft Entra roles → Assignments. Unterscheiden Sie dauerhaft aktive, zeitlich begrenzt aktive und berechtigte Zuweisungen. Aktiv bedeutet nicht automatisch dauerhaft. Prüfen Sie insbesondere Global Administrator und Privileged Role Administrator sowie Exchange- und SharePoint-Administrationsrollen.
Schritt 4: Rolleneinstellungen konfigurieren
Für jede Rolle definieren Sie die Aktivierungsregeln: Maximale Aktivierungsdauer (1–4 Stunden für Global Admin, bis 8 Stunden für weniger kritische Rollen), Begründungspflicht (immer aktivieren – erzeugt den Audit-Trail für NIS2), Genehmigungsworkflow (für Global Admin und Privileged Role Admin empfohlen) und MFA-Anforderung bei Aktivierung (immer einschalten). Sie können hier einen Conditional-Access-Authentifizierungskontext hinterlegen und damit phishing-resistente MFA oder Geräte-Compliance als Voraussetzung erzwingen.
Schritt 5: Zuweisungen von „Aktiv“ auf „Eligible“ umstellen
Wandeln Sie permanente Zuweisungen schrittweise um. Beginnen Sie mit den sensibelsten Rollen (Global Administrator, Privileged Role Administrator) und arbeiten Sie sich zu weniger kritischen Rollen vor (Exchange Admin, SharePoint Admin). Testen Sie jeden Schritt, bevor Sie den nächsten angehen – und stellen Sie sicher, dass die Break-Glass-Konten aus Schritt 2 jederzeit funktionsfähig sind.
Schritt 6: Aktivierungsprozess testen
Melden Sie sich mit einem betroffenen Konto an und aktivieren Sie eine eligible Rolle manuell unter Entra Admin Center → Identity Governance → Privileged Identity Management → My roles. Prüfen Sie: greift die MFA-Anforderung? Wird die Begründung gespeichert? Erhält ein Genehmiger die E-Mail-Benachrichtigung? Läuft die Rolle nach Ablauf der Zeit automatisch ab? Erst wenn alle vier Punkte funktionieren, schalten Sie weitere Rollen um.
Schritt 7: Access Reviews einrichten
Planen Sie regelmäßige Zugriffsüberprüfungen und benennen Sie verantwortliche Prüfer. Entscheiden Sie ausdrücklich, wie Ablehnungen oder ausbleibende Antworten behandelt und Ergebnisse angewendet werden. Ein automatischer Entzug entsteht nicht allein durch das Anlegen eines Reviews. Dokumentieren Sie Entscheidungen und prüfen Sie Lizenzierung sowie Aufbewahrung der Nachweise.
PIM und NIS2: Zugriffskontrollen nachvollziehbar umsetzen
PIM kann technische Zugriffskontrollen unterstützen. §30 BSIG verlangt angemessene technische und organisatorische Maßnahmen; er schreibt kein bestimmtes Microsoft-Produkt vor. Die folgende Tabelle ist eine technische Orientierung, keine vollständige Rechts- oder Auditbewertung. Branchenspezifische Anforderungen sind gesondert zu prüfen.
| Kontrollziel | PIM-Einstellung | Pfad im Entra Admin Center |
|---|---|---|
| Starke Authentifizierung bei Aktivierung (MFA) | MFA oder CA-Kontext bei Rollenaktivierung einschalten | PIM → Rolleneinstellungen → Aktivierung → MFA erforderlich |
| Dedizierte Admin-Konten nur für Verwaltungsaufgaben | Separate cloud-only Admin-Konten anlegen; kein Postfach, keine Produktivlizenz | Entra Admin Center → Benutzer → Neues Konto |
| Minimale Rechte (Least Privilege) | Permanent-Zuweisungen auf Eligible umstellen; nur die tatsächlich benötigte Rolle zuweisen | PIM → Zuweisungen → Typ: Eligible |
| Admin-Konten ausschließlich für Admin-Systeme | Conditional Access blockiert für Admin-Konten den Zugriff auf normale Ressourcen | Entra → Conditional Access → Neue Richtlinie |
| Regelmäßige Überprüfung und Dokumentation | Quartalsweise Access Reviews aktivieren; Audit-Logs exportieren | PIM → Access Reviews → Neuer Review |
Halten Sie Rollenkonzept, Freigaben, Aktivierungsregeln und regelmäßige Überprüfungen zusammen mit den Protokollen fest. Screenshots und Exporte belegen einzelne Einstellungen. Eine vollständige Bewertung umfasst zusätzlich Organisation, weitere Systeme und die Wirksamkeit der Maßnahmen. Rechtsgrundlage: §30 BSIG.
Vorteile für Unternehmen im Mittelstand
Drastisch reduzierte Angriffsfläche
Zeitlich begrenzte Rollen reduzieren dauerhaft verfügbare Rechte. Ein berechtigtes Konto ohne aktive Zuweisung besitzt die betreffende Rolle noch nicht. Andere aktive Rechte, kompromittierte Sitzungen oder unsichere Freigaben bleiben mögliche Risiken. PIM ersetzt keine Absicherung lokaler Active-Directory-Systeme.
Dokumentierte Entscheidungen für die Geschäftsleitung
Ein dokumentiertes Berechtigungskonzept hilft, Sicherheitsentscheidungen und Kontrollen nachzuvollziehen. PIM-Protokolle sind ein Teil dieser Unterlagen. Sie begründen keinen automatischen Haftungsschutz und ersetzen keine rechtliche Bewertung der Leitungs- und Überwachungspflichten.
Schnellere, stressfreiere externe Audits
Für Prüfungen lassen sich Rollen, Aktivierungen und Genehmigungen strukturiert nachvollziehen. Legen Sie zuvor fest, welche Nachweise benötigt werden und wie lange sie verfügbar bleiben müssen. Export, Aufbewahrung und regelmäßige Sichtung gehören zum Betrieb; PIM macht diese Aufgaben nicht automatisch vollständig.
Vergleichen Sie vor und nach der Einführung die Anzahl dauerhaft aktiver und berechtigter Zuweisungen. Prüfen Sie auch erfolgreiche Aktivierungen, Ausnahmen und die Bearbeitung von Reviews. Diese konkreten Messwerte zeigen Fortschritte und offene Aufgaben.
Typische Fehler bei der PIM-Einführung
Kein Break-Glass-Konto angelegt. Der häufigste und folgenschwerste Fehler: Alle Global Admins werden auf eligible umgestellt, die MFA schlägt fehl oder die Genehmigungskette ist falsch konfiguriert – und kein Konto kommt in den Tenant. Die Wiederherstellung dauert Tage und erfordert Microsoft-Support.
PIM nur für Entra-Rollen, nicht für Azure-Ressourcen. PIM deckt sowohl Entra-Verzeichnisrollen als auch Azure-Ressourcenrollen ab (Subscription Owner, Contributor auf Ressourcengruppen). Wer nur die Entra-Seite einrichtet, lässt Azure-seitige Admin-Rechte dauerhaft bestehen.
Zu lange Aktivierungszeiträume. Acht oder vierundzwanzig Stunden maximale Aktivierungsdauer hebt den JIT-Vorteil weitgehend auf. Für Global Admin sind ein bis vier Stunden die richtige Spanne.
MFA-Anforderung deaktiviert, um Reibung zu reduzieren. In kleinen IT-Teams entsteht Druck, PIM „praktisch“ zu halten. Ohne MFA bei Aktivierung ist PIM kein Zero-Trust-Control mehr – nur ein verlangsamter stehender Zugang.
Keine Begründungspflicht eingerichtet. Ohne dokumentierten Anlass lässt sich eine Aktivierung schwerer bewerten. Kombinieren Sie Begründungen mit Genehmigungen und der Überwachung ungewöhnlicher Zugriffe.
Was AURUM für Sie übernimmt
AURUM begleitet Mittelstandsunternehmen von der Lizenzprüfung bis zum produktiven PIM-Betrieb. Wir beginnen mit einem IAM-Assessment, bei dem wir alle bestehenden Rollenzuweisungen in Ihrem Entra-Tenant analysieren und die kritischsten Lücken priorisieren. Anschließend richten wir PIM gemeinsam mit Ihrem IT-Team ein, testen jeden Schritt vor der produktiven Umstellung und schulen Ihre Admins im Aktivierungsprozess. Für Unternehmen, die bereits die NIS2-Roadmap mit Microsoft 365 mit AURUM durchgeführt haben, ist PIM der nächste logische Schritt – oft kombiniert mit Conditional Access und Cloud-Security-Härtung.
Umfang und Dauer der Einführung hängen von Rollenbestand und Betriebsprozessen ab. Benennen Sie Verantwortliche für Reviews, Notfalltests und Protokollaufbewahrung. Automatisierung unterstützt den laufenden Betrieb, ersetzt diese Kontrollen aber nicht.
Häufige Fragen zu Entra ID Privileged Identity Management
PIM erfordert Microsoft Entra ID P2 oder Microsoft Entra ID Governance. Business Premium und Microsoft 365 E3 enthalten allein nur P1; Microsoft 365 E5 enthält P2. Prüfen Sie die Rechte aller betroffenen Rolleninhaber, Genehmiger und weiterer Governance-Nutzer anhand der aktuellen Microsoft-Lizenzierungsbedingungen.
Ohne aktive Zuweisung kann der Administrator die betreffende Aufgabe nicht ausführen. Nach erfolgreicher Aktivierung stehen die Rechte für die konfigurierte Dauer bereit. Nach Ablauf endet diese Zuweisung; andere vorhandene Berechtigungen bleiben davon unberührt.
Ja. Externe Gäste im Entra-Tenant können ebenfalls als eligible für bestimmte Rollen konfiguriert werden, sofern sie über ein Microsoft-Konto oder eine Entra-ID-Identität verfügen. Besonders sinnvoll für MSP-Zugänge: Der Dienstleister erhält nur dann Adminrechte, wenn er sie explizit anfordert und Sie genehmigt haben.
Weitere häufige Fragen
Nein, aber die sensibelsten Rollen sollten es sein. Priorität haben: Global Administrator, Privileged Role Administrator, Exchange Administrator und SharePoint Administrator. Weniger kritische Rollen können vorerst aktiv belassen werden – solange sie korrekt dokumentiert und regelmäßig überprüft werden.
PIM regelt Entra-Verzeichnisrollen und Azure-Ressourcenrollen – nicht on-premises Active Directory-Gruppen und -Rollen. In hybriden Umgebungen müssen daher parallele Maßnahmen für lokale Admin-Konten ergriffen werden, etwa getrennte Admin-Tier-Modelle. AURUM empfiehlt, beide Seiten im Rahmen einer ganzheitlichen IAM-Strategie zu adressieren.
Fazit: Privilegierte Zugriffe schrittweise absichern
PIM reduziert dauerhaft aktive Admin-Rechte und macht Aktivierungen nachvollziehbar. Beginnen Sie mit Rolleninventar, Lizenzprüfung und getesteten Notfallkonten. Die IAM-Beratung von AURUM unterstützt eine priorisierte Einführung. Geprüft: 21. Oktober 2026; technische Orientierung, keine Rechtsberatung.