Ein einzelnes Administratorkonto kann reichen, um einen Betrieb vollständig zu blockieren: Dateien verschlüsseln, Benutzer anlegen, Backups löschen oder Sicherheitseinstellungen verändern. Gerade weil diese Konten für den IT-Betrieb unverzichtbar sind, müssen Unternehmen privilegierte Konten sicher verwalten. Das ist keine Aufgabe nur für Großunternehmen. Auch ein Handwerksbetrieb, eine Kanzlei oder ein Dienstleister sollte jederzeit wissen, wer weitreichende Rechte besitzt, warum diese Rechte nötig sind und was mit ihnen geschieht.
Warum privilegierte Konten ein besonderes Risiko sind
Privilegierte Konten verfügen über Rechte, die weit über den normalen Arbeitsalltag hinausgehen. Dazu zählen etwa Domänenadministratoren, lokale Administratorkonten auf Servern und PCs, Konten für Firewall- oder Backup-Verwaltung sowie technische Servicekonten. Auch Zugänge externer IT-Dienstleister und Softwareanbieter können privilegiert sein.
Das Risiko liegt nicht allein im möglichen Missbrauch. Angreifer suchen gezielt nach solchen Zugängen, weil sie damit Sicherheitsmechanismen abschalten, weitere Systeme erreichen und ihre Spuren verwischen können. Wird ein allgemeines Konto wie „Administrator“ von mehreren Personen genutzt, lässt sich nach einem Vorfall kaum noch nachvollziehen, wer welche Änderung vorgenommen hat.
Hinzu kommt ein organisatorisches Problem: In vielen KMU wachsen Berechtigungen über Jahre. Ein ehemaliger Administrator, ein externer Dienstleister oder eine nicht mehr benötigte Anwendung behält Zugriffsrechte, weil niemand den Zugang konsequent überprüft. Genau diese stillen Altlasten sind vermeidbar.
Privilegierte Konten sicher verwalten: zuerst Transparenz schaffen
Bevor ein Unternehmen neue Sicherheitswerkzeuge einführt, braucht es einen vollständigen Überblick. Erstellen Sie ein Verzeichnis aller privilegierten Konten und ordnen Sie jedes Konto einer verantwortlichen Person oder einem klaren technischen Zweck zu. Das betrifft nicht nur Active Directory oder Microsoft 365, sondern ebenso Firewalls, Netzwerkkomponenten, Backup-Systeme, Fachanwendungen, Cloud-Verwaltungen und Datenbanken.
Für jedes Konto sollten vier Fragen beantwortet werden können: Wer nutzt es? Welche Rechte besitzt es? Wofür werden diese Rechte benötigt? Wann wurde der Zugriff zuletzt geprüft? Bei Servicekonten kommt eine weitere Frage hinzu: Welche Anwendung oder welcher Prozess hängt daran?
Besondere Aufmerksamkeit verdienen gemeinsam genutzte Administratorkonten. Sie sind zwar bequem, verhindern aber Verantwortung und Nachvollziehbarkeit. Besser ist ein persönliches Administratorkonto für jede berechtigte Person. Das normale Benutzerkonto bleibt für E-Mail, Office-Anwendungen und den täglichen Betrieb vorgesehen. Administrative Aufgaben werden ausschließlich über das getrennte Konto erledigt.
Diese Trennung begrenzt Schäden, falls ein normales Benutzerkonto durch Phishing kompromittiert wird. Ein Angreifer erhält dann nicht automatisch Zugriff auf kritische Verwaltungsfunktionen.
Rechte nach Aufgabe vergeben, nicht vorsorglich
Viele Berechtigungen entstehen nach dem Muster: „Gib lieber mehr Rechte, dann funktioniert es sicher.“ Für den sicheren IT-Betrieb ist das der falsche Ansatz. Maßgeblich ist das Prinzip der minimalen Rechte. Mitarbeitende, Administratoren und Dienstleister erhalten nur die Zugriffe, die sie für eine klar definierte Aufgabe benötigen.
Das bedeutet nicht, dass jede technische Tätigkeit unnötig kompliziert werden muss. Entscheidend ist die passende Abstufung. Wer Benutzer in einer Fachanwendung anlegt, benötigt nicht zwangsläufig Domänenadministratorrechte. Wer die Firewall wartet, muss nicht auf das Backup-System zugreifen können. Und ein externer Softwareanbieter braucht oft nur für eine begrenzte Dauer Zugang zu einer einzelnen Anwendung.
Dauerhafte und zeitlich begrenzte Rechte unterscheiden
Dauerhafte Administratorrechte sind nur für wenige Rollen sinnvoll, etwa für interne IT-Verantwortliche mit regelmäßigen Betriebsaufgaben. Für seltene Tätigkeiten, Projektarbeiten oder externe Fernwartung sind zeitlich begrenzte Berechtigungen besser geeignet. Nach Ablauf der vereinbarten Zeit endet der Zugriff automatisch.
Dieser Ansatz reduziert die Angriffsfläche ohne den Betrieb auszubremsen. Er erfordert allerdings klare Prozesse: Wer genehmigt einen Zugang? Wie lange gilt er? Wer prüft nach Abschluss der Arbeit, ob die Berechtigung wieder entzogen wurde? Ein einfacher, dokumentierter Freigabeprozess ist für KMU oft wirksamer als eine komplexe Richtlinie, die niemand im Alltag anwendet.
Starke Anmeldung ist Pflicht, nicht Zusatz
Für privilegierte Konten sollte Mehrfaktor-Authentifizierung verbindlich sein. Ein Passwort allein genügt nicht, selbst wenn es lang und individuell ist. Die zweite Komponente kann beispielsweise eine Authenticator-App, ein Hardware-Token oder ein anderes kontrolliertes Verfahren sein.
Nicht jede Methode bietet das gleiche Schutzniveau. SMS-Codes können in bestimmten Szenarien angreifbar sein und eignen sich eher als Übergangslösung. Für besonders kritische Verwaltungskonten sind phishing-resistente Verfahren wie Hardware-Sicherheitsschlüssel eine sinnvolle Option. Welche Methode passt, hängt von vorhandener Infrastruktur, Arbeitsplätzen und Risikoprofil ab. Wichtig ist, dass Notfallzugänge ebenfalls abgesichert, streng dokumentiert und regelmäßig getestet werden.
Externe Dienstleister kontrolliert anbinden
Externe IT-Partner, Softwarehäuser und Wartungsfirmen brauchen manchmal Zugriff auf interne Systeme. Ein dauerhaft aktives VPN-Konto mit weitreichenden Rechten ist dafür jedoch eine unnötig große Vertrauensfläche. Es verbindet externe Geräte häufig direkt mit dem internen Netzwerk und erschwert die Begrenzung auf einzelne Anwendungen.
Sicherer ist ein anwendungsbezogener Zugang nach dem Zero-Trust-Prinzip: Der Dienstleister erhält nur Zugriff auf das konkrete Zielsystem, erst nach starker Anmeldung und nur für den benötigten Zeitraum. Der Zugriff sollte protokolliert werden. So bleibt nachvollziehbar, wann eine Verbindung bestand und welche administrativen Tätigkeiten ausgeführt wurden.
Browserbasierter Secure Remote Access kann hier besonders praktisch sein. Interne Anwendungen oder Verwaltungsoberflächen werden nicht offen ins Internet gestellt, sondern kontrolliert bereitgestellt. Mit Kyvion Secure Access lassen sich solche Zugriffe für Mitarbeitende und externe Partner gezielt absichern, ohne einen klassischen, umfassenden VPN-Zugang einzurichten.
Bei besonders sensiblen Systemen empfiehlt sich zusätzlich eine Freigabe vor Sitzungsbeginn. Der Dienstleister fordert den Zugriff an, ein Verantwortlicher genehmigt ihn, und nach Ende der Wartung wird die Berechtigung wieder entzogen. Das braucht etwas Abstimmung, ist bei kritischen Servern, Firewalls oder Backup-Systemen aber ein angemessener Aufwand.
Passwörter, Sitzungen und Änderungen kontrollierbar machen
Privileged Access Management, kurz PAM, bündelt die wesentlichen Kontrollen für privilegierte Zugänge. Eine PAM-Lösung kann Passwörter sicher verwahren, automatisch wechseln, Berechtigungen zeitlich steuern und Administrationssitzungen protokollieren. Für Unternehmen mit mehreren Standorten, häufigen externen Zugriffen oder vielen kritischen Systemen schafft das spürbar mehr Übersicht.
Nicht jedes KMU benötigt sofort eine umfangreiche PAM-Plattform. Der Bedarf hängt von der Anzahl der Systeme, der Administratoren und externen Partner ab. Die zugrunde liegenden Regeln gelten aber immer: keine geteilten Passwörter per E-Mail oder Excel-Datei, kein dauerhaftes Weitergeben von Zugangsdaten und keine unkontrollierten Fernwartungszugänge.
Administrationssitzungen sollten nachvollziehbar sein. Mindestens gehören dazu Anmeldezeit, verwendetes Konto, Zielsystem und Art der Änderung. Bei kritischen Eingriffen kann eine Sitzungsaufzeichnung sinnvoll sein. Dabei müssen Unternehmen Datenschutz und Betriebsvereinbarungen berücksichtigen. Ziel ist nicht die Überwachung von Mitarbeitenden, sondern eine belastbare Nachvollziehbarkeit bei Störungen und Sicherheitsvorfällen.
Regelmäßig prüfen und den Notfall mitdenken
Berechtigungen sind keine einmalige Einstellung. Prüfen Sie privilegierte Konten mindestens quartalsweise, bei hoher Fluktuation oder vielen Dienstleistern häufiger. Entfernen Sie nicht mehr benötigte Konten sofort, insbesondere nach Personalwechseln, abgeschlossenen Projekten oder Vertragsende. Kontrollieren Sie auch Gruppenmitgliedschaften, denn darüber werden häufig unbemerkt weitreichende Rechte vergeben.
Ebenso wichtig ist die Wiederherstellbarkeit. Wenn ein Angreifer ein Administratorkonto übernimmt, könnte er versuchen, Backups zu löschen oder die Wiederherstellung zu sabotieren. Backup-Systeme benötigen deshalb eine eigene, getrennte Zugriffskontrolle. Administratoren der Produktivumgebung sollten nicht automatisch volle Rechte im Backup-System besitzen. Unveränderbare Sicherungen und regelmäßig getestete Wiederherstellungen erhöhen die Daten-Resilienz zusätzlich.
Legen Sie außerdem einen Notfallprozess fest: Wer darf einen gesperrten Admin-Zugang wieder freigeben? Wo liegen die Notfallinformationen? Wie wird geprüft, ob ein sogenanntes Break-Glass-Konto genutzt wurde? Ein Notfallkonto darf nicht zum bequemen Umweg werden. Es ist versiegelt zu behandeln, eng abzusichern und nach jeder Nutzung zu überprüfen.
Mit einem umsetzbaren Plan beginnen
Der sinnvollste erste Schritt ist selten ein Großprojekt. Beginnen Sie mit den kritischsten fünf bis zehn Konten: Domänenadministration, Firewall, Backup, Cloud-Verwaltung und zentrale Fachanwendungen. Ordnen Sie Verantwortlichkeiten zu, trennen Sie persönliche und administrative Konten, aktivieren Sie Mehrfaktor-Authentifizierung und entfernen Sie nicht benötigte Rechte.
Danach können Sie externe Zugriffe und zeitlich begrenzte Berechtigungen strukturieren. So entsteht schrittweise ein Sicherheitsniveau, das zum Unternehmen passt und im Alltag tragfähig bleibt. Privilegierte Zugänge verdienen diese Aufmerksamkeit, weil sie nicht nur Systeme verwalten, sondern im Ernstfall auch darüber entscheiden, wie handlungsfähig ein Unternehmen bleibt.
