Was ist Privileged Access Management (PAM)?
Privileged Access Management (PAM) steuert die Vergabe, Verwaltung und Entziehung besonders weitreichender Rechte privilegierter Benutzer-, Administrator- und Dienstkonten.
Der Normwortlaut
Normtext: Artikel 21 Absatz 1 der Richtlinie (EU) 2022/2555 lautet auszugsweise:
„Die Mitgliedstaaten stellen sicher, dass wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen, um die Risiken für die Sicherheit der Netz- und Informationssysteme, die diese Einrichtungen für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen, zu beherrschen und die Auswirkungen von Sicherheitsvorfällen auf die Empfänger ihrer Dienste und auf andere Dienste zu verhindern oder möglichst gering zu halten. Die in Unterabsatz 1 genannten Maßnahmen müssen unter Berücksichtigung des Stands der Technik und gegebenenfalls der einschlägigen europäischen und internationalen Normen sowie der Kosten der Umsetzung ein Sicherheitsniveau der Netz- und Informationssysteme gewährleisten, das dem bestehenden Risiko angemessen ist. Bei der Bewertung der Verhältnismäßigkeit dieser Maßnahmen ist dem Ausmaß der Risikoexposition der Einrichtung, der Größe der Einrichtung und der Wahrscheinlichkeit des Eintretens von Sicherheitsvorfällen und deren Schwere, einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen, gebührend Rechnung zu tragen.“
Artikel 21 Absatz 2 Buchstabe i nennt innerhalb des vorgeschriebenen gefahrenübergreifenden Maßnahmenbündels ausdrücklich:
„Die in Absatz 1 genannten Maßnahmen müssen auf einem gefahrenübergreifenden Ansatz beruhen, der darauf abzielt, die Netz- und Informationssysteme und die physische Umwelt dieser Systeme vor Sicherheitsvorfällen zu schützen, und zumindest Folgendes umfassen:
…
i) Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen;“
Auslegung: Die Richtlinie verlangt kein Produkt und kein Verfahren namens PAM. Sie verpflichtet die Mitgliedstaaten, für erfasste wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige Maßnahmen sicherzustellen. Diese müssen gefahrenübergreifend sein und ein dem bestehenden Risiko angemessenes Sicherheitsniveau gewährleisten. Bei der Bewertung der Verhältnismäßigkeit sind insbesondere das Ausmaß der Risikoexposition, die Größe der Einrichtung sowie die Wahrscheinlichkeit des Eintretens von Sicherheitsvorfällen und deren Schwere einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen zu berücksichtigen. Ob PAM Bestandteil des Maßnahmenbündels sein sollte, ist daher eine konkrete Risikoentscheidung.
Für wen ist PAM rechtlich relevant?
Der NIS-2-Bezug gilt nicht für jede Organisation. Artikel 2 erfasst grundsätzlich öffentliche oder private Einrichtungen der in den Anhängen I und II genannten Arten, die mindestens als mittlere Unternehmen gelten oder die Schwellenwerte für mittlere Unternehmen überschreiten. Artikel 2 Absätze 2 bis 4 enthält daneben ausdrücklich größenunabhängige Erfassungstatbestände. Voraussetzung ist jeweils, dass die Einrichtung Dienste in der Union erbringt oder dort Tätigkeiten ausübt. Technisch kann PAM unabhängig von Sektor und Größe eingesetzt werden.
Wann ist PAM als Maßnahme zu prüfen?
Ein eigenständiger gesetzlicher „PAM-Trigger“ besteht nicht. Die Richtlinie verpflichtet die Mitgliedstaaten, für erfasste wesentliche und wichtige Einrichtungen Zugriffskontrollkonzepte als Teil des Risikomanagements sicherzustellen. Ob und in welchem Umfang daraus eine konkrete Pflicht der einzelnen Einrichtung folgt, bestimmt sich nach dem anwendbaren nationalen Umsetzungsrecht. PAM kommt in Betracht, wenn privilegierte Benutzer-, Administrator- oder Dienstkonten besonders weitreichende Berechtigungen besitzen und die Maßnahme angesichts des konkreten Risikos geeignet und verhältnismäßig ist. Die Entscheidung muss in das gefahrenübergreifende Maßnahmenbündel passen.
Welche Grenzen und Ausnahmen gelten?
Nach Artikel 2 Absatz 7 gilt die Richtlinie nicht für Einrichtungen der öffentlichen Verwaltung, die ihre Tätigkeiten in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung einschließlich der Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten ausüben. Nach Artikel 2 Absatz 8 können die Mitgliedstaaten bestimmte Einrichtungen, die Tätigkeiten in diesen Bereichen ausüben, oder Einrichtungen, die ausschließlich für die in Absatz 7 genannten Einrichtungen der öffentlichen Verwaltung Dienste erbringen, hinsichtlich dieser Tätigkeiten oder Dienste von den Pflichten nach Artikel 21 oder Artikel 23 ausnehmen. In diesen Fällen finden die Aufsichts- und Durchsetzungsmaßnahmen nach Kapitel VII hinsichtlich dieser bestimmten Tätigkeiten oder Dienste keine Anwendung. Üben Einrichtungen ausschließlich solche Tätigkeiten aus oder erbringen sie ausschließlich solche Dienste, können die Mitgliedstaaten sie außerdem von den Pflichten nach Artikel 3 und Artikel 27 ausnehmen. Nach Artikel 2 Absatz 9 gelten die Absätze 7 und 8 nicht, soweit eine Einrichtung als Vertrauensdiensteanbieter handelt. Zudem ist Artikel 21 nach Artikel 4 Absatz 1 nur dann nicht anzuwenden, wenn ein sektorspezifischer Unionsrechtsakt mindestens gleichwertige Anforderungen an Cybersicherheitsrisikomanagementmaßnahmen vorsieht; Artikel 23 ist nur bei mindestens gleichwertigen sektorspezifischen Vorfallmeldepflichten nicht anzuwenden. Artikel 4 ist deshalb kein pauschaler Safe Harbor.
Gibt es Fristen oder Schwellenwerte für PAM?
Artikel 21 legt weder eine besondere Einführungsfrist noch einen numerischen Schwellenwert für PAM fest. Größenmerkmale nach Artikel 2 bestimmen den Anwendungsbereich der Richtlinie, nicht den Zeitpunkt einer PAM-Einführung. Nationale, sektorale oder vertragliche Fristen und Konkretisierungen bedürfen einer gesonderten Prüfung.
Wie unterscheidet sich PAM von IAM, MFA und Passworttresoren?
Technische Einordnung: PAM ist eine spezialisierte Form des Berechtigungsmanagements für privilegierte Konten und Zugangsdaten. Es umfasst deren Anlage, Zuweisung, Verwaltung und Entziehung. Allgemeines Identity and Access Management hat einen breiteren Gegenstand. Mehrfaktor-Authentifizierung kann privilegierte Zugänge zusätzlich schützen, steuert aber nicht allein den gesamten Berechtigungslebenszyklus. Auch ein Passworttresor deckt PAM für sich genommen nicht vollständig ab. Die CIS Controls 5 und 6 sind hierfür autoritative technische Leitlinien, enthalten jedoch keine Legaldefinition von PAM.
Welche Rolle spielt die DSGVO?
Artikel 32 DSGVO kann ergänzend relevant sein, wenn privilegierte Zugriffe die Verarbeitung personenbezogener Daten ermöglichen. Verantwortliche und Auftragsverarbeiter müssen dann unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen für ein angemessenes Schutzniveau treffen. Auch Artikel 32 schreibt weder ein PAM-Produkt noch eine bestimmte PAM-Funktion vor.
Häufige Fehlannahmen
- „NIS 2 schreibt PAM vor.“ Nein. Die Richtlinie verpflichtet die Mitgliedstaaten, für erfasste wesentliche und wichtige Einrichtungen risikoadäquate Zugriffskontrollkonzepte sicherzustellen, nicht eine bestimmte Einzellösung. Ob und in welchem Umfang daraus eine konkrete Pflicht der einzelnen Einrichtung folgt, bestimmt sich nach dem anwendbaren nationalen Umsetzungsrecht.
- „Ein Passworttresor ist bereits vollständiges PAM.“ Nein. Ein Tresor kann Zugangsdaten schützen, bildet aber nicht automatisch Anlage, Zuweisung, Verwaltung und Entziehung privilegierter Rechte ab.
- „MFA ersetzt PAM.“ Nein. MFA stärkt die Authentisierung, übernimmt jedoch nicht das Management privilegierter Berechtigungen.
- „Die NIS-2-Größenkriterien sind PAM-Schwellenwerte.“ Nein. Sie betreffen den Anwendungsbereich der Richtlinie; Artikel 21 enthält keinen zahlenmäßigen PAM-Schwellenwert.
- „Sektorspezifisches Unionsrecht befreit immer von NIS 2.“ Nein. Eine pauschale Befreiung tritt nicht ein. Nach Artikel 4 Absatz 1 werden je nach erfüllter Voraussetzung nur Artikel 21, Artikel 23 oder beide nicht angewandt, und zwar nur, wenn die sektorspezifischen Anforderungen an Cybersicherheitsrisikomanagementmaßnahmen beziehungsweise Vorfallmeldungen in ihrer Wirkung mindestens gleichwertig sind.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Die folgenden Schritte sind keine gesetzliche Produktvorgabe, sondern eine risikobasierte Umsetzungsempfehlung:
- Privilegierte Benutzer-, Administrator- und Dienstkonten sowie deren weitreichende Rechte inventarisieren.
- Verantwortung für Vergabe, Änderung, regelmäßige Überprüfung und Entziehung dieser Rechte eindeutig zuweisen.
- Risiko, Geeignetheit und Verhältnismäßigkeit eines PAM-Verfahrens dokumentiert bewerten und die Entscheidung nachvollziehbar festhalten.
- Privilegierte Rechte rollen- und bedarfsgerecht begrenzen sowie administrative und normale Benutzerkonten trennen.
- Administrative Zugänge mit MFA absichern, soweit dies unterstützt wird, und die Wirksamkeit der Zugriffskontrollen regelmäßig prüfen.
Rechtliche Einordnung: Nach Artikel 20 Absatz 1 müssen die Leitungsorgane erfasster Einrichtungen die zur Einhaltung von Artikel 21 getroffenen Risikomanagementmaßnahmen billigen und deren Umsetzung überwachen. Da es sich um eine Richtlinie handelt, ist die konkrete Verpflichtung der jeweiligen Einrichtung anhand des anwendbaren nationalen Umsetzungsrechts festzustellen.
Für die Geschäftsleitung
PAM ist eine mögliche Antwort auf Risiken besonders weitreichender Zugriffe, aber keine pauschal vorgeschriebene Software. Entscheidend sind der tatsächlich anwendbare Rechtsrahmen, eine dokumentierte und verhältnismäßige Auswahl geeigneter Zugriffskontrollen sowie ein belastbarer Nachweis über Billigung, Verantwortlichkeiten, Umsetzung und regelmäßige Wirksamkeitsprüfung.
Quellen
- Amtliche Primärquelle: Richtlinie (EU) 2022/2555, insbesondere Artikel 2, Artikel 4 Absatz 1, Artikel 20 Absatz 1 und Artikel 21 Absätze 1 und 2 Buchstabe i.
- Amtliche Primärquelle: Verordnung (EU) 2016/679, Artikel 32.
- Autoritative technische Leitlinie: CIS Control 5: Account Management.
- Autoritative technische Leitlinie: CIS Control 6: Access Control Management.
