Privileged Identity Management einrichten: Guide für Entra ID
Privileged Identity Management einrichten bedeutet, privilegierte Rollen in Microsoft Entra ID (Entra PIM) von Dauerrechten auf kontrollierte, zeitlich begrenzte Aktivierungen umzustellen. Das reduziert das Risiko kompromittierter Admin-Konten und macht Zugriffe auditierbar.
- Du brauchst passende Lizenzen, MFA und ein Mindestmaß an Rollen-Governance.
- Der Hebel liegt in eligible Zuweisungen, Aktivierungsregeln und Genehmigungsworkflows.
- Audit Logs, Reviews und Monitoring machen aus Setup echten Betrieb.
Wenn du nur „PIM aktivierst“, aber keine Regeln und Reviews definierst, bleibt Standing Access bestehen und der Nutzen verpufft.
Du sorgst dafür, dass M365 läuft. Wir sorgen dafür, dass niemand unbemerkt eindringt, heimlich mitliest und Schaden anrichtet.
Definition
„Privileged Identity Management einrichten“ beschreibt die Konfiguration von Microsoft Entra Privileged Identity Management, um privilegierte Rollen zeitlich begrenzt, genehmigt und nachvollziehbar zu vergeben. Es ist Identity Management für Administrative Access und privilegierte Rollen, nicht allgemeine Benutzerverwaltung oder Helpdesk.
Ziel ist Governance für privileged identity access: Just-in-Time (JIT) statt permanenter Admin-Rechte, inklusive Protokollierung, Reviews und Richtlinien.
Einleitung
Wenn du Admin-Zugriffe in Entra ID „einfach laufen lässt“, hast du schnell zu viele dauerhafte Rechte: Global Administrator hier, Exchange Administrator dort, und keiner weiß nach drei Monaten noch, warum. Privileged Identity Management (PIM) dreht das Modell um: Rollen werden eligible zugewiesen und nur für einen kurzen Zeitraum aktiviert. Das senkt Risiko, schafft klare Verantwortlichkeiten und liefert die Nachweise, die Geschäftsführung und Auditoren wirklich sehen wollen.
Warum PIM wichtig ist (und wo es direkt hilft)
80% Nutzen entsteht nicht durch mehr Rollen, sondern durch weniger Standing Access. Ein kompromittiertes Konto ist deutlich weniger wert, wenn die privilegierte Rolle erst aktiviert werden muss und dabei MFA, Begründung und Approval greifen.
- Weniger Angriffsfläche: privilegierte Rechte sind nicht dauerhaft aktiv.
- Bessere Nachvollziehbarkeit: Audit logs zeigen Aktivierungen, Genehmiger und Kontext.
- Planbarer Betrieb: klare Regeln statt „Admin nach Bauchgefühl“.
Voraussetzungen und Lizenzierung für Entra PIM
Microsoft Entra Privileged Identity Management ist typischerweise über Microsoft Entra ID P2 oder Microsoft Entra ID Governance lizenziert. Entscheidend ist: Ohne passende Lizenz bekommst du die PIM-Funktionen (Activation, Approval workflow, Access Reviews) nicht sauber in den Betrieb.
Technische Mindestvoraussetzungen für ein sinnvolles Setup sind Multi-Factor Authentication (MFA) und idealerweise Conditional Access. Organisatorisch brauchst du einen Besitzer pro privileged role (Rollenverantwortung), festgelegte Genehmiger und eine klare Regel, welche Admins welche Rollen überhaupt erhalten dürfen (Least Privilege Principle).
Onboarding: Setup-Schritte für „PIM einrichten“
Das Setup passiert im Microsoft Entra Admin Center (früher Azure Portal). In der Praxis funktioniert ein schlankes Onboarding in vier Schritten:
- Rolleninventar: Welche Entra roles, Azure roles und Administratoren gibt es wirklich? Welche können weg?
- Rollenregeln konfigurieren: Activation-Dauer, Begründung (Justification), MFA required, Notifications, ggf. Approval.
- Zuweisungen umstellen: Active assignments nur für Ausnahmen; Standard ist „Eligible vs Active assignments“ zugunsten eligible.
Mini-Story: Ein Enterprise hat 12 Global Administratoren „für alle Fälle“. Nach dem PIM-Setup bleiben 2 Break-Glass accounts im Ausnahmefall, der Rest arbeitet über Security Administrator und Exchange Administrator als eligible, aktiviert für 1–2 Stunden mit Approval. Ergebnis: weniger Risiko und weniger Diskussionen, weil das Modell eindeutig ist.
Aktivierung, Anfragen und Genehmigungsworkflows
Bei eligible Zuweisungen läuft der Alltag so: Admin stellt eine Anfrage, aktiviert die Rolle, erfüllt MFA, gibt eine Begründung an und bekommt (wenn konfiguriert) eine Genehmigung. Wichtig ist, Approval workflow nicht zu „politisch“ zu machen: Genehmiger müssen erreichbar sein und die Aufgabe verstehen.
Gute Aktivierungsregeln sind entscheidungsrelevant: kurze Dauer, Begründungspflicht und klare Notification-Kanäle. Das beschleunigt Routinearbeit und verhindert, dass Admins sich dauerhafte Rechte „zur Sicherheit“ geben.
Rollenquellen, Zuweisungsarten und Rollen-Tabellen
PIM kann Rollen aus verschiedenen Quellen kontrollieren, z. B. Entra ID directory roles (Entra roles) und Azure subscriptions / Azure resources (RBAC). Für die Governance hilft eine einfache Rollen-Tabelle, die pro privileged role drei Dinge festhält: Zweck, eligible Zielgruppen (Admins/Groups) und Approval/Activation-Regeln.
Bei Zuweisungen gilt: „Eligible“ ist der Standard, „Active“ die Ausnahme. Zusätzlich solltest du Gruppenstrukturen bewusst nutzen, aber nicht alles in PIM-enabled groups kippen, ohne Ownership und Review-Prozess.
Audit Logs, Compliance-Berichte und Monitoring
Audit logs sind das Rückgrat: Wer hat welche role wann aktiviert, wer hat genehmigt, wurde MFA erfüllt, gab es Änderungen an Regeln oder assignments? Daraus entstehen Compliance-Berichte, die nicht nur „für Auditoren“ sind, sondern auch Betriebskosten senken: weniger manuelle Nachfragen, weniger Incident-Triage ohne Kontext.
Für Monitoring lohnt sich die Anbindung an vorhandene Prozesse: Alerts bei ungewöhnlich häufigen Activation-Vorgängen, neuen Global Administrator Zuweisungen oder Regeländerungen. In größeren Umgebungen wird das häufig in einem SIEM zentralisiert, um Muster schnell zu sehen und zu dokumentieren.
Sicherheitstipps: MFA, Break-Glass und Zugriffseinschränkungen
- MFA durchziehen: Für Administrative Access ist MFA Pflicht, idealerweise mit starken Methoden wie Microsoft Authenticator oder FIDO2.
- Break-Glass accounts: getrennt, dokumentiert, stark abgesichert, selten genutzt und regelmäßig überprüft.
- Zugriff einschränken: Conditional Access für Admin-Portale, dedizierte Admin-Konten, keine Admin-Tasks aus „Alltagskonten“.
Best Practices, Governance und typische Stolperfallen
Best Practice ist Zero Trust plus regelmäßige Reviews: Access Reviews einplanen, Owner festlegen, und Änderungen im Rollenmodell als Governance privileged Prozess behandeln. PIM ist kein Projektabschluss, sondern Betrieb.
Typische Stolperfallen sind: zu viele Active assignments, Genehmiger nicht erreichbar, Aktivierungsdauer zu lang, fehlende Reviews, und fehlende Dokumentation, welche privileged role wofür gedacht ist. Troubleshooting startet fast immer mit zwei Fragen: Sind die Aktivierungsregeln korrekt (MFA/Approval/Duration)? Und ist die Zuweisung wirklich „eligible“ statt „active“?
Wann externe Unterstützung sinnvoll wird
Externe Unterstützung wird sinnvoll, wenn du mehrere Teams, viele Rollen und Azure resources sauber unter Governance bringen willst, oder wenn du Nachweise konsistent liefern musst. Auch ohne Migration oder große Umstellungen kann der Zeitaufwand für Setup, Reviews, Monitoring und Reporting schnell steigen.
Dann hilft ein klarer Betriebsansatz: Rollenmodell, configure PIM Regeln, Reviews, Audit-Log-Auswertung und ein Reporting, das für IT und Geschäftsführung lesbar ist.
Fazit
Privileged Identity Management einrichten ist weniger „Portal-Klick“, mehr Betriebsmodell: eligible statt active, kontrollierte Activation, klare Approval-Regeln und belastbare Audit logs. Wenn MFA, Break-Glass und Conditional Access sauber zusammenspielen und Access Reviews regelmäßig laufen, wird aus PIM echte Identity Governance für Admins.
Eine kompakte Checkliste für deinen Start: Rolleninventar erstellen, Global Administrator minimieren, Aktivierungsregeln definieren, Genehmiger festlegen, Reviews terminieren und Monitoring für Regel- und Rollenänderungen einrichten.
Häufige Fragen
Welche Rollen sollte ich zuerst in PIM aufnehmen?
Starte mit den Rollen, die am meisten Schaden anrichten können oder am häufigsten missbraucht werden: Global Administrator, Privileged Role Administrator, Security Administrator und Exchange Administrator. Ziel ist, Dauerrechte zu reduzieren und stattdessen eligible Aktivierung mit kurzen Laufzeiten zu etablieren.
Muss jede PIM-Aktivierung genehmigt werden?
Nicht zwingend. Approval lohnt sich besonders für sehr mächtige Rollen oder seltene Aktionen. Für operative Rollen kann „MFA + Begründung + kurze Dauer + Logging“ ausreichend sein, wenn Reviews und Monitoring sauber laufen.
Was sind die häufigsten Fehler beim PIM-Setup?
Zu viele Active assignments, zu lange Aktivierungsdauer, fehlende Access Reviews und keine klaren Genehmiger. Außerdem wird PIM oft eingeführt, ohne Break-Glass accounts und Conditional Access für Admin-Zugriffe sauber zu definieren.
Wie messe ich den Nutzen von PIM im Betrieb?
Praktische Kennzahlen sind: Anteil eligible vs. active Zuweisungen, Anzahl und Dauer der Aktivierungen, Reduktion der Global Administratoren, Ergebnisse der Access Reviews sowie die Zeitersparnis bei Audits durch nachvollziehbare Audit logs und Reports.