PAM 
Die meisten ZTNA-Lösungen (Zero-Trust-Netzwerkzugriff) behaupten, perimeterbasierte Sicherheitsrisiken zu eliminieren, aber viele führen tatsächlich neue Schwachstellen ein. Auf der DEF CON-Hacking-Konferenz im August 20...
Publiziert am September 10, 2025
Zusammenfassung: Privileged Access Management (PAM) ist entscheidend für die Sicherung der heutigen komplexen IT-Umgebungen, da Unternehmen schnell Multi-Cloud-Infrastrukturen, DevOps-Praktiken und hybride Arbeitsmodelle einführen. Dennoch bleibt die Komplexität ein großes Hindernis – 68 % der IT-Führungskräfte sagen, dass ihre aktuelle PAM-Lösung unnötige Funktionen enthält, die sie selten nutzen. Dieser Blog-Artikel bietet eine vergleichende Analyse von sieben führenden PAM-Plattformen: KeeperPAM, CyberArk, Delinea, BeyondTrust, One Identity, StrongDM und HashiCorp Tresor. Für jede Plattform analysieren wir die wichtigsten Vorteile und Einschränkungen und bieten eine ehrliche Bewertung dessen, was diese Lösungen gut machen und wo sie möglicherweise Schwächen aufweisen.
1. KeeperPAM®
KeeperPAM ist eine cloud-native PAM-Lösung, die Passwort-Tresor, Geheimnisverwaltung, Sitzungsaufzeichnung und Just-In-Time (JIT)-Zugriff konsolidiert. KeeperPAM wurde für moderne IT-Umgebungen entwickelt und arbeitet auf einer Zero-Knowledge- und Zero-Trust-Architektur, die eine vollständige Verschlüsselung von Anmeldeinformationen und Sitzungen gewährleistet. Die Lösung ermöglicht sicheren, agentenlosen Zugriff auf die Remote-Infrastruktur über das Zero-Trust-Gateway von Keeper und erzwingt das Prinzip der geringsten Privilegien auf allen Windows-, Linux- und macOS-Endpunkten über den Endpoint Privilege Manager von Keeper mittels Agenten. Mit nahtlosen Integrationen in Identity Provider (IdPs), SIEMs und DevOps-Tools bietet KeeperPAM Transparenz, Zugriffskontrolle und Compliance in hybriden, Multi-Cloud- und On-Premise-Umgebungen.
Zu den erweiterten Funktionen gehören die Sitzungsinitiierung ohne Anmeldedaten, agentische KI-Bedrohungserkennung und -reaktion, automatische Passwortrotation, Sitzungsaufzeichnung mit mehreren Protokollen, rollenbasierte Zugriffsrichtlinien und Unterstützung für moderne Protokolle wie SSH, RDP, HTTPS und Datenbanktunnel.
| KeeperPAM Pros | KeeperPAM Cons |
|---|---|
|
|
Preis KeeperPAM
Keeper ist transparent in Bezug auf seine Preisgestaltung, die – im Gegensatz zu vielen Wettbewerbern – öffentlich zugänglich ist. KeeperPAM kostet 85 USD pro Benutzer/Monat, mit einer Mindestanzahl von 5 Benutzern.
2. CyberArk
CyberArk ist ein weithin anerkannter PAM-Anbieter, der die Speicherung von Anmeldeinformationen, Sitzungsaufzeichnung, Endpunkt-Berechtigungsdurchsetzung und Geheimnisverwaltung anbietet. Die Architektur basiert auf einem zentralen Tresor, der online sein muss, um zu funktionieren, und verwendet eine mehrkomponentige Einrichtung, einschließlich Password Vault Web Access (PVWA), Central Policy Manager (CPM) und Privileged Session Manager (PSM), was die Komplexität der Bereitstellung und Verwaltung erhöhen kann. CyberArk ist kein Zero-Knowledge-System, d. h., es behält den Zugriff auf verschlüsselte Daten und ist für sichere Vorgänge auf die Netzwerkkonnektivität angewiesen. Die Geheimnisverwaltung erfolgt über mehrere Produkte: Conjur für die DevOps-Automatisierung und den Workforce Password Manager (WPM) für die Speicherung von Endbenutzer-Anmeldedaten. Diese Tools werden separat betrieben und können eine dedizierte Infrastruktur, Integrationen und manuelle Konfiguration erfordern.
| CyberArk Pros | CyberArk Cons |
|---|---|
|
|
|
Preis von CyberArk
CyberArk verwendet ein angebotsbasiertes Preismodell und ist in seiner Preisgestaltung nicht transparent. Die Lizenzierung hängt von der Anzahl der Benutzer, den ausgewählten Modulen und dem Bereitstellungsmodell ab. Zusätzliche Kosten umfassen oft Infrastruktur, Wartung und professionelle Dienstleistungen.
3. Delinea
Delinea (ehemals ThycoticCentrify) bietet eine modulare PAM-Suite, die Secret Server, Privilege Manager und DevOps Secrets Tresor umfasst. Diese Komponenten können lokal oder über die Cloud bereitgestellt werden. Delinea integriert sich in Azure AD, Okta, ServiceNow, Splunk und beliebte DevOps-Pipelines. Allerdings ist die Unterstützung der Befehlszeilenschnittstelle (CLI) in der gesamten Suite fragmentiert und beschränkt sich hauptsächlich auf den DevOps Secrets Vault, der ein separat lizenziertes Tool ist und nicht vollständig in den Rest der Plattform integriert ist. Für die Bereitstellung und Anpassung sind häufig professionelle Dienstleistungen erforderlich, und das System kann aufgrund seiner modularen Struktur mehrere Schnittstellen umfassen.
| Delinea Pros | Delinea Cons |
|---|---|
|
|
|
Preis von Delinea
Delinea verfolgt eine modulare Preisstruktur und ist bezüglich seiner Preise nicht transparent. Die Lizenzierung variiert je nach ausgewählten Produkten und Bereitstellungsart. Für jedes Modul können zusätzliche Kosten anfallen.
4. BeyondTrust
BeyondTrust bietet PAM über verschiedene Produkte wie Password Safe und Privileged Remote Access an, die unterschiedliche Aspekte des privilegierten Zugriffs abdecken. Password Safe konzentriert sich auf die Speicherung von Zugangsdaten und die Sitzungsaufzeichnung, während Privileged Remote Access den sicheren Zugriff durch Dritte unterstützt. Diese Tools sind nicht vereinheitlicht und arbeiten mit separaten Schnittstellen und Anmelde-Workflows. Ihre Integration ist auf API-basierte Verbindungen beschränkt, die Konfiguration und Wartung erfordern.
BeyondTrust ist keine Zero-Knowledge-Plattform und stützt sich auf zentralisierte Speicherung mit traditionellen Architekturmodellen. Obwohl FedRAMP-autorisiert, ist die Lösung nicht GovRAMP-autorisiert. Single Sign-On (SSO)-Integrationen können komplex sein und erfordern oft professionelle Dienstleistungen. Die Sitzungsüberwachung der Plattform erfordert mehrere Komponenten und kann außerdem eine spezielle Infrastruktur erfordern.
| BeyondTrust Pros | BeyondTrust Cons |
|---|---|
|
|
integration |
Preis von BeyondTrust
BeyondTrust verwendet ein angebotsbasiertes Preismodell und ist in seiner Preisgestaltung nicht transparent. Die Lizenzierung variiert je nach eingesetzten Modulen, Infrastrukturgröße und erforderlichen Diensten. Für die Bereitstellung und den Support sind häufig Wartungs- und professionelle Dienstleistungen erforderlich. Die Kosten können mit zunehmender Größe steigen und beinhalten die Lizenzierung für Password Safe, Privileged Remote Access und Endpoint Privilege Management.
5. One Identity
One Identity Safeguard bietet PAM-Funktionen über Hardware- und virtuelle Geräte, die Credential Vaulting, Sitzungsaufzeichnung und Verhaltensanalysen unterstützen. Die Plattform ist für hochsichere Bereitstellungen konzipiert, hängt jedoch von einer Gerätebasierten Infrastruktur ab, was die Flexibilität in Cloud-nativen Umgebungen einschränken könnte. Sie lässt sich in One Identity Manager integrieren, um eine zentralisierte Identitätsverwaltung und Richtliniendurchsetzung zu ermöglichen. Allerdings erfordert die Architektur im Vergleich zu Cloud-nativen PAM-Plattformen in der Regel einen höheren Einrichtungs- und Wartungsaufwand.
| One Identity Pros | One Identity Cons |
|---|---|
|
|
|
Preis von One Identity
One Identity verwendet ein Gerät-plus-Lizenz-Preismodell und ist nicht transparent in Bezug auf seine Preisgestaltung. Die Kosten umfassen in der Regel physische oder virtuelle Geräte, Benutzerlizenzen und Supportverträge. Für die Bereitstellung und Integration sind häufig professionelle Dienstleistungen erforderlich.
6. StrongDM
StrongDM ist eine cloudbasierte Zugriffsverwaltungslösung, die einen sicheren, zentralisierten Zugriff auf Infrastrukturen wie Datenbanken, Server, Kubernetes-Cluster und Cloud-Umgebungen ermöglicht. Die Lösung verwendet eine Proxy-basierte Architektur, um Benutzersitzungen durch sichere Gateways zu leiten, ohne die Anmeldeinformationen direkt an die Endbenutzer preiszugeben. Dieses Setup unterstützt rollenbasierte Zugriffskontrolle (RBAC) und Protokollierung auf Sitzungsebene.
Die Plattform lässt sich in Identitätsanbieter wie Okta, Azure AD und Google Workspace integrieren und kann Protokolle an externe SIEM-Plattformen streamen. StrongDM umfasst Funktionen wie die Handhabung kurzlebiger Zugangsdaten, Sitzungsprotokollierung und Just-in-Time-Zugriff. Die Lösung bietet keine traditionelle Passwort-Tresorfunktion oder visuelle Sitzungswiedergabe und ist in erster Linie für die Unterstützung von Cloud-orientierten und DevOps-zentrierten Umgebungen konzipiert.
| StrongDM Pros | StrongDM Cons |
|---|---|
|
|
|
Preis von StrongDM
StrongDM verwendet ein Abonnement-Preismodell pro Benutzer. Der Essentials-Tarif beginnt bei 70 USD pro Benutzer/Monat (jährlich abgerechnet). Dieser Tarif umfasst den Zugang zu den wichtigsten Infrastrukturtypen, jedoch nicht die zusätzlichen Gebühren für die Anzahl der Systeme oder Anschlüsse.
7. HashiCorp Vault
HashiCorp Vault ist ein Geheimnisverwaltungssystem, das für Infrastruktur- und DevOps-Teams entwickelt wurde. Es bietet identitätsbasierte Zugriffskontrollen, dynamische Geheimnisse, richtliniengesteuerte Zugriffsdurchsetzung und Verschlüsselung-as-a-Service. Vault unterstützt Integrationen mit Cloud-Anbietern, Kubernetes und CI/CD-Pipelines und stellt APIs und Plugins für die Erweiterbarkeit zur Verfügung.
| HashiCorp Pros | HashiCorp Cons |
|---|---|
|
|
|
Preis von HashiCorp Vault
HashiCorp Vault bietet sowohl eine kostenlose Open-Source-Version als auch eine kommerzielle Enterprise-Edition. Die Preise für Unternehmen sind nutzungsbasiert und angebotsabhängig, wobei die Kosten von erweiterten Funktionen wie Namespaces, HSM-Integration und Governance-Modulen abhängen.
Die Wahl der richtigen PAM-Lösung
Die Auswahl der richtigen PAM-Lösung ist eine kritische Entscheidung, die sich auf die Sicherheitslage, die Compliance-Bereitschaft und die IT-Effizienz Ihres Unternehmens auswirken kann. Um Investitionen in aufgeblähte oder falsch ausgerichtete Technologien zu vermeiden, müssen Unternehmen bei der Auswahl einer PAM-Lösung einen gezielten, kriterienorientierten Ansatz verfolgen. Hier sind einige Kriterien, die Sie beachten sollten:
- Stellen Sie sicher, dass die PAM-Lösung zu Ihrer Umgebung passt: Wählen Sie eine Lösung, die auf die Art und Weise zugeschnitten ist, wie Ihr Unternehmen heute arbeitet, nicht wie es vor einem Jahrzehnt gearbeitet hat. Wenn Ihre Infrastruktur Cloud-First oder Hybrid ist, wählen Sie eine cloud-native PAM-Plattform, die Zero-Trust- und Zero-Knowledge-Sicherheitsmodelle von Grund auf unterstützt.
- Priorisieren Sie Einfachheit und Benutzerfreundlichkeit: Eine PAM-Lösung ist nur dann effektiv, wenn Ihr Team sie effizient bereitstellen und nutzen kann. Suchen Sie nach Plattformen, die ein schnelles Onboarding, eine intuitive Benutzeroberfläche und flexible Integrationen mit Ihren bestehenden Tools bieten.
-
Konzentrieren Sie sich auf die Kernfunktionen, nicht auf überflüssige Funktionen: Vermeiden Sie eine Funktionsüberlastung, indem Sie sich auf sechs wesentliche Funktionen konzentrieren:
- Granulare Zugriffskontrolle mit Durchsetzung des Prinzips der geringsten Berechtigungen
- JIT-Zugangsbereitstellung
- Sitzungsüberwachung, -aufzeichnung und -prüfung
- Passwort-Vaulting und automatisierte Rotation von Zugangsdaten
- Unterstützung für Passkeys und passwortlose Authentifizierung
- Umfassender Benutzerschutz – nicht nur für Administratoren, sondern für jeden Mitarbeiter
- Bewerten Sie die Skalierbarkeit und die Gesamtbetriebskosten: Überlegen Sie, wie gut sich die Lösung in Ihrem gesamten Unternehmen skalieren lässt. Kann sie Benutzer über IT- und Sicherheitsteams hinaus unterstützen? Reduziert sie die Belastung Ihrer Mitarbeiter oder sind für die Wartung dedizierte Administratoren erforderlich? Suchen Sie nach Lösungen, die Sicherheit auf Unternehmensniveau bieten, ohne die hohen Kosten und die Komplexität herkömmlicher On-Premise-PAM-Systeme.
- Stellen Sie regulatorische und Compliance-Unterstützung sicher: Wenn Ihr Unternehmen Vorschriften wie HIPAA oder PCI DSS unterliegt, wählen Sie eine PAM-Lösung, die die Einhaltung durch detaillierte Sitzungsprotokollierung, Berichterstattung und Warnmeldungen vereinfacht.
Letztendlich ist die richtige PAM-Lösung diejenige, die die Sicherheit erhöht, ohne den Betrieb zu stören. Sie sollte sich nahtlos integrieren lassen, leicht skalierbar sein und nur die Funktionen bieten, die Ihr Team wirklich braucht – nicht mehr und nicht weniger.
Erleben Sie modernes PAM mit der Zero-Trust-Plattform von Keeper
Ältere PAM-Systeme können langsam in der Bereitstellung, schwer zu verwalten und kostspielig sein. KeeperPAM bietet eine moderne, cloud-orientierte Alternative, die Teams hilft, schnell zu arbeiten und dabei sicher zu bleiben. Starten Sie noch heute Ihre kostenlose Testversion oder fordern Sie eine Demo an, um mehr über KeeperPAM zu erfahren.
