PAM 
Keeper Privileged Cloud bietet Zero-Standing-Privilegien (ZSP) durch die Erweiterung des JIT-Zugriffsframeworks (Just-In-Time) von KeeperPAM® auf Cloud-Identitätsplattformen. Ein Benutzer erhält erweiterte Berechtigungen...
Publiziert am September 02, 2026
Sie können Ihre Cloud-Angriffsoberfläche reduzieren, indem Sie alle dauerhaften Berechtigungen in Ihren Cloud- und Identitätsplattformen überprüfen, unnötige Zugriffsrechte entfernen und dauerhaft aktive Administratorrechte durch JIT-Zugriff (Just-In-Time) ersetzen, der nach Genehmigung gewährt wird, zeitlich begrenzt ist und automatisch widerrufen wird.
Dazu müssen Sie zunächst verstehen, warum dauerhafte Berechtigungen einen so großen Teil der Cloud-Angriffsoberfläche ausmachen. Zur Aufrechterhaltung ist eine geeignete Plattform erforderlich, um die Behebung über alle von Ihnen betriebenen Clouds und Identitäten hinweg durchzusetzen.
Warum dauerhafte Privilegien Ihre größte Cloud-Angriffsoberfläche darstellen
Ihre Cloud-Angriffsoberfläche umfasst alle Möglichkeiten, über die ein Angreifer in Ihre Umgebung gelangen oder dort aktiv werden könnte: jedes Konto, alle Zugangsdaten, jede Berechtigung und jede Integration, die mit Ihrer Umgebung in Verbindung steht. Lokal hängt vieles vom Netzwerk ab. In der Cloud hängt es von der Identität ab. Ein Benutzer, ein Dienstkonto oder eine verbundene App mit gültigen Zugangsdaten und den richtigen Berechtigungen muss keine Firewall durchbrechen, da sie sich bereits im Inneren befindet.
Dauerhafte Privilegien häufen sich unbemerkt an. Rollen ändern sich, Projekte enden und Menschen verlassen das Unternehmen, doch der Zugriff bleibt in der Regel bestehen. Im Laufe der Zeit äußert sich das in einigen vorhersehbaren Problemen:
- Schleichende Ausweitung von Berechtigungen (Permission Creep): Berechtigungen häufen sich an, wenn sich Rollen ändern und alte Zugriffsanfragen nicht widerrufen werden, sodass Konten weit mehr Berechtigungen besitzen, als sie benötigen.
- Zombie-Admins: Konten, die nach einem Ausscheiden oder Rollenwechsel eines Mitarbeiters weiterhin aktiv bleiben und über privilegierte Zugriffsrechte verfügen, die von niemandem überwacht werden.
- Schatten-Admins: Konten mit effektiver Kontrolle, die in Ihren Verzeichnisgruppen nicht privilegiert erscheinen, sodass sie bei Standardüberprüfungen übersehen werden.
- Maschinelle und nicht-menschliche Identitäten (NHIs): Dienstkonten, API-Schlüssel und Workload-Identitäten übersteigen mittlerweile die Anzahl der menschlichen Benutzer und verfügen meist über eigene dauerhafte Berechtigungen.
Sie alle stellen potenzielle Angriffsziele dar. Ein Angreifer benötigt lediglich einmal kompromittierte Zugangsdaten, um sich Zugriff zu verschaffen, wobei ihm dauerhafte Zugriffsrechte weitreichende Möglichkeiten eröffnen. Ein einziges Konto mit zu weitreichenden Berechtigungen öffnet Tür und Tor für laterale Bewegungen und die Rechteerweiterung in Ihrer gesamten Umgebung.
So eliminieren Sie dauerhafte Privilegien
So gehen Sie vor, um mit der Eliminierung dauerhafter Privilegien zu beginnen:
- Entdeckung und Überprüfung privilegierter Zugriffe: Erfassen Sie jeden privilegierten Pfad über AWS, Entra ID, GCP, Okta und Active Directory, einschließlich menschlicher Benutzer, Dienstkonten und Integrationen von Drittanbietern.
- Durchsetzung des Least-Privilege-Prinzips: Entfernen Sie nicht genutzte und überflüssige Berechtigungen, bereinigen Sie verwaiste und Zombie-Konten und decken Sie Schatten-Admins auf, die nicht in Verzeichnisgruppen aufgeführt sind.
- Ersetzung dauerhafter Administratorrechte durch JIT-Zugriff: Lassen Sie Administratorrechte nicht dauerhaft zugewiesen. Gewähren Sie stattdessen auf Anfrage eine Berechtigung: Diese wird genehmigt, ist auf einen bestimmten Zeitraum begrenzt und wird nach Ablauf dieses Zeitraums automatisch widerrufen.
- Verwendung von Zero-Standing-Privilegien (ZSP): Das Least-Privilege-Prinzip minimiert die Berechtigungen jedes einzelnen Kontos. Zero-Standing-Privilegien gehen noch einen Schritt weiter, indem dauerhafter Zugriff vollständig entzogen wird, sodass keine Identität dauerhaften privilegierten Zugriff behält und eine Rechteerweiterung nur in einem genehmigten Zeitraum besteht.
- Speicherung der Ausnahmen in einem Tresor: Einige Zugangsdaten müssen weiterhin vorhanden sein, wie Master-Schlüssel, Stammkonten und andere Break-Glass-Zugriffe. ZSP ersetzt nicht das Vaulting. Bewahren Sie diese daher in einem streng kontrollierten Tresor auf.
- Gewährleistung der Kontinuität: Führen Sie regelmäßig Überprüfungen der Zugriffsrechte durch und protokollieren Sie jede Erweiterung, damit es nicht unbemerkt wieder zu einer schleichenden Ausweitung der Berechtigungen kommt.
Beachten Sie dabei, dass ein dauerhaftes Privileg, das Sie aus AWS entfernen, keine Wirkung zeigt, wenn es weiterhin in Entra ID oder Okta vorhanden ist. Die Durchsetzung muss jede von Ihnen betriebene Cloud und jede verbundene Identität abdecken, denn die von Ihnen zugelassenen Lücken werden zu einer Angriffsoberfläche, die Sie nicht reduziert haben.
So reduziert Keeper Privileged Cloud Ihre Cloud-Angriffsoberfläche
Keeper Privileged Cloud handhabt JIT und ersetzt dauerhafte Administratorrechte durch eine auf Anfrage gewährte und automatisch widerrufene Rechteerweiterung. Es erweitert das Just-in-Time-Framework von KeeperPAM auf AWS IAM, Microsoft Entra ID, GCP, Okta und Active Directory sowie auf alle Anwendungen, die über diese Dienste eine Verbindung herstellen.
Privilegien werden nur nach Genehmigung für einen festgelegten Zeitraum gewährt und nach Ablauf des Zeitraums automatisch widerrufen. Zero-Standing-Privilegien in der Praxis: Der Zugriff erfolgt auf Genehmigungsbasis, ist zeitlich begrenzt, vollständig überprüfbar und wird über eine einzige Plattform hinweg sowohl in der Cloud als auch bei verbundenen Identitäten einheitlich durchgesetzt.
Verkleinern Sie Ihre Cloud-Angriffsoberfläche dauerhaft
Nur wenige Sicherheitskontrollen reduzieren Ihre Cloud-Angriffsoberfläche so stark wie das Entfernen dauerhafter Privilegien, da dadurch der dauerhafte Zugriff beseitigt wird, auf den Angreifer angewiesen sind. Diese Berechtigungen dauerhaft zu entfernen, ist der schwierigere Teil. Hier kommt es auf regelmäßige Überprüfungen der Zugriffsrechte und eine automatisierte, zeitgebundene Erweiterung an, die verhindern, dass sich die Berechtigungen nach und nach wieder ausweiten und Ihren ursprünglichen Zugriff wiederherstellen.
Für die Implementierung in allen von Ihnen betriebenen Cloud- und Verzeichnisplattformen starten Sie eine kostenlose Testversion von KeeperPAM.
Häufig gestellte fragen
Was ist eine Cloud-Angriffsoberfläche?
Eine Cloud-Angriffsoberfläche umfasst alle Punkte, an denen ein Angreifer Zugriff auf Ihre Cloud-Umgebung erlangen oder dort aktiv werden könnte: Benutzerkonten, Dienstkonten, Zugangsdaten, Berechtigungen, APIs und verbundene Anwendungen von Drittanbietern.
Wie vergrößern dauerhafte Privilegien die Angriffsoberfläche?
Dauerhafte Privilegien sind Berechtigungen, die zugewiesen bleiben, auch wenn niemand sie nutzt. Sie alle stellen potenzielle Angriffsziele dar. Wenn die Zugangsdaten kompromittiert werden, erhält der Angreifer diesen Zugriff und kann ihn für laterale Bewegungen und die Rechteerweiterung nutzen.
Was ist der Unterschied zwischen Least-Privilege-Zugriff und Zero-Standing-Privilegien?
Least-Privilege-Zugriff bedeutet, jeder Identität nur den Zugriff zu gewähren, den sie zur Erfüllung ihrer Aufgabe benötigt. Das Zero-Standing-Privileg geht noch einen Schritt weiter und beseitigt dauerhaften privilegierten Zugriff vollständig und gewährt eine Rechteerweiterung nur in einem genehmigten, zeitlich begrenzten Zeitraum. Der Least-Privilege-Zugriff minimiert den dauerhaften Zugriff, während das Zero-Standing-Privileg ihn vollständig beseitigt.
Was ist die schleichende Ausweitung von Berechtigungen (Permission Creep)?
Permission Creep, auch Privilege Creep genannt, ist die schrittweise Ausweitung von Zugriffsrechten, die eine Identität im Laufe der Zeit erlangt, wenn sich Rollen ändern, Projekte anlaufen und alte Berechtigungen nicht widerrufen werden. Auf diese Weise erhalten Konten weitaus mehr Berechtigungen, als ihre aktuelle Tätigkeit erfordert.
Wie unterstützt Keeper bei der Eliminierung dauerhafter Berechtigungen?
Keeper Privileged Cloud ersetzt dauerhafte Administratorrechte durch genehmigungsbasierte, zeitlich begrenzte Rechteerweiterungen in AWS IAM, Entra ID, GCP, Okta und Active Directory sowie den damit verbundenen Anwendungen. Der Zugriff wird auf Anfrage gewährt, auf einen bestimmten Zeitraum begrenzt und automatisch widerrufen, sodass kein dauerhafter privilegierter Zugriff verbleibt. Den vollständigen Anfrage- und Genehmigungsworkflow finden Sie unter „So ermöglicht Keeper Privileged Cloud Zero-Standing-Privilegien“.
