Seminar Passwortmanagement – Privileged Access Management und Break Glass

Privilegierte Zugänge erlauben tiefgreifende Änderungen und sind deshalb ein bevorzugtes Angriffsziel. Ein Tresor allein reicht nicht: Discovery, zeitliche Begrenzung, Sitzungssteuerung, Rotation, Überwachung und belastbare Notfallwege müssen zusammenspielen.

Das Seminar führt den Zugriff vom Anforderungsvorgang bis zur Nachkontrolle durch. Menschliche Administratoren, Shared Accounts, lokale Notfallkonten und Service Accounts werden getrennt modelliert.

Einordnung und Nutzen

Drei Tage sind notwendig: Tag eins erfasst Konten und Zielarchitektur, Tag zwei implementiert Freigabe, JIT und Sitzungssteuerung, Tag drei behandelt Service Accounts, Break Glass, Audit und Incident-Fälle. Zwei Tage würden Notfall- oder Maschinenkonten nur oberflächlich behandeln.

Zielgruppe

• PAM-, IAM- und Security-Administratoren
• System-, Netzwerk- und Datenbankadministration
• SOC, Revision und Informationssicherheit
• Verantwortliche für Service Accounts und Notfallzugänge

Voraussetzungen

• Grundkenntnisse von Verzeichnisdiensten und Systemadministration
• Verständnis von Rollen und privilegierten Konten
• Laborzugang zu mehreren Zielsystemen ist hilfreich

Lernziele

• Privilegierte Konten und Abhängigkeiten vollständig inventarisieren
• Tresoraufnahme und Rotation ohne Betriebsunterbrechung planen
• JIT-, Genehmigungs- und Sitzungsworkflows risikobasiert gestalten
• Break-Glass-Zugänge sicher verfügbar und überwacht halten
• Audit- und Incident-Prozesse für privilegierte Nutzung etablieren

Seminarinhalte

Discovery und Kontenmodell

• Domänen-, lokale, Netzwerk-, Datenbank-, Cloud- und Anwendungskonten erfassen
• Named Accounts, Shared Accounts und Service Accounts unterscheiden
• Eigentümer, Zweck, Rechte, Abhängigkeiten und Rotationsfähigkeit dokumentieren

Tresor, Rotation und Zugriff

• Konten kontrolliert aufnehmen und Kennwörter automatisch ändern
• Checkout, Genehmigung, zeitliche Begrenzung und Rückgabe
• Just-in-Time- und Just-Enough-Administration mit Rollen verbinden

Sitzungssteuerung und Datenschutz

• Proxy, Aufzeichnung, Kommandokontrolle und Dateiübertragung einordnen
• Manipulationsschutz, Zeitsynchronisation und SIEM-Weiterleitung
• Zweckbindung, Zugriff auf Aufzeichnungen und Aufbewahrung regeln

Service Accounts und Break Glass

• Abhängigkeiten vor Rotation erkennen und testen
• Notfallkonten physisch und organisatorisch getrennt sichern
• Nutzung alarmieren, dokumentieren, anschließend rotieren und nachbereiten

Praktische Übungen

• Aufbau eines privilegierten Konteninventars
• Onboarding eines Administrationskontos mit Rotation
• JIT-Freigabe und überwachte Sitzung
• Service-Account-Rotation mit Abhängigkeitsprüfung
• Break-Glass-Übung mit Alarmierung und Nachkontrolle

Methodik

Die Übungen bilden den vollständigen privilegierten Zugriffspfad ab. Jeder Komfortgewinn wird gegen Reichweite, Nachweisbarkeit, Ausfallrisiko und Missbrauchsmöglichkeit geprüft.