Privilegierte Zugriffe: PIM mit belastbaren Grenzen
Privilegien zeitlich und organisatorisch begrenzen.
Der Prüfauftrag
Für Entra-Rollen und, ausdrücklich getrennt, Azure-Ressourcenrollen. PIM-Verfügbarkeit, Lizenzbedarf und administrative Befugnisse vorab prüfen. Aktive Notfallberechtigungen vor jeder Umstellung sichern. Quellenstand: 09.11.2026.
Am Ende hast du:Eine dokumentierte Erstprüfung mit nachvollziehbaren Nachweisen und einer Liste offener Maßnahmen.
Beweisen statt vermuten.
Mit einem Testkonto die Aktivierung und die spätere Rollenaktion getrennt prüfen; erwartete Grenzen und verbleibende Sitzungen protokollieren.
Status, Prüfbereich und Notizen bleiben in diesem Browser. Keine Übertragung an MauriSec. Ohne Speicherung geht der Stand beim Verlassen verloren; gespeicherte Daten bleiben bis zu deiner Löschung. Keine Geheimnisse, Zugangsdaten oder fremden personenbezogenen Daten eintragen.
Aktive und aktivierbare Rollenzuweisungen einschließlich Geltungsbereich und verantwortlicher Person erfassen.
So belegst du es: Datierter Rollenexport; Entra- und Azure-Rollen getrennt gekennzeichnet.
Nachweis und nächsten Schritt notieren
Für reguläre Administration die kleinste geeignete Rolle statt pauschaler Global-Administrator-Rechte wählen.
So belegst du es: Aufgaben-Rollen-Zuordnung mit nachvollziehbarer Begründung.
Nachweis und nächsten Schritt notieren
Dauerhaft aktive menschliche Berechtigungen soweit möglich durch zeitlich begrenzte Aktivierung ersetzen.
So belegst du es: Zuweisungsart und Befristung; begründete Ausnahmen separat dokumentiert.
Nachweis und nächsten Schritt notieren
Aktivierungsdauer, Begründung, Benachrichtigung und bei Bedarf Genehmigung pro Rolle konfigurieren.
So belegst du es: Rollenrichtlinie und funktionierender Aktivierungstest.
Nachweis und nächsten Schritt notieren
Genehmigende Personen und ihre Vertretung testen; zirkuläre Abhängigkeiten beim Notfallzugriff vermeiden.
So belegst du es: Genehmigungsprotokoll und getesteter Ausfall- beziehungsweise Vertretungsfall.
Nachweis und nächsten Schritt notieren
MFA beziehungsweise einen passenden Authentifizierungskontext für die Aktivierung festlegen und prüfen.
So belegst du es: Aktivierungsereignis und tatsächlich erfüllte Authentifizierungsbedingungen.
Nachweis und nächsten Schritt notieren
Anforderungen an die spätere Nutzung privilegierter Rechte zusätzlich zur Aktivierung absichern.
So belegst du es: Test mit zulässigem und unzulässigem Gerät oder Anmeldekontext nach Aktivierung.
Nachweis und nächsten Schritt notieren
Rollenzuweisungen regelmäßig überprüfen und Entscheidungen einschließlich Entzug nachverfolgen.
So belegst du es: Abgeschlossene Access Reviews, Genehmigungen und tatsächlich entfernte Zuweisungen.
Nachweis und nächsten Schritt notieren
Aktivierung, Rollenänderung und Notfallnutzung überwachen und auf einen Reaktionsweg führen.
So belegst du es: Audit-Auszug, Testalarm und benannte Bereitschaft beziehungsweise Zuständigkeit.
Nachweis und nächsten Schritt notieren
Deine nächste Arbeit.
Beginne mit den vorrangigen Punkten. Markierte Lücken erscheinen hier mit deinen nächsten Schritten.
Grenzen und Primärquellen
Notfallkonten benötigen nach Microsoft-Vorgabe dauerhaft aktive Global-Administrator-Zuweisungen statt ausschließlich genehmigungspflichtiger Aktivierbarkeit. MFA bei Aktivierung verlangt nicht zwangsläufig einen neuen Prompt. Ein Aktivierungskontext allein beschränkt nicht jede anschließende Rollennutzung. Dienstprinzipale lassen sich nicht wie Benutzer als eligible zuweisen. Entra- und Azure-Rollenrichtlinien sind getrennt zu prüfen.
Microsoft Learn: Plan PIM deployment ↗Microsoft Learn: Configure Entra role settings in PIM ↗Microsoft Learn: Configure Azure resource role settings ↗Microsoft Learn: Create privileged access reviews ↗Microsoft Learn: Security operations for privileged accounts ↗Prüfbericht / Selbsteinschätzung
Privilegierte Zugriffe: PIM mit belastbaren Grenzen · v2026.11 · 10.11.2026 ·
0/9 bearbeitet · 0 Lücken. Keine unabhängige Prüfung oder Zertifizierung.
1. Aktive und aktivierbare Rollenzuweisungen einschließlich Geltungsbereich und verantwortlicher Person erfassen.
Status: Offen
Erwarteter Nachweis: Datierter Rollenexport; Entra- und Azure-Rollen getrennt gekennzeichnet.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
2. Für reguläre Administration die kleinste geeignete Rolle statt pauschaler Global-Administrator-Rechte wählen.
Status: Offen
Erwarteter Nachweis: Aufgaben-Rollen-Zuordnung mit nachvollziehbarer Begründung.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
3. Dauerhaft aktive menschliche Berechtigungen soweit möglich durch zeitlich begrenzte Aktivierung ersetzen.
Status: Offen
Erwarteter Nachweis: Zuweisungsart und Befristung; begründete Ausnahmen separat dokumentiert.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
4. Aktivierungsdauer, Begründung, Benachrichtigung und bei Bedarf Genehmigung pro Rolle konfigurieren.
Status: Offen
Erwarteter Nachweis: Rollenrichtlinie und funktionierender Aktivierungstest.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
5. Genehmigende Personen und ihre Vertretung testen; zirkuläre Abhängigkeiten beim Notfallzugriff vermeiden.
Status: Offen
Erwarteter Nachweis: Genehmigungsprotokoll und getesteter Ausfall- beziehungsweise Vertretungsfall.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
6. MFA beziehungsweise einen passenden Authentifizierungskontext für die Aktivierung festlegen und prüfen.
Status: Offen
Erwarteter Nachweis: Aktivierungsereignis und tatsächlich erfüllte Authentifizierungsbedingungen.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
7. Anforderungen an die spätere Nutzung privilegierter Rechte zusätzlich zur Aktivierung absichern.
Status: Offen
Erwarteter Nachweis: Test mit zulässigem und unzulässigem Gerät oder Anmeldekontext nach Aktivierung.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
8. Rollenzuweisungen regelmäßig überprüfen und Entscheidungen einschließlich Entzug nachverfolgen.
Status: Offen
Erwarteter Nachweis: Abgeschlossene Access Reviews, Genehmigungen und tatsächlich entfernte Zuweisungen.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
9. Aktivierung, Rollenänderung und Notfallnutzung überwachen und auf einen Reaktionsweg führen.
Status: Offen
Erwarteter Nachweis: Audit-Auszug, Testalarm und benannte Bereitschaft beziehungsweise Zuständigkeit.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
Notfallkonten benötigen nach Microsoft-Vorgabe dauerhaft aktive Global-Administrator-Zuweisungen statt ausschließlich genehmigungspflichtiger Aktivierbarkeit. MFA bei Aktivierung verlangt nicht zwangsläufig einen neuen Prompt. Ein Aktivierungskontext allein beschränkt nicht jede anschließende Rollennutzung. Dienstprinzipale lassen sich nicht wie Benutzer als eligible zuweisen. Entra- und Azure-Rollenrichtlinien sind getrennt zu prüfen.