Überwachung privilegierter Zugriffe: Worauf ist zu achten und wie lassen sich Missbräuche erkennen?

Die Überwachung privilegierter Zugriffe bezeichnet die Praxis, die Nutzung erweiterter Zugriffsrechte durch privilegierte Konten aufzuzeichnen, zu prüfen und zu analysieren. Dabei werden zwei miteinander verbundene Disziplinen abgedeckt: die Funktion des Privileged Access Management (PAM), die Administratorsitzungen zu Prüfungszwecken aufzeichnet und wiedergibt, sowie die Erkennung, bei der privilegierte Konten auf Anzeichen von Kompromittierung und Missbrauch überwacht werden. Die meisten Erläuterungen konzentrieren sich auf einen dieser Aspekte und lassen den anderen außer Acht. Dieser Leitfaden behandelt beide, da sie voneinander abhängig sind: Das Management privilegierter Sitzungen generiert die Telemetriedaten, die für die Erkennung benötigt werden. Im Folgenden werden die zu überwachenden Identitäten, die Signale, die einen Missbrauch aufdecken, die dabei zum Einsatz kommenden Angreifertechniken, die Compliance-Kontrollen, die durch die Überwachung erfüllt werden, sowie die Kennzahlen, die den Erfolg eines Programms belegen, dargestellt.

Was ist die Überwachung privilegierter Zugriffe?

Der Begriff hat je nach Verwender zwei unterschiedliche Bedeutungen, wobei beide Bedeutungen korrekt sind. Im PAM-Bereich ist die Überwachung privilegierter Zugriffe eine Produktfunktion: Jede privilegierte Sitzung wird über ein Gateway oder einen Tresor geleitet, der Bildschirm, die Tastenanschläge und die Befehle werden aufgezeichnet, und es wird ein wiederabspielbarer Prüfpfad aller von einem Administrator durchgeführten Aktionen geführt. Im Bereich der Erkennung handelt es sich um eine Vorgehensweise im Sicherheitsbetrieb: Privilegierte Konten werden als die wertvollsten Ziele in der Umgebung behandelt und kontinuierlich auf Kompromittierung und Missbrauch überwacht.

Die damit verbundene Behauptung und die These dieses Artikels lautet, dass das privilegierte Sitzungsmanagement die Telemetriedaten generiert, die für die Erkennung benötigt werden. Sitzungsaufzeichnungen, die Ausgabe von Anmeldedaten und Berechtigungserweiterungsereignisse sind nicht nur Artefakte der Compliance. Sie gehören zu den aussagekräftigsten Erkennungsdaten, über die ein Unternehmen verfügt, und ein Überwachungsprogramm ist erst dann vollständig, wenn diese Erfassungen in eine umfassendere Sicherheitsüberwachung und -analyse einfließen. Ein Team, das Sitzungen aufzeichnet, diese aber nie analysiert, verfügt über ein Archiv, nicht über ein Überwachungsprogramm.

Die Erkenntnisse verdeutlichen, warum der Fokus auf die Erkennung ebenso wichtig ist wie der Fokus auf die Prüfung. Laut dem Verizon DBIR 2025 (Daten von November 2023 bis Oktober 2024) war der Missbrauch von Anmeldedaten in rund 22 % der Sicherheitsvorfälle der häufigste Vektor für den ersten Zugriff. Branchenweite Untersuchungen zur Bedrohungslage (Veröffentlichung 2025, Daten von 2024) ergaben, dass in rund 30 % der Fälle von Incident-Response der Missbrauch gültiger Konten auftrat, was zusammen mit der Ausnutzung öffentlich zugänglicher Anwendungen den häufigsten Einstiegspunkt darstellte. Ransomware weisen innerhalb ihres engeren Untersuchungsrahmens in dieselbe Richtung: 79 % der ransomware ließen sich konkret auf Eindringversuche zurückführen, bei denen kompromittierte Identitäten und legitime Anmeldedaten genutzt wurden (Infosecurity Magazine, 2026). Die Studie des Ponemon Institute aus dem Jahr 2025 zu Insider-Risiken beziffert die annualisierten Kosten von Insider-Risiken auf rund 17,4 Millionen US-Dollar. Privilegierte Konten konzentrieren mehr Angriffsfläche auf weniger Identitäten als jede andere Asset-Klasse, was genau der Grund ist, warum Angreifer sie ins Visier nehmen.

PAM, PSM und PIM: Was diese Abkürzungen bedeuten

PAM steht für „Privileged Access Management“ (Verwaltung privilegierter Zugriffe): das Kontrollrahmenwerk, das regelt, wer über privilegierte Zugriffe verfügt, wie diese erlangt werden und wie lange sie gültig sind. In der Praxis verwahren PAM-Tools privilegierte Anmeldedaten, erfordern vor der Nutzung eine Freigabe, setzen Genehmigungsworkflows für die Erhöhung von Berechtigungen durch und vermitteln Administratorsitzungen. Das „Privileged Session Management“ (PSM) ist die Funktion innerhalb von PAM, die diese Sitzungen vermittelt, protokolliert und beenden kann. Das Privileged Identity Management (PIM) ist ein drittes, eigenständiges Konzept: Es regelt, welche Identitäten überhaupt privilegierte Rollen innehaben dürfen und für wie lange, typischerweise durch zeitlich begrenzte Rollenerweiterungen. Die Überwachung erstreckt sich über alle drei Bereiche, da jeder von ihnen Telemetriedaten liefert, die es wert sind, analysiert zu werden.

Inwiefern sich die Überwachung privilegierter Zugriffe von PAM unterscheidet

PAM verwaltet und gewährt privilegierten Zugriff. Die Überwachung beobachtet und überprüft, wie dieser Zugriff tatsächlich genutzt wird. Leser fragen oft auch, wie sich das Identitäts- und Zugriffsmanagement (IAM) von PAM unterscheidet: IAM regelt die Authentifizierung und Autorisierung für alle Identitäten, während PAM die kleinere, risikoreichere Untergruppe mit erweiterten Rechten regelt.

Ein Vergleich der beiden Ansätze zur Überwachung privilegierter Zugriffe: Die Funktion zur Sitzungserfassung erstellt die Aufzeichnung, und das Erkennungsverfahren analysiert diese.

Welche Identitäten und Aktivitäten sind zu überwachen?

Was nicht inventarisiert wurde, lässt sich auch nicht überwachen, und die meisten Unternehmen erfassen ihre privilegierten Identitäten – insbesondere die nicht-menschlichen – nur unvollständig. Eine aussagekräftige Bestandsaufnahme umfasst Domänen- und lokale Administratoren, Notfallzugriffskonten, Anwendungs- und Datenbankadministratoren, Konten von Drittanbietern und Lieferanten sowie nicht-menschliche Identitäten (NHIs) wie Dienstkonten, Maschinenidentitäten und API-Schlüssel. Der privilegierte Zugriff von Anbietern verdient eine eigene, benannte Disziplin, das „Vendor Privileged Access Management“ (VPAM), da Auftragnehmer und Managed-Service-Provider über privilegierten Zugriff verfügen, der außerhalb der internen Personal- und Änderungsprozesse liegt. Eine praktische Ausgangsregel aus den PAM-Audit-Leitlinien lautet, menschliche und nicht-menschliche privilegierte Benutzer gemeinsam in einem Verzeichnis zu erfassen, mit einem Verantwortlichen pro Eintrag.

Die Überwachung dieser Identitäten bildet zudem die Datenebene für Programme zum Schutz vor Insider-Risiken, da Insider-Bedrohungen häufig eher auf den Missbrauch von Zugriffsrechten als auf malware zurückzuführen sind. Die Studie des Ponemon Institute aus dem Jahr 2025 unterteilt die Ursachen von Insider-Vorfällen grob in 55 % Fahrlässigkeit, 25 % böswillige Absicht und 20 % Diebstahl von Zugangsdaten. Das bedeutet, dass die Mehrheit der Insider-Vorfälle nicht durch einen Angreifer ausgelöst wird, sondern durch die unachtsame Nutzung legitimer Zugriffsrechte.

Eine Bestandsaufnahme privilegierter Identitäten: fünf Identitätstypen, die jeweils zu erfassenden Telemetriedaten und die Gründe, warum sich jeder dieser Typen der Überwachung entzieht.

Was sollte in einer privilegierten Sitzung erfasst werden?

Die Sitzungserfassung ist der Audit-Teil des Fachgebiets, und spezielle Software zur Sitzungsaufzeichnung erfasst in der Regel drei Ebenen. Erstens den Sitzungsinhalt: Bildschirmaufzeichnungen, Tastenanschläge und die ausgeführten Befehle. Zweitens Ereignisse im Zusammenhang mit Anmeldedaten: das Auschecken aus dem Tresor und das Abrufen von Geheimnissen, wodurch ersichtlich wird, wer wann welche Anmeldedaten abgerufen hat. Drittens die Metadaten der Sitzung: Start- und Endzeitpunkte, der Quellhost und das Zielsystem. Zusammen machen diese die Überwachung privilegierter Sitzungen zu einer Form der Benutzeraktivitätsüberwachung, die präzise genug ist, um die Fragen eines Prüfers zu beantworten oder einen Vorfall zu rekonstruieren. Untersuchungen zur Datensicherheit zeigen, dass privilegierte Aktivitäten ohne diese Aufzeichnung außerhalb des betreffenden Systems oft unsichtbar bleiben.

Was ist bei Active Directory und cloud zu überwachen?

Bei der Überwachung von Active Directory und dessen cloud zeigen sich Sicherheitsverletzungen in der Regel zuerst. Aus den Audit- und Anmeldeprotokollen der Identitätsanbieter – sowohl in Active Directory als auch in Entra ID – sind folgende Signale besonders aussagekräftig: Anmeldeanomalien wie unmögliche Reisen, unbekannte Quellhosts oder Aktivitäten außerhalb der Geschäftszeiten; jede Nutzung eines Notfallzugangskontos; die Zuweisung privilegierter Rollen außerhalb des Just-in-Time-Workflows (JIT) zur Berechtigungserweiterung; Änderungen an den Einstellungen für veraltete Authentifizierungsprotokolle; Änderungen der Mitgliedschaft in privilegierten Gruppen; sowie Änderungen an sensiblen Verzeichnisobjekten. Durch die Einbindung dieser Ereignisse in die Identitätsanalyse werden rohe Verzeichnisdaten in einen kontextbezogenen Risikokontext pro Konto umgewandelt.

So erkennen Sie die Kompromittierung und den Missbrauch privilegierter Konten

Legen Sie zunächst für jedes privilegierte Konto eine Basislinie fest, denn eine Warnmeldung ohne Basislinie ist reine Spekulation. Legen Sie für jedes Konto fest, wie der Normalzustand aussieht – also typische Zeiten, Quellhosts und Befehlsmuster –, und lösen Sie bei Abweichungen eine Warnmeldung aus. Diese Vorgehensweise unterscheidet ein Überwachungsprogramm von einem Protokollierungsprogramm.

1. Erfassen Sie alle privilegierten Konten, sowohl von Mitarbeitern als auch von Nicht-Mitarbeitern.
2. Erfassen Sie die normalen Betriebszeiten, Hosts und Befehlsmuster jedes Kontos.
3. Wählen Sie Signale aus, die Abweichungen von der jeweiligen Basislinie erkennen lassen.
4. Echtzeit-Warnmeldungen bei risikoreichen Abweichungen.
5. Triage-Warnmeldungen mit Sitzungsaufzeichnungen und dem jeweiligen Kontext.
6. Maßnahme: Das Konto isolieren, anschließend den Umfang untersuchen.

Aus architektonischer Sicht gibt es zwei Perspektiven, aus denen die Überwachung erfolgen kann. Die Gateway- und Vault-basierte Überwachung erfolgt vom Broker aus, der jede durch ihn hindurchgehende Sitzung erfasst. Die hostbasierte Überwachung sammelt forensische Datei- und Prozessdetails direkt auf dem endpoint und erkennt so Verschleierungsversuche, die der Broker nicht erkennen kann. Keine der beiden Ansätze ist eindeutig überlegen: Die Broker-Perspektive ist einfacher zu implementieren und administrativ schwerer zu umgehen, während die Host-Perspektive tiefgreifender, aber auch kostspieliger ist. Ausgereifte Programme aggregieren beide Ansätze, indem sie endpoint PAM, Identitätsanbietern, privilegierten Arbeitsstationen, Domänencontrollern, Tresoren und endpoint in eine zentralisierte Korrelation einspeisen und dann jedes Signal mit einer definierten Reaktion verknüpfen – so wie es der „Defender’s Guide to Privileged Account Monitoring“ von Mandiant in seiner Tabelle mit Erkennungsexemplen tut.

Die dafür zuständige Analyse-Engine ist die User and Entity Behavior Analytics (UEBA), die die Basiswerte jedes Kontos erlernt und Abweichungen bewertet – ein Ansatz, der im Zusammenhang mit Administratorkonten manchmal auch als „Privileged User Behavior Analytics“ bezeichnet wird. Dies ist von Bedeutung, da das größte Problem in diesem Bereich darin besteht, dass böswillige Aktivitäten mit privilegierten Rechten sich nicht von legitimen Verwaltungsaufgaben unterscheiden lassen: dieselben Befehle, dieselben Tools, dieselben Rechte. Die Erkennung auf Kontoebene ist der Kern der Identitätsbedrohungserkennung und -reaktion (Identity Threat Detection and Response, ITDR), und oft ist es gerade die Korrelation einer Identitätsanomalie mit anschließender lateraler Bewegung, die einen Einbruch bestätigt. Hier kommt es auf Schnelligkeit an: Laut den Ergebnissen von M-Trends 2026 betrug die globale mittlere Verweildauer im Jahr 2025 14 Tage, gegenüber 11 Tagen im Jahr 2024; daher ist ein Erkennungsfenster im Tagesbereich realistisch, um den Angriff abzuwehren.

Häufige Herausforderungen und wie man sie bewältigt

Fünf Probleme treten immer wieder auf. Das Alarmvolumen überfordert Teams, die bei jeder privilegierten Aktion einen Alarm auslösen; beginnen Sie daher mit Ereignissen mit hohem Signalwert und geringem Volumen, wie beispielsweise Notfalleinsätzen. Der Missbrauch privilegierter Rechte lässt sich ohne Basiswerte nicht von der normalen Administratorarbeit unterscheiden; investieren Sie daher in die Erstellung von Basiswerten pro Konto, bevor Sie den Umfang der Alarmierung erweitern. Die Kosten für die Protokollaufbewahrung stehen im Widerspruch zu den Audit-Anforderungen; setzen Sie daher auf mehrstufige Speicherung, anstatt auf die Erfassung privilegierter Daten zu verzichten. Konten, die nie erfasst wurden, können nicht überwacht werden; führen Sie daher regelmäßig Erkennungsscans in Verzeichnissen, Clouds und Tresoren durch. Und da sich Basiswerte mit wechselnden Rollen verschieben, sollten Sie diese regelmäßig und nach jeder Umstrukturierung aktualisieren.

Angriffstechniken, die auf privilegierte Konten abzielen

Vier MITRE ATT&CK -Techniken decken die meisten Vorgehensweisen bei privilegierten Konten ab, und jede hinterlässt eine eindeutige, nachverfolgbare Spur. Diese Zuordnung basiert auf ATT&CK v19 (Inhaltsversion v19.1, veröffentlicht am 28. April 2026), in der die Taktik TA0005 von ihrem früheren Namen „Defense Evasion“ in „Stealth“ umbenannt und eine neue Taktik namens „Defense Impairment“ (TA0112) hinzugefügt wurde. Vergleichen Sie die Namen der Taktiken mit der Enterprise-Taktikreferenz und nicht mit älteren Erläuterungen.

Vier ATT&CK v19-Techniken, die den Protokollsignalen zugeordnet sind, auf die ein Programm zur Überwachung privilegierter Zugriffe jeweils achten sollte.

Lesen Sie die Tabelle mit kritischem Blick: Es geht darum, wie die einzelnen Techniken in den Protokollen erscheinen, nicht darum, wie sie durchgeführt werden. Der Missbrauch gültiger Konten (T1078) ist der Grund für die Existenz von Baselining, da jedes dadurch erzeugte Ereignis authentifiziert und korrekt formatiert ist. Die Manipulation von Konten (T1098) ist der Grund, warum Ereignisse zu Verzeichnisänderungen in Echtzeit-Warnungen berücksichtigt werden sollten. Das Dumping von Anmeldedaten (T1003) liefert das Material für die Privilegieneskalation, und Dienstkonten sind mit entsprechenden Angriffen auf Anmeldedaten konfrontiert, wie zum Beispiel Kerberoastingausgesetzt sind, weshalb die Authentifizierungstelemetrie für Dienstkonten in den Umfang gehört. Der Missbrauch von Berechtigungserweiterungen (T1548) ist das Argument dafür, jedes Ereignis zur Berechtigungserweiterung mit einer genehmigten Änderung abzugleichen.

Überwachung von Dienstkonten, Maschinenidentitäten und KI-Agenten

Nicht-menschliche Identitäten widerlegen die Annahmen, die auf der Überwachung menschlicher Nutzer basieren: Sie melden sich niemals interaktiv an, haben keine Arbeitszeiten, unterstehen keinem Vorgesetzten und haben häufig keinen namentlich benannten Inhaber. Zudem dominieren sie die Identitätspopulation. Laut dem „Entro Labs H1 2025 NHI and Secrets Risk Report“ übersteigt die Anzahl der nicht-menschlichen Identitäten die der menschlichen Identitäten im Durchschnitt um das 144-Fache – ein Anstieg gegenüber dem Verhältnis von 92:1 im Vorjahr. Dieselbe Studie verzeichnete einen Anstieg der Anzahl nicht-menschlicher Identitäten um 44 % im Vergleich zum Vorjahr, stellte fest, dass jede zwanzigste AWS-Maschinenidentität über vollständige Administratorrechte verfügt, und ergab, dass 7,5 % der NHIs eine Lebensdauer von 5 bis 10 Jahren haben, wobei einige sogar länger als ein Jahrzehnt bestehen bleiben.

Die Governance hat damit nicht Schritt gehalten. In der Umfrage der Cloud aus dem Jahr 2026 mit dem Titel „The State of Non-Human Identity and AI Security“ gaben nur 12 % der Unternehmen an, großes Vertrauen in ihre Fähigkeit zu haben, Angriffe über NHIs zu verhindern, und mehr als 16 % sagten, dass sie die Erstellung neuer KI-bezogener Identitäten nicht nachverfolgen. Die frühere Umfrage der CSA mit dem Titel „The State of Non-Human Identity Security“ (n = 818, durchgeführt im Juni 2024) ergab, dass nur 20 % der Unternehmen über formelle Prozesse für das Offboarding und den Widerruf von API-Schlüsseln verfügen.

Die gleichen fünf Überwachungsfragen führen bei privilegierten Identitäten – seien es menschliche oder nicht-menschliche – zu unterschiedlichen Antworten, weshalb für jede eine eigene Basislogik erforderlich ist.

Der Überwachungsansatz ergibt sich aus diesen Unterschieden. Legen Sie für jedes Dienstkonto eine Basislinie anhand der üblichen Betriebszeiten und Hosts fest und betrachten Sie die Verwaltung von Maschinenidentitäten als ein Zuständigkeitsproblem: Jedes NHI benötigt einen namentlich benannten Verantwortlichen, einen dokumentierten Zweck und ein Außerbetriebnahmedatum. Lösen Sie Warnmeldungen bei Token-Anomalien aus, wie beispielsweise Ausstellungsspitzen oder die Nutzung durch neue Hosts. Minimieren Sie zudem dauerhafte Berechtigungen durch Just-in-Time-Zugriff, bei dem Berechtigungen nur für den Moment gewährt werden, in dem sie benötigt werden, sodass von vornherein weniger unbeaufsichtigte Berechtigungen überwacht werden müssen.

Die Fallstudie zum KI-Agenten

KI-Agenten sind die neueste und am wenigsten regulierte Klasse nicht-menschlicher Identitäten, und eine interne Nachbetrachtung untermauert nun die damit verbundenen Risiken mit Fakten. In seiner Offenlegung des Sicherheitsvorfalls vom 16. Juli 2026 berichtete Hugging Face, dass ein bösartiger Datensatz zwei Wege zur Codeausführung bei der Datensatzverarbeitung missbrauchte, woraufhin „der Angreifer Zugriff auf Knotenebene erlangte, cloud Cluster-Anmeldedaten sammelte und sich über ein Wochenende hinweg lateral in mehrere interne Cluster bewegte“. Die Ermittler zählten über 17.000 aufgezeichnete Angreiferereignisse. Die Offenlegung macht ebenso deutlich, was nicht geschehen ist: Es gibt keine Hinweise auf Manipulationen an öffentlichen Modellen, Datensätzen oder Spaces, und die Software-Lieferkette wurde als sicher verifiziert.

Der zitierwürdige Teil ist die Erkenntnis des Unternehmens aus der Überwachung: „Unsere Pipeline zur Erkennung von Anomalien nutzt eine LLM-basierte Triage anhand von Sicherheitstelemetriedaten, um echte Signale vom alltäglichen Rauschen zu trennen.“ Für Sicherheitsverantwortliche spricht dieser Fall dafür, das Verhalten privilegierter Dienstkonten nach Uhrzeiten und Hosts als Basiswerte zu erfassen, da eine automatisierte Pipeline, deren Identitäten über ein Wochenende hinweg mit Maschinen-Geschwindigkeit missbraucht werden, menschlichen Prüfern keine natürliche Chance lässt, dies zu bemerken. Es ist zudem ein Vorgeschmack auf die Überwachungsprobleme, die agentenbasierte KI-Sicherheitsprogramme erben werden, sobald autonome Agenten eigene dauerhafte Privilegien erhalten.

Was uns Sicherheitsverletzungen bei privilegierten Zugangsdaten über die Überwachung lehren

In jedem der folgenden Fälle war der privilegierte Zugriff technisch gesehen legitim, und genau deshalb war die Überwachung – und nicht die Verhinderung – die fehlende Kontrollmaßnahme.

Sechs Vorfälle im Zusammenhang mit privilegierten Zugangsdaten, die jeweiligen Ursachen sowie die Überwachungsmaßnahme, die den Vorfall hätte verkürzen oder verhindern können.

Bei der Kampagne von 2024 gegen Snowflake-Kundeninstanzen wurden laut dem Post-Mortem-Bericht „UNC5537“ von Mandiant gestohlene Anmeldedaten – die größtenteils durch frühere Infostealer-Infektionen gesammelt worden waren – gegen rund 165 Kundeninstanzen eingesetzt, bei denen keine Multi-Faktor-Authentifizierung (MFA) vorhanden war. Bei Uber im September 2022 fand ein Angreifer, der sich durch Social-Engineering unter Ausnutzung der „MFA-Müdigkeit“ VPN-Zugang verschafft hatte, ein PowerShell-Skript mit fest einprogrammierten privilegierten PAM-Administrator-Anmeldedaten für das Thycotic-PAM-System von Uber, wodurch der Anmeldedaten-Speicher selbst zur Beute wurde. Bei Change Healthcare im Februar 2024 ermöglichten kompromittierte Zugangsdaten auf einem Citrix-Fernzugriffsportal ohne MFA am 12. Februar den ersten Zugriff, gefolgt von etwa neun Tagen lateraler Bewegung vor ransomware – ein Vorfall, von dem UnitedHealth später bestätigte, dass er rund 190 Millionen Menschen betroffen hatte. Genau in diesem neuntägigen Zeitfenster, das im Vergleich zum blitzschnellen Hugging-Face-Angriff fast schon gemächlich erscheint, zahlt sich Überwachung aus.

Die Einträge aus dem Jahr 2026 erweitern die Tier-0-Lektion auf die Überwachungsinfrastruktur selbst. Im Juli 2026 wurden vier CVEs in BeyondTrust Remote Support (RS 25.3.2 und niedriger) und Privileged Remote Access (PRA 25.3.2 und niedriger) bekannt gegeben, die in Version 25.3.3 und höher behoben wurden; drei davon waren ohne Authentifizierung ausnutzbar, wobei laut Shadowserver fast 2.000 Instanzen online exponiert waren. Laut NVD könnte CVE-2026-40138 es einem Angreifer ermöglichen , „Zugriffskontrollen zu umgehen und sich unbefugten Zugriff auf die Appliance zu verschaffen, einschließlich Konten mit erweiterten Berechtigungen“, und wird mit 8,1 „HIGH“ (NIST v3.1 Primary) gegenüber 9,2 „CRITICAL“ (CNA v4.0) bewertet. CVE-2026-40141 bildet die Ausnahme, da hierfür ein authentifizierter Angreifer mit eingeschränkten Berechtigungen erforderlich ist; die Schweregradbewertung liegt bei 9,9 „CRITICAL“ (NIST v3.1 Primary) gegenüber 8,5 „HIGH“ (CNA v4.0). Keine der vier Schwachstellen taucht im Katalog der „Known Exploited Vulnerabilities“ der CISA (Stand: Ende Juli 2026) auf, und BeyondTrust meldete vor der Veröffentlichung des Patches keine Hinweise darauf, dass diese Schwachstellen bei Angriffen ausgenutzt wurden; die Lehren für die Entwicklung bleiben jedoch auch ohne diese Informationen bestehen.

Der Fall „SonicWall SMA1000“ ergänzt die Lektion zum Speichern von Anmeldedaten. CVE-2026-15409 ist eine Server-Side Request Forgery (SSRF) -Sicherheitslücke, CVSS 10.0 CRITICAL (eine von der CNA vergebene Bewertung, ohne veröffentlichten NIST-Primärwert), die am 14. Juli 2026 in den KEV-Katalog der CISA aufgenommen wurde und für die eine Frist zur Behebung auf Bundesebene bis zum 17. Juli gilt. Berichte über die Angriffe beschreiben, dass Angreifer kompromittierte Geräte nutzten, um „hochwertige Anmeldedaten, Datenbanken mit aktiven Sitzungen und Seed-Konfigurationen für die TOTP-Multi-Faktor-Authentifizierung“ zu extrahieren, und geben die Warnung des Anbieters weiter, dass „ein Patch allein nicht ausreicht … wir empfehlen dringend, die Protokolle auf Anzeichen einer Kompromittierung zu überprüfen“ (Help Net Security). Schließlich gab Ernst & Young Mitte Juli 2026 bekannt, dass „zwischen dem 28. März 2026 und dem 12. April 2026 ein unbefugter Dritter auf die Plattform zugegriffen hat“ – eine IT-Service-Management-Plattform eines Drittanbieters – und dass „EY am 23. April 2026 anomale Aktivitäten innerhalb dieser Plattform festgestellt hat“. Eine einfache Berechnung anhand dieser bekannt gegebenen Daten ergibt einen Zeitraum von etwa 26 Tagen zwischen dem ersten Zugriff und der Entdeckung – ein starkes Argument dafür, die VPAM-Überwachung auf jeden vom Anbieter verwalteten privilegierten Zugriffspfad auszuweiten.

Compliance-Rahmenwerke und die damit verbundene Überwachung der Kontrollmaßnahmen erfüllen

Vier Frameworks erfordern eine Überwachung des privilegierten Zugriffs auf Steuerungsebene, und in jedem davon wird aufgeführt, welche Nachweise ein Auditor von Ihnen verlangen wird. Die nachstehende Zuordnung stellt den Prüfpfad dar, der hinter dem Ausdruck „unterstützt die Einhaltung der Vorschriften“ steht.

Eine Zuordnung auf Kontrollebene zwischen vier Compliance-Rahmenwerken und den jeweils erforderlichen Überwachungsergebnissen sowie Prüfungsnachweisen.

Zwei Bestimmungen bedürfen einer genaueren Erläuterung. PCI DSS 4.0, Anforderung 10, schreibt vor, dass jeder einzelne administrative Zugriff protokolliert und der Prüfpfad mindestens 12 Monate lang aufbewahrt werden muss, wobei die letzten 3 Monate sofort verfügbar sein müssen. Und innerhalb von NIST SP 800-53 verbindet die AC-6-Familie die Beschränkung auf das Mindestmaß an Berechtigungen mit der Protokollierung, die belegt, dass privilegierte Funktionen ordnungsgemäß genutzt wurden – eine Erinnerung daran, dass die Beschränkung von Berechtigungen und deren Überwachung sich ergänzende Kontrollmaßnahmen sind und keine Alternativen. Für HIPAA gilt 45 CFR 164.312(b) weiterhin und ist auch heute noch durchsetzbar. Die umfassendere Aktualisierung der Sicherheitsvorschrift ist eher kontextbezogen als verbindlich: Die endgültige Umsetzung wurde auf Juli 2027 verschoben, und die vorgeschlagene Regelung bleibt ein Vorschlag und ist noch kein Gesetz. Erst durch die Zuordnung dieser Compliance-Anforderungen zu konkret benannten Kontrollmaßnahmen wird ein Überwachungsprogramm zu einem Prüfungsnachweis.

Ein Meilenstein aus dem Jahr 2026 zeigt, dass die Aufsichtsbehörden das Berechtigungsmanagement als vorgeschriebene Abhilfemaßnahme und nicht als abstraktes Risiko betrachten. Die CISA hat am 15. Juli 2026 die Schwachstelle CVE-2026-46817, die in ihrem KEV-Katalog als „Oracle E-Business Suite: Schwachstelle durch unsachgemäßes Berechtigungsmanagement“ bezeichnet wird, in den Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen, wobei die Frist für die Behebung auf Bundesebene auf den 18. Juli 2026 festgelegt wurde. Das NVD führt CWE-269, „Unsachgemäßes Berechtigungsmanagement“, unter den zugeordneten Schwachstellen auf.

Bewährte Verfahren, Herausforderungen und der Nachweis der Wirksamkeit des Programms

In herstellerunabhängigen Leitlinien tauchen fünf Vorgehensweisen immer wieder auf: Minimieren Sie permanente Berechtigungen und nutzen Sie eine „Just-in-Time“-Erweiterung der Berechtigungen, sodass Berechtigungen nur so lange bestehen, wie sie benötigt werden – ein Ansatz, der sich nahtlos in das zero trust -Architekturen. Zeichnen Sie privilegierte Sitzungen mit Tastenanschlag- und Befehlserfassung für Audit- und forensische Zwecke auf. Geben Sie in Echtzeit Warnmeldungen bei risikoreichen Ereignissen aus: jede Nutzung von Notfallzugriffskonten, Rollenzuweisungen außerhalb des Berechtigungserweiterungs-Workflows sowie Änderungen an veralteten Authentifizierungsverfahren. Überprüfen Sie den privilegierten Zugriff regelmäßig, mindestens einmal jährlich und bei größeren organisatorischen Veränderungen, um eine schleichende Ausweitung von Berechtigungen zu verhindern. Und vergleichen Sie bei der Bewertung von Überwachungskonzepten eher Funktionskategorien als Marken: Tiefe der Sitzungserfassung, Qualität der Basiswerte, Präzision der Warnmeldungen und Integration in bestehende Telemetriesysteme.

Der Investitionsnutzen lässt sich quantifizieren. Die Studie „2026 Cost of Insider Risks“ des Ponemon Institute führt das Management privilegierter Zugriffe mit durchschnittlichen Einsparungen von rund 6,1 Millionen US-Dollar und die Analyse des Nutzerverhaltens mit rund 5,1 Millionen US-Dollar in Verbindung – dies sind die beiden größten gemessenen Kosteneinsparungen. Für den SOC-Betrieb bedeutet dies in der Praxis weniger, aber aussagekräftigere Warnmeldungen zu privilegierten Zugriffen, die in die Triage einfließen, anstatt eines ungefilterten Stroms von Administratoraktivitäten.

Kennzahlen, die belegen, dass das Programm funktioniert

Ein Überwachungsprogramm, das sich nicht messen lässt, ist ein Protokollierungsprogramm. Die folgenden Kennzahlen definieren Abdeckung und Latenz. Die diesem Leitfaden zugrunde liegende Untersuchung liefert keine Benchmark-Zielwerte hierfür; legen Sie daher Ziele auf der Grundlage Ihrer eigenen Ausgangsbasis fest und verbessern Sie diese schrittweise. Bei zeitbasierten Kennzahlen liefern reale Vorfälle ernüchternde Anhaltspunkte: etwa neun Tage Aktivität nach dem Zugriff bei Change Healthcare (2024), etwa 26 Tage vom ersten Zugriff bis zur Erkennung im Fall des Drittanbieters von EY (2026, berechnet anhand der veröffentlichten Daten) und eine globale mittlere Verweildauer von 14 Tagen im Jahr 2025.

Sieben Programmkennzahlen mit Formeln und Datenquellen: Abdeckungskennzahlen belegen den Umfang, und Latenzkennzahlen belegen, dass das Programm Probleme rechtzeitig erkennt, damit sie noch von Bedeutung sind.

Wie Vectra AI die Überwachung privilegierter Zugriffe Vectra AI

Vectra AI der Überwachung privilegierter Zugriffe von der Annahme Vectra AI , dass bereits ein Kompromittierung stattgefunden hat. Am schwersten zu erkennen sind Angriffe, die über technisch legitime privilegierte Zugriffe erfolgen: Da alle vorgelagerten Kontrollen bestätigen, dass die Sitzung autorisiert ist, wird sie von nichts blockiert. Die relevante Frage lautet daher nicht „War diese Anmeldung gültig?“, sondern „Entspricht dieses privilegierte Verhalten dem, was dieses Konto bisher immer getan hat?“ Die Beantwortung dieser Frage erfordert eine Abdeckung, die Identität, Netzwerk und cloud umfasst, da der Missbrauch privilegierter Zugriffe selten auf eine einzige Ebene beschränkt bleibt und Signale erfordert, die priorisiert und nicht nur gesammelt werden. Diese Argumentation bildet die Grundlage von Attack Signal Intelligence“: Erstellen Sie eine Baseline für jede privilegierte Identität – ob menschlich oder nicht – verknüpfen Sie Abweichungen über verschiedene Ebenen hinweg zu einer einheitlichen Darstellung des Angriffsverlaufs und heben Sie die wenigen Signale, die auf einen echten Angriff hindeuten, aus dem täglichen Rauschen hervor, mit dem ein SOC ohnehin schon zu kämpfen hat.

Schlussfolgerung

Die Überwachung privilegierter Zugriffe ist ein Fachgebiet, das zwei Facetten hat. Die Funktion zur Aufzeichnung von Sitzungen erzeugt den Prüfpfad, die Erkennungsmaßnahmen analysieren diesen – und keines von beiden reicht für sich allein aus. Beginnen Sie mit der Bestandsaufnahme, legen Sie für jede privilegierte Identität – einschließlich der nicht-menschlichen Mehrheit – eine Basislinie fest, geben Sie Warnmeldungen bei wesentlichen Abweichungen aus und messen Sie Abdeckung und Latenz ehrlich. Die Bilanz der Sicherheitsvorfälle ist eindeutig: Wenn privilegierte Anmeldedaten missbraucht werden, sieht der Zugriff legitim aus, und die Unternehmen, die dies bemerken, sind diejenigen, die die Vorgänge überwacht haben.

‍