Grundsätzlich sollte für alle Benutzer mit Zugriff auf Unternehmensdaten eine Multi-Faktor-Authentifizierung vorgesehen werden. Besonders wichtig ist MFA für administrative Konten, externe Zugriffe und sensible Anwendungen. Ausnahmen sollten nur begründet, dokumentiert und regelmäßig überprüft werden. Entscheidend ist nicht nur, dass MFA aktiviert ist, sondern auch, welche Authentifizierungsmethoden eingesetzt werden und wie sicher diese gegen Phishing und Kontoübernahmen sind.

Berechtigungen sollten regelmäßig und zusätzlich anlassbezogen überprüft werden. Für privilegierte Rollen, administrative Konten und besonders sensible Systeme empfiehlt sich ein engerer Prüfzyklus als für Standardbenutzer. Unabhängig vom festen Intervall sollten Berechtigungen insbesondere bei Rollenwechseln, Austritten, Projektende oder organisatorischen Veränderungen überprüft und nicht mehr benötigte Zugriffe zeitnah entfernt werden.

Least Privilege bedeutet, dass Benutzer, Administratoren, Anwendungen und technische Konten nur die Berechtigungen erhalten, die sie für ihre konkrete Aufgabe tatsächlich benötigen. Rechte sollten so weit wie möglich begrenzt, privilegierte Zugriffe möglichst zeitlich eingeschränkt und regelmäßig überprüft werden. Ziel ist es, die Auswirkungen kompromittierter Konten oder Fehlbedienungen zu reduzieren.

Administratorkonten sollten strikt von normalen Benutzerkonten getrennt werden. Sie benötigen eine besonders starke Authentifizierung, möglichst keine unnötigen Lizenzen oder Anwendungen und sollten ausschließlich für administrative Tätigkeiten eingesetzt werden. Privilegierte Rollen sollten nicht dauerhaft vergeben werden, wenn eine zeitlich begrenzte Aktivierung möglich ist. Zusätzlich sind Monitoring, regelmäßige Reviews und klar geregelte Notfall- beziehungsweise Break-Glass-Konten sinnvoll.

Identity & Access Management (IAM) umfasst die Verwaltung von Identitäten, Rollen und Zugriffsrechten im gesamten Unternehmen. Dazu gehören beispielsweise Benutzerkonten, Gruppen, Single Sign-on, Multi-Faktor-Authentifizierung und Berechtigungsmodelle. Privileged Access Management (PAM) ist ein spezialisierter Teilbereich und konzentriert sich auf besonders privilegierte Zugriffe, etwa von Administratoren oder technischen Konten. Ziel von PAM ist es, solche Rechte stärker zu kontrollieren, möglichst zeitlich zu begrenzen und nachvollziehbar zu überwachen.

Ja. IAM betrifft nicht nur menschliche Benutzer, sondern auch Service Accounts, Anwendungen, APIs, Bots und andere technische Identitäten. Gerade diese Konten werden häufig dauerhaft betrieben und verfügen teilweise über weitreichende Rechte. Deshalb sollten auch für technische Identitäten klare Eigentümer, minimale Berechtigungen, sichere Anmeldeverfahren, regelmäßige Reviews und ein definierter Lifecycle gelten. Wo möglich, sollten statische Kennwörter vermieden und moderne Verfahren wie Zertifikate, Managed Identities oder kurzlebige Zugangstoken genutzt werden.