Privileged Identity Management: Administratorrechte nur auf Zeit

In vielen Microsoft-365-Umgebungen haben mehrere Konten dauerhaft volle Administratorrechte, rund um die Uhr, auch wenn sie nur einmal im Monat gebraucht werden. Wer eines dieser Konten übernimmt, kann den gesamten Tenant verändern, Postfächer lesen und Sicherungen löschen. Privileged Identity Management, kurz PIM, vergibt Administratorrechte nur dann, wenn sie gebraucht werden, und nur für wenige Stunden.

Quellen: Microsoft Learn, Stand Oktober 2026.

Warum dauerhafte Administratorrechte ein Risiko sind

Ein Administratorkonto ist das wertvollste Ziel in einem Tenant. Wer es übernimmt, legt neue Konten an, liest Postfächer, schaltet Schutzfunktionen ab und löscht Daten. Ist die Rolle dauerhaft aktiv, reicht ein erfolgreicher Angriff. Das kann eine Phishing-Mail sein, ein abgefangener Anmeldevorgang oder ein längst ungenutztes Konto, dessen unzureichender Schutz niemandem auffällt.

Wie schnell das geht, hat Microsoft Anfang 2024 selbst erlebt. Angreifer übernahmen über ein altes Testkonto ohne mehrstufige Anmeldung eine Anwendung mit weitreichenden Rechten und lasen damit Postfächer der Führungsebene mit.

So funktioniert Privileged Identity Management

Mit PIM bekommt ein Administrator seine Rolle nicht mehr fest zugewiesen, sondern ist für sie berechtigt. Braucht er sie, schaltet er sie im Entra Admin Center frei. Nach Ablauf der eingestellten Zeit fällt die Rolle automatisch wieder weg.

So wird eine Administratorrolle freigeschaltet

Meine üblichen Einstellungen, je Rolle anpassbar.

1. AnfrageAdministrator braucht die Rolle
2. Anmeldung und Begründungmehrstufig, Grund ist Pflicht
3. Freigabebeim globalen Administrator durch eine zweite Person
4. Rolle aktivmeist 1 bis 4 Stunden
5. Rolle fällt wegautomatisch, mit Protokoll

Privileged Identity Management warnt auch vor Rollen außerhalb von PIM und zu vielen globalen Administratoren. Hinweise gibt es ebenso bei lange ungenutzten oder auffällig oft freigeschalteten Rollen. Zeitlich befristete Zuweisungen, etwa für einen Dienstleister während eines Projekts, laufen von selbst ab. PIM erinnert 14 Tage und einen Tag vorher daran.

VertiefungPIM für Gruppen und Azure

Privileged Identity Management gilt nicht nur für die Rollen in Entra ID. Mit PIM für Gruppen lassen sich mehrere Rollen in einer Gruppe bündeln, sodass eine einzige Freischaltung genügt. Wer Azure nutzt, verwaltet dort die Rollen für Abonnements und Ressourcen auf dieselbe Weise.

Der Überwachungsverlauf in PIM reicht 30 Tage zurück. Wer Freischaltungen länger nachweisen muss, leitet die Protokolle in einen Log Analytics-Arbeitsbereich weiter.

Welche Lizenz PIM braucht

Privileged Identity Management ist Teil von Microsoft Entra ID P2. Business Premium enthält nur Entra ID P1 und damit kein PIM. Eine P2-Lizenz brauchen alle Konten, die für eine Rolle berechtigt sind oder sie befristet erhalten, außerdem alle Personen, die Freischaltungen genehmigen. Die übrigen Mitarbeitenden brauchen keine.

Woher die P2-Lizenz kommt

Was braucht Ihr Unternehmen außer PIM?

Nur den Schutz der Admin-Konten

Entra ID P2nur für Administratoren und Genehmigende

Auch erweiterten Schutz für alle

Defender Suite for Business Premiumenthält Entra ID P2 und mehrere Defender-Pläne

Bei meinen Kunden lizenziere ich Entra ID P2 in der Regel nur für die Administratoren. Für ein kleines Unternehmen sind das wenige Lizenzen, und der Schutz trifft genau die Konten, auf die es ankommt.

Was Business Premium ohne PIM leistet

Auch ohne P2 lassen sich Administratorkonten gut schützen. Business Premium bringt dafür den bedingten ZugriffConditional Access: Regeln, die festlegen, wer sich von welchem Gerät, Ort und mit welcher Anmeldemethode anmelden darf. mit. Was fehlt, ist die Freischaltung auf Zeit. Deshalb gehe ich in dieser Reihenfolge vor:

Schutz für Administratorkonten, Schritt für Schritt

1. Notfallkontenzwei Konten nur in der Cloud, dauerhaft Administrator, mit Passkey
2. Getrennte Admin-Kontenkein Postfach, keine alltägliche Arbeit damit
3. Phishingresistente Anmeldungper bedingtem Zugriff für alle Admin-Rollen
4. Aufräumenweniger als fünf globale Administratoren, sonst kleinere Rollen
5. PIMRollen nur auf Zeit, mit Begründung und Freigabemit Entra ID P2

Die ersten vier Schritte sind mit Business Premium möglich und lohnen sich in jedem Tenant. Privileged Identity Management setzt darauf auf. Dienstleister bekommen ihre Rechte über das Partner Center ohnehin nur befristet und auf einzelne Rollen beschränkt, über sogenannte granulare delegierte Administratorrechte. Mehr dazu im Artikel IT-Dienstleister wechseln.

Notfallkonten: der Weg zurück in den Tenant

Sind alle Administratoren nur noch berechtigt und fällt die mehrstufige Anmeldung aus oder sperrt eine Regel versehentlich alle aus, braucht es einen Weg zurück. Dafür gibt es zwei Notfallkonten. Diese Konten bleiben dauerhaft globale Administratoren und laufen nicht über PIM. Sie melden sich mit einem Passkey an. Sperrende Regeln des bedingten Zugriffs gelten für sie nicht. Microsoft empfiehlt, jede Anmeldung damit zu melden und die Konten mindestens alle 90 Tage zu testen.

Wie gut sind Ihre Admin-Konten geschützt?

Vier Fragen zu Ihren Administratorkonten

Eine Minute, ohne Anmeldung.

Wissen Sie, wer in Ihrem Tenant globaler Administrator ist?

Ja, genau Ungefähr Nein

Sind es weniger als fünf?

Ja Nein Weiß nicht

Arbeiten Administratoren mit eigenen Admin-Konten ohne Postfach?

Ja Nein

Gibt es zwei getestete Notfallkonten?

Ja Nein Weiß nicht

Beantworten Sie alle Fragen, dann erscheint die Einordnung.

Hier besteht Handlungsbedarf

Ein übernommenes Admin-Konto hätte freie Hand in Ihrem Tenant. Ich zeige Ihnen, wo Sie anfangen. Gespräch vereinbaren

Gute Grundlage, mit Lücken

Die wichtigsten Schritte fehlen nur noch an einzelnen Stellen. Das lässt sich schnell schließen. Gespräch vereinbaren

Gut aufgestellt

Der nächste Schritt ist PIM, damit die Rollen nur noch auf Zeit aktiv sind.

So gehe ich vor

1. Bestandsaufnahme: Wer hat welche Rolle, seit wann, und wird sie genutzt? Das ist auch Teil meines Microsoft-365-Audits.
2. Aufräumen: Notfallkonten anlegen, getrennte Admin-Konten einrichten, überflüssige Rollen entfernen, kleinere Rollen statt globaler Administrator.
3. PIM einrichten: Rollen auf berechtigt umstellen, Dauer, Begründung und Freigaben je Rolle festlegen, Benachrichtigungen einschalten.
4. Einweisung: Ich zeige Ihren Administratoren die Freischaltung und den Genehmigenden die Freigabe.

Häufige Fragen

Was passiert, wenn die P2-Lizenz ausläuft?

Dann entfernt Microsoft alle berechtigten Zuweisungen, und befristete aktive Zuweisungen werden dauerhaft. Administratoren, die ihre Rolle nur freischalten konnten, haben sie danach gar nicht mehr. Deshalb sind die Notfallkonten wichtig, und die Lizenz sollte nicht unbemerkt auslaufen.

Wird die Arbeit für Administratoren dadurch umständlicher?

Etwas. Vor der Arbeit kommen Anmeldung und Begründung dazu, beim globalen Administrator auch die Freigabe. Für kleinere Rollen schlägt Microsoft längere Zeiten vor, etwa zwei Stunden für die Exchange-Verwaltung und acht Stunden für den Helpdesk, ohne Freigabe.

Brauchen alle Mitarbeitenden eine P2-Lizenz?

Nein. Eine Lizenz brauchen nur die Konten, die für eine Rolle berechtigt sind, und die Personen, die Freischaltungen genehmigen. In einem kleinen Unternehmen sind das meist nur wenige Konten.

Quellen

• Lizenzen für PIM: Microsoft Learn – Microsoft Entra ID Governance licensing fundamentals, Microsoft Learn – Microsoft Entra licensing (Stand: Oktober 2026)
• Defender Suite for Business Premium: Microsoft Learn – Add Microsoft Defender Suite to Business Premium (Stand: Oktober 2026)
• Funktionen und Einstellungen: Microsoft Learn – Plan a PIM deployment, Microsoft Learn – What is Privileged Identity Management?, Microsoft Learn – Configure role settings, Microsoft Learn – Security alerts, Microsoft Learn – Audit history (Stand: Oktober 2026)
• Empfehlungen für Rollen: Microsoft Learn – Best practices for Microsoft Entra roles (Stand: Oktober 2026)
• Notfallkonten: Microsoft Learn – Manage emergency access accounts (Stand: Oktober 2026)
• Phishingresistente Anmeldung für Administratoren: Microsoft Learn – Require phishing-resistant MFA for administrators (Stand: Oktober 2026)
• Wirkung der mehrstufigen Anmeldung: Microsoft Learn – Mandatory multifactor authentication (Stand: Oktober 2026)
• Angriff auf Microsoft 2024: Microsoft Security Response Center – Midnight Blizzard (Stand: Oktober 2026)
• Delegierte Rechte für Dienstleister: Microsoft Learn – Granular delegated admin privileges (Stand: Oktober 2026)