Wonach sucht der Einkäufer eines PAM-Tools in einer Ausschreibung?
Der Einkäufer eines Tools zur Verwaltung privilegierter Zugriffe will die gefährlichste Tür seines Informationssystems schließen: die mächtigen Konten, menschlich und maschinell, deren Kompromittierung die Schlüssel zur Domäne liefert. Der Sicherheitsverantwortliche, der die Ausschreibung verfasst, stützt sich auf öffentliche Referenzen: das Prinzip der geringsten Rechte, Anhang A der Norm ISO/IEC 27001 zur Zugriffskontrolle, die Empfehlungen des NIST (Publikation SP 800-53, Kontrollfamilie Access Control, einschließlich der geringsten Rechte) und die von NIS2 auferlegte Pflicht zur Zugriffskontrolle, in Deutschland umgesetzt durch das NIS-2-Umsetzungsgesetz. Seine Sorge ist ein nicht nachvollziehbarer privilegierter Zugriff, ein Secret im Klartext, ein vergessenes Dienstkonto.
Für einen Anbieter ist die Folge direkt: Die Antwort, die Tresorfunktionen aneinanderreiht, verliert, weil der Einkäufer eine Sicherheitshaltung bewertet, keine Liste; die Antwort, die die angewandten geringsten Rechte, die vollständige Nachvollziehbarkeit der Sitzungen und die reibungslose Integration belegt, gewinnt.
Welche Dimensionen muss ein PAM-Tool in einer Antwort belegen?
Eine PAM-Antwort wird anhand von vier Dimensionen beurteilt, denn sie bestimmen die erreichte Sicherheitshaltung.
| Dimension | Was der Einkäufer befürchtet | Was der Anbieter belegen muss |
|---|---|---|
| Geringste Rechte | zu weitreichende permanente Rechte | den Just-in-Time-Zugriff, die kontrollierte Rechteerhöhung |
| Kontrolle über Secrets | Passwörter und Schlüssel im Klartext | den Tresor, die Rotation, die Entfernung fest codierter Secrets |
| Nachvollziehbarkeit der Sitzungen | einen nicht aufgezeichneten mächtigen Zugriff | die Aufzeichnung und das Audit privilegierter Sitzungen |
| Integration | ein PAM neben dem Verzeichnis | die Anbindung an Verzeichnis, SIEM und Maschinenkonten |
Eine Antwort, die diese vier Dimensionen belegt, spricht die gesuchte Haltung an; eine Antwort, die Tresorfunktionen auflistet, berührt sie nicht.
Wie wird eine Antwort auf eine PAM-Ausschreibung bewertet?
Die Antwort wird anhand eines nach Fähigkeit gewichteten Sicherheitsfragebogens beurteilt, oft begleitet von einem Proof of Concept in der Umgebung des Einkäufers. Drei Folgen für den Anbieter: Die Gewichtung folgt den vorrangigen Risiken des Einkäufers (Secrets und Sitzungen an erster Stelle); der technische Nachweis hat Vorrang vor der Behauptung, denn ein Sicherheitsfragebogen wird überprüft; und die Integration in bestehendes Verzeichnis und SIEM ist ein stark gewichtetes Kriterium.
Die Konzession, die alles klärt
Für eine sehr kleine Struktur mit seltenen privilegierten Konten kann ein einfacher Secrets-Manager genügen, und die vollständige PAM-Ausschreibung ist überdimensioniert. Die hier beschriebene Methode dient Organisationen mit zahlreichen mächtigen Zugriffen, bei denen Nachvollziehbarkeit und geringste Rechte gefordert sind, manchmal durch Regulierung.
Die Fehler, die eine PAM-Ausschreibung verlieren lassen
- Tresorfunktionen aneinanderreihen: Der Einkäufer bewertet eine Sicherheitshaltung, keine Liste.
- Ohne technischen Nachweis behaupten: Ein Sicherheitsfragebogen wird überprüft, die bloße Behauptung wird niedrig bewertet.
- Maschinen- und Dienstkonten vernachlässigen: Sie werden oft am meisten vergessen und sind am gefährlichsten.
- Die Integration in Verzeichnis und SIEM unterschätzen: Ein isoliertes PAM erzeugt Reibung, die der Einkäufer fürchtet.
- Den Proof of Concept als Formalität behandeln: Er überprüft in der echten Umgebung, was die Antwort versprochen hat.
Auf der Plattform Optivalue.ai, die diese Website herausgibt, klassiert der Analyse-Agent jede Anforderung des Fragebogens vor der Verfassung und gleicht sie mit den Unternehmensdokumenten ab, sodass jede Antwort ihre Quelle und ihr Beweisniveau nennt.
Häufig gestellte Fragen
Welche Referenzen zitiert man in einer PAM-Antwort? Das Prinzip der geringsten Rechte, Anhang A der Norm ISO/IEC 27001 zur Zugriffskontrolle, die Empfehlungen des NIST (Publikationen SP 800-53, Familie Access Control, und SP 800-207 zur Zero-Trust-Architektur), und die von NIS2 auferlegte Pflicht zur Zugriffskontrolle (in Deutschland umgesetzt durch das NIS-2-Umsetzungsgesetz). Das sind öffentliche Referenzen, die der Einkäufer anerkennt.
Wie belegt man die geringsten Rechte in einer Antwort? Indem man den Just-in-Time-Zugriff, die kontrollierte Rechteerhöhung und die Entfernung überflüssiger permanenter Rechte anhand von Umsetzungsbeispielen beschreibt. Die geringsten Rechte sind ein Kriterium, kein Slogan.
Wie behandelt man Dienstkonten und Maschinen-Secrets? Als vorrangigen Punkt: Beschreiben Sie die Entdeckung der Konten, den Tresor, die automatische Rotation und die Entfernung fest codierter Secrets. Das ist ein häufiger blinder Fleck, den der Einkäufer testet.
Wie beantwortet man die Anforderung der Nachvollziehbarkeit von Sitzungen? Indem man die Aufzeichnung privilegierter Sitzungen, ihr Audit und ihre Übertragung an das SIEM beschreibt. Die Nachvollziehbarkeit ist oft das ausschlaggebende Kriterium.
Wie bereitet man sich auf den PAM-Proof-of-Concept vor? Indem man die Umgebung und das Verzeichnis des Einkäufers erhält und daran die Integration, den Tresor und die Sitzungsaufzeichnung zeigt.
Einen echten PAM-Sicherheitsfragebogen anhand Ihrer eigenen Dokumente bearbeiten
Bringen Sie eine echte Ausschreibung oder einen Sicherheitsfragebogen für ein PAM-Tool mit. Sie sehen die Abdeckung der Anforderungsextraktion, die seitengenau zitierten Quellen und die Abweichungsanalyse an Ihrer Antwort, keine vorbereitete Vorführung.
Zitierte Quellen
- ISO/IEC 27001, Anhang A, Zugriffskontrollmaßnahmen.
- NIST SP 800-53 Rev. 5, Kontrollfamilie Access Control (geringste Rechte); NIST SP 800-207, Zero-Trust-Architektur.
- Richtlinie (EU) 2022/2555 (NIS2), Zugriffskontrolle; in Deutschland umgesetzt durch das NIS-2-Umsetzungsgesetz (das das BSIG ändert).