Kriterienkatalog · Privileged Access Management
PAM-Auswahl: die Kriterien, die unter NIS2 und DORA zählen
Die meisten PAM-Bewertungen prüfen, ob Passwörter in den Tresor kommen und Sessions aufgezeichnet werden. Entscheidend ist, was mit den Konten passiert, die niemand aufgelistet hat, mit den Admins, die am Tool vorbeiarbeiten, und mit dem Tag, an dem das PAM selbst ausfällt.
Unabhängige Kriterienreferenz · 12 Kriterien · Stand August 2026 · Von keinem Anbieter gesponsert
Privilegierter Zugriff ist der Ort, an dem die meisten ernsten Vorfälle enden, egal womit sie begonnen haben. NIS2 Artikel 21 erwartet Zugriffskontrolle und Multi-Faktor-Authentifizierung als Teil der Basismaßnahmen, und DORA erwartet von einem Finanzunternehmen den Nachweis, wer auf seinen kritischen IKT-Systemen was tun konnte. Ein PAM-Tool verspricht genau diesen Nachweis. Aber ein Tresor, der die Hälfte der privilegierten Konten abdeckt, Session-Aufzeichnungen außerhalb der EU oder ein Rollout, den Administratoren still umgehen, liefern dir das Audit-Artefakt ohne die Kontrolle. Diese Kriterien trennen das eine vom anderen.
Abdeckung und Kontrolle
Kriterium 01
Tresor-Abdeckung jenseits menschlicher Admins
Warum es zählt
Menschliche Admin-Konten sind der einfache Teil. Die privilegierten Zugangsdaten, die tatsächlich Vorfälle auslösen, stecken in Service-Accounts, geplanten Jobs, CI/CD-Pipelines, Datenbank-Verbindungsstrings und in OT- oder Legacy-Systemen, die kein moderner Agent unterstützt. Ein Tresor, der nur rotiert, was Menschen auschecken, lässt die größere Hälfte der Angriffsfläche unberührt.
Was du fragst
Bitte um eine schriftliche Liste der Kontotypen, die das Produkt pro Plattform automatisch entdecken, verwahren und rotieren kann, und frag konkret, welche deiner Service-Accounts, Pipeline-Secrets und Legacy- oder OT-Ziele es nicht rotieren kann und was der Vendor dafür vorschlägt.
Die Falle
"Unterstützt alle gängigen Plattformen" bezieht sich auf die Konnektoren für interaktive Sessions, nicht auf die automatische Rotation. Die Rotation eines Service-Accounts verlangt auch, jede Stelle zu aktualisieren, die das Credential nutzt, und genau bei dieser Abhängigkeitskarte hören die meisten Tresore auf.
Kriterium 02
Just-in-time-Zugriff statt nur ein sichererer Tresor
Warum es zählt
Ein reiner Tresor-Betrieb lässt weiterhin dauerhaft bestehende privilegierte Konten zu, die rund um die Uhr existieren und für deren Missbrauch ein einziges geleaktes Credential reicht. Just-in-time-Erhöhung, bei der das Privileg für eine Aufgabe erteilt und danach entzogen wird, reduziert die Exposition wirklich. Es ist auch das Modell, das Auditoren zunehmend erwarten, wenn sie nach Least Privilege fragen.
Was du fragst
Frag, ob das Produkt zeitlich begrenzte Privilegien vergeben kann, die pro Anfrage erzeugt und widerrufen werden, für welche Zielplattformen das gilt, und was nach Ende der Session stehen bleibt. Lass dir den Genehmigungs- und Ablauf-Flow in der Demo zeigen, nicht auf der Roadmap.
Die Falle
"Zero Standing Privilege" auf der Folie heißt oft, dass das Passwort nach dem Checkout rotiert wird, während das Konto selbst mit all seinen Rechten weiter existiert. Ein dauerhaftes Admin-Konto zu rotieren ist nicht dasselbe wie keines zu haben.
Kriterium 03
Entdeckung unbekannter privilegierter Konten
Warum es zählt
Du kannst nicht verwahren, wovon du nicht weißt, dass es existiert. Jede Umgebung trägt privilegierte Konten, die niemand aufgelistet hat: lokale Admins aus einer Migration, geteilte Zugangsdaten in Skripten, Cloud-Rollen für ein Projekt, das vor Jahren endete. Abdeckung, die nur an den bekannten Konten gemessen wird, ist keine Abdeckung.
Was du fragst
Frag, wie das Produkt privilegierte Konten findet, die du nicht eingebunden hast, über On-Premises-Verzeichnisse, Cloud-Identitäten, Datenbanken und lokale Maschinenkonten hinweg, und wie oft dieser Scan läuft. Bitte im Pilot um einen Discovery-Lauf gegen ein Segment deiner eigenen Umgebung.
Die Falle
Discovery ist oft ein Onboarding-Assistent am Anfang statt ein laufender Prozess. Die Konten, die zählen, sind die, die ein Dienstleister nächsten Monat unter Termindruck anlegt, und ein einmaliger Scan sieht sie nie.
Kriterium 04
Session-Aufzeichnung mit Beweiswert
Warum es zählt
Session-Aufzeichnung ist das Feature, das jeder Käufer abhakt und wenige prüfen. Unter NIS2 Artikel 23 und dem DORA-Meldewesen musst du unter Umständen binnen Tagen rekonstruieren, was ein privilegierter Nutzer getan hat, in einer Form, die du einer Aufsicht oder einem Forensik-Team übergeben kannst. Ein Video, das niemand durchsuchen, exportieren oder als unverändert belegen kann, leistet das nicht.
Was du fragst
Frag, ob Aufzeichnungen nach Befehl und Tastatureingabe durchsuchbar sind, wie lange der Export einer vollständigen Session dauert, in welchem Format, und wie die Integrität einer Aufzeichnung geschützt ist, damit nachweisbar bleibt, dass sie nachträglich nicht bearbeitet wurde.
Die Falle
"Vollständige Session-Aufzeichnung" heißt häufig: ein Bildschirmvideo für grafische Sessions und nichts für API-Aufrufe, getunnelte Protokolle oder die Automatisierung, die dieselben Credentials nutzt. Die Sessions ohne Aufzeichnung sind meist die, die ein Angreifer bevorzugt.
Kriterium 05
Break-Glass, wenn das PAM ausfällt
Warum es zählt
Sobald jeder administrative Weg über das PAM läuft, wird das PAM zu der einen Stelle, an der du die Fähigkeit verlierst, irgendetwas zu reparieren, auch das PAM selbst. DORA erwartet IKT-Kontinuität für kritische Funktionen, und NIS2 erwartet Business Continuity in den Basismaßnahmen. Ein PAM-Ausfall während eines Vorfalls ist ein plausibles Szenario, kein Randfall.
Was du fragst
Frag, wie das dokumentierte Notfallzugriffsverfahren aussieht, wenn der Tresor, seine Datenbank oder seine Identitätsabhängigkeit nicht verfügbar ist, wer die versiegelten Break-Glass-Zugangsdaten hält, wie deren Nutzung nachträglich erkannt wird, und wann der Vendor das zuletzt mit einem Kunden getestet hat.
Die Falle
Hochverfügbarkeit wird als Antwort auf Break-Glass präsentiert, aber ein HA-Paar mit korrupter Datenbank oder verlorenem Signaturschlüssel fällt auf beiden Knoten aus. Break-Glass ist ein Prozess mit Umschlägen und Audit-Trail, kein zweiter Server.
Compliance und Jurisdiktion
Kriterium 06
EU-Residenz von Tresor und Aufzeichnungen
Warum es zählt
Ein PAM hält die sensibelsten Daten deiner Organisation gleich doppelt: jedes privilegierte Credential und eine Aufzeichnung von allem, was damit getan wurde. Wo diese Daten liegen und von wo darauf zugegriffen werden kann, entscheidet über deine DSGVO-Position und, für ein Finanzunternehmen, über den Eintrag im DORA-Informationsregister. Eine Aufzeichnung, die zur Analyse die EU verlässt, ist eine Übermittlung.
Was du fragst
Frag, wo der Tresor, die Session-Aufzeichnungen und die Backups von beidem gespeichert sind, ob eine reine EU-Region Standard oder Zusatzoption ist, und ob Support- und Engineering-Personal des Vendors außerhalb der EU zur Fehlersuche auf Kundendaten zugreifen kann.
Die Falle
"In der EU gehostet" deckt den Primärspeicher ab und schweigt über Support-Zugriff, Telemetrie und den Analysedienst, der Aufzeichnungen für die Suche indexiert. Residenz der Speicherung ist nicht Residenz des Zugriffs, und in dieser Kategorie ist der Zugriff der ganze Punkt.
Kriterium 07
Wer den Master-Key hält
Warum es zählt
Jeder Tresor verschlüsselt seinen Inhalt mit einem Schlüssel. Wer diesen Schlüssel kontrolliert, kann jedes privilegierte Credential lesen, das du besitzt. Bei einem SaaS-PAM ist das oft der Vendor, bei Self-Hosting du selbst, und dazwischen liegen Optionen mit kundenverwalteten Schlüsseln mit sehr unterschiedlichen Garantien. Das ist die Frage, die eine Aufsicht stellt, wenn es um Drittparteiabhängigkeit geht, und sie zielt direkt auf die Erwartungen von DORA Artikel 28 zum IKT-Drittparteirisiko.
Was du fragst
Frag, wer den Tresor technisch ohne Mitwirkung des Kunden entschlüsseln kann, ob der Master-Key in einem Hardware-Sicherheitsmodul unter deiner Kontrolle liegen kann, und was der Vendor bei einer behördlichen Anordnung zu deinen Daten herausgeben kann und was nicht.
Die Falle
"Verschlüsselt at rest mit kundenspezifischen Schlüsseln" bedeutet nichts, wenn die Plattform des Vendors diese Schlüssel hält und in deinem Namen nutzt. Der Test ist nicht, ob ein Schlüssel existiert, sondern ob der Vendor ohne dich lesbare Credentials herausgeben könnte.
Kriterium 08
Jurisdiktion und Eigentümer des Vendors
Warum es zählt
Der rechtliche Sitz des Vendors entscheidet, welche Gesetze ihn zur Datenherausgabe zwingen können, egal wo die Daten liegen. Bei einem Tool, das jedes administrative Credential hält, verdient ein Hauptsitz unter dem US CLOUD Act oder vergleichbaren extraterritorialen Regeln eine dokumentierte Prüfung unter DSGVO und Schrems II, und die Antwort gehört in deine DORA-Vertrags- und Registerdokumentation.
Was du fragst
Frag, wo der Vendor seinen rechtlichen Sitz hat, wem er heute gehört, welche Gesellschaft deinen Vertrag unterschreibt und welche Gesellschaften den Dienst betreiben. Das ist eine Sachfrage mit einer sachlichen Antwort.
Die Falle
PAM-Vendoren wechseln oft den Besitzer. Eine europäische Gründungsgeschichte auf der Website kann auf einem aktuellen Eigentümer in einer anderen Jurisdiktion sitzen. Prüf die heutige Eigentümerkette und die Betreibergesellschaft, nicht die Markenhistorie.
Kriterium 09
Integration in Identity Provider und SIEM
Warum es zählt
Ein PAM mit eigenem Nutzerverzeichnis und eigener MFA wird zum zweiten Identitätssystem mit eigenen Lücken beim Ein- und Austritt. Die privilegierten Sessions, die es aufzeichnet, sind zugleich die wertvollsten Ereignisse, die dein SIEM bekommen kann. Unter NIS2 Artikel 21 sind MFA und Zugriffskontrolle Basismaßnahmen, und sie halten nur, wenn das PAM die Identität durchsetzt, die dein zentraler Provider ohnehin steuert.
Was du fragst
Frag, ob das PAM jeden Nutzer, auch die Administratoren des PAM selbst, über deinen Identity Provider mit deiner MFA-Richtlinie authentifiziert, ob ein Entzug dort den PAM-Zugriff sofort widerruft, und welche Session- und Checkout-Ereignisse in einem dokumentierten Schema dein SIEM erreichen.
Die Falle
"Integriert sich mit deinem IdP" deckt oft Single Sign-on für Endnutzer ab, während die Administratoren des PAM lokale Konten mit eigenen Passwörtern behalten, und genau das sind die Konten, die ein Angreifer zuerst angeht.
Betrieb und Kosten
Kriterium 10
Admin-Erfahrung und Akzeptanz
Warum es zählt
Ein PAM kontrolliert nur, was durch es hindurchläuft. Wenn der Checkout-Flow jede Routineaufgabe um Minuten verlängert, finden Administratoren einen Weg drumherum: ein lokal gespeichertes Credential, ein direkter SSH-Key, ein geteiltes Konto, das nie in den Tresor kam. Jeder Workaround ist ein unaufgezeichneter privilegierter Pfad, und der Auditbericht sagt trotzdem, das PAM sei im Einsatz.
Was du fragst
Lass im Pilot zwei deiner eigenen Administratoren einen normalen Arbeitstag durch das Produkt erledigen und zähl die zusätzlichen Schritte. Bitte den Vendor um Referenzkunden, die sagen können, wie lange die Durchsetzung dauerte und wie viele Ausnahmen noch offen sind.
Die Falle
Akzeptanzzahlen der Vendoren zählen lizenzierte Nutzer, nicht den Anteil der privilegierten Sessions, die tatsächlich durch das PAM laufen. Ein Tool mit hundert lizenzierten Admins und dreißig Prozent Session-Abdeckung ist ein Compliance-Artefakt, keine Kontrolle.
Kriterium 11
Betriebsmodell und Betriebsaufwand
Warum es zählt
Ein selbst betriebenes PAM gibt dir den Master-Key und die Residenzfrage zu deinen Bedingungen, und es macht dich zum Betreiber eines deiner kritischsten Systeme, mit Patching, Hochverfügbarkeit und Backups. SaaS nimmt dir diese Last ab und verschiebt die Vertrauensfrage zum Vendor. Keines von beidem ist falsch, aber die Wahl entscheidet, wer in deinem DORA-Vertrag und in deiner Kontinuitätsplanung wofür verantwortlich ist.
Was du fragst
Frag, was ein vollständig gepatchter, hochverfügbarer und gesicherter Betrieb für deine Größe an Personalzeit pro Monat braucht, und frag bei SaaS, welche Betriebspflichten bei dir bleiben, inklusive Backup-Prüfung, Schlüsselverwahrung und Disaster-Recovery-Tests.
Die Falle
Das günstigere Betriebsmodell im Angebot ist oft das, bei dem der laufende Betrieb stillschweigend bei dir liegt. Ein PAM, das sechs Patches hinterherhinkt, weil es niemandem gehört, ist selbst ein Risiko für den privilegierten Zugriff.
Kriterium 12
Lizenzmodell und Gesamtkosten
Warum es zählt
PAM-Vendoren lizenzieren pro benanntem Nutzer, pro verwaltetem Konto, pro Zielsystem oder pro gleichzeitiger Session, und dieselbe Umgebung kann je nach Metrik ein Vielfaches kosten. Service-Accounts und Discovery treiben die Zahl der verwalteten Konten oft weit über die erste Schätzung. Dazu kommen Professional Services für Onboarding, Konnektor-Entwicklung und die unvermeidliche zweite Rollout-Welle, und das erste Angebot ist selten die echte Zahl.
Was du fragst
Bitte um die Gesamtkosten über drei Jahre auf Basis deiner tatsächlichen Zahlen an privilegierten Nutzern, Konten und Zielen, mit ausdrücklich genannter Metrik, um Preisdeckel bei der Verlängerung, und um einen Festpreis-Umfang für die Onboarding-Services, der benennt, was nicht enthalten ist.
Die Falle
"Unbegrenzte Ziele" oder "pro Nutzer" klingt attraktiv, bis sich zeigt, dass das Modul, das du wirklich brauchst, etwa Secrets Management für Pipelines oder Session-Aufzeichnung für Cloud-Konsolen, nach einer anderen Metrik lizenziert wird. Kalkuliere die Konfiguration, die du betreiben wirst, nicht die Stufe, die die Vergleichstabelle gewinnt.
Welche Pflicht welches Kriterium abdeckt
Die Regulatorik-Karte dieses Katalogs: die Pflicht, ihre Quelle und die Kriterien, die sie abdecken. Damit zeigst du dem Auditor, dass die Anforderungsliste aus den Regeln kommt, nicht aus einer Anbieterpräsentation.
| Pflicht | Quelle | Abgedeckt durch |
|---|---|---|
| Zugriffskontrolle und Multi-Faktor-Authentifizierung als Basismaßnahme | NIS2 Art. 21(2)(i), (j) | |
| Bewältigung von Sicherheitsvorfällen und Rekonstruktion privilegierter Aktivität | NIS2 Art. 21(2)(b), Art. 23 | |
| Business Continuity und Krisenmanagement, wenn die Kontrolle selbst ausfällt | NIS2 Art. 21(2)(c), DORA Art. 11 | |
| Kryptografie und Kontrolle über Verschlüsselungsschlüssel | NIS2 Art. 21(2)(h), DSGVO Art. 32 | |
| IKT-Drittparteirisiko und Informationsregister | DORA Art. 28 | |
| Vertragliche Bestimmungen für IKT-Dienste, die kritische oder wichtige Funktionen unterstützen | DORA Art. 30 | |
| Auftragsverarbeitungsvertrag und Drittlandübermittlungen | DSGVO Art. 28, Art. 44 ff., US CLOUD Act | |
| Verantwortung der Leitung für die Wirksamkeit der Maßnahmen | NIS2 Art. 20 |
Der Fragebogen
Alle Anbieterfragen dieses Katalogs in einer Liste, in der Reihenfolge der Kriterien. Stell jedem Anbieter dieselben Fragen im selben Wortlaut und schreib die Antworten nebeneinander.
- Tresor-Abdeckung jenseits menschlicher Admins
Bitte um eine schriftliche Liste der Kontotypen, die das Produkt pro Plattform automatisch entdecken, verwahren und rotieren kann, und frag konkret, welche deiner Service-Accounts, Pipeline-Secrets und Legacy- oder OT-Ziele es nicht rotieren kann und was der Vendor dafür vorschlägt.
- Just-in-time-Zugriff statt nur ein sichererer Tresor
Frag, ob das Produkt zeitlich begrenzte Privilegien vergeben kann, die pro Anfrage erzeugt und widerrufen werden, für welche Zielplattformen das gilt, und was nach Ende der Session stehen bleibt. Lass dir den Genehmigungs- und Ablauf-Flow in der Demo zeigen, nicht auf der Roadmap.
- Entdeckung unbekannter privilegierter Konten
Frag, wie das Produkt privilegierte Konten findet, die du nicht eingebunden hast, über On-Premises-Verzeichnisse, Cloud-Identitäten, Datenbanken und lokale Maschinenkonten hinweg, und wie oft dieser Scan läuft. Bitte im Pilot um einen Discovery-Lauf gegen ein Segment deiner eigenen Umgebung.
- Session-Aufzeichnung mit Beweiswert
Frag, ob Aufzeichnungen nach Befehl und Tastatureingabe durchsuchbar sind, wie lange der Export einer vollständigen Session dauert, in welchem Format, und wie die Integrität einer Aufzeichnung geschützt ist, damit nachweisbar bleibt, dass sie nachträglich nicht bearbeitet wurde.
- Break-Glass, wenn das PAM ausfällt
Frag, wie das dokumentierte Notfallzugriffsverfahren aussieht, wenn der Tresor, seine Datenbank oder seine Identitätsabhängigkeit nicht verfügbar ist, wer die versiegelten Break-Glass-Zugangsdaten hält, wie deren Nutzung nachträglich erkannt wird, und wann der Vendor das zuletzt mit einem Kunden getestet hat.
- EU-Residenz von Tresor und Aufzeichnungen
Frag, wo der Tresor, die Session-Aufzeichnungen und die Backups von beidem gespeichert sind, ob eine reine EU-Region Standard oder Zusatzoption ist, und ob Support- und Engineering-Personal des Vendors außerhalb der EU zur Fehlersuche auf Kundendaten zugreifen kann.
- Wer den Master-Key hält
Frag, wer den Tresor technisch ohne Mitwirkung des Kunden entschlüsseln kann, ob der Master-Key in einem Hardware-Sicherheitsmodul unter deiner Kontrolle liegen kann, und was der Vendor bei einer behördlichen Anordnung zu deinen Daten herausgeben kann und was nicht.
- Jurisdiktion und Eigentümer des Vendors
Frag, wo der Vendor seinen rechtlichen Sitz hat, wem er heute gehört, welche Gesellschaft deinen Vertrag unterschreibt und welche Gesellschaften den Dienst betreiben. Das ist eine Sachfrage mit einer sachlichen Antwort.
- Integration in Identity Provider und SIEM
Frag, ob das PAM jeden Nutzer, auch die Administratoren des PAM selbst, über deinen Identity Provider mit deiner MFA-Richtlinie authentifiziert, ob ein Entzug dort den PAM-Zugriff sofort widerruft, und welche Session- und Checkout-Ereignisse in einem dokumentierten Schema dein SIEM erreichen.
- Admin-Erfahrung und Akzeptanz
Lass im Pilot zwei deiner eigenen Administratoren einen normalen Arbeitstag durch das Produkt erledigen und zähl die zusätzlichen Schritte. Bitte den Vendor um Referenzkunden, die sagen können, wie lange die Durchsetzung dauerte und wie viele Ausnahmen noch offen sind.
- Betriebsmodell und Betriebsaufwand
Frag, was ein vollständig gepatchter, hochverfügbarer und gesicherter Betrieb für deine Größe an Personalzeit pro Monat braucht, und frag bei SaaS, welche Betriebspflichten bei dir bleiben, inklusive Backup-Prüfung, Schlüsselverwahrung und Disaster-Recovery-Tests.
- Lizenzmodell und Gesamtkosten
Bitte um die Gesamtkosten über drei Jahre auf Basis deiner tatsächlichen Zahlen an privilegierten Nutzern, Konten und Zielen, mit ausdrücklich genannter Metrik, um Preisdeckel bei der Verlängerung, und um einen Festpreis-Umfang für die Onboarding-Services, der benennt, was nicht enthalten ist.
Diese Kriterien sind der Anfang. Nicht die Entscheidung.
Eine Kriterienliste sagt dir, worauf du schauen musst. Sie gewichtet die Kriterien nicht gegen deine Situation, prüft sie nicht gegen deine harten Grenzen und macht kein Memo daraus, das dein Vorstand und dein Auditor lesen können. DecisionOS nimmt diese Kriterien, gewichtet sie für deine Entscheidung und baut daraus eine belastbare Akte. In Tagen, nicht Monaten.
Weiter mit dem Entscheidungs-Guide
Verwandte Kriterienkataloge
- Identity and Access ManagementIAM-Auswahl: die Kriterien, die unter NIS2 und DORA zählen23 Kriterien
- Endpoint Detection and ResponseEDR-Auswahl: die Kriterien, die unter NIS2 und DORA zählen23 Kriterien
- Security Information and Event ManagementSIEM-Auswahl: die Kriterien, die unter NIS2 und DORA zählen23 Kriterien
Diesen Katalog drucken oder als PDF fürs Meeting sichern