PIM ist nicht optional, sobald es einen zweiten Global Admin gibt
Ein einzelner Break-Glass-Account ist ein bekanntes Risiko. Der zweite stehende Global Admin ist der Punkt, an dem Privileged Identity Management zur Pflicht wird.
Ein Tenant mit genau einem Global Admin ist ein ehrlicher Zustand: ein bekanntes, dokumentiertes Single-Point-of-Failure-Konto, das man als Break-Glass behandelt und entsprechend absichert. Der Ärger beginnt beim zweiten stehenden Global Admin — denn ab da ist die Rolle keine Ausnahme mehr, sondern ein Betriebszustand.
Zwei permanente Global Admins bedeuten zwei jederzeit missbrauchbare Vollzugriffe, rund um die Uhr, unabhängig davon, ob gerade jemand tatsächlich administriert. Die Angriffsfläche ist nicht “es gibt Admins”, sondern “die Rechte sind permanent aktiv”. Genau diese Permanenz ist das Problem, das Privileged Identity Management adressiert.
Just-in-time statt stehend
PIM verschiebt privilegierte Rollen von assigned zu eligible. Der Zugriff existiert nicht mehr dauerhaft, sondern wird für ein Zeitfenster aktiviert — mit Begründung, optional mit Approval, immer mit einem Audit-Eintrag. Das reduziert die stehende Angriffsfläche von “immer” auf “während einer nachvollziehbaren Aktivierung”.
Der Effekt ist nicht nur präventiv. Eine Aktivierung ist ein Ereignis, auf das man detektieren kann. Stehende Rechte produzieren kein Signal; ihre Nutzung sieht aus wie ihr Normalzustand. Just-in-time-Aktivierung macht privilegierten Zugriff überhaupt erst zu etwas, das man beobachten kann.
Die Schwelle ist der zweite Account
Der Grund, PIM an “zweiter Global Admin” zu knüpfen und nicht an eine Tenant-Größe, ist einfach: Beim ersten Account ist die Break-Glass-Ausnahme vertretbar und sauber begründbar. Beim zweiten wird aus der Ausnahme eine Praxis — und Praktiken gehören governt, nicht geduldet.
Wer den zweiten permanenten Global Admin vergibt, ohne PIM einzuführen, hat keine Redundanz geschaffen, sondern die Angriffsfläche verdoppelt. Die Redundanz bekommt man mit eligible Assignments zum selben Preis — nur ohne die permanente Offenheit.