Ihr Experte für Fragen
Sven Schreyer
Director, Digital Identity bei PwC Deutschland
Tel.: +49 1512 8493188
E-Mail
Privilegierte Zugriffe gehören zu den sensibelsten Bereichen einer IT-Landschaft. Administratorenkonten, Service Accounts und technische Secrets wie Passwörter, API-Keys oder Tokens ermöglichen weitreichende Zugriffe auf Systeme, Anwendungen und Daten. Gleichzeitig verteilen sie sich in hybriden IT-Landschaften zunehmend über Cloud-Plattformen, Anwendungen und automatisierte Prozesse. Ohne eine durchgängige Steuerung können Transparenz- und Kontrolllücken entstehen.
Privileged Access Management (PAM) und Secrets Management setzen genau hier an: Sie helfen, privilegierte Zugriffe und technische Secrets systematisch zu erfassen, angemessen abzusichern und über ihren gesamten Lebenszyklus zu steuern. Entscheidend ist dabei nicht allein die Einführung einer Technologie, sondern das Zusammenspiel von Governance, Prozessen, Kontrollen und Betrieb.
PwC unterstützt Unternehmen dabei von der Standortbestimmung und Entwicklung eines Zielbilds über Implementierung und Onboarding bis zum skalierbaren Betrieb.
„PAM ist mehr als die Einführung eines Security-Tools. Entscheidend ist, privilegierte Zugriffe und Secrets ganzheitlich zu betrachten und die richtigen Kontrollen nachhaltig in Prozesse und Betrieb zu integrieren.“
Privilegierte Konten und Zugriffe sind für Administration und Betrieb unverzichtbar, besitzen aber ein erhöhtes Schadenspotenzial. In vielen Organisationen fehlt eine verlässliche Gesamtsicht: personengebundene und gemeinsam genutzte Administratorkonten, technische Service Accounts, Notfallkonten und privilegierte Drittzugänge werden unterschiedlich verwaltet. Passwörter, API-Keys, Tokens oder private Schlüssel sind zudem häufig ungeschützt in Skripten oder Konfigurationen hinterlegt oder über mehrere Secret Stores verteilt, ohne dass eine übergreifende Steuerung besteht. Ohne klare Verantwortlichkeiten, Klassifizierung und Managementstatus bleiben Risiken, Kontrolllücken und Nachweise schwer steuerbar.
Privileged Access Management (PAM) ergänzt das übergreifende Identity & Access Management um spezifische Kontrollen für privilegierte Konten, Berechtigungen und Zugriffe. Je nach Schutzbedarf und Einsatzszenario kommen etwa starke Authentisierung, geschützte Credential-Verwaltung, zeitlich begrenzte Berechtigungen, Notfallzugriffe, Protokollierung und risikobasierte Sitzungskontrollen zum Einsatz. Über die Integration in SIEM- und Security-Operations-Prozesse lassen sich privilegierte Aktivitäten zentral auswerten und Auffälligkeiten erkennen.
Secrets Management fokussiert die sichere Verwaltung und Bereitstellung technischer Secrets, insbesondere für Anwendungen, Workloads und Pipelines, und ergänzt damit die PAM-Kontrollen. Secrets werden kontrolliert bereitgestellt, über ihren Lebenszyklus verwaltet und möglichst automatisiert rotiert oder widerrufen.
Wir betrachten PAM und Secrets Management nicht als isolierte Tool-Einführung, sondern als Zusammenspiel aus Governance, Technologie, Prozessen und Betrieb. Ausgangspunkt sind Reifegrad, Risiken und vorhandene Strukturen. Darauf aufbauend entwickeln wir ein passendes Zielbild und begleiten die Umsetzung technologieoffen, von der Architektur und Implementierung über das risikobasierte Onboarding bis zur Verankerung im Betrieb.
Wir bewerten Reifegrad, Risiken, Kontrolllücken, organisatorische Rahmenbedingungen sowie bestehende Prozesse, Plattformen und Integrationen - soweit vorhanden. Dabei betrachten wir die Transparenz über privilegierte Konten, Secrets, Verantwortlichkeiten und Managementstatus. Gemeinsam identifizieren wir priorisierte Use Cases sowie regulatorische und betriebliche Anforderungen. Je nach Ausgangslage entwickeln oder schärfen wir Zielbild und Strategie und leiten Scope, Maßnahmen und Roadmap ab.
Wir gestalten Richtlinien, Rollen und Verantwortlichkeiten, Prozesse und ein risikoadäquates Kontrollmodell. Je nach Bedarf kombinieren wir geeignete Muster – von geschützter Credential-Verwaltung und Session Management bis zu Just-in-Time Access und Workload Identity. Darauf aufbauend entwickeln oder optimieren wir die Zielarchitektur und bewerten Plattformen oder neue Lösungen technologieoffen - einschließlich Integration, Hochverfügbarkeit, Disaster Recovery und Betriebsmodell.
Wir konfigurieren und integrieren die gewählte Lösung sowie pilotieren Kontroll- und Betriebsszenarien und etablieren wiederverwendbare Onboarding-Muster. Relevante privilegierte Konten, Drittzugänge, Service Accounts, Anwendungen, Pipelines und Workloads werden erfasst und klassifiziert; Verantwortlichkeiten und Managementstatus werden dokumentiert. Darauf aufbauend erfolgt die risikobasierte Anbindung in Wellen – einschließlich Tests, Migration, Automatisierung, Logging und Produktionsübergang.
Wir verankern PAM und Secrets Management mit klaren Verantwortlichkeiten, Runbooks, Monitoring, Support- und Ausnahmeprozessen im Tagesbetrieb. Schulungen, Kommunikation und Wissenstransfer befähigen Administratoren, Product Owner und Betriebsteams und fördern die Akzeptanz neuer Kontrollen. Kennzahlen, Kontrollnachweise und standardisierte Muster unterstützen die Skalierung; auf Wunsch begleiten wir Optimierung, neue Use Cases oder Managed Services.
PAM und Secrets Management wirken nur, wenn Technologie, Governance und Betrieb zusammenspielen. PwC verbindet dafür Expertise aus Identity & Access Management, Cyber Security, Cloud und DevSecOps mit regulatorischem und operativem Know-how. So unterstützen wir nicht nur bei Auswahl und Implementierung einer Lösung, sondern auch dabei, Kontrollen nachhaltig in Prozesse und Betriebsmodelle zu integrieren.
