Admin-Rechte in Microsoft 365 wirken am besten, wenn sie nur für den Moment gelten, in dem sie gebraucht werden, und danach automatisch wieder erlöschen. Genau das leistet die befristete Rechtevergabe (Privileged Identity Management, PIM). Ohne sie besitzt jede Person mit einem Administrator-Konto rund um die Uhr die Möglichkeit, auf sämtliche Daten, Postfächer und Einstellungen im Unternehmen zuzugreifen — unabhängig davon, ob sie diesen Zugriff gerade nutzt.
Wie viele Personen haben in Ihrem Microsoft 365 dauerhaft Admin-Rechte?
Bei den meisten mittelständischen Unternehmen ist die ehrliche Antwort: mehr, als jemand auf Anhieb aufzählen kann. Ein Admin-Konto wird eingerichtet, weil in der Einführungsphase schnell etwas erledigt werden musste. Ein zweites, weil der IT-Dienstleister Zugriff brauchte. Ein drittes für den Notfall, „falls mal jemand ausfällt". Jedes einzelne bleibt danach bestehen — auch wenn die Person längst andere Aufgaben hat oder das Unternehmen verlassen hat.
Das Bild dafür ist der Generalschlüssel: Wer ihn besitzt, kommt in jeden Raum, jederzeit, ohne dass es jemand bemerkt. Ein Unternehmen mit fünf oder sechs dauerhaften Admin-Konten hat entsprechend viele Generalschlüssel im Umlauf — verliehen, teils vergessen, selten zurückgefordert. Wird eines dieser Konten kompromittiert, etwa über ein gestohlenes Passwort, hat ein Angreifer sofort und ohne weitere Hürde vollen Zugriff auf das gesamte Unternehmen.
Warum ein zweiter Sicherheitsschritt allein nicht reicht
Viele Unternehmen betrachten das Thema mit dem zweiten Sicherheitsschritt bei der Anmeldung (Multi-Faktor-Authentifizierung) als erledigt. Der schützt tatsächlich vor den meisten automatisierten Angriffen, löst aber ein anderes Problem nicht: Ein dauerhaft privilegiertes Admin-Konto bleibt auch nach einer erfolgreichen, legitimen Anmeldung ein Vollzugriffs-Konto. Wird die aktive Sitzung übernommen, etwa über eine Phishing-Seite, die die Anmeldung mitschneidet, greift der zweite Sicherheitsschritt nicht mehr — er wurde bereits durchlaufen.
Der zweite blinde Fleck betrifft die Nachvollziehbarkeit. Ohne befristete Freigabe lässt sich nicht sauber belegen, wer wann welche Admin-Handlung vorgenommen hat und warum. Bei einer Prüfung durch Kunden, Versicherung oder Auditor fehlt damit der Nachweis, dass privilegierte Zugriffe kontrolliert und begründet vergeben werden — ein Punkt, der bei TISAX- und ISO-27001-Nachweisen regelmäßig auftaucht.
Was es kostet, wenn Sie nichts tun
Bleiben Admin-Rechte dauerhaft bestehen, verschiebt sich die nächste Zertifizierung um Wochen, weil der Auditor genau diesen Punkt bemängelt und Nacharbeit verlangt. Ein Großkunde, der im Sicherheitsfragebogen nach der Kontrolle privilegierter Konten fragt, bekommt keine belastbare Antwort. Und im Ernstfall entscheidet die Zahl der offenen Generalschlüssel darüber, ob der Schaden auf ein Postfach begrenzt bleibt oder das gesamte Unternehmen betrifft.
Was sich ändert, wenn Admin-Rechte nur befristet vergeben werden
Mit einer sauber eingerichteten befristeten Rechtevergabe bekommt niemand mehr dauerhaft den Generalschlüssel. Stattdessen fordert eine Person Admin-Rechte für eine konkrete Aufgabe an, bekommt sie für ein begrenztes Zeitfenster — etwa zwei Stunden — und verliert sie danach automatisch. Jede Anforderung wird protokolliert: wer, wann, wofür. Das verkleinert die Angriffsfläche im laufenden Betrieb erheblich und liefert zugleich die Nachweise, die bei Audits und Versicherungsfragebögen gefordert werden.
Der Nexus.365 Security Scan zeigt in einer strukturierten Bestandsaufnahme, wie viele dauerhafte Admin-Konten in Ihrem Microsoft 365 bestehen und wo die befristete Rechtevergabe fehlt. Sie bekommen eine priorisierte Liste, welche Konten zuerst umgestellt werden sollten — aufbereitet für die Geschäftsführung, nicht als technisches Rohdatenblatt.
Häufige Fragen zum Thema
Brauche ich für befristete Admin-Rechte eine bestimmte Microsoft-365-Lizenz?+
Ja, die Funktion setzt eine Entra-ID-P2-Lizenz voraus (Teil von Microsoft 365 E5 oder als Zusatzlizenz erhältlich). Der Security Scan prüft, ob Ihr aktueller Lizenzstand das bereits abdeckt.
Wie lange dauert es, Admin-Rechte in meinem Unternehmen umzustellen?+
Für ein Unternehmen mit fünf bis zehn Admin-Konten ist die Einrichtung in der Regel innerhalb weniger Tage abgeschlossen, wenn Rollen und Zuständigkeiten vorher geklärt sind.
Werden Mitarbeitende durch befristete Admin-Rechte in ihrer Arbeit behindert?+
Nein — Personen ohne Admin-Aufgaben merken nichts von der Umstellung. Wer Admin-Aufgaben hat, fordert den Zugriff bei Bedarf kurz an, statt ihn dauerhaft zu besitzen.
Reicht ein zweiter Sicherheitsschritt nicht auch für Admin-Konten?+
Er ist eine wichtige Grundlage, ersetzt aber nicht die zeitliche Befristung. Beide Maßnahmen ergänzen sich und werden gemeinsam geprüft.
Wie viele Generalschlüssel sind bei Ihnen im Umlauf?
Der Nexus.365 Security Scan zeigt read-only, wo dauerhafte Admin-Rechte bestehen und was das für Ihr Unternehmen bedeutet. Festpreis und Enddatum stehen vor Beginn fest.
Security Scan starten