Privileged Account Discovery Teil 1/3: Versteckte Adminkonten finden beginnt mit Verstehen. Warum verlieren Unternehmen den Überblick über privilegierte Konten, wie entstehen Shadow Admins und Orphan Accounts – und welche Schäden entstehen daraus? Dieser Auftakt liefert eine faktenbasierte Einordnung mit realen Vorfällen aus der DACH-Region und leitet zu den Discovery-Methoden in Teil 2 und zur Governance in Teil 3 über.
📑 Inhaltsübersicht
Einführung und Ziel · Die Herausforderung: Versteckte Adminkonten · Quellen · Schlussfolgerung und Handlungsfelder
Einführung und Ziel: Warum Privileged Account Discovery jetzt Priorität hat
Privileged Account Discovery ist die Grundlage, um privilegierte Konten sichtbar zu machen und Risiken realistisch zu beurteilen. In Schweizer und deutschsprachigen Unternehmen entstehen Lücken durch komplexe Hybridlandschaften, dezentrale Administration, Projekt- und Testumgebungen sowie unvollständige Offboarding-Prozesse. In Teil 1 dieser Serie fokussieren wir auf das Problemverständnis: Wie verlieren Organisationen den Überblick, welche Kontotypen sind betroffen und welche Folgen zeigen reale Vorfälle? In Teil 2 beleuchten wir konkrete Discovery-Methoden wie LDAP-Queries, Gruppenanalyse und Berechtigungsscans; Teil 3 zeigt, wie aus Discovery belastbare Governance entsteht.
Finden Sie die relevanten Accounts – auch wenn sie nicht so offensichtlich daherkommen.
Die Herausforderung verstehen: Shadow Admins und Orphan Accounts als verdeckte Risiken
Unternehmen verlieren den Überblick über privilegierte Konten aus drei wiederkehrenden Gründen: Erstens wachsen Berechtigungen inkrementell, etwa durch projektbezogene Ausnahmen, die nie zurückgebaut werden. Zweitens entstehen Schattenpfade in Rechtemodellen, wenn Gruppen indirekt administrative Rechte vererben und so sogenannte Shadow Admins entstehen, die nicht im zentralen Identity Management auftauchen. Drittens führt unvollständiges Offboarding zu verwaisten Konten – Orphan Accounts – die nach Mitarbeiteraustritt weiter existieren und teils hohe Rechte behalten.
Reale Vorfälle unterstreichen die Relevanz
Fallbeispiele aus DACH und Europa zeigen, dass die Gefahr nicht theoretisch ist:
Schweizer Finanzdienstleister – Credit Suisse (Februar 2023): Ein ehemaliger IT-Mitarbeiter hatte Mitarbeiterdaten – einschließlich Lohn- und Bonusinformationen aus den Jahren 2013–2015 sowie persönliche Bankverbindungen – auf sein privates Gerät kopiert. Das Datenleck wurde erst im März 2021 entdeckt, obwohl der Mitarbeiter die Daten bereits lange vorher ohne Genehmigung entwendet hatte. Dies ist ein klassisches Beispiel eines privilegierten Insider-Risikos durch unzureichendes Offboarding und unentdeckte Kontenrechte. Weitere Details: SRF News und finews.ch.
Krankenhaus in Baden-Württemberg – Klinikum Esslingen (November 2023): Am 28. November 2023 verschafften sich Angreifer über eine Schwachstelle in Citrix (CVE-2023-4966) Fernzugriff auf die IT-Infrastruktur des Klinikums. Sie löschten gezielt Verwaltungsdaten und beschädigten medizinische Imaging-Systeme (Radiologie, Ultraschall, Endoskopie). Obwohl keine Patientendaten aus dem KIS betroffen waren, führte der Angriff zu erheblichen Betriebsstörungen. Dies zeigt, wie auch eine gezielte, nicht-flächendeckende Ransomware-Attacke eine kritische Infrastruktur destabilisiert. Dokumentation: KMA Online und Heise.
Universität Magdeburg/Uniklinik Düsseldorf (2024): Ransomware-Angriffe auf Universitäts- und Lehrkrankenhäuser führten zu mehrwöchigen IT-Ausfällen und massiven Operationsausfällen. Die Uniklinik Düsseldorf konnte täglich nur noch 10–15 statt 70–120 Operationen durchführen; 13 Tage dauerte die teilweise Wiederherstellung. Die vollständige Wiederherstellung der IT-Infrastruktur benötigte Monate. Dies zeigt die Kaskadeneffekte unzureichend geschützter privilegierter Zugriffe in kritischen Infrastrukturen: Heise Hintergrund.
Schweizer Vermögensverwalter – Boreal Capital Management (Juni 2024): Ein Ransomware-Angriff führte zum Diebstahl von Daten von 700 aktuellen und ehemaligen Kunden im Umfang von 46 Gigabyte. Der Ursprung lag in der Datenbank eines früheren Dienstleisters, was auf eine unzureichende Verwaltung von Zugriffsberechtigung auf externe Systeme hindeutet. Die Bundesanwaltschaft und die Finanzmarktaufsicht FINMA ermittelten: Blick.
Österreich – KPMG Cybersecurity-Bericht 2024: Eine Umfrage von KPMG (April 2024) mit 1.158 österreichischen Unternehmen zeigt eine dramatische Eskalation: War 2023 noch jedes 10. Unternehmen von Cyberangriffen betroffen, ist es 2024 bereits jedes 6. Unternehmen. Jedes 3. Unternehmen hat Lösegeldforderungen im Zuge von Ransomware-Angriffen bezahlt, mit durchschnittlichen Kosten von EUR 4 Millionen – deutlich über dem Weltdurchschnitt. Ein signifikanter Anteil dieser Vorfälle wird durch schlecht verwaltete privilegierte Konten ermöglicht: Austria Innovativ.
Diese Vorfälle zeigen: Privileged Account Discovery ist kein Nice-to-have, sondern eine Vorbedingung für Cyber-Resilienz. Besonders tückisch sind indirekt vererbte Rechte in Verzeichnisdiensten und Cloud-Rollen, fehlende Offboarding-Disziplin und verstreute Service Accounts mit administrativen Tokens oder Schlüsseln.
Warum gehen Konten unter?
– Dezentrale Adminmodelle: Fachbereiche verwalten lokale Systeme, ohne zentrale Rückmeldung.
– Rollendrift: Projektrollen werden nicht entzogen, Gruppenhierarchien vererben implizit Adminrechte (Shadow Admin).
– Unsauberes Offboarding: Konten und Schlüssel verbleiben nach Austritten (Orphan Account).
– Technische Streuung: Lokale Admins, Appliance-Konten, Cloud-Rollen, Datenbank- und Netzwerkgeräte-Konten.
– Fehlende Discovery-Routine: Einmalige Inventuren veralten schnell; ohne kontinuierliche Discovery wachsen blinde Flecken.
Best Practices und Branchenempfehlungen: Praxisnahe Empfehlungen aus Fachbeiträgen empfehlen, Discovery als fortlaufenden Prozess zu etablieren, mit klaren Datenmodellen für Kontotypen, Eigentümerschaft und Risikoklassifizierung.
Schlussfolgerung und Handlungsfelder
Teil 1 dieser Serie zeigt: Die größte Schwachstelle liegt oft nicht in Zero-Day-Exploits, sondern in unbekannten oder falsch geführten Privilegien. Shadow Admins und Orphan Accounts entstehen leise und bleiben ohne systematische Discovery lange unentdeckt. Für Verwaltungsrat, C-Level und CISO bedeutet dies, Discovery als Steuerungsinstrument zu begreifen: Sichtbarkeit schafft Entscheidungsfähigkeit – und ist Vorbedingung für jede PAM-Maßnahme.
Wir empfehlen Entscheidungsträgern die folgenden nächsten Schritte – als Vorbereitung für Teil 2 (Methoden) und Teil 3 (Governance):
✓ Mandat und Scope definieren: Klarer Auftrag für Privileged Account Discovery über Verzeichnisdienste, lokale Systeme, Cloud, Datenbanken und Netzwerkgeräte.
✓ Erste Hypothesen bilden: Wo sind Shadow Admins am wahrscheinlichsten (indirekte Gruppen, geerbte Rollen, Legacy-OU), wo drohen Orphan Accounts (Austrittsprozesse, Projektkonten, Service Accounts)?
✓ Vorab-Risikofilter festlegen: Kriterien für High-Risk-Konten (Domain-weite Rechte, Notfallkonten, privilegierte Service Accounts) definieren, um Findings zu priorisieren.
Weiterführende Informationen und Beratung
Sie möchten Privileged Account Discovery als kontinuierlichen Prozess etablieren und Shadow Admins sowie Orphan Accounts systematisch eliminieren? Wir unterstützen mit Assessments, Methodik-Enablement und Roadmap-Workshops – basierend auf Best Practices und verifizierten Branchenquellen.
🎯 Key Take-Aways – Handeln Sie jetzt
Einige unmittelbare Schlüsse für Geschäftsleitung und IT-Verantwortliche:
✓ Privileged Account Discovery priorisieren: Ohne Sichtbarkeit bleiben Shadow Admins und Orphan Accounts unentdeckt – mit hohem Schadenpotenzial, wie reale Fälle zeigen. Der Fokus auf kontinuierliche Discovery reduziert das Risiko exponentiell.
✓ Kontinuierlich statt einmalig denken: Discovery als fortlaufenden Prozess etablieren, nicht als Projektabschluss. Die österreichische Cyber-Statistik zeigt, dass 66 % der Unternehmen von Ransomware betroffen waren – viele davon hätten durch systematische Discovery präventiv handeln können.
✓ Offboarding und Rollenreviews schließen: Prozesse für Austritte und gruppenbasierte Rechtehygiene verankern, um Orphan Accounts und Shadow Admins zu vermeiden. Das Credit Suisse-Beispiel zeigt: Ein ehemaliger Mitarbeiter behielt 2 Jahre lang unentdeckten Zugriff.
✓ Insider-Bedrohungen ernst nehmen: 83 % der Unternehmen sind laut Cybersecurity Insiders Insider Threat Report 2024 von mindestens einem Insider-Angriff betroffen. PAM mit kontinuierlicher Discovery ist eine Schlüsselmitigation.
Häufig gestellte Fragen: FAQ zu Privileged Account Discovery
Was decken die nächsten Teile der Serie ab?
In Teil 2 zeigen wir Discovery-Methoden und -Techniken – von manueller Analyse bis zu automatisierter Discovery über Active Directory, lokale Systeme, Cloud, Datenbanken und Netzwerkgeräte. Teil 3 führt von Discovery zu Governance: Risikopriorisierung, Kategorisierung, Integration in PAM-Prozesse und KPIs für nachhaltige Steuerung.