Just-in-Time-Zugriff: Bedeutung, Arten und Einführung

Just-in-Time-Zugriff (JIT) bedeutet, dass erhöhte Rechte nur dann vergeben werden, wenn jemand sie für eine bestimmte Aufgabe braucht, und nach kurzer Zeit automatisch wieder wegfallen. Ein Administrator arbeitet im Alltag mit einem normalen Konto und aktiviert die Administratorrolle etwa für zwei Stunden, mit Begründung und oft mit Freigabe. Das Ziel heißt Zero Standing Privileges: Kein Konto hat dauerhaft mehr Rechte, als es gerade braucht.

Unten steht, warum dauerhafte Rechte ein Risiko sind, welche Arten von JIT es gibt, wie der Ablauf aussieht und wie Sie JIT einführen.

Warum dauerhafte Administratorrechte gefährlich sind

In vielen Unternehmen sind die Konten der IT dauerhaft Administratoren, in der Domäne, in Microsoft 365, in der Cloud und auf den Geräten. Jedes dieser Konten ist ein Ziel. Wird eines per Phishing übernommen, hat der Angreifer sofort alle Rechte, auch nachts und am Wochenende, wenn niemand hinschaut. Ransomware-Gruppen suchen nach dem ersten Einbruch gezielt nach solchen Konten.

Dazu kommen vergessene Rechte: Wer einmal für ein Projekt Administratorrechte bekam, behält sie oft jahrelang. Je länger Rechte bestehen, desto größer ist das Zeitfenster für Missbrauch.

Was JIT bringt

• Kleinere Angriffsfläche: Ein übernommenes Konto ohne aktive Rolle bringt dem Angreifer wenig.
• Weniger vergessene Rechte: Rechte laufen von selbst ab.
• Bessere Nachvollziehbarkeit: Jede Aktivierung ist mit Person, Zeit und Grund protokolliert.
• Einfachere Audits: ISO 27001, NIS2 und Cyberversicherer fragen nach der Kontrolle privilegierter Zugänge.

Arten von Just-in-Time-Zugriff

Der Ablauf in fünf Schritten

1. Anfrage: Die Person beantragt eine Rolle oder einen Zugang mit Begründung und gewünschter Dauer.
2. Prüfung: Je nach Regel genügt eine erneute Multi-Faktor-Anmeldung, oder eine zweite Person gibt frei.
3. Vergabe: Das System vergibt die Rechte automatisch für den festgelegten Zeitraum.
4. Ablauf: Nach Ende der Frist fallen die Rechte von selbst weg, ohne dass jemand daran denken muss.
5. Protokoll: Anfrage, Freigabe und Nutzung werden aufgezeichnet und lassen sich in Überprüfungen und Audits vorlegen.

Ein Beispiel: Microsoft Entra PIM

In Microsoft Entra ID ist Privileged Identity Management der übliche Weg zu JIT. Ein Administrator wird für die Rolle „Exchange-Administrator“ als berechtigt eingetragen, nicht als aktiv. Braucht er die Rolle, öffnet er PIM, wählt die Rolle, gibt eine Begründung und die Dauer an und bestätigt sich mit Multi-Faktor-Anmeldung. Für kritische Rollen wie „Globaler Administrator“ kann zusätzlich eine Freigabe durch eine zweite Person nötig sein. Nach Ablauf der Zeit ist die Rolle wieder inaktiv. PIM setzt eine Lizenz für Entra ID P2 oder Entra ID Governance voraus.

In der Cloud bieten AWS und Google Cloud vergleichbare Funktionen für befristete Rollen, in lokalen Umgebungen übernehmen PAM-Produkte die Aufgabe.

JIT, PIM und PAM

Die Begriffe überschneiden sich. Privileged Identity Management (PIM) verwaltet, wer welche privilegierte Rolle bekommen darf, und vergibt sie zeitlich begrenzt, also Just-in-Time. Privileged Access Management (PAM) kontrolliert die Nutzung privilegierter Zugänge, etwa mit Passworttresor und Sitzungsaufzeichnung. JIT ist das Prinzip, das in beiden steckt. Die Unterschiede im Detail beschreibt der Beitrag PIM vs. PAM.

JIT auf Arbeitsplatzrechnern

Auch auf Laptops arbeiten viele Beschäftigte mit lokalen Administratorrechten, weil sie gelegentlich Software installieren. Besser ist ein Standardkonto im Alltag und ein Weg, Rechte im Einzelfall zu bekommen:

• Software über einen Self-Service-Katalog bereitstellen, damit für Installationen keine Administratorrechte nötig sind.
• Lokale Administratorpasswörter mit Windows LAPS je Gerät eigen vergeben und nach Nutzung automatisch wechseln.
• Werkzeuge zur Rechteerhöhung nutzen, die einzelne Programme mit erhöhten Rechten starten, nicht die ganze Sitzung.

Just-in-Time-Zugriff einführen

1. Privilegierte Konten erfassen: Domänen-, Cloud- und Anwendungsadministratoren, Dienstkonten, lokale Administratoren.
2. Mit den kritischsten Rollen beginnen: globale Administratoren, Domänenadministratoren, Administratoren der Geräteverwaltung.
3. Dauer festlegen: eine bis acht Stunden reichen für die meisten Aufgaben.
4. Freigaben dort einsetzen, wo es zählt: nicht für jede Rolle, sonst wartet das Team ständig.
5. Notfallkonten vorsehen: zwei Konten mit dauerhaften Rechten für den Fall, dass der Identitätsanbieter ausfällt, gut geschützt und überwacht.
6. Regelmäßig überprüfen: wer für welche Rolle berechtigt ist und wer sie tatsächlich nutzt.

Häufige Fehler

• Zu lange Fristen: Eine Aktivierung für eine ganze Woche ist kaum besser als ein dauerhaftes Recht.
• Dienstkonten vergessen: Sie haben oft weitreichende Rechte und fallen aus jeder JIT-Regel heraus.
• Freigabe ohne Prüfung: Wer jede Anfrage ungesehen bestätigt, schafft nur Verzögerung.
• Werkzeuge der IT ausnehmen: Die Konsolen für Geräteverwaltung, Firewall und Sicherung gehören dazu.

Das Prinzip dahinter erklärt der Beitrag Prinzip der minimalen Rechte.

Rechte in der IT-Konsole überprüfen

Für die Überprüfung von Rechten brauchen Sie eine Liste: Wer hat welche Rolle, und wann war die Person zuletzt aktiv?

trio.so ist kein PAM- oder JIT-Produkt. In der Konsole vergeben Sie Rechte über integrierte und eigene Rollen und schützen Konten mit Multi-Faktor-Anmeldung. Für Überprüfungen exportieren Sie die Mitglieder als CSV mit Name, E-Mail, Status, Rollen und letzter Aktivität.