Die meisten IT- und Sicherheitsteams wissen genau, was Just-in-Time-Rechteausweitung bedeutet: Nutzer bekommen den Zugriff, den sie brauchen, in dem Moment, in dem sie ihn brauchen, und verlieren ihn wieder, sobald die Aufgabe erledigt ist. Seltener wird darüber gesprochen, wie gut dieses Prinzip in den verteilten IT-Umgebungen trägt, die heute in den meisten Organisationen laufen.
Den Unterschied macht die Mechanik dahinter: vom Moment, in dem ein Nutzer eine Anfrage auslöst, bis zum automatischen Entzug der Rechte und dem Eintrag im Audit-Log.
Was ist Just-in-Time-Rechteausweitung?
Just-in-Time-Rechteausweitung gewährt Nutzern erhöhte Rechte nur für die Dauer einer bestimmten Aufgabe und entzieht sie automatisch wieder, sobald die Aufgabe abgeschlossen ist. Die Alternative (und ein noch immer überraschend verbreiteter Ansatz) sind dauerhafte lokale Administratorrechte. Diese Rechte bestehen dann unabhängig davon, ob jemand sie gerade nutzt und ob sich der Endpunkt unauffällig verhält.
Das Grundprinzip ist Least Privilege: Nutzer arbeiten mit den minimalen Rechten, die ihre Aufgaben erfordern, und können bei Bedarf über einen kontrollierten, protokollierten Prozess mehr anfordern. Ein breiteres Bild von JIT-Zugriff als Konzept, einschließlich seiner Rolle bei der Absicherung von Fernzugriff, liefert unser früherer Beitrag zu JIT-Zugriff.
Warum moderne IT die Sache schwieriger macht
Least Privilege ist kein neues Konzept. Neu ist das Umfeld, in dem es greifen muss. Vor zehn Jahren waren die meisten Endpunkte Windows-Rechner im Büro, Mitglied einer Unternehmensdomäne, verwaltet über On-Premises-Werkzeuge und genutzt von Menschen, die im selben Gebäude saßen wie das IT-Team. Mit heutiger IT hat das wenig zu tun.
Verteilte Teams und Remote-Arbeit
Wenn Nutzer im Homeoffice, beim Kunden vor Ort oder über mehrere Zeitzonen verteilt arbeiten, kann sich die Rechteausweitung nicht auf eine stabile Verbindung zu einem zentralen Managementsystem verlassen. Wer einen Druckertreiber installieren oder eine lokale Anwendung aktualisieren muss, sollte nicht ausgebremst werden, nur weil er sich außerhalb des Firmennetzes befindet. JIT-Systeme lösen solche Offline-Szenarien zum Beispiel über Einmal-PIN-Codes, die die IT aus der Ferne ausgibt. Die Rechteausweitung wird protokolliert und mit dem Portal synchronisiert, sobald der Endpunkt wieder verbunden ist.
Gemischte Betriebssysteme und hybride Identitätsumgebungen
Kaum eine Organisation betreibt heute auf allen Endpunkten dasselbe Betriebssystem. Windows dominiert weiterhin, doch macOS ist in Kreativ- und Entwicklungsteams verbreitet, und Linux taucht häufig im Engineering und im DevOps-Umfeld auf. Eine Lösung für JIT-Rechteausweitung muss auf allen drei Systemen einheitlich funktionieren. Ähnlich zersplittert ist das Identitätsmanagement: Viele Organisationen betreiben ein lokales Active Directory parallel zu Entra ID in der Cloud, andere sind vollständig zu Entra ID migriert oder stecken irgendwo dazwischen. Die Rechteausweitung muss in all diesen Konstellationen zuverlässig laufen, ohne dass für jede davon ein eigenes Werkzeug nötig ist.
MDM-verwaltete Endpunkte
Intune, Autopilot, Jamf, SCCM: Die Endpunktverwaltung ist größtenteils auf cloudbasierte MDM-Plattformen umgezogen, vor allem weil Geräteflotten wachsen und geografisch weiter verstreut sind. Eine Lösung zur Rechteausweitung, die eine manuelle Agent-Installation oder eigene On-Premises-Infrastruktur verlangt, sorgt vom ersten Tag an für Reibung. Der Agent muss sich lautlos über die vorhandenen MDM-Werkzeuge verteilen lassen, ganz ohne Konfiguration am einzelnen Endpunkt.
Compliance- und Audit-Anforderungen
Regelwerke wie DSGVO, SOC 2, ISO 27001 und PCI-DSS stellen allesamt Anforderungen an privilegierten Zugriff: wer ihn hatte, wann, was damit geschah und wie er kontrolliert wurde. Bei dauerhaften Admin-Rechten lässt sich das kaum sauber beantworten. JIT-Rechteausweitung erzeugt den nötigen Audit-Trail automatisch, und aus mühsamer Handarbeit beim Compliance-Reporting wird eine Aufgabe, die sich größtenteils mit ein paar Exporten erledigen lässt.
So funktioniert JIT-Rechteausweitung
Zwischen der Anfrage und einer vollständig protokollierten, automatisch beendeten Sitzung liegen mehrere Schritte, und jeder davon wirkt sich auf die Sicherheit wie auf das Nutzererlebnis aus.
1. Rechteentzug als Ausgangspunkt
JIT-Rechteausweitung beginnt damit, dauerhafte lokale Adminrechte zu entfernen. Ein guter Rollout umfasst eine Protokollierungsphase vor dem Entzug: Die IT beobachtet, wofür Nutzer erhöhte Rechte einsetzen, ohne am Nutzererlebnis etwas zu ändern, und weiß so, was gebraucht wird, bevor die dauerhaften Rechte wegfallen.
2. Die Anfrage
Sind die Rechte entzogen, stellen Nutzer für privilegierte Aufgaben eine Anfrage über den Endpunkt-Client. Je nach Modus heißt das, per Rechtsklick auf eine Anwendung “Run As Admin” zu wählen oder über das Tray-Menü eine zeitlich begrenzte Admin-Sitzung anzufordern. Die Anfrage erfasst den Kontext: wer fragt, was ausgeweitet werden soll, auf welchem Rechner und wann.
3. Automatische oder manuelle Freigabe
Nicht jede Anfrage braucht einen Menschen, der sie prüft. Ein ausgereiftes JIT-System unterscheidet zwischen Anfragen, die nach vorab konfigurierten Richtlinien automatisch freigegeben werden können, und solchen, die eine manuelle Prüfung erfordern. Pre-Approval-Regeln lassen sich anhand von Dateipfad, Herstellerzertifikat oder Prüfsumme festlegen. Manuelle Freigaben laufen über Integrationen mit Microsoft Teams, Slack, ServiceNow oder Jira, sodass die IT nicht an ein Dashboard gebunden ist.
4. Malware-Prüfung in Echtzeit
Bevor die Rechteausweitung gewährt wird, wird die Datei mit einer Reputationsdatenbank abgeglichen. Admin By Request EPM ist an OPSWAT MetaDefender angebunden und prüft die Datei in Echtzeit mit mehr als 20 Antiviren-Engines. Fällt das Ergebnis verdächtig oder schädlich aus, wird die Rechteausweitung abgelehnt oder zur Prüfung in Quarantäne gestellt, selbst wenn sie die Freigabekriterien sonst erfüllt hätte.
5. Isolierte Rechteausweitung
Die erhöhten Rechte gehen an die Anwendung, nicht an den Nutzer. Nur diese eine Anwendung läuft mit erhöhten Rechten, der Rest des Systems bleibt auf Standardniveau. Ist doch einmal Malware im Spiel, bleibt der Schaden auf diesen Prozess begrenzt, statt sich frei auf dem Endpunkt auszubreiten.
6. Automatischer Entzug
Ist die Aufgabe erledigt, werden die erhöhten Rechte automatisch entzogen. Zeitlich begrenzte Sitzungen laufen von selbst ab, und Rechteausweitungen für einzelne Anwendungen enden, sobald die Anwendung geschlossen wird.
7. Audit-Protokollierung
Jede Rechteausweitung wird protokolliert: wer sie angefordert hat, was ausgeweitet wurde, ob die Freigabe automatisch oder manuell erfolgte, welche Prozesse während der Sitzung liefen und welche Software installiert oder entfernt wurde. Das Protokoll wird mit dem Managementportal synchronisiert und steht für Reporting, SIEM-Integration oder Compliance-Prüfungen bereit.
Modi der Rechteausweitung
JIT-Rechteausweitung sieht nicht für alle gleich aus. Unsere EPM-Lösung bietet mehrere Modi, die zu unterschiedlichen Nutzerbedürfnissen und IT-Umgebungen passen:
- Rechteausweitung pro Anwendung (Run As Admin): Der Nutzer klickt mit der rechten Maustaste auf eine Anwendung und fordert erhöhte Rechte nur für diesen einen Prozess an. Der Rest des Systems bleibt ohne erhöhte Rechte. Ideal für Nutzer, die gelegentlich ein bestimmtes Werkzeug mit Adminrechten ausführen müssen. Der Ablauf entspricht dem gewohnten Windows-Verhalten und kommt ohne zusätzliche Schulung aus.
- Zeitlich begrenzte Admin-Sitzungen: Der Nutzer fordert ein Zeitfenster mit erhöhten Rechten an, in dem er mehrere privilegierte Aufgaben erledigen kann. Sinnvoll für Entwickler und Power-User, die mehrere Vorgänge mit erhöhten Rechten nacheinander ausführen. Die Sitzungen haben ein festes Ende, und Anwendungen lassen sich beim Ablauf des Timers zwangsweise schließen.
- Vorab freigegebene Rechteausweitung: Die IT legt Richtlinien fest, nach denen bestimmte Anwendungen automatisch erhöhte Rechte erhalten, ohne Prompt und ohne manuelle Freigabe. Praktisch für Anwendungen, die schon beim Start erhöhte Rechte brauchen oder unbeaufsichtigt laufen, etwa Skripte oder System-Management-Werkzeuge.
- Freigabe per Machine Learning und KI: Wurde eine Anwendung eine festgelegte Anzahl von Malen manuell freigegeben, genehmigt das System sie künftig automatisch. Die KI-gestützte Freigabe geht noch einen Schritt weiter und vergibt Reputationswerte für Anwendungen und Hersteller. Automatische Freigaben richten sich dann danach, wie breit eine Anwendung oder ein Hersteller über die gesamte Installationsbasis hinweg als vertrauenswürdig gilt.
- Break-Glass-Konten: Für Notfälle, in denen die normalen Abläufe nicht greifen (etwa wenn ein Endpunkt die Verbindung zur Domäne verloren hat), erzeugt die IT mit einem Klick ein einmaliges, zeitlich begrenztes lokales Admin-Konto. Sowohl die Erstellung als auch alle Aktivitäten unter diesem Konto werden lückenlos protokolliert.
Testen Sie es in Ihrer eigenen Umgebung
Dauerhafte Admin-Rechte sind ein Risiko, mit dem sich die meisten Organisationen schlicht abgefunden haben. Ein gut umgesetztes JIT-System beseitigt dieses Risiko, ohne Nutzern die Möglichkeit zu nehmen, ihre Arbeit zu erledigen. Der Audit-Trail, der dabei nebenbei entsteht, dürfte auch Ihr Compliance-Team deutlich zufriedener machen.
Admin By Request EPM deckt all das unter Windows, macOS und Linux ab. Mit dem Free Plan führen Sie einen vollständigen Proof of Concept auf bis zu 25 Endpunkten durch, kostenlos und dauerhaft.
Dieser Blog wurde ursprünglich auf Englisch auf unserer Website veröffentlicht. Das Original finden Sie hier.
