Passwortmanager, PAM und Passkeys: drei Probleme, drei Kontrollschichten
Passwortmanager, Privileged Access Management und Passkeys sind keine austauschbaren Produkte. Eine belastbare Zielarchitektur ordnet Benutzergeheimnisse, privilegierte Konten und phishing-resistente Anmeldung unterschiedlichen Kontrollschichten zu.
Passwortmanager reduziert unkontrollierte Benutzergeheimnisse
Er adressiert individuelle und geteilte Zugangsdaten, Generatoren, sichere Freigabe und organisatorische Richtlinien. Er ersetzt aber weder eine privilegierte Sitzungssteuerung noch die starke Anmeldung am Identity Provider.
PAM kontrolliert privilegierte Identitäten und Geheimnisse
Admin-, Service- und Break-Glass-Konten benötigen engere Kontrollen: Vaulting und Rotation, Freigaben, Just-in-Time-Zugriff, Session-Nachvollziehbarkeit und getrennte Notfallpfade. Welche Funktionen erforderlich sind, hängt vom privilegierten Betriebsmodell ab.
Passkeys härten den Anmeldevorgang
FIDO2-basierte Passkeys können phishing-resistente Anmeldung ermöglichen und reduzieren die Abhängigkeit von wiederverwendbaren Passwörtern. Gerätebindung, synchronisierte Passkeys, Attestation, Recovery und Enrollment müssen jedoch in das Geräte- und Identitätsmodell passen.
Recovery ist der gemeinsame Prüfpunkt
Die Architektur ist nur so stark wie der Rücksetz- und Notfallpfad. Passwortmanager-Recovery, PAM-Break-Glass und Passkey-Neuregistrierung brauchen getrennte Rollen, starke Identitätsprüfung, Logging und regelmäßig getestete Verfahren.
Die Einführungsreihenfolge folgt dem Risiko
Ein typischer Weg ist: privilegierte Konten inventarisieren und absichern, Benutzergeheimnisse standardisieren, phishing-resistente Anmeldung für besonders schützenswerte Gruppen pilotieren und anschließend Legacy-Authentisierung schrittweise zurückbauen.