In vielen Unternehmen schlummern ungenutzte oder überprovisionierte Konten mit dauerhaft vergebenen Administratorrechten – sogenannte Standing Privileges. Sie vergrößern die Angriffsfläche erheblich: Jedes permanente Adminkonto ist eine offene Tür, die ein Angreifer nach einem gestohlenen Passwort oder einem kompromittierten Dienstleisterzugang sofort nutzen kann.

Zero Standing Privileges (ZSP) dreht dieses Prinzip um: Kein Konto besitzt dauerhaft Rechte. Zugriff wird nur bei Bedarf, nur für die konkrete Aufgabe und nur für deren Dauer gewährt. Dieser Artikel erklärt das Modell, seine vier Prinzipien und seinen Nutzen – und zeigt, wie sich ZSP mit einer Remote-PAM-Plattform wie VISULOX praktisch umsetzen lässt.

Was sind Standing Privileges – und warum sind sie ein Risiko?

Standing Privileges sind dauerhaft vergebene privilegierte Rechte: Administrator-Konten, Service-Accounts oder Dienstleisterzugänge, die rund um die Uhr aktiv bleiben – unabhängig davon, ob sie gerade gebraucht werden. In der Praxis sammeln sich solche Konten über Jahre an: Rechte werden für ein Projekt vergeben und nie wieder entzogen, Dienstleister behalten Zugänge lange nach Vertragsende, Service-Accounts laufen mit weitreichenden Rechten im Hintergrund.

Jedes dieser Konten ist eine offene Tür. Wird ein Passwort gestohlen, ein Endgerät kompromittiert oder ein Dienstleister angegriffen, steht dem Angreifer sofort ein privilegierter Zugang zur Verfügung – ohne dass er selbst Rechte ausweiten müsste. Genau deshalb sind privilegierte Konten laut aktuellen Breach-Analysen an einem Großteil schwerwiegender Sicherheitsvorfälle beteiligt.

Was bedeutet Zero Standing Privileges?

Zero Standing Privileges ist ein Sicherheitsmodell, das auf dem Zero-Trust-Prinzip basiert. Kein Konto besitzt von Haus aus Rechte; bei jeder Anfrage muss der privilegierte Zugriff verifiziert, validiert und zeitlich begrenzt werden. Benutzer-, System- oder Applikationskonten erhalten nur die minimal erforderlichen Rechte (Least Privilege) und verlieren sie automatisch, sobald sie nicht mehr benötigt werden.

Der Unterschied zum klassischen PAM ist grundlegend: Herkömmliches Privileged Access Management verwaltet und schützt dauerhafte Berechtigungen – ZSP schafft sie ab. Statt einen Passwort-Tresor für ständig existierende Adminkonten zu sichern, existiert der privilegierte Zugang nur im Moment seiner Nutzung.

Die vier Prinzipien von ZSP

Vier Prinzipien machen Zero Standing Privileges aus:

• Zero Access by Default: Jeder Zugang startet ohne Rechte. Berechtigungen werden erst erteilt, wenn ein konkreter Auftrag vorliegt, und danach wieder entfernt.
• Just-in-Time-Access (JIT): Privilegierte Zugriffe werden dynamisch gewährt, wenn sie benötigt werden, und unmittelbar nach der Verwendung wieder entzogen.
• Just-enough-Access (JEA): Die vergebenen Rechte beschränken sich strikt auf das, was für die Aufgabe notwendig ist – nicht mehr.
• Automatische Privileg-Revokation: Nach Abschluss des Arbeitsvorgangs werden alle Berechtigungen sofort entzogen, sodass keine dauerhaft brachliegenden Adminkonten bestehen bleiben.

Die Vorteile von Zero Standing Privileges

• Schutz vor Insider-Bedrohungen: Durch zeitlich begrenzte Berechtigungen minimiert ZSP das Risiko böswilliger oder nachlässiger Insider.
• Reduzierte Angriffsfläche: Die Kombination aus JIT- und JEA-Policies schränkt unautorisierte Zugriffe ein und verkleinert die Angriffsfläche deutlich.
• Regulatorische Compliance: Temporäre Berechtigungen und lückenlose Protokollierung schaffen aussagekräftige Audit-Trails, die bei Prüfungen zu DSGVO, NIS-2 oder DORA helfen.

Zero Standing Privileges in der Praxis umsetzen

Zero Standing Privileges sollte nicht als isoliertes Projekt betrachtet werden, sondern als logische Weiterentwicklung eines bestehenden Privileged-Access-Management-Programms. Integrieren Sie ZSP in vorhandene Prozesse, ersetzen Sie statische Admin-Konten durch automatisierte JIT-Workflows und nutzen Sie Multi-Faktor-Authentifizierung für die Freigabe. So senken Sie das Risiko und erfüllen gleichzeitig aktuelle Compliance-Anforderungen. Die Grundlage bildet dabei das Prinzip der minimalen Rechtevergabe (Least Privilege).

VISULOX: Zero Standing Privileges umsetzen

VISULOX setzt Zero Standing Privileges konsequent um. Statt dauerhafter Adminrechte erhalten interne Nutzer und externe Dienstleister Zugriff nur über einen zentralen Zugangspunkt – zeitlich begrenzt, personalisiert und revisionssicher aufgezeichnet:

• Just-in-Time statt Dauerrechte: Zugänge existieren nur für das freigegebene Zeitfenster und werden danach automatisch entzogen. Es gibt keine permanenten Credentials, die übernommen werden könnten.
• Least Privilege pro System: Zugriff nur auf das benötigte Zielsystem – kein pauschaler Netzzugang, kein Sammelkonto.
• Revisionssichere Session-Aufzeichnung: Jede privilegierte Sitzung wird lückenlos aufgezeichnet – als Nachweis für DSGVO, NIS-2 und DORA.
• Agentenlos in unter zwei Tagen: VISULOX wird ohne Eingriff in den laufenden Betrieb implementiert und bindet sich an bestehende Identity-Provider (SAML/OAuth) an.

‍

Zero Standing Privileges ist ein zentraler Baustein moderner Sicherheitsstrategien. Wer dauerhafte Adminrechte durch Just-in-Time-Zugriff und Least Privilege ersetzt, reduziert nicht nur die Angriffsfläche, sondern verbessert auch die Auditierbarkeit und ist auf künftige regulatorische Anforderungen vorbereitet. Mit einer Remote-PAM-Plattform wie VISULOX lässt sich das Modell ohne Umbau der Infrastruktur umsetzen – zeitlich begrenzt, nachweisbar und in unter zwei Tagen produktiv.