Privilegierte Konten sind für Angreifer attraktiv, weil ein einzelner Zugriff oft ausreicht, um Systeme, Daten und Identitäten zu kontrollieren. In vielen Organisationen bestehen weiterhin unbefristete Admin-Rechte, gemeinsam genutzte Zugangsdaten und eine Protokollierung mit Lücken. Das ist nicht nur ein technisches Problem, sondern erschwert auch belastbare Nachweise gegenüber Prüfern, etwa im Kontext von NIS-2, DORA und dem revidierten Schweizer Datenschutzgesetz. Dieser Beitrag ordnet Keeper als cloud-natives Privileged Access Management ein, erklärt Zero-Knowledge und Just-in-Time Access und benennt die Abwägungen, die in jede Evaluation gehören.
Warum privilegierte Zugänge das Kronjuwelen-Problem der IT-Sicherheit sind
Wer administrative Zugänge zu Domänen-Controllern, Cloud-Konsolen, Datenbanken oder Fernwartungsportalen kontrolliert, kontrolliert im Zweifel zentrale Geschäftsprozesse. In der Praxis stehen dem oft gewachsene Strukturen entgegen: Dauerhafte Admin-Konten, gemeinsam genutzte Passwörter, übersehene Service-Accounts und Remote-Zugriffe ohne konsequente Multi-Faktor-Authentifizierung. Genau diese Kombination erleichtert Angreifern, aus einem einzelnen Credential rasch weitreichenden Zugriff zu machen.
Wie zentral Zugangsdaten für Angreifer bleiben, zeigt der Data Breach Investigations Report 2026 von Verizon. Als Erstzugang hat die Ausnutzung von Schwachstellen den Missbrauch von Zugangsdaten zwar erstmals überholt (31 gegenüber 13 Prozent). Über die gesamte Angriffskette hinweg bleibt Credential-Missbrauch mit rund 39 Prozent der untersuchten Breaches jedoch die am weitesten verbreitete Technik. Die Schlussfolgerung ist unbequem, aber klar: Auch wenn der Einstieg über eine ungepatchte Schwachstelle erfolgt, laufen Eskalation und Ausbreitung über Konten und Credentials, bevorzugt über privilegierte.
Aktuelle Vorfälle zeigen, wie schnell die Lage eskaliert, wenn Schutzmechanismen bei privilegierten oder privilegiert nutzbaren Zugängen fehlen. Beim Angriff auf Change Healthcare 2024 erfolgte der initiale Zugriff nach öffentlich bekannten Berichten über ein Remote-Zugriffsportal ohne MFA, danach folgten laterale Bewegung und Ransomware-Deployment. In der Snowflake-Vorfallwelle 2024 waren nicht die Plattformmechanismen der Engpass, sondern kompromittierte Kundenzugänge, unter anderem in Umgebungen ohne durchgesetzte MFA. Beide Muster sind in der Sache ähnlich: Ein einzelner Zugang wird zum Hebel für Reichweite, Geschwindigkeit und Wirkung.
Die Lehre daraus ist weniger eine Funktionsfrage als eine Governance-Frage: Privilegierter Zugriff ohne klare Verantwortlichkeiten, MFA-Pflicht, nachvollziehbare Genehmigungen, Session-Kontrolle und verlässliche Rotation von Secrets bleibt ein strukturelles Risiko. Genau hier setzt Privileged Access Management an.
Was Keeper ist und wie die Plattform funktioniert
Keeper ist die Privileged-Access-Management-Plattform von Keeper Security. Sie kombiniert zentrale Bausteine wie Vault, Secrets Management, Connection Management, Session Recording und Zero-Trust-Fernzugriff in einem cloud-nativen Betriebsmodell. Für Unternehmen ohne dediziertes PAM-Team ist dieser Zuschnitt oft relevant, weil sich erste Kontrollen und Nachweise mit überschaubarem Betriebsaufwand etablieren lassen, sofern Governance und Verantwortlichkeiten vorab definiert sind.
Keeper verbindet Vault, Session-Kontrolle und Just-in-Time Access in einer einheitlichen Plattform
Keeper-Architektur: Vault, Gateway und Zero-Knowledge
Ein Kernprinzip ist der verschlüsselte Vault. Sensible Inhalte wie Passwörter und Schlüssel werden client-seitig verschlüsselt, sodass der Anbieter die Klartexte nicht einsehen kann. In der Sprache vieler Sicherheitsverantwortlicher ist das eine Zero-Knowledge-Architektur, also ein Modell, bei dem der Plattformbetreiber nicht als zusätzlicher Insider mit Zugriff auf Secrets eingeplant werden muss.
Der Keeper Gateway wird im Kundennetz betrieben und dient als technische Brücke zu den Zielsystemen. Typischerweise übernimmt er Discovery, Rotation sowie die Vermittlung und Protokollierung von Sessions. Für die Zielsysteme ist das Modell in der Regel agentenlos. Die Verbindung zum Cloud-Backend erfolgt ausgehend und verschlüsselt, was die Netzwerköffnung gegenüber klassischen Jump-Host-Architekturen vereinfachen kann.
Just-in-Time Access statt Standing Privileges
Für viele Organisationen ist der zentrale Designentscheid der Wechsel von Standing Privileges zu Just-in-Time Access. Ziel ist, privilegierte Rechte nicht dauerhaft zu halten, sondern zeitlich begrenzt und nachvollziehbar zu vergeben. Praktisch bedeutet das: Rollen-Elevation und Konten werden für eine definierte Tätigkeit freigeschaltet und anschliessend entzogen, oder die zugrunde liegenden Credentials werden rotiert. Ergänzend bilden Approval-Workflows, Session Recording über gängige Protokolle sowie kontrollierte Browser-Sessions das Instrumentarium, um Nachweise zu ermöglichen und Fehlverhalten früher zu erkennen.
Zertifizierungen und Nachweisführung
Für Compliance-Verantwortliche ist weniger die Funktionsliste entscheidend als die Frage, welche Nachweise im Auditfall plausibel vorgelegt werden können. Keeper Security verweist in der öffentlichen Kommunikation unter anderem auf eine FIPS 140-3-Validierung sowie auf eine SOC 3-Konformität, die als öffentlich zugänglicher Bericht in Ausschreibungen als Transparenzsignal genutzt werden kann. Ergänzend weist Keeper in der technischen Dokumentation eine Attestierung nach SOC 2 Type II sowie eine Zertifizierung nach ISO 27001 aus. Zertifizierungen ersetzen jedoch keine eigene Bewertung, sie sind ein Ausgangspunkt für die Prüfung von Scope, Geltungsbereich und praktischer Auditierbarkeit.
Cloud-natives PAM versus klassische PAM-Architekturen
Klassische PAM-Architekturen sind historisch in Rechenzentrumsmustern gewachsen, mit eigener Infrastruktur, Jump-Hosts, aufwendiger Segmentierung und entsprechendem Betriebsaufwand. Cloud-natives PAM wie Keeper verlagert Teile davon in ein SaaS-Modell, während vor Ort eine Gateway-Komponente je Netzsegment betrieben wird. Das reduziert typischerweise den Infrastrukturanteil auf Kundenseite und kann die Einführung verkürzen, insbesondere wenn zuerst die kritischsten Konten und Systeme adressiert werden.
Trade-offs, die in jede Evaluation gehören
Ein cloud-natives Betriebsmodell senkt Einstiegshürden, erzeugt aber neue Fragen. Erstens: Datenresidenz. Nach öffentlich verfügbaren Herstellerangaben sind EU-Regionen (Frankfurt und Irland) verfügbar, eine dedizierte Schweizer Datenhaltung ist dabei nicht belegt. Für Kunden mit strikter Auslegung, etwa bei besonders schützenswerten Personendaten oder spezifischen Vertragsklauseln, ist die Klärung mit Datenschutzberater und Rechtsdienst Teil der Sorgfaltspflicht. Eine Zero-Knowledge-Architektur kann Risiken technisch reduzieren, ersetzt aber keine juristische Einordnung. Für Schweizer Kunden relevant: Keeper ist zudem unter dem Swiss-U.S. Data Privacy Framework zertifiziert, was die datenschutzrechtliche Einordnung von Übermittlungen in die USA erleichtert.
Zweitens: Anbieterabhängigkeit und Jurisdiktion. Bei einem US-Anbieter müssen Unternehmen die Frage möglicher Herausgabeersuchen (etwa unter dem US CLOUD Act) in ihre Risikoanalyse aufnehmen. Zero-Knowledge bedeutet im Kern, dass der Anbieter ohne Kundenschlüssel keine Klartexte bereitstellen kann. Ob und wie das im konkreten Szenario zu bewerten ist, gehört in die dokumentierte Abwägung.
Drittens: Exit-Strategie. Bereits vor der Einführung sollten Exportmöglichkeiten und Datenportabilität geklärt werden, etwa für Vault-Inhalte, Session-Aufzeichnungen und Audit-Logs. Das ist nicht nur Best Practice, sondern in regulierten Umfeldern auch Teil eines sauberen Third-Party-Risk-Managements.
Ein herstellerneutraler Vergleich unterschiedlicher PAM-Ansätze, einschliesslich stärker On-Premises-orientierter Alternativen, ist Teil unserer Beratungspraxis. Die konzeptionelle Grundlage dafür, warum privilegierte Rechte konsequent minimiert und zeitlich begrenzt vergeben gehören, haben wir in unserem Beitrag zum Least-Privilege-Prinzip vertieft. Dass dies keine Herstellermeinung ist, zeigt der Blick in die behördlichen Standards: Das BSI verankert Least Privilege und die restriktive Vergabe von Berechtigungen im IT-Grundschutz-Baustein ORP.4 Identitäts- und Berechtigungsmanagement als verbindliche Basisanforderung.
Regulatorischer Kontext: NIS-2, DORA, revDSG und FINMA
Keine der einschlägigen Regulierungen schreibt eine konkrete PAM-Produktkategorie vor. In der Praxis führen die Anforderungen an Zugriffskontrolle, Protokollierung und Nachweisbarkeit jedoch dazu, dass privilegierte Zugänge ohne strukturierte Prozesse und geeignete technische Kontrollen kaum prüfbar beherrscht werden können.
NIS-2: Die Richtlinie verlangt von betroffenen Organisationen ein risikobasiertes Sicherheitsmanagement, typischerweise mit klaren Vorgaben zu Zugriffskontrolle, MFA und Meldeprozessen. Für Leitungsorgane steigt damit der Druck, Entscheidungen und Kontrollen nachvollziehbar zu dokumentieren, weil Governance und Nachweise selbst zum Prüfthema werden.
DORA: Im Finanzsektor rücken IKT-Risikomanagement, Protokollierung und der Umgang mit IKT-Drittparteien stärker in den Vordergrund. Für privilegierte Tätigkeiten ist die Fähigkeit, Aktivitäten lückenarm nachzuvollziehen und bei Bedarf zu rekonstruieren, ein naheliegendes Kontrollziel.
revDSG: Das revidierte Schweizer Datenschutzgesetz fordert angemessene technische und organisatorische Massnahmen. In der Praxis zählen dazu Zugriffsbeschränkungen, die Minimierung privilegierter Rechte sowie eine Protokollierung, die im Vorfallfall eine nachvollziehbare Aufklärung erlaubt.
FINMA: Für beaufsichtigte Institute sind Vorgaben zu Funktionstrennung, Zugriffskontrolle und Überwachung kritischer Systeme etabliert. Privilegierte Zugriffe sind in diesem Rahmen regelmässig als besonders schützenswert einzuordnen, weil sie Risiken für Integrität, Verfügbarkeit und Vertraulichkeit bündeln.
Aus Compliance-Sicht lautet die Kernfrage deshalb nicht, ob eine PAM-Lösung bestimmte Funktionen auf dem Papier abdeckt, sondern ob die im Betrieb entstehenden Logs, Session-Aufzeichnungen und Reports so konsistent sind, dass sie gegenüber internen und externen Prüfern als Nachweis taugen. Auditierbarkeit ist damit kein Nebenthema, sondern ein zentrales Auswahlkriterium.
Die TECHWAY-Position
Als herstellerneutraler Cybersecurity-Berater vertreten wir die Position, dass Privileged Access Management zuerst eine Governance-Disziplin ist und erst danach eine Werkzeugfrage. Wer ein PAM-Tool einführt, ohne Verantwortlichkeiten, Kontenklassifikation, Access-Reviews, Break-Glass-Prozesse und Genehmigungen zu klären, verbessert meist die Oberfläche, nicht die Steuerbarkeit.
Zwei Argumente sprechen aus unserer Sicht dafür, PAM auf der Prioritätenliste nach oben zu setzen. Erstens: Die unternehmerische Verantwortung der Leitungsorgane unter NIS-2 und DORA, die sich in der Praxis über dokumentierte Entscheide, Kontrollen und Wirksamkeitsnachweise ausdrückt. Zweitens: Die Auditierbarkeit. Lückenarme Session-Aufzeichnungen und regelmässige Access-Reports sind ein zentrales Nachweisinstrument gegenüber Prüfern, etwa im Kontext von ISO 27001, internen Revisionen oder regulatorischen Inspektionen.
Vier Evaluationskriterien für die Werkzeugwahl:
1) Datenhoheit und Betriebsmodell: Wo dürfen Vault-Daten, Metadaten und Session-Aufzeichnungen liegen? Welche Region ist vertraglich und regulatorisch akzeptabel? Ist ein SaaS-Modell tragfähig, oder erfordert das Anforderungsprofil vollständige On-Premises-Datenhaltung? Keeper kann ein pragmatischer Einstieg für Unternehmen ohne dediziertes PAM-Team sein, sofern EU-Hosting und die damit verbundenen Abwägungen tragbar sind. Für strengere Souveränitätsanforderungen sind andere Ansätze ergebnisoffen zu prüfen.
2) Auditierbarkeit: Welche Berichte, Session-Aufzeichnungen und Rezertifizierungs-Workflows sind ohne Zusatzentwicklung nutzbar? Wie gut lassen sich die entstehenden Signale in bestehende SIEM-, GRC- und Ticketing-Prozesse integrieren?
3) Umsetzungsfokus: Wie schnell lassen sich die kritischsten privilegierten Konten und Zugriffswege in einen kontrollierten Betrieb überführen, inklusive MFA-Pflicht, Genehmigungen und Protokollierung? Cloud-native Modelle können hier den Infrastrukturanteil reduzieren, die Governance-Arbeit bleibt jedoch gleich.
4) Exit-Fähigkeit: Sind Vault, Secrets, Session-Aufzeichnungen und Audit-Logs in standardisierten Formaten exportierbar, inklusive ausreichender Metadaten für die spätere Nachvollziehbarkeit? Diese Frage gehört in jede Evaluation, unabhängig vom Anbieter.
Schlussfolgerung
Keeper ist eine plausible Option für Unternehmen in der DACH-Region, die Privileged Access Management als Programm etablieren wollen, ohne parallel eine umfangreiche On-Premises-PAM-Infrastruktur zu betreiben. Zero-Knowledge-Architektur, Just-in-Time Access und ein auf Auditierbarkeit ausgerichteter Funktionsumfang adressieren zentrale Kontrollziele, die sich aus NIS-2, DORA, revDSG und FINMA-nahen Erwartungen ableiten lassen. Gleichzeitig müssen Datenresidenz, mögliche Jurisdiktionsfragen sowie Exit-Überlegungen transparent bewertet und dokumentiert werden.
Die Werkzeugwahl folgt dem Anforderungsprofil, nicht umgekehrt. Wer PAM als Governance-Disziplin aufsetzt und die Evaluation anhand klarer Kriterien führt, reduziert die Risiken privilegierter Zugänge und schafft Nachweise, die für Geschäftsleitung und Verwaltungsrat zunehmend relevant sind.
Unverbindliches PAM-Evaluationsgespräch
Sie evaluieren eine PAM-Lösung oder wollen Ihr bestehendes Zugriffsmanagement auf NIS-2-, DORA- und revDSG-Anforderungen prüfen? Als herstellerneutraler Beratungspartner unterstützen wir Sie bei Anforderungsanalyse, Kriterienbildung und Werkzeugauswahl. Keeper ist eine von mehreren Optionen, die wir im Vergleich einordnen.
🎯 Key Take-Aways für Entscheider
Zusammenfassung für Verwaltungsrat, Geschäftsleitung und CISO:
✓ PAM ist zuerst Governance: Verantwortlichkeiten, Kontenklassifikation, MFA-Pflicht und Access-Reviews sind die Basis. Die Werkzeugwahl folgt.
✓ Verantwortung braucht Nachweise: NIS-2 und DORA erhöhen die Erwartungen an dokumentierte Kontrollen und nachvollziehbare Entscheide auf Ebene der Leitungsorgane.
✓ Keeper als möglicher Einstieg: Cloud-natives Modell mit Zero-Knowledge, Just-in-Time Access und Zertifizierungsnachweisen. Geeignet für Organisationen ohne dediziertes PAM-Team, sofern das Betriebsmodell passt.
✓ Trade-offs benennen: Datenresidenz, Jurisdiktion und Exit-Fähigkeit gehören in jede Evaluation.
✓ Auditierbarkeit als Auswahlkriterium: Session-Aufzeichnungen und Access-Reports sind zentrale Nachweisinstrumente gegenüber Prüfern.
Häufig gestellte Fragen: FAQ zu Keeper
Was ist Keeper?
Keeper ist die cloud-native Privileged-Access-Management-Plattform von Keeper Security. Sie bündelt verschlüsselten Vault, Secrets Management, Connection Management, Session Recording, Zero-Trust-Fernzugriff und Just-in-Time Access in einer einheitlichen Lösung. Der Betrieb erfolgt als SaaS, im Kundennetz wird lediglich der Keeper Gateway installiert. Zielsysteme benötigen keine Agenten.
Was bedeutet Zero-Knowledge-Architektur bei einer PAM-Lösung?
Zero-Knowledge bedeutet, dass sensible Daten client-seitig verschlüsselt werden, bevor sie den Endpunkt verlassen. Der Anbieter hat keinen Zugriff auf Klartext, weder auf Passwörter noch auf Secrets. Für Unternehmen sinkt damit das Risiko, dass der Plattformbetreiber als zusätzlicher Insider mit Zugriff auf Credentials betrachtet werden muss.
Welche regulatorischen Anforderungen adressiert Privileged Access Management?
PAM adressiert typische Kontrollziele aus NIS-2 (Zugriffskontrolle, MFA, Nachweise), DORA (IKT-Risikomanagement, Protokollierung, Third-Party-Risk), revDSG (angemessene technische und organisatorische Massnahmen) und FINMA-nahen Erwartungen (Funktionstrennung, Überwachung kritischer Systeme). Keine dieser Regulierungen nennt PAM als Produktkategorie, aber die Nachweisanforderungen sind ohne strukturiertes PAM in der Praxis schwer zu erfüllen.
Wie schnell lässt sich Keeper einführen?
Als cloud-natives SaaS-Modell kann Keeper die Einführung gegenüber klassischen PAM-Plattformen beschleunigen, weil weniger Infrastruktur betrieben werden muss. In vielen Projekten lassen sich die kritischsten privilegierten Konten innerhalb weniger Wochen in einen kontrollierten Betrieb überführen. Voraussetzung ist Governance-Vorarbeit, insbesondere Verantwortlichkeiten, Kontenklassifikation sowie definierte Genehmigungs- und Review-Prozesse.
