Prüfprogramm Identitäts- und Zugriffsmanagement privilegierter Konten.
Wie Sie prüfen, ob Administrator- und andere privilegierte Konten erfasst, begrenzt, besonders abgesichert und nachvollziehbar genutzt werden.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob die Organisation privilegierte Zugriffe gezielt steuert: Inventar und Verantwortlichkeit, Beschränkung auf das Notwendige, zusätzliche Authentifizierung, geschützte Aufbewahrung der Zugangsdaten, Protokollierung der Nutzung und regelmäßige Überprüfung. Sie beurteilt außerdem, ob Notfallzugriffe und Zugriffe von Dienstleistern geregelt sind.
Geltungsbereich
- Administratorkonten für Betriebssysteme, Datenbanken, Verzeichnisdienste, Netzkomponenten, Virtualisierung und Cloud-Konsolen
- Technische Konten, Dienstkonten und Notfallkonten mit erhöhten Rechten
- Zugriffe von Dienstleistern mit privilegierten Rechten
- Nicht Gegenstand: das allgemeine Berechtigungsmanagement für normale Benutzer, das in einem eigenen Muster behandelt wird
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Eine Richtlinie regelt Vergabe, Nutzung und Entzug privilegierter Rechte und ist von der Leitung freigegeben. | NIS2-Richtlinie Art. 21 Abs. 2 lit. i; ISO/IEC 27001:2022 Anhang A 8.2 | Richtlinie lesen, Freigabe und Aktualität feststellen und den Geltungsbereich mit der Systemübersicht abgleichen. | Richtlinie mit Freigabevermerk, Systemübersicht |
| 2 | Alle privilegierten Konten sind inventarisiert, jedem Konto sind eine verantwortliche Person und ein Zweck zugeordnet. | ISO/IEC 27001:2022 Anhang A 8.2; BSI ORP.4 | Privilegierte Konten direkt aus fünf Systemen auslesen und mit dem Inventar abgleichen. | Inventar privilegierter Konten, Systemauszüge der Administratorgruppen |
| 3 | Privilegierte Rechte sind auf das Notwendige beschränkt, Rollen sind fachlich begründet und genehmigt. | ISO/IEC 27001:2022 Anhang A 8.2 und 5.15 | Zehn privilegierte Konten auswählen und Begründung sowie Genehmigung der Rechte prüfen. | Anträge und Genehmigungen, Rollenbeschreibungen |
| 4 | Administratoren verwenden für die tägliche Arbeit ein Konto ohne erhöhte Rechte und ein getrenntes Konto für Verwaltungsaufgaben. | BSI ORP.4; ISO/IEC 27001:2022 Anhang A 8.2 | Prüfen, ob Administratorkonten ein Postfach besitzen oder für Internetzugriffe genutzt werden. | Kontenliste mit Postfach, Auswertung der Internetnutzung privilegierter Konten |
| 5 | Für privilegierte Zugänge und für den Fernzugriff ist Mehrfaktor-Authentifizierung eingesetzt, Ausnahmen sind begründet und genehmigt. | NIS2-Richtlinie Art. 21 Abs. 2 lit. j; § 30 Abs. 2 Nr. 10 BSIG | Konfiguration von Verwaltungskonsolen, VPN und Cloud-Zugängen prüfen und die Ausnahmen durchgehen. | Konfigurationsauszüge, Liste der Ausnahmen mit Genehmigung |
| 6 | Zugangsdaten privilegierter Konten, insbesondere von Dienst- und Notfallkonten, sind in einem geschützten Tresor oder gleichwertig verwahrt und werden nach Gebrauch oder in festgelegten Abständen geändert. | ISO/IEC 27001:2022 Anhang A 8.2; BSI ORP.4 | Verfahren zur Verwahrung beschreiben lassen und für eine Stichprobe das Datum der letzten Änderung prüfen. | Verfahrensbeschreibung, Auszug aus dem Tresor, Änderungsnachweise |
| 7 | Administrative Tätigkeiten und die Nutzung privilegierter Konten werden protokolliert; bei besonders kritischen Systemen werden Sitzungen aufgezeichnet. | ISO/IEC 27001:2022 Anhang A 8.15 und 8.2 | Protokollierung für zwei kritische Systeme prüfen und eine administrative Tätigkeit anhand des Protokolls nachvollziehen. | Protokollkonfiguration, Protokollauszüge, Aufzeichnungen |
| 8 | Privilegierte Rechte werden in festgelegten Abständen durch die Verantwortlichen überprüft, Befunde werden umgesetzt. | ISO/IEC 27001:2022 Anhang A 5.18 und 8.2 | Letzte Überprüfung ansehen: Umfang, Rücklauf, Fristen und tatsächlicher Entzug nicht mehr benötigter Rechte. | Berichte der Überprüfung, Bestätigungen, Tickets zum Entzug |
| 9 | Erhöhte Rechte werden bei Bedarf zeitlich befristet vergeben und danach automatisch entzogen, wo die Technik es erlaubt. | ISO/IEC 27001:2022 Anhang A 8.2 | Prüfen, ob befristete Rechte im Einsatz sind, und eine Stichprobe von Vergaben auf den Entzug nach Ablauf untersuchen. | Konfiguration der befristeten Vergabe, Protokoll von Vergabe und Entzug |
| 10 | Notfallzugriffe sind geregelt: Auslösung, Genehmigung, Nutzung, Protokollierung und nachträgliche Überprüfung. | ISO/IEC 27001:2022 Anhang A 8.2; BSI ORP.4 | Alle Nutzungen von Notfallkonten der letzten zwölf Monate ansehen und Genehmigung sowie nachträgliche Überprüfung prüfen. | Verfahren zum Notfallzugriff, Liste der Nutzungen, Nachweise der Überprüfung |
| 11 | Privilegierte Zugriffe von Dienstleistern sind vertraglich geregelt, einzeln freigegeben, befristet und protokolliert. | ISO/IEC 27001:2022 Anhang A 5.19 und 8.2 | Zugänge von drei Dienstleistern prüfen: Freigabe, Befristung, Authentifizierung und Protokolle der letzten Sitzungen. | Verträge, Freigaben, Zugangsprotokolle |
| 12 | Konten ausgeschiedener oder gewechselter Administratoren werden zeitnah gesperrt oder angepasst. | ISO/IEC 27001:2022 Anhang A 5.18; BSI ORP.4 | Austritts- und Wechsellisten mit den Administratorgruppen abgleichen und die Zeit bis zur Anpassung ermitteln. | Austrittsliste, Auszug der Administratorgruppen, Sperrprotokoll |
Unterlagen zur Anforderung
- Richtlinie zu privilegierten Zugriffen
- Inventar der privilegierten, technischen und Notfallkonten
- Systemauszüge der Administratorgruppen zu einem Stichtag
- Konfigurationsnachweise zur Mehrfaktor-Authentifizierung
- Verfahrensbeschreibung zur Verwahrung der Zugangsdaten
- Protokollauszüge zu administrativen Tätigkeiten
- Berichte der letzten Überprüfung privilegierter Rechte
- Verträge und Freigaben für Zugriffe von Dienstleistern
Typische Feststellungen
- Es gibt keine vollständige Übersicht über privilegierte Konten; Dienstkonten haben keine verantwortliche Person.
- Administratoren arbeiten täglich mit ihrem privilegierten Konto, auch für E-Mail und Internet.
- Zugangsdaten von Notfall- und Dienstkonten liegen in Tabellen oder sind seit Jahren unverändert.
- Mehrfaktor-Authentifizierung wird für Administratoren nicht durchgängig verlangt, Ausnahmen sind nicht begründet.
- Die Überprüfung privilegierter Rechte wird bestätigt, ohne dass Rechte tatsächlich entzogen werden.
- Dienstleister behalten Zugänge nach Ende des Auftrags.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen